Cập nhật Kiểm tra quy định 2026-10-18
Để bảo mật tài khoản sàn giao dịch, tôi khuyên bạn làm sáu việc sau: chuyển xác thực hai yếu tố (2FA) sang ứng dụng xác thực hoặc Passkey, đặt mã chống lừa đảo, bật danh sách trắng rút tiền, kiểm tra phần quản lý thiết bị và thông báo đăng nhập, không bật quyền rút tiền cho khóa API, và sao lưu khóa của ứng dụng xác thực. Trong 13 sàn Binance, OKX, Bybit, Bitget, MEXC, Gate, BingX, KuCoin, HTX, XT, WEEX, Pionex và Ourbit, phần lớn đặt các tùy chọn này trong menu ảnh đại diện, ở mục “Trung tâm bảo mật” hoặc “Cài đặt bảo mật”.
Nhiều người không để ý rằng chỉ riêng việc thay đổi cài đặt bảo mật cũng đã khóa rút tiền. Trong 13 sàn, có 10 sàn ghi rõ trong hướng dẫn chính thức rằng sau khi thay đổi các cài đặt bảo mật như ứng dụng xác thực, việc rút tiền sẽ bị hạn chế 24 giờ; Binance hạn chế tối đa 48 giờ sau khi đặt lại 2FA, còn Pionex cấm rút tiền 72 giờ sau khi đặt lại Google Authenticator. Vì vậy, hãy cài đặt bảo mật xong vào lúc rảnh, đừng đợi đến khi gấp rút tiền mới đi sửa.
Một điểm khác dễ hiểu nhầm là “danh sách trắng”. Ở OKX, MEXC, HTX và Pionex, danh sách trắng là chế độ hạn chế: khi bật lên, bạn chỉ rút được đến các địa chỉ trong danh sách. Còn ở Gate và Bybit, danh sách trắng thiên về miễn xác minh: rút tiền đến địa chỉ đã thêm vào danh sách thì có thể bỏ qua mã xác minh. Tên giống nhau nhưng tác dụng khác nhau. Bên dưới, tôi tổng hợp hướng dẫn chính thức của từng sàn thành danh sách và bảng so sánh, chỗ nào chính thức không ghi thì tôi đánh dấu thẳng.
Tóm tắt: (1) 2FA nên dùng ứng dụng xác thực hoặc Passkey; Bitget chính thức nhắc rằng xác minh qua SMS có rủi ro bị chiếm đoạt SIM. (2) Passkey xác minh bằng khuôn mặt hoặc vân tay; 12 trong 13 sàn có ghi tính năng này trong hướng dẫn chính thức, trung tâm hỗ trợ của Ourbit thì không ghi rõ. (3) Sau khi đặt, mã chống lừa đảo sẽ xuất hiện trong email chính thức; Binance, Bybit và XT ghi rõ SMS cũng có mã này. “Email chính thức” nào không có mã này thì hãy coi là đáng ngờ. (4) Ở OKX, MEXC và Pionex, danh sách trắng rút tiền đều có cơ chế chờ 24 giờ cho địa chỉ mới; ở HTX, người dùng tự chọn thời điểm có hiệu lực, và muốn tắt danh sách trắng còn phải qua quản trị viên xét duyệt. (5) Từ 2023-01-30, khóa API của Binance không gắn IP chỉ được bật quyền đọc; muốn bật quyền rút tiền thì phải đặt giới hạn IP trước. (6) Hãy sao lưu khóa ngay khi liên kết Google Authenticator; Bybit ghi rõ “cụm từ ghi nhớ” dùng để khôi phục này chỉ hiện một lần và nền tảng cũng không lưu lại.
Thông tin dưới đây được đối chiếu với các trang chính thức vào ngày 2026-10-18 (ngày kiểm tra dữ liệu), dùng để mọi người tham khảo.
Nên chọn loại 2FA nào?
Các sàn thường có bốn loại xác thực hai yếu tố: mã xác minh qua SMS, mã xác minh qua email, ứng dụng xác thực (như Google Authenticator, cứ 30 giây tạo một mã 6 chữ số) và Passkey. Khuyến nghị chính thức của nhiều sàn đều là ưu tiên Passkey hoặc ứng dụng xác thực, SMS xếp sau. Khuyến nghị bảo mật tài khoản của Bitget ghi rõ “đặc biệt khuyến nghị sử dụng Google Authenticator và Passkey”, đồng thời nhắc rằng xác minh qua SMS có thể bị lộ do SIM bị chiếm đoạt (thực hành bảo mật tài khoản tốt nhất của Bitget). Mẹo bảo mật của Binance và XT cũng dùng cùng một câu để khuyên thay xác minh SMS bằng Passkey hoặc ứng dụng xác thực (mẹo bảo mật tài khoản Binance, mẹo bảo mật tài khoản XT).
