Hai giờ sáng, điện thoại rung liên tục. Tôi mở mắt, nhìn màn hình, và thấy một con số khiến tôi tỉnh hẳn: 24,04 BTC đã chảy vào một địa chỉ lạ. Khoảng 1,6 triệu USD. Chỉ trong 80 giao dịch. Đây không phải lệnh của tôi. Đây là máu của một người dùng Trezor vừa bị hút sạch.
Cùng lúc đó, trên GitHub của BTCPay Server, một bản vá khẩn cấp được đẩy lên. Phiên bản 2.4.2. Kèm theo cảnh báo: lỗ hổng đang bị khai thác tích cực. Không phải lỗ hổng giả thuyết. Không phải cảnh báo phòng ngừa. Kẻ tấn công đã ở trong hệ thống, và họ đang rút tiền từ các máy chủ thanh toán của các thương gia Bitcoin trên toàn cầu.
Tôi ngồi thẳng dậy. Trong 24 giờ, hai mắt xích quan trọng nhất của hệ sinh thái tự quản lý - phần cứng ví và phần mềm thanh toán trung gian - đồng loạt gãy.
Và điều đáng sợ nhất? Không ai trong hai trường hợp này đụng đến giao thức Bitcoin.
Cắt lỗ. Chốt lời. Sống sót. Đó là ba quy tắc tôi học được sau khi mất 40% vốn trong DeFi Summer 2020. Nhưng tối nay, tôi học thêm một quy tắc mới: Người dùng không bao giờ là lớp bảo mật cuối cùng. Họ là lớp bảo mật yếu nhất.
Bối cảnh: Hai sự kiện, một kịch bản chung
Hãy nói rõ về những gì đã xảy ra. Không phải một vụ. Là hai vụ. Trong cùng một khoảng thời gian.
Vụ thứ nhất: Trezor, một trong những thương hiệu ví phần cứng lâu đời nhất, bị tấn công qua Google Ads. Kẻ xấu tạo ra một trang web giả mạo trên Google Sites - một nền tảng thuộc sở hữu của Google - và trả tiền để quảng cáo trang đó lên đầu kết quả tìm kiếm. Người dùng tìm kiếm "Trezor wallet" thấy trang quảng cáo này, nhấp vào, nhìn thấy giao diện y hệt trang chính thức, và được yêu cầu nhập cụm từ khôi phục (recovery seed).
Chỉ cần 12 từ. Chỉ cần một lần nhập sai chỗ. Toàn bộ số dư biến mất.
Thông tin từ bài đăng của nạn nhân trên X cho thấy trang giả mạo được hiển thị ngay phía trên trang web chính thức của nhà sản xuất ví. Nạn nhân cho biết đã mất toàn bộ tiền tiết kiệm cả đời. Dữ liệu on-chain xác nhận: địa chỉ được gắn nhãn nhận 24,04 BTC qua 80 giao dịch, trị giá khoảng 1,6 triệu USD. Đây mới chỉ là số tiền mà các nhà phân tích có thể gắn nhãn. Con số thực tế có thể cao hơn nhiều.
Trezor xác nhận đã nội bộ nâng cấp vụ việc và báo cáo trang web giả mạo để yêu cầu gỡ xuống. Nhưng đến thời điểm bài viết này, Google vẫn chưa giải thích làm thế nào quảng cáo lừa đảo này vượt qua quy trình kiểm duyệt của họ.
Vụ thứ hai: BTCPay Server, nền tảng thanh toán Bitcoin mã nguồn mở phổ biến nhất dành cho thương gia, phát hiện một lỗ hổng bảo mật nghiêm trọng đang bị khai thác tích cực. Lỗ hổng được báo cáo bởi Bitcoin Red Team - một nhóm an ninh tình nguyện độc lập. Bản vá khẩn cấp được phát hành cho phiên bản 2.4.2, nhưng kèm theo đó là một yêu cầu đặc biệt nặng nề với người vận hành.
Không chỉ đơn giản là nâng cấp phần mềm.
