Read 2026-09-08 · four exchange APIs · rebuilt daily

Những sai lầm khi sao lưu cụm từ khôi phục có thể phá hủy vĩnh viễn khóa riêng tư

Bốn sai lầm phổ biến khi sao lưu cụm từ khôi phục chiếm gần như toàn bộ tổn thất tài sản tự quản lý vĩnh viễn. Một cụm từ khôi phục tạo ra mọi khóa riêng tư một cách xác định, có nghĩa là một lần rò rỉ hoặc mất mát duy nhất sẽ phá hủy quyền truy cập tài khoản mà không có cách khắc phục.

Sự bất khả thi về mặt toán học của việc khôi phục cụm từ khôi phục

Một cụm từ khôi phục BIP-39 ánh xạ 12 hoặc 24 từ được chọn từ một từ điển tiêu chuẩn hóa gồm 2.048 từ thành một số nguyên 128 bit hoặc 256 bit. Số nguyên đó đóng vai trò là hạt giống entropy cho một cây khóa mật mã xác định. Thông qua hàm băm HMAC-SHA512 và phép nhân đường cong elliptic secp256k1, hạt giống tạo ra các cặp khóa công khai và khóa riêng tư.

Không có lớp quản trị nào tồn tại phía trên toán học. Các tài khoản tài chính truyền thống dựa vào cơ sở dữ liệu tập trung, nơi quản trị viên hệ thống có thể ghi đè các mục nhập để khôi phục quyền truy cập. Blockchain xác thực giao dịch chỉ bằng cách xác minh chữ ký mật mã so với khóa công khai.

Nếu khóa riêng tư được tạo ra từ cụm từ khôi phục bị mất, việc tính toán nó đòi hỏi phải tìm kiếm một không gian entropy là 2 mũ 256. Với năng lực tính toán thế giới hiện tại, việc tìm kiếm không gian này mất hàng tỷ năm.

CẢNH BÁO: Nhập cụm từ khôi phục 12 từ vào ví phần mềm trên thiết bị kết nối internet sẽ làm lộ entropy thô cho bộ nhớ tiến trình, nơi các tiện ích mở rộng trình duyệt và phần mềm độc hại đọc dữ liệu clipboard.

Bốn sai lầm nghiêm trọng khi sao lưu cụm từ khôi phục

Các lỗi tự quản lý bắt nguồn từ các lỗi vận hành có thể dự đoán được thay vì các lỗ hổng mật mã.

Đầu tiên, chụp ảnh cụm từ khôi phục và lưu trữ nó trên bộ nhớ đám mây sẽ làm lộ văn bản cho các bot nhận dạng ký tự quang học (OCR) tự động. Các nhà cung cấp đám mây tự động lập chỉ mục hình ảnh. Các token API bị xâm phạm hoặc rò rỉ thông tin đăng nhập cho phép kẻ tấn công quét siêu dữ liệu hình ảnh để tìm các kết quả khớp với danh sách từ BIP-39.

Thứ hai, nhập một cụm từ vào bất kỳ trang web hoặc biểu mẫu trên máy tính nào sẽ làm lộ khóa cho các keylogger và các tập lệnh web độc hại. Các trang lừa đảo sao chép các yếu tố giao diện từ các tiện ích mở rộng ví phổ biến. Sau khi nhập, các payload script sẽ gửi các từ đến máy chủ từ xa trong mili giây.

Thứ ba, dựa vào trí nhớ cho một cụm mật khẩu BIP-39 tùy chọn tạo ra một điểm thất bại nhận thức duy nhất. Một cụm mật khẩu hoạt động như một từ bổ sung, băm hạt giống thành một bộ khóa chính hoàn toàn khác. Quên cụm mật khẩu hoặc gõ sai một ký tự duy nhất sẽ chuyển đường dẫn tạo khóa sang một địa chỉ ví trống mà không hiển thị thông báo lỗi.

Thứ tư, lưu trữ một bản sao lưu giấy duy nhất tại một tòa nhà vật lý sẽ khiến quỹ gặp nguy cơ bị hủy hoại bởi môi trường. Hỏa hoạn đạt nhiệt độ trên 600 độ C, đốt cháy giấy và làm tan chảy các tấm lưu trữ bằng nhôm.

THỰC HIỆN: Khắc các từ khôi phục lên các tấm thép không gỉ loại 304 hoặc 316 bằng cách sử dụng con dấu chữ cái và lưu trữ các bản sao dự phòng ở các vị trí vật lý riêng biệt.

Nhận hoàn 20% phí trên MEXC →Hoàn 20% phí giao dịch trên mọi sản phẩm. Khoản hoàn này lấy từ hoa hồng lẽ ra tôi nhận, nên bạn không mất thêm gì. Liên kết tiếp thị — xem chân trang.

Thay đổi mô hình mối đe dọa dưới sự bảo mật phần cứng

Ví phần cứng về cơ bản thay đổi việc cô lập khóa bằng cách giới hạn khóa riêng tư trong chip Secure Element chuyên dụng. Thiết bị tạo entropy cục bộ bằng trình tạo số ngẫu nhiên vật lý. Khóa riêng tư không bao giờ vượt qua giao diện USB hoặc Bluetooth vào bộ nhớ máy tính chủ.

Khi thực hiện giao dịch hoặc ký tin nhắn off-chain, máy tính chủ sẽ gửi tải trọng giao dịch chưa ký đến thiết bị phần cứng. Thiết bị phân tích các tham số giao dịch, hiển thị chúng trên màn hình cô lập và ký tải trọng bên trong bằng khóa riêng tư. Chỉ chữ ký mật mã đã hoàn thành mới được trả về cho máy chủ.

Nếu hệ điều hành máy chủ chứa keylogger hoặc phần mềm độc hại đang hoạt động, kẻ tấn công chỉ thấy giao dịch đã ký được phát sóng. Chúng không thể trích xuất khóa riêng tư cơ bản hoặc sửa đổi địa chỉ người nhận mà không bị lỗi xác minh chữ ký trên chuỗi.

LƯU Ý: Ví phần cứng không bảo vệ tài sản nếu cụm từ khôi phục ban đầu được tạo trên ví phần mềm trước, hoặc nếu người dùng nhập cụm từ khôi phục vào bàn phím trong quá trình khôi phục thiết bị.

So sánh chi phí lưu trữ ngoài sàn giao dịch và chi phí giữ tài sản tại sàn

Các nhà giao dịch chuyển tài sản thế chấp ra khỏi sàn giao dịch sang hình thức tự quản lý sẽ tránh được rủi ro tín dụng của sàn giao dịch, nhưng đảm nhận hoàn toàn trách nhiệm về bảo mật vận hành khóa riêng tư. Các vị thế đang hoạt động được giữ trên các venue perpetual sẽ chịu phí funding và phí giao dịch liên tục, quyết định hiệu quả nắm giữ cùng với các lựa chọn bảo mật.

Giữ vị thế long trên Bybit mang lại phí funding âm -0.0084% mỗi 8 giờ đối với SOL, có nghĩa là các vị thế short trả cho các vị thế long. Trên Bitget, giữ cùng một vị thế long SOL sẽ tốn +0.0064% mỗi 8 giờ. Mexc tính phí maker bằng 0% cho các giao dịch futures, trong khi Bybit tính phí 0.00055% cho các lệnh taker.

Đọc tiếp