Bảo Mật Tài Khoản Binance: 2FA, Chống Lừa Đảo và Danh Sách Trắng

1. Xác thực hai lớp

Hãy bật bằng ứng dụng xác thực thay vì SMS.

Mã SMS được gửi tới một số điện thoại, và số điện thoại thì chuyển được. Tấn công đổi SIM — thuyết phục nhà mạng chuyển số của bạn sang thiết bị của kẻ tấn công — là kỹ thuật tiêu chuẩn nhắm vào tài khoản tiền mã hóa, vì phần thưởng xứng với công sức.

Ứng dụng xác thực tạo mã ngay trên thiết bị. Không có gì để chặn giữa đường và không có nhà mạng nào để thao túng. Khóa bảo mật phần cứng còn mạnh hơn nữa ở nơi hỗ trợ.

1. Cài ứng dụng xác thực trên thiết bị bạn kiểm soát và sẽ giữ lại.
2. Bật xác thực hai lớp dạng ứng dụng trong phần cài đặt bảo mật của Binance.
3. Lưu mã khôi phục ngoại tuyến — viết ra giấy là được, để chung trình quản lý mật khẩu với mật khẩu thì không.
4. Nếu 2FA qua SMS đang bật, hãy tắt sau khi phương thức ứng dụng đã hoạt động.
5. Kiểm tra một lần bằng cách đăng xuất rồi đăng nhập lại, trước khi nạp bất cứ khoản nào.

Mất quyền truy cập ứng dụng xác thực mà không có mã khôi phục nghĩa là quy trình khôi phục bằng xác minh danh tính kéo dài nhiều ngày. Hãy ghi mã ngay lúc bật, đừng để sau.

2. Mã chống lừa đảo

Đây là thiết lập có giá trị cao nhất so với công sức bỏ ra, và phần lớn người dùng chưa từng nghe tới.

Bạn chọn một cụm từ ngắn, và Binance chèn nó vào mọi email thật họ gửi cho bạn. Email lừa đảo — thứ sao chép thiết kế của Binance chính xác tới mức thường không thể phân biệt bằng cách khác — không thể chứa cụm từ đó, vì người gửi không biết nó.

Từ đó trở đi, email không có cụm từ của bạn là email giả, bất kể trông thuyết phục đến đâu. Đó là bước kiểm tra mất một giây, mỗi lần, không cần suy xét.

3. Danh sách trắng địa chỉ rút tiền

Đây là thiết lập quyết định kịch bản tệ nhất sẽ tệ tới đâu.

Khi bật danh sách trắng, tiền chỉ có thể rút tới các địa chỉ bạn đã duyệt trước, và thêm địa chỉ mới sẽ kích hoạt thời gian chờ trước khi dùng được. Kẻ tấn công có mật khẩu, phiên đăng nhập và thậm chí mã xác thực hai lớp của bạn vẫn không thể chuyển tiền ngay tới địa chỉ của họ — và độ trễ đó chính là khoảng thời gian bạn phát hiện và hành động.

Không có nó, một tài khoản bị chiếm sẽ bị rút sạch trong một giao dịch tới địa chỉ bạn chưa từng thấy, và giao dịch đó không thể đảo ngược.

• Bật danh sách trắng trước lần rút đầu tiên, không phải sau.
• Chỉ thêm địa chỉ bạn kiểm soát và sẽ dùng lại.
• Hãy chờ độ trễ bảo mật khi thêm địa chỉ mới — độ trễ đó chính là tính năng.
• Rà soát danh sách định kỳ và bỏ các địa chỉ không còn dùng.
• Kết hợp với xác thực hai lớp: hai thứ này che gần hết mọi kiểu tấn công thực tế.

4. Vệ sinh phiên và thiết bị

Phần cài đặt bảo mật của Binance liệt kê mọi thiết bị và phiên đang hoạt động. Hãy đọc danh sách đó một lần, rồi thỉnh thoảng xem lại.

Bất cứ thứ gì bạn không nhận ra nên bị kết thúc ngay, sau đó đổi mật khẩu và đặt lại xác thực hai lớp. Phiên tồn tại lâu hơn nhiều so với người ta tưởng, và một phiên cũ trên thiết bị bạn đã bán hoặc làm mất là một thông tin đăng nhập còn sống.

Cùng mục đó quản lý khóa API. Nếu bạn chưa từng tạo khóa API, danh sách phải trống — một khóa bạn không tạo là phát hiện nghiêm trọng nhất có thể, vì khóa có thể giao dịch mà không kích hoạt cảnh báo đăng nhập.

Nếu bạn tạo khóa API cho bot hoặc ứng dụng theo dõi danh mục, hãy chỉ cấp quyền thực sự cần, ràng buộc theo địa chỉ IP và không bao giờ bật quyền rút tiền.

Tài khoản thực sự bị chiếm ra sao

Hiểu các con đường phổ biến khiến những thiết lập trên bớt trừu tượng.

Lừa đảo qua trang giả là con đường chủ đạo. Một email hoặc quảng cáo thuyết phục dẫn tới trang đăng nhập không phải Binance, bạn nhập thông tin và mã xác thực, kẻ tấn công chuyển tiếp cả hai tới trang thật trong thời gian mã còn hiệu lực. Mã chống lừa đảo hạ gục phiên bản email của chiêu này; đánh dấu trang thật và không bao giờ đi từ liên kết sẽ xử lý phần còn lại.

Hỗ trợ giả đứng thứ hai. Không ai từ Binance sẽ nhắn cho bạn trước trên Telegram, Discord hay WhatsApp. Cuộc trò chuyện hỗ trợ bắt đầu từ bên trong ứng dụng, do bạn khởi xướng.

Phê duyệt độc hại và mã độc bộ nhớ tạm liên quan tới ví tự quản nhiều hơn tài khoản sàn, nhưng thói quen bảo vệ bạn — kiểm tra ký tự đầu và cuối của mọi địa chỉ bạn dán — đáng có ở mọi nơi.

Đổi SIM nhắm riêng vào 2FA qua SMS, đó là lý do phần đầu tiên viết như vậy.

Điều không thiết lập bảo mật nào bảo vệ được

Nói rõ giới hạn cũng quan trọng như bản thân danh sách kiểm tra.

Không thiết lập nào bảo vệ bạn khỏi quyết định giao dịch của chính mình, khỏi việc vị thế đòn bẩy bị thanh lý, hay khỏi việc một tài sản mất giá. Đó không phải sự cố bảo mật và không cấu hình nào ngăn được.

Chúng cũng không thay đổi thực tế cơ bản rằng tài sản trên bất kỳ sàn nào đều do sàn đó nắm giữ. Với số tiền bạn định giữ dài hạn, tự quản trong ví mà bạn giữ khóa là một hồ sơ rủi ro khác — với các kiểu hỏng riêng, chủ yếu là mất vĩnh viễn và không thể khôi phục cụm từ hạt giống.

Danh sách kiểm tra mười phút

Theo thứ tự, trước lần nạp đầu tiên.

1. Bật xác thực hai lớp dạng ứng dụng và lưu mã khôi phục ngoại tuyến.
2. Đặt mã chống lừa đảo.
3. Bật danh sách trắng địa chỉ rút tiền.
4. Rà soát phiên, thiết bị và khóa API đang hoạt động; kết thúc mọi thứ không quen thuộc.
5. Đánh dấu tên miền Binance thật và từ nay chỉ dùng dấu trang đó.
6. Thử nạp và rút một khoản nhỏ để xác nhận toàn bộ luồng hoạt động khi rủi ro còn thấp.