Người vận hành phải thực hiện bốn bước: (1) nâng cấp BTCPay Server lên 2.4.2 hoặc tắt máy chủ, (2) làm mới toàn bộ macaroons - các chứng thực xác thực được sử dụng trong Lightning Network và hệ thống thanh toán, (3) chuyển tất cả quỹ từ ví nóng được tạo trong BTCPay sang ví mới, và (4) nâng cấp NBXplorer lên phiên bản 2.6.10 - trình lập chỉ mục nhẹ chịu trách nhiệm theo dõi trạng thái thanh toán.
Bốn bước. Mỗi bước đều có thể làm sai. Mỗi bước đều có thể khiến kẻ tấn công tiếp tục rút tiền hoặc khiến thương gia mất dữ liệu thanh toán vĩnh viễn.
Bạn có thấy sự trớ trêu không? Trezor - biểu tượng của sự an toàn phần cứng tuyệt đối - bị đánh bại bởi một trang web giả mạo trên Google Sites. BTCPay Server - biểu tượng của sự tự do tài chính phi tập trung - bị đánh bại bởi chính sự phức tạp trong vận hành của nó.
Tôi đã từng viết trong bài phân tích về DeFi Summer 2020 rằng không có lợi nhuận nào là miễn phí. Bây giờ tôi phải viết thêm: không có sự an toàn nào là miễn phí. Tự quản lý không miễn phí. Nó đòi hỏi kỷ luật, kiến thức kỹ thuật, và một sự hiểu biết tỉ mỉ về các lớp tấn công mà hầu hết người dùng không có.
Core: Khi "phần cứng an toàn tuyệt đối" trở thành điểm mù
Hãy đào sâu vào kỹ thuật. Bởi vì nếu bạn hiểu chính xác cách tấn công diễn ra, bạn sẽ không bao giờ mắc sai lầm tương tự.
Trường hợp Trezor: Không có lỗ hổng nào trong thiết bị phần cứng. Không có mã độc trong firmware. Chip bảo mật vẫn hoạt động hoàn hảo. Không có ai "hack" được Trezor theo nghĩa kỹ thuật.
Vậy tại sao 24 BTC biến mất?
Bởi vì mô hình bảo mật của ví phần cứng có một ranh giới: thiết bị chỉ ký các giao dịch. Nó không bao giờ được tiết lộ cụm từ khôi phục. Giả định cơ bản là: ngay cả khi máy tính của bạn bị nhiễm phần mềm độc hại, cụm từ khôi phục không bao giờ rời khỏi thiết bị.
Nhưng giả định đó chỉ đúng khi người dùng hiểu ranh giới đó. Và đây chính là điểm mù chết người.
Kẻ tấn công không cố gắng hack thiết bị. Chúng hack nhận thức của người dùng. Chúng tạo ra một trang web trông giống hệt trang web chính thức. Chúng trả tiền để trang web đó xuất hiện ở vị trí đầu tiên trên Google. Người dùng - vốn được dạy rằng "phần cứng của bạn an toàn" - nghĩ rằng nếu họ truy cập trang web chính thức thông qua Google, họ đang an toàn.
Họ quên mất rằng Google không phải là cơ quan chứng thực. Quảng cáo không phải là kết quả tìm kiếm tự nhiên. Và cụm từ khôi phục không bao giờ được nhập vào bất kỳ trang web nào - bất kể trang web đó trông có chính thống đến đâu.
Một khi cụm từ khôi phục được nhập vào trang web giả mạo, toàn bộ mô hình bảo mật của ví phần cứng sụp đổ. Thiết bị vẫn an toàn. Nhưng khóa riêng tư của bạn thì không. Và khóa riêng tư mới là thứ kiểm soát tiền của bạn.
Điều này dẫn đến một hiểu biết quan trọng: ví phần cứng không bảo vệ bạn khỏi chính bạn. Nó chỉ bảo vệ bạn khỏi phần mềm độc hại trên máy tính của bạn, miễn là bạn không bao giờ nhập cụm từ khôi phục vào nơi khác ngoài thiết bị.
