Checklist bảo mật ví crypto và tài khoản sàn

Bảo mật ví crypto và tài khoản sàn quy về hai nhóm việc. Với ví tự quản (MetaMask, Trust Wallet, ví lạnh), bạn phải giữ kín cụm từ khôi phục, kiểm địa chỉ trước mỗi lần chuyển và đọc kỹ mọi thứ mình ký. Với tài khoản sàn, bạn giữ mật khẩu riêng, xác thực hai lớp mạnh và email an toàn, phần hệ thống do sàn chịu.

Trang này là bảng kiểm tổng hợp: mỗi mục một dòng, kèm đường dẫn tới bài chi tiết. Đang gặp sự cố thì xem bảng ngay bên dưới; còn lại, in bảng kiểm ra và đánh dấu những việc đã làm.

Đang gặp sự cố thì đọc bài nào?

Xác định sự cố, rồi làm theo bài tương ứng; việc đầu tiên trong mọi trường hợp là không trả lời người lạ tự nhắn tới hứa giúp.

Sự cố	Bài cần đọc
Ví bị rút tiền lạ, nghi lộ cụm từ	Ví bị hack phải làm gì
Lỡ ký approve cho trang lạ	Approve token và revoke
Lỡ bấm link, nhập thông tin vào trang giả	Phishing là gì
Chuyển nhầm địa chỉ, nhầm coin, thiếu memo	Chuyển nhầm địa chỉ ví
Chuyển nhầm mạng USDT	Chuyển nhầm mạng USDT
Quên mật khẩu, mã PIN ví	Quên mật khẩu ví crypto
Mất điện thoại có ứng dụng 2FA	Xác thực 2 lớp (2FA)
Bị lừa chuyển tiền	Bị lừa tiền ảo phải làm gì

Trang giả mạo có thể báo cáo qua mục báo cáo trên Tín nhiệm mạng (tinnhiemmang.vn) của Trung tâm An ninh mạng quốc gia; đã mất tiền thì trình báo cơ quan công an nơi gần nhất, mang theo mã giao dịch, ảnh chụp và đường dẫn.

Checklist bảo mật in được

Làm từ trên xuống: phần nền (thiết bị, email) trước, rồi tới ví, giao dịch, tài khoản sàn. Cột cuối là nơi đọc cách làm cụ thể.

1. Nền: thiết bị, email, số điện thoại

☐	Việc cần làm	Đọc thêm
☐	Cập nhật hệ điều hành, trình duyệt; không cài ứng dụng bẻ khóa, tiện ích lạ	Ví bị hack phải làm gì
☐	Email dùng cho sàn có mật khẩu riêng và 2FA bằng ứng dụng hoặc khóa bảo mật	Xác thực 2 lớp (2FA)
☐	Email, tài khoản sàn: mỗi nơi một mật khẩu riêng, lưu trong trình quản lý mật khẩu (mật khẩu ví MetaMask thì ghi ra giấy, theo khuyến nghị của MetaMask)	Quên mật khẩu ví crypto
☐	Không dùng SMS làm 2FA chính nếu dịch vụ có lựa chọn khác (rủi ro chiếm SIM)	Xác thực 2 lớp (2FA)
☐	Lưu dấu trang tên miền thật của ví, sàn; mở từ dấu trang, không từ quảng cáo hay tin nhắn	Phishing là gì

Các loại mã độc nhắm vào ví và cách phòng có ở bài mã độc đánh cắp ví crypto.

2. Cụm từ khôi phục

☐	Việc cần làm	Đọc thêm
☐	Chép tay ra giấy hoặc tấm kim loại; không chụp ảnh, không lưu đám mây, ghi chú, tin nhắn	Cụm từ khôi phục là gì
☐	Thử khôi phục ví từ bản chép một lần để chắc chép đúng	Quên mật khẩu ví crypto
☐	Không gõ cụm từ vào bất kỳ trang web, biểu mẫu, “công cụ đồng bộ” nào	Phishing là gì
☐	Nếu dùng passphrase: ghi lại đúng hoa thường, cất riêng chỗ với cụm từ	Quên mật khẩu ví crypto
☐	Để lại cho người thân hướng dẫn nơi cất (không ghi chính cụm từ)	Cụm từ khôi phục là gì

