Cụm từ khôi phục (seed phrase), thường là 12 hoặc 24 từ tiếng Anh bình thường, là bản sao lưu dạng chữ mà từ đó ví có thể dựng lại toàn bộ khoá riêng nó đang dùng. Ai cầm được cụm từ này là người đó làm chủ tài sản, không có chuyện đặt lại mật khẩu, không có nơi khiếu nại. Hãy cất nó ngoại tuyến, trên giấy hoặc tấm kim loại, ở ít nhất hai chỗ an toàn, và tuyệt đối không gõ nó vào trang web, tin nhắn hay để trong ảnh chụp.
Phần lớn vụ mất tài sản không đến từ hacker tinh vi nào. Chúng đến từ một tấm ảnh chụp màn hình tự đồng bộ lên đám mây, một dòng ghi chú trong thư nháp, một lần gõ cụm từ vào trang "xác minh ví" giả, hoặc một bản sao lưu mà cả nhà không ai biết là có. Bài này nói rõ cụm từ đó là gì, cất ở đâu, và những thói quen giữ nó an toàn qua nhiều năm.
Cụm từ khôi phục, khoá riêng, mật khẩu: khác nhau ở đâu?
Khoá riêng (private key) là một con số bí mật cực lớn. Ví dùng nó để ký giao dịch, còn mạng lưới kiểm chữ ký đó với địa chỉ công khai của mình. Người khác biết được khoá riêng là họ ký giao dịch thay mình được, và mạng lưới sẽ chấp nhận không chút thắc mắc.
Ví hiện nay quản lý rất nhiều khoá, mỗi địa chỉ một khoá, lắm khi trên nhiều mạng khác nhau. Chép tay hết đống số đó là chuyện không tưởng, nên các ví theo một chuẩn phổ biến: sinh mọi khoá từ một bí mật gốc duy nhất. Bí mật gốc ấy được hiển thị cho mình dưới dạng một dãy từ lấy từ một bộ từ điển cố định. Dãy từ đó chính là cụm từ khôi phục, còn gọi là seed phrase, recovery phrase hay mnemonic.
Mật khẩu hay mã PIN của ứng dụng lại là chuyện khác. Nó chỉ mở khoá app trên đúng chiếc điện thoại hoặc máy tính này. Mất điện thoại thì mật khẩu vô dụng, cụm từ khôi phục mới là thứ giúp dựng lại ví trên máy mới. Ngược lại, kẻ trộm có được cụm từ thì mật khẩu cũng vô dụng nốt, vì họ chỉ việc khôi phục ví trên máy của họ.
Một số ví còn cho đặt thêm một từ tuỳ chọn, thường gọi là passphrase. Ghép với cụm từ khôi phục, nó tạo ra một ví hoàn toàn khác. Nó tăng bảo vệ thật sự nếu ai đó nhặt được tờ giấy ghi từ của mình, nhưng quên passphrase là tài sản phía sau coi như mất. Đây là công cụ cho người rất chắc chuyện ghi chép của bản thân, không phải thứ nên bật mặc định.
Nên cất cụm từ khôi phục ở đâu?
Chép tay lên tấm thẻ đi kèm ví, hoặc lên giấy tốt. Dùng bút mực chứ đừng dùng bút chì, viết rõ ràng. So từng từ với màn hình ví, rồi soát lại thứ tự thêm một lần nữa.
Tính đến bản sao lưu bằng kim loại nếu giữ lâu dài. Giấy dễ cháy, phai mực, ẩm mốc. Thép đóng chữ hoặc khắc chữ chịu lửa và nước tốt hơn hẳn, điều rất đáng kể với khí hậu nồm ẩm miền Bắc hay nhà hay ngập nước khi triều cường.
Giữ hai bản ở hai nơi khác nhau. Một bản ở nhà, chỗ kín và khô hoặc trong két, một bản ở nơi khác mà mình tin cậy. Chỉ một bản là chỉ một điểm hỏng.