Trường hợp BTCPay Server: Đây là một câu chuyện hoàn toàn khác. Đây không phải lừa đảo. Đây là một lỗ hổng phần mềm thực sự, trong một hệ thống mã nguồn mở, đang bị khai thác trên thực tế.
Bản vá 2.4.2 được phát hành gấp, nhưng điều đáng chú ý là hướng dẫn sau vá: làm mới macaroons, di chuyển ví nóng, nâng cấp NBXplorer. Điều này cho thấy lỗ hổng có thể nằm ở đâu đó trong chuỗi tương tác giữa BTCPay Server, NBXplorer và Lightning Network.
Macaroons là một loại chứng thực linh hoạt hơn API key truyền thống. Chúng cho phép ủy quyền chi tiết - ví dụ, một macaroon có thể chỉ được phép xem trạng thái thanh toán nhưng không được phép tạo giao dịch. Nhưng nếu lỗ hổng cho phép kẻ tấn công trích xuất hoặc giả mạo macaroons, chúng có thể chiếm quyền điều khiển hoàn toàn nút Lightning và ví nóng của thương gia.
Yêu cầu "chuyển tất cả quỹ từ ví nóng được tạo trong BTCPay" là dấu hiệu rõ ràng nhất: kẻ tấn công có thể có khả năng truy cập vào các khóa riêng tư của ví nóng. Không thể chỉ vá lỗi phần mềm - vì nếu khóa đã bị lộ, việc vá lỗi cũng vô nghĩa. Bạn phải tạo ví mới và chuyển tiền đi.
Đây là một sự khác biệt quan trọng mà nhiều người không nhận ra: vá lỗi phần mềm không phải là giải pháp. Di chuyển quỹ mới là giải pháp.
Cộng với việc nâng cấp NBXplorer lên 2.6.10, bức tranh trở nên rõ ràng hơn: lỗ hổng có thể liên quan đến cách BTCPay Server giao tiếp với NBXplorer để lập chỉ mục và theo dõi các giao dịch. Nếu một kẻ tấn công có thể thao túng hoặc giả mạo dữ liệu từ NBXplorer, chúng có thể khiến thương gia tin rằng thanh toán đã được xác nhận trong khi thực tế không phải vậy - hoặc tệ hơn, đánh cắp chính các khóa riêng tư trong quá trình tương tác.
Tôi đã vận hành các nút và thử nghiệm với BTCPay Server trong nhiều năm. Một trong những điều tôi luôn nói với các khách hàng doanh nghiệp của mình: mã nguồn mở không đồng nghĩa với an toàn. Nó có nghĩa là mã nguồn có thể được kiểm tra. Nhưng việc mã nguồn có được kiểm tra hay không là một câu chuyện hoàn toàn khác. Và việc bản vá có được cài đặt kịp thời hay không là một câu chuyện còn khác hơn nữa.
Hãy thành thật: có bao nhiêu thương gia vận hành BTCPay Server có một kỹ sư bảo mật toàn thời gian? Có bao nhiêu người trong số họ đọc GitHub Releases thường xuyên? Có bao nhiêu người có thể thực hiện bốn bước vá lỗi và di chuyển ví một cách chính xác trong vòng 24 giờ?
Tôi cá rằng con số đó rất thấp.
Trong khi đó, kẻ tấn công không cần ngủ. Chúng không cần bảo trì. Chúng quét internet để tìm các máy chủ BTCPay Server chưa được vá và khai thác chúng theo cách tự động.
Đây là một cuộc chiến không cân sức.
Và đó là lý do tại sao tôi gọi đây là sự thay đổi chiến trường: các cuộc tấn công không còn nhắm vào giao thức Bitcoin - thứ gần như bất khả xâm phạm. Chúng nhắm vào các lớp xung quanh: nhận thức của người dùng, phần mềm trung gian, quy trình vận hành.