3. Cài và tổ chức ví

☐	Việc cần làm	Đọc thêm
☐	Tải ví từ trang chủ, App Store, Google Play đúng nhà phát triển	MetaMask là gì, Trust Wallet là gì
☐	Tách ví chi tiêu (dùng với ứng dụng phi tập trung) và ví cất giữ (ít khi kết nối)	Ví crypto là gì
☐	Phần giá trị lớn, ít dùng: cân nhắc ví lạnh mua từ cửa hàng chính thức của hãng	Ví lạnh là gì
☐	Không mua ví lạnh cũ, không dùng thiết bị kèm sẵn cụm từ in sẵn	Ví lạnh là gì

4. Mỗi lần chuyển tài sản

☐	Việc cần làm	Đọc thêm
☐	Lấy địa chỉ từ nguồn gốc hoặc sổ địa chỉ, không chép từ lịch sử giao dịch	Đầu độc địa chỉ ví
☐	So cả đầu, giữa, cuối địa chỉ	Địa chỉ ví là gì
☐	Kiểm mạng bên nhận hỗ trợ; điền memo, tag nếu được yêu cầu	Chọn mạng khi chuyển USDT
☐	Người nhận mới: chuyển thử khoản nhỏ, chờ xác nhận	Chuyển nhầm địa chỉ ví
☐	Bỏ qua giao dịch 0 USDT, token lạ tự xuất hiện trong ví	USDT flash là gì

5. Mỗi lần ký với ứng dụng phi tập trung

☐	Việc cần làm	Đọc thêm
☐	Đọc màn hình ký: hàm gì, cấp quyền cho ai, hạn mức bao nhiêu	Approve token và revoke
☐	Từ chối hạn mức không giới hạn khi không cần	Approve token và revoke
☐	Hằng tháng rà và thu hồi quyền không còn dùng	Approve token và revoke
☐	Không ký thông điệp lạ để “nhận airdrop”, “xác minh ví”	Airdrop giả mạo

6. Tài khoản sàn

☐	Việc cần làm	Đọc thêm
☐	Chỉ dùng ứng dụng, tên miền chính thức của sàn	Kênh chính thức
☐	Bật 2FA bằng ứng dụng xác thực, khóa bảo mật hoặc passkey; cất mã dự phòng ra giấy	Xác thực 2 lớp (2FA)
☐	Nếu sàn có: bật danh sách trắng địa chỉ rút, mã chống giả mạo trong email	Phishing là gì
☐	Kiểm thiết bị đăng nhập, khóa API định kỳ; xóa cái không nhận ra	Ví bị hack phải làm gì
☐	Không cho thuê, bán, cho mượn tài khoản đã KYC	KYC là gì
☐	Kiểm sàn có thật sự được cấp phép trước khi nạp tiền	Nhận biết sàn giả mạo

Quy tắc nào không bao giờ được phá?

Không đưa cụm từ khôi phục cho bất kỳ ai, dưới bất kỳ lý do nào. Mọi chiêu lừa nhắm ví tự quản cuối cùng đều xin một trong ba thứ: cụm từ khôi phục, chữ ký cấp quyền, hoặc việc bạn tự chuyển tài sản tới địa chỉ của chúng. Trust Wallet tóm lại trong bảng kiểm tự quản của họ (13/8/2026): “Anyone who asks for your phrase is a scammer” (ai hỏi cụm từ của bạn là kẻ lừa đảo).

Những người hay tự xưng để xin cụm từ: “nhân viên hỗ trợ” ví hoặc sàn, “công an”, “cán bộ thuế”, “chuyên gia khôi phục ví”, người hướng dẫn “đồng bộ ví” để nhận airdrop. Các kiểu lừa đang lưu hành ở Việt Nam được gom ở bài các kiểu lừa đảo tài sản mã hóa phổ biến.

Ví tự quản và tài khoản sàn: ai chịu phần nào?

