Có một cách hiểu sai phổ biến về self-custody: "muốn làm cho đúng, bạn cần một hardware wallet air-gapped đặt trong két sắt, lý tưởng là với passphrase chỉ nhập trên một laptop có lồng Faraday, mua bằng tiền mặt". Đó là một mô hình. Không phải mô hình duy nhất, và với hầu hết người dùng đó là mô hình sai — quá nhiều ma sát so với mức đe dọa thực, khiến họ không bao giờ thiết lập xong, và quỹ vẫn nằm trên sàn.
Đây là bài thứ năm trong loạt Self-Custody Fundamentals. Bài trước trình bày self-custody thực sự đòi hỏi gì ở bạn qua năm hạng mục công việc. Bài này nói về chính phổ của self-custody — và vì sao câu trả lời đúng cho hầu hết mọi người nằm ở giữa, không phải đầu cold storage.
TL;DR
- Self-custody không phải một thiết lập duy nhất. Nó là một phổ: từ ví nóng di động mà bạn ký cả ngày, đến vault multisig air-gapped hoàn toàn mất 30 phút để mở.
- Điểm đúng trên phổ phụ thuộc vào mô hình mối đe dọa, tần suất giao dịch và số tiền bạn giữ.
- "Cold storage" thường nghĩa là một hardware wallet air-gapped không bao giờ chạm thiết bị có Internet. Cold storage thực sự nặng về vận hành và dành cho lượng tài sản cấp treasury.
- Với hầu hết người dùng, điểm đúng là warm storage — một ví non-custodial trên thiết bị bạn dùng hàng ngày, với khóa chia trên hai thiết bị, không thiết bị nào một mình ký. 2-of-2 của SSP được xây dựng cho điểm này trên đường cong.
- Ví nóng "daily-driver" (một thiết bị, một khóa, di động) phù hợp với tiền tiêu vặt. Đó không phải nơi số dư đáng kể nên ở.
Phổ thực
Self-custody không phải nhị phân. Nó tồn tại trên một continuum đại khái như sau:
1. Custodial. Không phải self-custody. Sàn giữ khóa. Xem bài bảy chế độ hỏng.
2. Ví nóng một khóa. Là self-custody, nhưng toàn bộ bộ khóa trên một thiết bị thường online. MetaMask trên desktop, Phantom trên điện thoại, một Trust Wallet cơ bản. Tiện, ma sát thấp, nhưng cả ví chỉ cách một lỗi hoặc một tiện ích độc hại là bị rút sạch.
3. Ví lạnh một khóa. Một hardware wallet (Ledger, Trezor, Coldcard) ký offline và kết nối ngắn để đẩy giao dịch. Khóa không bao giờ chạm máy nóng. Mạnh hơn nóng, nhưng vẫn điểm hỏng duy nhất trên seed phrase, và đủ ma sát để người dùng ngừng dùng nó cho chi tiêu hàng ngày.
4. Ví nóng multisig. Hai khóa trở lên, nhưng tất cả trên thiết bị quasi-online. 2-of-2 của SSP ở đây — một khóa trên tiện ích trình duyệt, một trên điện thoại. Bắt buộc cả hai chữ ký; không thiết bị nào một mình chuyển tiền. Hai thiết bị là hai bề mặt tấn công khác nhau, nên một thiết bị bị lộ không làm rỗng ví.
5. Multisig có một khóa lạnh. Như 4 nhưng ít nhất một người ký là thiết bị phần cứng offline. Chống tấn công từ xa hơn, ma sát hơn với việc gửi định kỳ.
6. Vault multisig hoàn toàn lạnh. Tất cả người ký offline, thường phân tán vật lý. Cấu hình mà BitGo, Casa hay Unchained Capital bán cho lưu trữ cấp tổ chức. Recovery và ký đều cần nghi thức gặp mặt. Độ trễ vận hành nhiều ngày đến nhiều tuần cho mỗi giao dịch.
Lời khuyên kiểu "dùng cold storage" ngầm là tùy chọn 6. Đó là đúng cho một treasury. Quá đà với một cá nhân giữ 5 chữ số crypto muốn tham gia DeFi đôi khi.
"Cold storage" thực ra nghĩa là gì (và vì sao hầu hết không cần)
Cold storage là cam kết chặt: khóa ký không bao giờ chạm thiết bị có Internet. Không phải laptop tắt WiFi — là laptop chưa từng bật WiFi. Hệ quả:
- Ký air-gapped. Bạn dựng giao dịch trên máy nóng, chuyển (qua mã QR hoặc thẻ microSD) sang thiết bị lạnh, ký ở đó, chuyển giao dịch đã ký quay lại. Mỗi lần gửi là một quy trình.
- Thiết bị tách biệt. Thiết bị lạnh không nên là điện thoại hay laptop của bạn. Một hardware wallet chuyên dụng hoặc một laptop cũ đã wipe nằm trong ngăn kéo.
- An ninh vật lý. Cold storage nằm trong ngăn kéo của căn hộ không khóa thì không thực sự lạnh. Mục đích là khiến tấn công từ xa bất khả thi, nghĩa là tiếp cận vật lý trở thành mối đe dọa — nên nó nằm trong két, hộp ký gửi, hoặc một địa điểm cách xa địa lý.
Đây là mô hình đúng cho một vài tình huống cụ thể:
- Người giữ dài hạn thực sự không định chạm vào quỹ trong nhiều năm.
- Treasury (cá nhân hay doanh nghiệp) với số tiền mà bất kỳ độ trễ vận hành nào cũng chấp nhận được để giảm bề mặt tấn công gần về không.