Trong thế giới tài chính truyền thống, bạn có thể gọi điện cho ngân hàng và khiếu nại nếu bị lừa. Trong thế giới tự quản lý, không có ai để gọi. Không có bảo hiểm. Không có cơ quan bồi thường. Chỉ có bạn, cụm từ khôi phục của bạn, và một bài học đắt giá.
Tôi từng mất tiền trong vụ sụp đổ EOS ICO năm 2017. Không phải vì bị hack - mà vì tin vào một whitepaper. Tôi từng mất 40% vốn trong DeFi Summer 2020 vì impermanent loss. Từng bị thanh lý vì không đặt stop-loss khi BTC giảm từ 45.000 USD xuống 20.000 USD. Những vết thương đó dạy tôi một bài học: rủi ro không bao giờ đến từ nơi bạn nhìn thấy. Nó luôn đến từ nơi bạn không nhìn.
Cộng đồng tự quản lý đã dành nhiều năm để nói về chữ ký số, về chip bảo mật, về kiến trúc phần cứng. Trong khi đó, kẻ tấn công chỉ cần làm một điều đơn giản: hỏi người dùng cụm từ khôi phục của họ.
Và nạn nhân đã trả lời.
Không phải vì họ ngu ngốc. Mà vì họ không được huấn luyện để nhận ra rằng cụm từ khôi phục không bao giờ được nhập vào bất kỳ trang web nào - không bao giờ, trong bất kỳ trường hợp nào.
Hãy để tôi nói rõ điều này bằng một phép so sánh từ mật mã học: ngay cả thuật toán mã hóa mạnh nhất thế giới cũng trở nên vô dụng nếu người dùng viết mật khẩu lên một tờ giấy dán trên màn hình. Điểm yếu không nằm trong thuật toán. Điểm yếu nằm trong hành vi của con người.
And that's precisely why các cuộc tấn công này sẽ không dừng lại. Chúng sẽ chỉ ngày càng tinh vi hơn.
Câu hỏi đặt ra không phải là "Trezor có an toàn không?" hay "BTCPay Server có an toàn không?". Câu hỏi đặt ra là: bạn có đủ kỷ luật để vận hành an toàn trong một môi trường mà mỗi ngày, hàng ngàn kẻ tấn công đang tìm cách lừa bạn?
Nếu câu trả lời là không - và tôi dám cá rằng với hầu hết mọi người, câu trả lời là không - thì bạn cần các lớp bảo vệ bổ sung.
Contrarian: Tự quản lý là một đặc quyền, không phải một quyền
Bây giờ, hãy để tôi nói một điều phản trực giác: hai sự kiện này không phải là thất bại của Bitcoin. Chúng là thành công của một mô hình thị trường đang trưởng thành.
Nghe có vẻ điên rồ? Hãy để tôi giải thích.
Mỗi khi một lớp tấn công mới bị phơi bày, hệ sinh thái sẽ phát triển một lớp phòng thủ mới. Đây là cách các hệ thống tài chính trưởng thành. Năm 2017, chúng ta học về rủi ro sàn giao dịch tập trung khi Mt. Gox sụp đổ. Năm 2020, chúng ta học về impermanent loss khi Uniswap trở nên phổ biến. Năm 2022, chúng ta học về rủi ro thanh khoản khi FTX sụp đổ.
Và bây giờ, năm 2025, chúng ta học về một sự thật khó chịu: ví phần cứng không phải là tấm vé vàng đến sự an toàn tuyệt đối. Chúng chỉ là một lớp trong một hệ thống phòng thủ nhiều lớp.
Điều này có nghĩa là trong dài hạn, chúng ta sẽ thấy một số xu hướng mới:
Thứ nhất: Sự trỗi dậy của các giải pháp đa chữ ký và MPC (Multi-Party Computation). Nếu một cụm từ khôi phục duy nhất có thể bị đánh cắp, giải pháp là không có một cụm từ khôi phục duy nhất. Thay vào đó, khóa riêng tư được chia thành nhiều phần, mỗi phần nằm trên một thiết bị khác nhau, và giao dịch chỉ được thực hiện khi đủ số lượng chữ ký theo yêu cầu.