Rủi ro lớn nhất của ứng dụng xác thực là khi đổi điện thoại. Lúc liên kết, màn hình sẽ hiện một khóa hoặc mã QR, và khóa này phải chép riêng ra để cất giữ. Bybit gọi nó là “cụm từ ghi nhớ”, ghi rõ chỉ hiện một lần lúc liên kết và Bybit không lưu lại (Bybit: cách khôi phục mã Google Authenticator). KuCoin cũng ghi rõ, ai đã lưu khóa thì khi đổi điện thoại chỉ cần nhập khóa trên máy mới là liên kết lại được (hướng dẫn cài đặt Google 2FA của KuCoin). Ngoài ra, ở KuCoin, nhập sai mã Google 5 lần liên tiếp sẽ bị khóa 2 giờ; nếu mã cứ báo sai, trước tiên hãy kiểm tra giờ trên điện thoại đã đặt tự động chưa.
Passkey là gì?
Passkey (khóa truy cập) là phương thức đăng nhập theo chuẩn FIDO, xác minh danh tính bằng nhận diện khuôn mặt, vân tay hoặc khóa màn hình có sẵn trên điện thoại hay máy tính, không cần nhập mật khẩu và mã xác minh. Hướng dẫn của Pionex viết rất rõ: dữ liệu sinh trắc học được lưu cục bộ trên thiết bị, không tải lên máy chủ, nên dù người khác có được tài khoản và mật khẩu, không có điện thoại của bạn thì vẫn không qua được bước xác minh; sau khi bật, rút tiền chỉ cần xác minh sinh trắc học, không phải lần lượt nhập mã email, SMS và Google Authenticator nữa (Pionex: giới thiệu tính năng Passkey).
Trước khi cài đặt, hãy xem điều kiện thiết bị. OKX yêu cầu iOS 16.0.0 trở lên hoặc Android 14.0 trở lên, cũng có thể dùng khóa bảo mật USB hỗ trợ FIDO2 (OKX: cách tạo Passkey (ứng dụng)). HTX ghi rõ iOS 16 hoặc Android 9 trở lên, tạo được tối đa 10 Passkey (HTX: cách tạo Passkey). XT hỗ trợ iCloud Keychain, khóa bảo mật USB hoặc NFC, và cũng có thể quét mã QR để tạo bằng một điện thoại khác (XT: cách tạo Passkey).
Còn vài điểm cần lưu ý. Binance có công tắc “Must verify using passkey” (bắt buộc xác minh bằng Passkey); khi bật, đăng nhập và rút tiền chỉ dùng được Passkey. Binance cảnh báo mất Passkey thì không đăng nhập được, và yêu cầu tắt công tắc này trước khi đổi điện thoại, đổi tài khoản iCloud hoặc cài lại ứng dụng (Binance: tính năng “Must verify using passkey”). Xóa Passkey cũng tính là thay đổi cài đặt bảo mật: OKX hạn chế rút tiền 24 giờ khi bạn đặt lại Passkey, hoặc gỡ Passkey mà không xác minh bằng một Passkey khác; Bybit và KuCoin cũng đưa “gỡ Passkey” vào các trường hợp hạn chế rút tiền 24 giờ. Còn Pionex ghi rõ, khi mở trang web bằng trình duyệt tích hợp trong các ứng dụng như Telegram hay WeChat, Passkey sẽ bị vô hiệu hóa, phải chuyển sang trình duyệt thông thường hoặc ứng dụng chính thức.
Mã chống lừa đảo dùng thế nào?
Mã chống lừa đảo (Anti-Phishing Code) là một chuỗi chữ do bạn tự đặt; sau khi đặt, email chính thức sàn gửi đi sẽ kèm chuỗi này. Khi nhận email tự xưng là của sàn, hãy xem có mã này không trước đã: không có hoặc không đúng thì đừng bấm vào bất kỳ liên kết nào trong đó. Vị trí hiển thị và giới hạn độ dài của mỗi sàn khác nhau:
- Binance: xuất hiện trong email và SMS chính thức, dài 6 đến 8 ký tự, phải có ít nhất ba loại trong số chữ hoa, chữ thường, số và dấu gạch dưới, không được có ký tự đặc biệt. Trên web, đặt ở [Tài khoản] → [Bảo mật] → [Bảo mật nâng cao] (Binance: mã chống lừa đảo là gì, cập nhật 2026-08-28).