- Thừa kế hay nắm giữ qua nhiều thế hệ, nơi tối ưu hóa ở thang thập kỷ, không phải ngày.
Còn lại, ma sát của cold storage triệt tiêu lợi ích bảo mật. Mẫu đã giết vô số người dùng: họ mua hardware wallet, thiết lập, rồi (a) bỏ ngăn kéo không dùng vì quy trình phiền, trong khi quỹ vẫn ở sàn chờ "một ngày sẽ chuyển", hoặc (b) mất thiết bị, seed không backup đúng cách vì kỷ luật cold chưa bao giờ được nội hóa.
Một multisig nóng bạn thực sự dùng đánh bại một ví lạnh bạn không dùng.
Warm storage: nơi hầu hết người dùng nên ở
"Warm storage" không phải thuật ngữ chuẩn, nhưng nó nắm được ý đúng: khóa trên thiết bị bạn thực sự dùng, với mô hình bảo mật đủ mạnh để chịu được tấn công thực tế.
Các đặc tính xác định:
- Nhiều khóa, nhiều thiết bị. Việc một thiết bị bị lộ — một tiện ích độc hại, một điện thoại bị trộm mã mở khóa — không được phép rút sạch ví. Mô hình 2-of-2 xử lý điều này trực tiếp.
- Bề mặt tấn công khác nhau cho mỗi khóa. Tiện ích trình duyệt và ứng dụng di động là code khác, OS khác, profile mối đe dọa khác. Kẻ tấn công lộ cả hai cùng lúc đang làm một việc rất đặc thù nhằm vào bạn.
- Ma sát giao dịch thấp. Gửi một giao dịch định kỳ không nên mất 20 phút và một thẻ microSD. Nên là chạm một cái trên mỗi thiết bị — năm giây nỗ lực thêm, không phải năm phút.
- Câu chuyện recovery trung thực. Mất một thiết bị, bạn vẫn khôi phục được nhờ thiết bị còn lại cộng luồng wallet-recovery. Mất toàn bộ seed, bạn gặp rắc rối — nhưng thực hành tốt nhất với seed phrase giải quyết lớp đó.
Với người dùng cá nhân giữ $1k–$100k tương tác DeFi hoặc ký giao dịch hàng tuần, warm storage là câu trả lời đúng. Bạn nhận được cải tiến bảo mật quan trọng — không một sự cố lộ thiết bị nào làm bạn cạn — mà không phải trả thuế air-gap cho mỗi giao dịch.
Khi nào nên thêm cold storage lên trên
Không có quy tắc nói "warm thay vì cold". Với số tiền đủ để biện minh chi phí vận hành, câu trả lời đúng là cả hai: warm cho hoạt động thường ngày và cold cho lớp tiết kiệm.
Phân bổ hợp lý cho người dùng có nắm giữ đáng kể:
- Ví nóng (một thiết lập nhỏ chỉ trên di động): tiền tiêu vặt, tương tác DeFi hàng ngày. Hãy coi số dư ở đây như tiền mặt trong ví — đủ cho hai tuần tới, không phải toàn bộ tiền dành dụm.
- Ví warm (SSP 2-of-2 hoặc multisig tương đương trên thiết bị hàng ngày): tài khoản vận hành. Hàng trăm đến thấp năm chữ số. Nơi đa số giao dịch khởi đầu.
- Ví lạnh (multisig phần cứng air-gapped, hoặc một người ký lạnh đơn): lớp tiết kiệm. Năm chữ số trở lên mà bạn không định chạm trong nhiều tháng hoặc nhiều năm. Quy trình recovery có hồ sơ, trong kế hoạch thừa kế, với một khóa trong hộp ký gửi ngân hàng hoặc nơi gia đình.
Sự phân chia không tùy tiện — đó là cùng logic ngân hàng áp dụng cho tài khoản vãng lai vs. tài khoản tiết kiệm vs. tiền gửi có kỳ hạn. Quỹ dùng tích cực ở trạng thái ấm. Quỹ lưu dài hạn thì lạnh. Mỗi tầng chấp nhận ma sát phù hợp với chân trời của mình.
Với hầu hết người dùng, tầng lạnh chưa tồn tại, vì warm là đủ. Khi số dư tăng, tầng lạnh được thêm vào.
Điều này có ý nghĩa gì với bạn
Ba kết luận:
- Đừng để "cold storage" trở thành lý do bạn ở lại sàn. Một multisig warm bạn thực sự dùng hôm nay an toàn hơn nhiều so với một cấu hình cold bạn sẽ làm tháng sau. Chuyển quỹ trước, tinh chỉnh mô hình sau.
- Khớp thiết lập với mô hình đe dọa, không phải marketing. Nếu mối đe dọa thực tế của bạn là một tiện ích trình duyệt độc hại và một clipboard-replacer — và với gần như mọi người dùng bán lẻ đó là sự thật — một 2-of-2 giữa trình duyệt và di động đánh bại cả hai. Một lồng Faraday trong tầng hầm không cho bạn thêm an toàn trước các mối đe dọa thực.
- Lên kế hoạch nâng tầng tiết kiệm theo thời gian. Khi nắm giữ tăng, câu trả lời đúng có lẽ chuyển từ "tất cả warm" sang "warm + cold". Đừng cố làm cả hai ngay ngày đầu; làm warm cho đúng trước, và thêm tầng lạnh khi số tiền biện minh được chi phí vận hành.
Bài tiếp theo và là bài cuối trong loạt, self-custody checklist for your first $1,000, đi qua các bước cụ thể mà một người mới dùng self-custody nên thực hiện, theo thứ tự — thiết kế cho lượng crypto đầu tiên đáng kể bạn giữ, không phải lượng thứ mười.