Thứ hai: Sự phát triển của các dịch vụ bảo hiểm cho tài sản tự quản lý. Khi người dùng nhận ra rằng tự quản lý có rủi ro, họ sẽ tìm kiếm các giải pháp bảo hiểm. Thị trường này mới chỉ ở giai đoạn sơ khai, nhưng hai sự kiện này có thể là chất xúc tác cần thiết.
Thứ ba: Sự chuyển dịch từ "tự vận hành mọi thứ" sang "thuê chuyên gia vận hành". BTCPay Server vẫn sẽ tồn tại, nhưng ngày càng có nhiều thương gia sẽ chọn các dịch vụ BTCPay được quản lý bởi bên thứ ba có đội ngũ bảo mật chuyên nghiệp. Điều này nghe có vẻ phản bội tinh thần tự quản lý, nhưng nó thực tế.
Hãy nhìn vào thị trường Ethereum: hầu hết người dùng không tự vận hành nút Ethereum. Họ sử dụng Infura hoặc Alchemy. Họ tin tưởng các nhà cung cấp dịch vụ hạ tầng. Bitcoin có thể sẽ đi theo hướng tương tự - không phải vì Bitcoin yếu đi, mà vì sự tiện lợi và an toàn vận hành đòi hỏi điều đó.
Nhưng đây là góc nhìn phản trực giác: sự phụ thuộc ngày càng tăng vào các nhà cung cấp dịch vụ tập trung này chính là rủi ro mà chúng ta cần theo dõi.
Trong DeFi, tôi đã học được một bài học đắt giá: APY cao từ liquidity mining thường là dự án bù đắp cho TVL. Khi incentive dừng lại, người dùng biến mất. Tương tự, khi bạn chuyển từ tự quản lý sang dịch vụ quản lý, bạn đang đánh đổi sự kiểm soát để lấy sự tiện lợi. Đó có thể là một giao dịch tốt - nhưng bạn cần hiểu rõ những gì mình đang đánh đổi.
Hãy nhìn vào USDC - ví dụ điển hình của sự đánh đổi. Circle có thể đóng băng bất kỳ địa chỉ nào trong 24 giờ. Điều này khiến USDC trở thành một công cụ tuyệt vời cho thanh toán hợp pháp, nhưng nó cũng là một lời nhắc nhở: bạn không bao giờ thực sự kiểm soát USDC nếu Circle quyết định không cho bạn kiểm soát.
Vậy câu hỏi là: bạn sẵn sàng đánh đổi bao nhiêu sự kiểm soát để có được sự an toàn?
Với hầu hết mọi người, câu trả lời nên là: nhiều hơn những gì họ hiện đang làm.
Điểm mù lớn nhất của cộng đồng tự quản lý là họ coi việc tự quản lý như một vấn đề đạo đức, không phải một vấn đề kỹ thuật. Họ nói "không phải khóa của bạn, không phải tiền của bạn" như một câu thần chú. Nhưng họ quên mất rằng việc giữ khóa của bạn cũng có nghĩa là bạn phải chịu trách nhiệm bảo vệ nó - và hầu hết mọi người không có kỹ năng để làm điều đó.
Có một sự khác biệt giữa sở hữu tiền và bảo vệ tiền. Bạn có thể sở hữu tiền của mình hoàn toàn về mặt pháp lý, nhưng nếu bạn không thể bảo vệ nó, bạn sẽ mất nó.
Đây là lý do tại sao tôi tin rằng các giải pháp lai sẽ trở thành xu hướng chủ đạo: giữ một phần tài sản trong ví phần cứng với các biện pháp bảo vệ bổ sung, một phần trong các dịch vụ lưu ký có bảo hiểm, và một phần trong các hợp đồng thông minh đa chữ ký. Không có một giải pháp nào là hoàn hảo, nhưng sự đa dạng hóa là lớp bảo vệ tốt nhất.