Ở ví tự quản, bạn tự chịu toàn bộ; ở sàn được cấp phép, sàn chịu phần hệ thống và phải bồi thường theo quy định pháp luật khi khách mất tài sản do hệ thống bảo mật mất an toàn, bị xâm nhập, bị lừa đảo. So sánh theo Nghị quyết 05/2025/NQ-CP (đối chiếu văn bản 27/10/2026):

Rủi ro	Ví tự quản	Tài khoản sàn được cấp phép
Ai giữ khóa	Bạn	Sàn (lưu ký)
Yêu cầu an toàn hệ thống	Không có quy định	Cấp độ 4, Bộ Công an thẩm định (Điều 8 khoản 7, Điều 9 khoản 7)
Lưu vết đăng nhập	Không có	Lưu tối thiểu 10 năm địa chỉ IP, thiết bị đăng nhập (Điều 15 khoản 2 điểm l)
Mất tài sản do bị xâm nhập, lừa đảo	Không ai bồi thường	Sàn “giải quyết và bồi thường thiệt hại theo quy định pháp luật” (Điều 15 khoản 2 điểm m)
Lộ mật khẩu, ký nhầm do bạn	Bạn chịu	Tùy điều khoản của sàn và quyết định giải quyết tranh chấp

Tính đến 28/10/2026 chưa có tổ chức nào được Bộ Tài chính cấp phép. Ba hồ sơ (CAEX tự công bố; SCEX, TCEX theo báo ngày 22–23/10/2026) được Cục An ninh mạng (Bộ Công an) thẩm định đề xuất an toàn thông tin cấp độ 4, nhưng đó chưa phải giấy phép. Tình trạng từng hồ sơ ở trang sàn tài sản mã hóa được cấp phép và lịch cấp phép.

Dù sàn đạt chuẩn nào, phía bạn vẫn có những việc ở mục 6 của bảng kiểm. Hệ thống an toàn không ngăn được việc bạn tự đăng nhập vào trang giả hay tự đưa mã OTP cho người gọi điện. Sàn lớn đã bị tấn công qua những đường nào được tổng hợp ở bài về các vụ hack sàn lớn.

Bảo mật ví MetaMask, Trust Wallet có gì cần chú ý riêng?

Cả hai là ví nóng: khóa nằm trên điện thoại hoặc trình duyệt có kết nối mạng, nên rủi ro lớn nhất là bản giả, trang giả và chữ ký độc. Những điểm riêng:

• MetaMask tiện ích trình duyệt: dùng một hồ sơ trình duyệt riêng cho ví, ít tiện ích khác; kiểm danh sách trang đã kết nối. Muốn xem lại cụm từ khôi phục phải nhập mật khẩu ví, nên mật khẩu này cũng cần đủ mạnh. Chi tiết ở bài MetaMask là gì.
• Trust Wallet: tải đúng ứng dụng của nhà phát triển “Trust Wallet”; cảnh giác trang “sửa lỗi ví”, ảnh chụp số dư giả. Chi tiết ở bài Trust Wallet là gì.
• Cả hai: bật khóa ứng dụng bằng mã và sinh trắc học; tắt sao lưu ảnh tự động nếu từng lỡ chụp cụm từ (và tạo ví mới, chuyển tài sản đi).

Kết nối ví với website thế nào cho an toàn?

Kết nối ví chỉ cho trang web thấy địa chỉ và số dư; tài sản chỉ đi khi bạn ký. Vì vậy hãy kiểm tên miền trước khi bấm “Connect wallet”, rồi đọc từng yêu cầu ký sau khi đã kết nối. Ví tiện ích trên máy tính (như MetaMask) bật cửa sổ xác nhận ngay trong trình duyệt. Ví trên điện thoại thường kết nối qua WalletConnect: trang hiện mã QR hoặc liên kết mở ví, bạn quét bằng ứng dụng ví, từ đó yêu cầu ký từ trang được chuyển sang ví để bạn duyệt. Khóa vẫn nằm trong ví; WalletConnect chỉ chuyển yêu cầu và chữ ký qua lại, theo tài liệu của WalletConnect là qua kênh liên lạc được mã hóa.