- Bitget: xuất hiện ở trang đăng nhập, email và SMS; đặt ở “Trung tâm bảo mật” → “Cài đặt nâng cao” → “Mã chống lừa đảo” (Bitget: cách đặt mã chống lừa đảo).
- MEXC: chỉ ghi rõ là xuất hiện trong email chính thức, dài 1 đến 6 ký tự, không được có ký tự đặc biệt (MEXC: cách đặt mã chống lừa đảo).
- KuCoin: xuất hiện trong email và cửa sổ đăng nhập (giới thiệu bảo mật tài khoản KuCoin).
- XT: cả email và SMS đều có, nhưng hiện chỉ đặt được trên web, ứng dụng thì không (XT: đặt hoặc đổi mã chống lừa đảo).
- BingX: dài 4 đến 20 ký tự, đặt trong phần cài đặt bảo mật nâng cao (hướng dẫn bảo mật tài khoản BingX).
Mã chống lừa đảo chủ yếu dùng để nhận biết email và SMS, không chặn được cuộc gọi của chăm sóc khách hàng giả. Bitget và KuCoin hiển thị mã này ở trang đăng nhập, nên khi đăng nhập mà không thấy mã thì phải nghi ngờ địa chỉ trang web; các sàn khác chỉ hiển thị trong email hoặc SMS, nên nếu bạn bấm vào quảng cáo tìm kiếm rồi vào trang giả, sẽ không có gì để đối chiếu. Vì vậy, ngoài việc đặt mã chống lừa đảo, tốt nhất hãy lưu địa chỉ chính thức thành dấu trang và lần nào cũng vào từ dấu trang.
Cài đặt danh sách trắng rút tiền thế nào?
Danh sách trắng rút tiền (Withdrawal Whitelist) là tuyến phòng thủ cuối cùng khi tài khoản bị đánh cắp: dù kẻ gian đăng nhập được, họ cũng chỉ chuyển được coin đến các địa chỉ bạn đã thêm từ trước. Hướng dẫn của Pionex ghi rõ, sau khi bật danh sách trắng, chỉ rút được đến địa chỉ chỉ định, các địa chỉ khác sẽ bị hệ thống từ chối; địa chỉ mới thêm vào danh sách trắng phải chờ 24 giờ mới dùng được, và ngay cả chuyển nội bộ cũng bị danh sách trắng giới hạn (Pionex: danh sách trắng rút coin là gì).
Thời gian chờ và cách tắt của mỗi sàn khác nhau rất nhiều:
- OKX: trong ứng dụng, vào “Tài sản” → “Rút tiền” → “Sổ địa chỉ” → “Cài đặt địa chỉ” và bật “Chế độ danh sách cho phép” (Allowlist). “Khóa rút tiền đến địa chỉ mới” là tính năng tùy chọn; khi bật, trong 24 giờ không rút được đến địa chỉ mới thêm (OKX: cách dùng danh sách cho phép rút tiền (ứng dụng)).
- MEXC: sau khi bật “Giới hạn bảo mật danh sách trắng”, địa chỉ mới thêm phải chờ 24 giờ; bật rồi tắt đi thì cũng phải chờ 24 giờ mới rút được (MEXC: cách thiết lập cài đặt rút tiền).
- HTX: khi bật phải tự chọn thời điểm có hiệu lực, ví dụ chọn “có hiệu lực sau 3 ngày” thì địa chỉ mới phải chờ 3 ngày tự nhiên. Rút ngắn thời gian có hiệu lực hoặc tắt danh sách trắng đều phải qua quản trị viên nền tảng xét duyệt, chính thức ghi rõ cần “từ vài phút đến vài ngày” (HTX: hướng dẫn danh sách trắng địa chỉ rút coin (ứng dụng)).
- Binance: sau khi bật chỉ rút được đến địa chỉ trong danh sách trắng; sửa danh sách trắng (kể cả thêm địa chỉ) có thể tạm dừng rút tiền 24, 48 hoặc 72 giờ (Binance: quản lý cài đặt rút tiền).
- Bybit: “Danh sách trắng địa chỉ rút tiền” là miễn xác minh; ngoài ra còn hai công tắc “Chỉ rút đến địa chỉ trong sổ địa chỉ” và “Giới hạn rút tiền đến địa chỉ mới”, tắt công tắc sau thì trong 24 giờ sẽ bị hạn chế rút tiền (Bybit: cách quản lý bảo mật rút tiền).