Không bao giờ lưu bằng ảnh chụp. Thư viện ảnh điện thoại tự đồng bộ lên đám mây. Một tấm chụp màn hình cụm từ khôi phục chỉ cách cái ví trống trơn đúng một lần lộ mật khẩu tài khoản.
Không để trong app ghi chú, email, tin nhắn gửi cho chính mình hay trình quản lý mật khẩu mà mình không rành. Cái gì trên mạng cũng có thể bị xâm nhập, và cái gì đồng bộ qua nhiều thiết bị thì càng nhiều chỗ để lộ.
Đừng chia đôi dãy từ rồi giấu mỗi nửa một nơi. Nghe thì khôn, nhưng kẻ nhặt được một nửa chỉ còn phải đoán một nửa, còn mình thì tăng gấp đôi khả năng làm mất một mảnh. Có những cơ chế chia khoá bài bản, nhưng đó là công cụ nâng cao.
Ghi nhãn chỗ cất thật mơ hồ. Một phong bì đề "sao lưu ví crypto" là chỉ đường cho kẻ trộm. Nhãn càng nhàm chán càng an toàn.
Thử khôi phục một lần, với số tiền nhỏ. Trước khi chuyển khoản lớn, hãy xoá hoặc đặt lại một ví thử rồi khôi phục từ dãy từ đã chép. Phát hiện một chữ viết sai ngay bây giờ còn hơn ba năm sau mới biết.
Lập bản sao lưu cho ví mới, từng bước
Làm việc này lúc bình tĩnh, ở nhà, không ai đứng sau lưng và không có camera nào chĩa vào bàn.
- Tạo ví ngoại tuyến nếu thiết bị cho phép. Với ví cứng, cụm từ được sinh ra ngay trên thiết bị và không bao giờ đi qua điện thoại hay máy tính.
- Chép các từ theo đúng thứ tự hiện ra. Đánh số từng từ. Đừng tin vào trí nhớ, và đừng gõ chúng vào đâu "cho chắc".
- Xác nhận lại trên thiết bị. Hầu hết ví sẽ bắt nhập lại vài từ để chứng minh mình chép đúng. Làm nghiêm túc, đừng bấm cho qua.
- Làm bản thứ hai ngay lập tức. Ai định "để mai làm" thì hiếm khi làm. Chép từ tờ thứ nhất khi đầu óc còn đang tập trung.
- Cất hai bản vào hai chỗ đã chọn. Khô ráo, kín đáo, không ghi nhãn, và để xa chính thiết bị ví, để một vụ trộm hay một đám cháy không lấy được cả hai.
- Khôi phục thử với số nhỏ. Gửi một khoản rất nhỏ, đặt lại ví, khôi phục từ dãy từ, xem số dư có hiện lại không. Rồi mới chuyển phần mình định chuyển.
- Viết một mẩu ghi chú cho người nhà biết cách tìm. Không ghi dãy từ, chỉ ghi nó nằm đâu và thuộc ví nào. Phần dưới nói kỹ hơn.
Những sai lầm làm ví bị rút sạch, và cách tránh
Gõ cụm từ vào trang web để "đồng bộ", "xác thực" hay "nhận thưởng". Không dịch vụ đàng hoàng nào cần cụm từ khôi phục của mình. Trang nào hỏi là trang ăn cắp, trông chuyên nghiệp cỡ nào cũng vậy.
Đưa cho "bộ phận hỗ trợ". Nhân viên hỗ trợ thật không bao giờ hỏi. Trong các nhóm chat, kẻ lừa hay giả làm quản trị viên rồi nhắn riêng ngay sau khi mình đăng câu hỏi.
Mua ví cứng có sẵn thẻ ghi cụm từ trong hộp. Cụm từ đã in sẵn nghĩa là có người khác biết nó. Trả hàng, mua lại từ hãng hoặc đại lý chính thức.
Khôi phục ví trên điện thoại cài đầy app lạ. Mã độc đọc bộ nhớ tạm (clipboard) hoặc màn hình có thể chép được. Buộc phải dùng điện thoại thì chọn máy cập nhật đầy đủ, ít cài linh tinh.