Nói về điều này, tôi nhớ lại trải nghiệm quản lý quỹ 5 triệu USD cho một ngân hàng Kenya vào năm 2025. Quy tắc của tôi rất đơn giản: chỉ dùng AAVE cho lending, chỉ đầu tư vào USDC và DAI với mục tiêu 8% APY, và luôn có một kế hoạch thoát hiểm được chuẩn bị sẵn. Khi stablecoin mất peg, tôi lập tức tất toán vì tuân thủ quy tắc. Đồng nghiệp của tôi lưỡng lự, tự hỏi liệu đây có phải là cơ hội mua vào. Tôi cắt lỗ ngay lập tức và giảm thiệt hại 90% so với họ.
Bài học: kỷ luật không phải là điều bạn áp dụng khi mọi thứ ổn định. Kỷ luật là điều bạn áp dụng khi mọi thứ sụp đổ.
Và nếu bạn không có kỷ luật, bạn cần các công cụ giúp bạn thực thi kỷ luật một cách tự động.
Takeaway: Bạn không thể vá lỗi sự thiếu hiểu biết
Hãy để tôi kết thúc bằng một ghi chú hành động. Không phải là những lời khuyên chung chung. Là những bước cụ thể.
Nếu bạn là người dùng ví phần cứng:
- Không bao giờ nhập cụm từ khôi phục vào bất kỳ trang web nào. Không bao giờ. Không có ngoại lệ. Nếu một trang web yêu cầu bạn nhập cụm từ khôi phục, đó là một trang web lừa đảo. Kể cả khi trang đó xuất hiện ở vị trí đầu tiên trên Google. Kể cả khi trang đó có logo chính thức. Kể cả khi trang đó có chứng chỉ SSL.
- Sử dụng dấu trang (bookmark) thủ công để truy cập vào trang web chính thức của ví. Không tìm kiếm trên Google. Không nhấp vào quảng cáo. Không nhấp vào liên kết từ email hoặc mạng xã hội.
- Hãy coi bất kỳ yêu cầu nào về cụm từ khôi phục là một dấu hiệu cảnh báo nguy hiểm. Nếu ai đó - kể cả nhân viên hỗ trợ tự xưng là từ Trezor - yêu cầu cụm từ khôi phục của bạn, hãy kết thúc cuộc trò chuyện ngay lập tức. Không ai hợp pháp sẽ yêu cầu cụm từ khôi phục của bạn. Không bao giờ.
Nếu bạn vận hành BTCPay Server:
- Nâng cấp lên 2.4.2 ngay lập tức. Nếu bạn không thể nâng cấp ngay bây giờ, hãy tắt máy chủ. Ngay lập tức. Một máy chủ bị tắt còn an toàn hơn một máy chủ bị xâm nhập.
- Sau khi nâng cấp, hãy làm mới toàn bộ macaroons. Đừng chỉ làm mới một số. Làm mới tất cả.
- Chuyển tất cả quỹ từ ví nóng sang ví mới. Ví nóng cũ phải được coi là đã bị xâm nhập - ngay cả khi bạn không thấy bằng chứng.
- Nâng cấp NBXplorer lên 2.6.10.
- Và quan trọng nhất: hãy xem lại quy trình vận hành của bạn. Nếu bạn không có một quy trình cập nhật bảo mật thường xuyên, hãy tạo ra nó ngay bây giờ. Nếu bạn không có một người chịu trách nhiệm về bảo mật, hãy thuê một người. Nếu bạn không đủ khả năng thuê một người, hãy cân nhắc sử dụng một dịch vụ quản lý.
Tôi biết rằng việc nói "thuê người" nghe có vẻ không phù hợp với tinh thần tự quản lý. Nhưng hãy đối mặt với sự thật: bạn không thể tự quản lý thứ gì đó mà bạn không hiểu. Và nếu bạn không hiểu BTCPay Server đủ sâu để vá lỗi đúng cách, bạn đang tự đặt mình vào rủi ro.