- Gate: địa chỉ trong danh sách trắng sau khi tích “Miễn xác minh” thì lúc rút không cần nhập mã SMS, email, Google Authenticator và mật khẩu quỹ nữa; mỗi mạng phải cài đặt riêng (Gate: cách cài đặt danh sách trắng địa chỉ rút tiền trên ứng dụng).
Địa chỉ miễn xác minh của Gate và Bybit rất tiện, nhưng cần hiểu cái giá phải đánh đổi: khi tài khoản bị đánh cắp, rút đến các địa chỉ này không cần mã xác minh. Nếu danh sách trắng của bạn chỉ có ví lạnh của chính bạn hoặc địa chỉ nạp tiền ở một sàn khác thì rủi ro không lớn; nhưng đừng đặt địa chỉ không rõ nguồn gốc thành miễn xác minh. Muốn giới hạn phạm vi rút tiền thì ở Bybit, công tắc cần bật là “Chỉ rút đến địa chỉ trong sổ địa chỉ”. Trước khi rút cũng phải kiểm tra đã chọn đúng mạng; cách xử lý khi chọn sai mạng xem ở nạp nhầm mạng thì cứu thế nào.
Quản lý thiết bị và thông báo đăng nhập cần xem gì?
Danh sách thiết bị đã đăng nhập cần xem định kỳ, thấy thiết bị lạ thì đăng xuất ngay. Ở OKX, đường dẫn là “Trung tâm bảo mật” → “Quản lý thiết bị”, và cùng bản hướng dẫn đó cũng khuyên vào “Quản lý ủy quyền” để thu hồi các ứng dụng bên thứ ba không còn dùng (OKX: hướng dẫn nâng cao bảo mật tài khoản). Trên ứng dụng Pionex, vào ảnh đại diện → “Cài đặt bảo mật” → “Thiết bị đã đăng nhập”; trên web là “Bảo mật tài khoản” → “Quản lý thiết bị đăng nhập” (Pionex: cảnh báo đăng nhập bất thường).
Thông báo đăng nhập không nhất thiết có nghĩa là bị đánh cắp tài khoản. Pionex ghi rõ, hễ phát hiện IP mới hoặc thiết bị mới là sẽ gửi cảnh báo, đổi Wi-Fi hay bật VPN đều có thể kích hoạt; vị trí IP hiển thị phụ thuộc vào nhà cung cấp mạng, khác với thành phố bạn đang ở cũng là bình thường. Điều thật sự cần để ý là: vào thời điểm có thông báo bạn hoàn toàn không thao tác gì, hoặc kiểu thiết bị bạn không nhận ra. Lúc đó Pionex khuyên lần lượt đổi mật khẩu đăng nhập, liên kết lại Google Authenticator, kiểm tra email đăng ký có an toàn không, và khi cần thì liên hệ bộ phận hỗ trợ để đóng băng chức năng rút tiền trước.
Bitget còn có giới hạn riêng cho thiết bị mới: sau khi thiết bị mới đăng nhập thành công, chức năng thanh toán và rút tiền trên thiết bị đó bị hạn chế 1 giờ, không ảnh hưởng các thiết bị đã dùng trước đây (Bitget: vì sao rút tiền bị hạn chế). BingX có tính năng “Khóa tài khoản” một chạm, khi phát hiện đăng nhập, rút tiền hoặc thay đổi cài đặt bảo mật không phải do bạn thực hiện thì có thể khóa ngay (BingX: mã chống lừa đảo, danh sách trắng rút tiền và khóa tài khoản). Tài khoản bị khóa hoặc bị đóng băng thì gỡ thế nào, xem tài khoản sàn bị đóng băng phải làm sao.
Phân quyền khóa API thế nào mới an toàn?