Cất cụm từ chung chỗ với thiết bị. Kẻ giật túi xách được luôn cả chìa lẫn ổ khoá.
Tưởng sàn giữ cụm từ khôi phục giùm mình. Tài sản để trên sàn thì mình có tài khoản, không có cụm từ khôi phục nào cả. Đó là một loại rủi ro khác, được bàn trong các bài về ví.
Giữ bí mật kỹ tới mức không ai tìm ra được nữa. Rất nhiều tài sản mất không phải vì trộm mà vì ốm đau, tai nạn hay qua đời. Bảo mật mà không ai thừa kế được thì vẫn là bảo mật dở dang.
Tính chuyện người nhà mà không giao chìa khoá
Thừa kế là phần gần như ai cũng bỏ qua. Nhiều gia đình Việt biết đại khái vàng cất đâu, sổ đỏ để đâu, sổ tiết kiệm nằm ngăn nào, nhưng hoàn toàn không biết người thân có giữ tài sản số, càng không biết cách lấy ra. Một cái ví không kèm chỉ dẫn thì cũng như không có.
Cách đơn giản là một lá thư dán kín cất cùng giấy tờ quan trọng khác. Thư ghi mình dùng ví nào, đại khái trong đó có gì, bản sao lưu cất ở đâu, cần hỏi ai khi gặp khó về kỹ thuật. Thư không chứa dãy từ. Vợ hoặc chồng, hoặc con đã trưởng thành, biết lá thư đó tồn tại. Có gì thay đổi thì cập nhật lại.
Nếu giá trị đáng kể, nên hỏi luật sư về cách đưa tài sản số vào di chúc theo quy định hiện hành của Việt Nam, vốn vẫn đang hoàn thiện. Hỏi luôn xem có nên nhờ công chứng viên hay một người làm nghề đáng tin giữ lá thư hay không. Mục tiêu là một kế hoạch mà kẻ trộm nhặt được một mảnh cũng chẳng biết thêm gì, còn người nhà có thư và có bản sao lưu thì lấy lại được toàn bộ.
Câu hỏi thường gặp
Mất cụm từ khôi phục nhưng còn điện thoại thì có cứu được không?
Khi app ví còn mở được, hãy chuyển ngay tài sản sang một ví mới có bản sao lưu mới. Nếu điện thoại cũng hỏng nốt thì không gì dựng lại được khoá.
Cụm 24 từ có an toàn hơn 12 từ không?
Cả hai đều vượt xa khả năng dò đoán bằng sức máy hiện nay. Rủi ro thật nằm ở chỗ cất ra sao và ai nhìn thấy, không nằm ở độ dài.
Có nên gửi cụm từ khôi phục vào két sắt ngân hàng?
Có thể dùng làm một trong hai nơi cất, vì nó chống cháy và chống trộm ở nhà. Nhưng cần tìm hiểu người nhà sẽ mở két thế nào nếu mình không còn trực tiếp làm được.
Có người trong nhóm chat nhắn riêng đề nghị sửa ví giúp, có bình thường không?
Đây là một trong những chiêu lừa phổ biến nhất. Đừng chia sẻ màn hình, cụm từ hay tệp nào, và chỉ tìm hỗ trợ qua trang chính thức của ví do mình tự gõ địa chỉ.
Lỡ chụp ảnh cụm từ khôi phục rồi thì làm gì?
Coi như ví đã bị lộ. Tạo ví mới với cụm từ mới chép ra giấy, chuyển tài sản sang, rồi xoá ảnh khỏi điện thoại và mọi bản sao lưu đám mây.
Lỡ mất tiền vì trang ví giả thì báo ai?
Trình báo công an kèm ảnh chụp và thông tin giao dịch, và báo ngay ngân hàng nếu có dính thẻ hay chuyển khoản ngân hàng. Lấy lại được là hiếm, nhưng trình báo giúp ích cho việc điều tra.