Trong bối cảnh thị trường đi ngang hiện tại, khi không có nhiều biến động giá, rủi ro lớn nhất không đến từ thị trường. Nó đến từ các lỗ hổng bảo mật mà bạn không biết, từ các cuộc tấn công tinh vi mà bạn không nhận ra, và từ những giả định an toàn sai lầm mà bạn không bao giờ đặt câu hỏi.
Hãy nhìn vào số liệu: trong tháng 1, ngành công nghiệp tiền điện tử đã mất khoảng 400,3 triệu USD do trộm cắp, trong đó có một vụ tấn công phishing chiếm hơn 70%. Đây không phải là những con số nhỏ. Và chúng đang tăng lên.
Trong 7 ngày qua, tôi đã thấy hai sự kiện lớn - một cuộc tấn công phishing vào Trezor và một lỗ hổng bảo mật trong BTCPay Server. Cả hai đều nhắm vào cùng một điểm yếu: sự tin tưởng của con người vào các hệ thống mà họ cho là an toàn.
Sự thật là: giao thức Bitcoin vẫn an toàn. Mã hóa vẫn hoạt động. Nhưng trận chiến thực sự không diễn ra trong giao thức. Nó diễn ra giữa tai của bạn.
Khi bạn nhìn thấy một quảng cáo trên Google, bạn có tin vào nó không? Khi bạn nhận được một email từ "Trezor", bạn có nhấp vào liên kết không? Khi một trang web yêu cầu cụm từ khôi phục, bạn có dừng lại và tự hỏi tại sao không?
Trong thế giới tự quản lý, câu hỏi quan trọng nhất không phải là "khóa của bạn có an toàn không". Câu hỏi quan trọng nhất là "bạn có đủ vũ trang để tự bảo vệ mình không".
Và nếu câu trả lời là không, thì có lẽ tự quản lý không dành cho bạn - ít nhất là chưa phải lúc này.
Không có gì đáng xấu hổ trong việc thừa nhận điều đó.
Điều đáng xấu hổ là mất tất cả vì bạn không dám thừa nhận.
Tôi sẽ nói điều này một lần nữa, như thể nó là một câu thần chú: không có lý thuyết nào thay thế được brute force test. Và trong bảo mật, brute force test có nghĩa là: mỗi ngày, bạn sống sót qua một ngày mà không mất tiền. Đó là chiến thắng.
Còn bây giờ, hãy hành động. Đừng đợi đến sáng. Đừng đợi đến cuối tuần. Nếu bạn vận hành BTCPay Server, hãy tắt nó ngay bây giờ và bắt đầu quy trình vá lỗi. Nếu bạn sử dụng ví phần cứng, hãy xem lại thói quen của bạn và chắc chắn rằng bạn không bao giờ nhập cụm từ khôi phục vào bất kỳ đâu ngoài thiết bị.
Ba bước hành động khẩn cấp:
Bước một: Ngắt kết nối cuộn cảm. Nếu bạn đang vận hành BTCPay Server, hãy tắt máy chủ và đánh giá mức độ thiệt hại trước khi làm bất cứ điều gì khác.
Bước hai: Cập nhật. Nâng cấp BTCPay Server lên 2.4.2, NBXplorer lên 2.6.10, làm mới macaroons, di chuyển ví nóng.
Bước ba: Giáo dục lại chính mình. Dành 30 phút để đọc về cách hoạt động của phishing, về cách nhận biết các trang web giả mạo, và về các quy tắc bảo vệ cụm từ khôi phục. Nếu bạn có người thân sử dụng ví tiền điện tử, hãy chia sẻ bài viết này với họ.
Bạn không thể ngăn chặn tất cả các cuộc tấn công. Nhưng bạn có thể làm cho mình trở thành một mục tiêu khó khăn hơn.
Và trong thế giới tự quản lý, đó là tất cả những gì bạn có thể làm.
Hãy để tôi kết thúc bằng một câu hỏi tu từ - câu hỏi mà mọi người tự quản lý nên tự hỏi mình mỗi ngày:
Ngày hôm nay, bạn đã làm gì để bảo vệ tiền của mình khỏi chính mình?