Khóa API cho phép công cụ ghi sổ, bot giao dịch hoặc nền tảng copy trade thao tác trực tiếp trên tài khoản của bạn mà không cần đăng nhập. Trong hướng dẫn về tài khoản bị xâm nhập, Pionex ghi rõ khi khóa API bị lộ, đối phương không cần đăng nhập vẫn đặt lệnh được, thậm chí rút tiền (Pionex: tài khoản bị xâm nhập phải làm sao). Quy định chính thức của một số sàn:
| Sàn | Quy định chính thức | Nguồn |
|---|---|---|
| Binance | Bật quyền rút tiền thì bắt buộc phải thêm giới hạn truy cập IP; từ 2023-01-30, khóa không giới hạn IP chỉ được bật quyền đọc | Cách tạo khóa API trên Binance (cập nhật 2025-03-20) |
| OKX | Khóa chưa gắn IP mà có quyền giao dịch hoặc rút tiền sẽ tự động bị xóa nếu 14 ngày không hoạt động; mỗi khóa gắn tối đa 20 IP | Câu hỏi thường gặp về API (cập nhật 2026-09-28) |
| XT | Khóa mới mặc định chỉ có quyền truy vấn; khuyến nghị gắn IP; mỗi người tối đa 10 khóa, khóa bí mật chỉ hiện một lần | Cách tạo khóa API (cập nhật 2026-08-01) |
| HTX | Danh sách trắng rút coin chỉ giới hạn ứng dụng và web; người dùng API không bị danh sách trắng giới hạn, vẫn rút đến địa chỉ do API định nghĩa | Hướng dẫn danh sách trắng địa chỉ rút coin (Web) (2025-11-14) |
Nguồn dữ liệu: trung tâm hỗ trợ chính thức của từng sàn trong bảng trên, kiểm tra ngày 2026-10-18.
Điều đáng chú ý nhất là quy định của HTX: danh sách trắng chặn được kẻ trộm tài khoản, nhưng không chặn được khóa API bị lộ. Cách làm an toàn hơn là: khóa cấp cho công cụ bên thứ ba thì tuyệt đối không bật quyền rút tiền, gắn được IP thì gắn, khóa không dùng nữa thì xóa luôn. Cách đánh giá khi nền tảng copy trade hay bot yêu cầu API, xem cách nhận biết lừa đảo copy trade.
Bảng so sánh tính năng bảo mật của 13 sàn
Trong bảng dưới đây, “khóa rút tiền” là thời gian tạm dừng rút tiền mà sàn ghi rõ trong tài liệu chính thức sau khi thay đổi cài đặt bảo mật. Điều kiện kích hoạt của mỗi sàn không hoàn toàn giống nhau, chi tiết xem trang nguồn.
| Sàn | Loại 2FA | Passkey | Mã chống lừa đảo | Danh sách trắng rút tiền | Khóa rút tiền sau khi đổi cài đặt |
|---|---|---|---|---|---|
| Binance | Passkey, ứng dụng xác thực, SMS, email | Có, có thể bật “Must verify using passkey” | Có, email và SMS | Chế độ hạn chế, sửa đổi có thể tạm dừng 24/48/72 giờ | Tối đa 48 giờ sau khi đặt lại 2FA hoặc đổi ứng dụng xác thực (nguồn) |
| OKX | SMS, email, ứng dụng xác thực, Passkey | Có, dùng được khóa bảo mật USB FIDO2 | Có, email | Chế độ danh sách cho phép, khóa địa chỉ mới 24 giờ (tùy chọn) | 24 giờ sau khi đổi mật khẩu đăng nhập hoặc phương thức xác minh (nguồn) |
| Bybit | Email, SMS, Google Authenticator, Passkey | Có | Có, email và SMS | Danh sách trắng là miễn xác minh; ngoài ra có chỉ rút đến sổ địa chỉ và khóa rút tiền đến địa chỉ mới | 24 giờ sau 9 loại thao tác như đổi mật khẩu, số điện thoại, email, Google Authenticator, mật khẩu quỹ hoặc gỡ Passkey (nguồn) |
| Bitget | SMS, Google Authenticator, Passkey | Có, phải liên kết Google Authenticator trước | Có, email, SMS, trang đăng nhập | Có | 24 giờ sau khi đặt lại mật khẩu, mật khẩu quỹ, Google Authenticator hoặc đổi email, số điện thoại (nguồn) |
| MEXC | Google Authenticator, SMS, email, Passkey | Có | Có, email | Chế độ hạn chế, địa chỉ mới chờ 24 giờ | Cấm rút tiền và chuyển khoản 24 giờ sau khi hủy liên kết Google Authenticator (nguồn) |