Nhiều ví có tích hợp tính năng kiểm tên miền của WalletConnect (Verify API) hiện một trong bốn trạng thái khi bạn kết nối; chữ hiển thị tùy ví. Theo tài liệu WalletConnect (đọc 28/10/2026):

Nhãn	Nghĩa	Nên làm
Khớp tên miền (Domain match)	Tên miền đã được xác minh là của ứng dụng đó trong sổ đăng ký của WalletConnect, chưa bị công cụ bảo mật nào gắn cờ	Vẫn tự kiểm tên miền; nhãn này không nói hợp đồng của ứng dụng an toàn
Không xác minh được (Cannot verify)	Tên miền chưa được xác minh trong sổ đăng ký, chưa bị gắn cờ; ứng dụng cài trên máy (không phải trang web) thường rơi vào nhãn này	Kiểm tay kỹ hơn trước khi ký
Không khớp (Mismatch)	Tên miền gửi yêu cầu khác tên miền ứng dụng đã đăng ký	Có thể là trang giả mạo: từ chối, ngắt kết nối, mở lại trang từ dấu trang
Nguy hiểm (Threat)	Ít nhất một công cụ bảo mật đối tác gắn cờ tên miền là độc hại	Không kết nối

WalletConnect tự ghi tính năng này “may not catch every threat” (có thể không bắt được mọi mối đe dọa), nên nhãn chỉ là một lớp bảo vệ thêm.

Trang có thể gửi bốn loại yêu cầu, từ kết nối đến giao dịch. Không tốn phí gas không có nghĩa là vô hại:

Yêu cầu	Nghĩa là gì	Phí gas	Rủi ro
Kết nối	Trang biết địa chỉ, số dư của bạn	Không	Thấp, nhưng ngắt kết nối không thu hồi quyền đã cấp
Ký đăng nhập (Sign-In with Ethereum)	Chứng minh bạn là chủ địa chỉ; MetaMask viết là “nothing more, nothing less”	Không	Thấp, nếu nội dung đúng là thông điệp đăng nhập của đúng tên miền
Ký thông điệp ngoài chuỗi (permit, Permit2, lệnh niêm yết NFT)	Cấp quyền mà không cần gửi giao dịch; trang giữ chữ ký và dùng lúc nào tùy họ	Không	Cao: MetaMask gọi đây là “signature phishing”
Giao dịch, approve	Ghi lên chuỗi: chuyển tài sản hoặc cấp hạn mức chi tiêu	Có	Cao nếu gửi cho hợp đồng lạ

Năm việc mỗi lần kết nối:

1. Mở trang từ dấu trang, kiểm tên miền trên thanh địa chỉ trước khi bấm kết nối (cách kiểm tên miền).
2. Khi quét mã QR, xem tên miền ví hiển thị có trùng trang bạn đang mở không. MetaMask khuyên “always double-check the URL of the site requesting your signature”.
3. Đọc nội dung từng yêu cầu ký; không hiểu thì từ chối. Cách đọc màn hình approve, permit ở bài approve token và revoke.
4. Dùng ví phụ chứa ít tài sản cho trang mới, trang lạ (mục 3 của bảng kiểm).
5. Xong việc thì ngắt kết nối trong ví và rà quyền chi tiêu đã cấp. Các bước trên MetaMask ở bài MetaMask là gì.

Bảo mật ví Bitcoin khác ví EVM ở đâu?

Trên Bitcoin không có cơ chế approve token như các mạng EVM (Ethereum, BNB Smart Chain), nên rủi ro tập trung ở cụm từ khôi phục và địa chỉ nhận. Mục 5 của bảng kiểm gần như không áp dụng với ví chỉ giữ Bitcoin; mục 2 và 4 quan trọng hơn. Địa chỉ Bitcoin có mã kiểm tra nên gõ sai ký tự thường bị ví từ chối, nhưng chép nhầm cả một địa chỉ giả thì không. Người giữ Bitcoin lâu dài thường dùng ví lạnh.