| Gate | SMS, Google Authenticator, email, Passkey | Có, phải bật hai phương thức xác minh trước | Có, email | Địa chỉ miễn xác minh, mỗi mạng cài đặt riêng | 24 giờ sau khi liên kết hoặc hủy liên kết số điện thoại, Google Authenticator, email, đặt lại mật khẩu đăng nhập hoặc mật khẩu quỹ, không thể gỡ sớm (nguồn) |
| BingX | Số điện thoại, email, Google Authenticator | Có, chính thức ghi rõ hiện dùng để đăng nhập | Có, email | Chế độ hạn chế | 24 giờ sau khi gỡ hoặc thay đổi mục bảo mật (nguồn) |
| KuCoin | Số điện thoại, email, xác minh Google, Passkey | Có | Có, email và cửa sổ đăng nhập | Có, rút đến danh sách trắng chỉ cần mật khẩu giao dịch | 24 giờ sau 7 trường hợp như xóa Passkey, đổi xác minh Google, mật khẩu giao dịch, số điện thoại, email (nguồn) |
| HTX | Số điện thoại, email, Google Authenticator, Passkey | Có, tối đa 10 | Có (trang cài đặt), vị trí hiển thị chính thức không ghi rõ | Chế độ hạn chế, tự chọn thời điểm có hiệu lực, tắt cần xét duyệt | 24 giờ sau khi sửa mục cài đặt bảo mật trong Trung tâm bảo mật (nguồn) |
| XT | Xác minh Google, SMS, email, Passkey | Có, dùng được khóa bảo mật USB/NFC | Có, email và SMS, chỉ đặt được trên web | Chính thức không ghi rõ | Sau khi đổi hoặc hủy liên kết xác minh, rút coin và bán C2C bị hạn chế 24 giờ (nguồn) |
| WEEX | Số điện thoại, email, Google Authenticator, Passkey | Có, dùng được khóa bảo mật phần cứng | Có, email | Quản lý địa chỉ, thêm địa chỉ mới cần xác nhận qua email | Chính thức không ghi rõ |
| Pionex | Email, SMS, Google Authenticator, Passkey | Có | Chính thức không ghi rõ | Chế độ hạn chế, địa chỉ mới chờ 24 giờ | 72 giờ sau khi đặt lại Google Authenticator (nguồn) |
| Ourbit | Google Authenticator, email | Chính thức không ghi rõ | Có, email | Chính thức không ghi rõ | 24 giờ sau khi đặt lại mã Google Authenticator (nguồn) |
Nguồn dữ liệu: trung tâm hỗ trợ chính thức và trang cài đặt bảo mật của từng sàn, kiểm tra ngày 2026-10-18. WEEX dựa trên trang cài đặt bảo mật chính thức và hướng dẫn bảo mật tài khoản; mã chống lừa đảo của Ourbit dựa trên hướng dẫn xác minh chính thức; danh sách trắng của Bitget dựa trên hướng dẫn bảo mật tài khoản nâng cao.
Từ bảng trên có thể tính ra trường hợp xấu nhất phải chờ bao lâu. Lấy ví dụ đặt lại Google Authenticator bị mất: Binance xét duyệt tối đa 24 giờ, sau khi đặt lại thì rút tiền còn bị hạn chế thêm tối đa 48 giờ, tổng cộng tối đa 72 giờ; Pionex xét duyệt xong trong vòng 72 giờ, sau khi đặt lại còn cấm rút tiền thêm 72 giờ, tổng cộng tối đa 144 giờ, tức là 6 ngày; OKX hạn chế 24 giờ sau khi đặt lại. Với danh sách trắng HTX, nếu chọn “có hiệu lực sau 3 ngày” thì mỗi lần thêm một địa chỉ mới phải chờ 72 giờ. Trước khi đổi điện thoại, ra nước ngoài hay định chuyển coin, tốt nhất hãy chừa ra một tuần.
Đổi điện thoại hoặc mất 2FA thì làm sao?
Khi điện thoại cũ vẫn còn trong tay, hãy xử lý xong rồi mới đổi máy: dùng khóa đã sao lưu để liên kết lại ứng dụng xác thực trên điện thoại mới, hoặc vào Trung tâm bảo mật dùng mã xác minh cũ để “đổi” ứng dụng xác thực. Ai đã bật “Must verify using passkey” của Binance thì phải tắt trước khi đổi máy. Pionex ghi rõ, chỉ cần điện thoại mới đăng nhập cùng Apple ID hoặc tài khoản Google, Passkey sẽ tự động đồng bộ; nếu đồng bộ xong mà không dùng được thì xóa Passkey cũ rồi tạo lại.
Nếu đã mất ứng dụng xác thực thì làm theo quy trình tự đặt lại của từng sàn. Lối vào thường nằm ở trang xác minh khi đăng nhập:
| Sàn | Lối vào đặt lại | Cần chuẩn bị | Thời gian xét duyệt | Hạn chế rút tiền sau khi đặt lại |
|---|---|---|---|---|
| Binance | Ở trang xác minh chọn “Xác minh bảo mật không khả dụng?” → tích các mục không dùng được → “Xác nhận đặt lại” | Các phương thức xác minh khác vẫn dùng được, khi cần thì điền số điện thoại hoặc email mới | Tối đa 24 giờ | Tối đa 48 giờ, gồm cả bán C2C và chuyển khoản nội bộ |
| OKX | “Dùng phương thức xác minh khác” → “Đặt lại xác minh hai bước” | Nếu đang đăng nhập thì phải hoàn tất xác thực khuôn mặt | Chính thức không ghi rõ | 24 giờ, gồm cả bán coin C2C |
| Bybit | “Xác minh bảo mật không khả dụng” → “Xác minh Google không khả dụng” | Mã xác minh gửi đến email hoặc số điện thoại đăng ký; không nhận được thì gửi yêu cầu thủ công | Yêu cầu thủ công: liên hệ trong vòng 1 đến 3 ngày làm việc | 24 giờ, gồm cả P2P |
| MEXC | Ứng dụng: “Đặt lại xác minh bảo mật” / web: “Mất mục bảo mật” | Mã xác minh email, số điện thoại liên hệ, ảnh cầm giấy tờ tùy thân, trả lời ngày đăng nhập, khu vực, cặp giao dịch, tài sản | 1 ngày làm việc | Cấm rút tiền và chuyển khoản 24 giờ |
| XT | “Mục xác minh bảo mật không khả dụng” → “Xác nhận đặt lại” | Ảnh cầm giấy tờ tùy thân và tờ giấy viết tay, kèm video lịch sử rút tiền ở nền tảng khác (trong vòng 50MB) | Chính thức không ghi rõ, kết quả thông báo qua email | 24 giờ, gồm cả bán P2P |
| Pionex | Trang đăng nhập “Mất mục xác minh bảo mật?” → “Bắt đầu đặt lại” | Tháng năm đăng ký, biệt danh, các cặp giao dịch từng chạy bot | Trong vòng 72 giờ | 72 giờ |
Nguồn dữ liệu: Binance (cập nhật 2026-06-03), OKX (cập nhật 2026-08-25), Bybit (cập nhật 2025-11-25), MEXC, XT (cập nhật 2026-10-06), Pionex, kiểm tra ngày 2026-10-18.
Ở KuCoin, lối vào là “Forgot password” → “Google Authenticator unavailable” ở trang đăng nhập, sau khi đặt lại thì 24 giờ không rút được tiền. Quy trình đặt lại của OKX, MEXC và XT sẽ yêu cầu xác thực khuôn mặt hoặc ảnh cầm giấy tờ, nên tốt nhất hãy hoàn tất xác minh danh tính từ trước; quy trình của từng sàn xem các bài hướng dẫn KYC như xác minh danh tính Binance, xác minh danh tính OKX. Khi bộ phận hỗ trợ hỏi số tài khoản, chỉ cần đưa UID; UID là gì xem UID của sàn giao dịch là gì.
Các thủ đoạn đánh cắp tài khoản thường gặp là gì?
- Quảng cáo tìm kiếm và trang web giả: mẹo bảo mật của XT ghi rõ, đừng bấm vào liên kết trong quảng cáo tìm kiếm, bình luận trên mạng xã hội hay tin nhắn lạ, chỉ vào từ trang chính thức hoặc kho ứng dụng chính thức. Trang giả sẽ sao chép y nguyên trang đăng nhập để lừa bạn nhập mật khẩu và mã xác minh.
- Chăm sóc khách hàng giả và điều khiển từ xa: kẻ gian tự xưng là nhân viên hỗ trợ, bảo bạn cài các phần mềm như TeamViewer, AnyDesk để “hỗ trợ xử lý tài khoản”. Pionex ghi rõ bộ phận hỗ trợ tuyệt đối không yêu cầu cài phần mềm truy cập từ xa; nếu đã làm theo thì phải coi thiết bị đã bị xâm nhập.
- Chiếm đoạt SIM: kẻ gian mạo danh bạn để làm lại SIM, nhận mã xác minh SMS của bạn. Bitget và WEEX đều dựa vào lý do này để khuyên dùng ứng dụng xác thực thay cho SMS.
- Ứng dụng không chính thức: Pionex xếp việc tải APK từ nguồn không chính thức vào một trong những nguyên nhân bị xâm nhập phổ biến nhất.
- Đòi mã xác minh: HTX ghi rõ phía chính thức tuyệt đối không đòi mật khẩu, mã xác minh SMS hay email, hoặc mã Google Authenticator (HTX: cách tăng cường bảo mật tài khoản), XT cũng ghi rõ không đòi mật khẩu, khóa riêng tư hay mã 2FA. Ai bảo bạn đọc mã xác minh, chụp màn hình hoặc chia sẻ màn hình thì đều là lừa đảo.
Muốn xác nhận cuộc gọi, email hay địa chỉ web có phải của sàn không, có thể tra bằng công cụ xác minh chính thức của từng sàn, ví dụ XT và Ourbit đều có kênh xác minh chính thức. Nếu ở Đài Loan mà gặp cuộc gọi hoặc tin nhắn đáng ngờ, có thể gọi đường dây chống lừa đảo 165 (165 反詐騙專線) để xác minh. Các thủ đoạn khác được tổng hợp trong các kiểu lừa đảo sàn giao dịch thường gặp, còn trường hợp bị yêu cầu trả phí trước mới rút được tiền thì xem lừa đảo rút tiền ở sàn giả.
Nhận hoàn phí cũng không cần giao bất kỳ thông tin xác minh nào. Với các sàn bạn đăng ký bằng mã giới thiệu của trang này, hoàn phí do sàn tự động trả dựa trên quan hệ giới thiệu. Ví dụ, với mã giới thiệu Binance KEVINWU, hoàn phí tự động từ sàn hiện là 20% (cập nhật ngày 2026-10-23); các sàn được tổng hợp trong tổng hợp mã giới thiệu sàn giao dịch. Bybit không có hoàn phí tự động từ sàn áp dụng cho trang này, nên phải liên kết UID qua Fee Otter; khoản hoàn phí bổ sung này do Fee Otter trả, không phải sàn, cũng không phải Kevin Wu, tỷ lệ theo trang của Fee Otter, chi tiết xem hoàn phí giao dịch Bybit: Fee Otter. Trang hoàn phí nào đòi bạn cung cấp mật khẩu, mã xác minh hoặc khóa API thì đừng đưa; các dấu hiệu cảnh báo được tổng hợp trong dấu hiệu cảnh báo lừa đảo hoàn phí.
Câu hỏi thường gặp
2FA của sàn dùng SMS hay Google Authenticator an toàn hơn?
Ứng dụng xác thực như Google Authenticator an toàn hơn SMS, còn Passkey thì tốt hơn nữa. Bitget chính thức nhắc rằng xác minh SMS có thể bị lộ do SIM bị chiếm đoạt, Binance và XT cũng khuyên thay SMS bằng Passkey hoặc ứng dụng xác thực. Khi dùng ứng dụng xác thực, hãy sao lưu khóa ngay lúc liên kết.
Mã chống lừa đảo xuất hiện ở đâu?
Mã chống lừa đảo chủ yếu xuất hiện trong email chính thức do sàn gửi. Binance, Bybit và XT ghi rõ SMS cũng có mã này, Bitget còn hiển thị ở trang đăng nhập, KuCoin hiển thị ở cửa sổ đăng nhập. MEXC chỉ ghi rõ là xuất hiện trong email. Nhận được “email chính thức” không có mã chống lừa đảo thì đừng bấm vào liên kết trong đó.
Vì sao đổi cài đặt bảo mật xong lại không rút tiền được?
Đây là cơ chế bảo vệ của sàn, để chủ tài khoản thật có thời gian xử lý khi tài khoản bị đánh cắp. 10 sàn như OKX, Bybit, Gate, KuCoin ghi rõ là 24 giờ; Binance tối đa 48 giờ sau khi đặt lại 2FA, Pionex 72 giờ sau khi đặt lại Google Authenticator. Gate ghi rõ giới hạn này không thể gỡ sớm, chỉ có thể chờ hết thời gian.
Danh sách trắng rút tiền và sổ địa chỉ khác nhau thế nào?
Sổ địa chỉ chỉ lưu các địa chỉ hay dùng, không giới hạn bạn rút đến đâu; còn khi bật danh sách trắng thì chỉ rút được đến các địa chỉ trong danh sách. Pionex tách hai mục này thành hai tab. Cần lưu ý danh sách trắng của Gate và Bybit thiên về miễn xác minh, rút đến địa chỉ trong danh sách thì có thể bỏ qua mã xác minh; ở Bybit, muốn giới hạn phạm vi rút tiền thì phải bật “Chỉ rút đến địa chỉ trong sổ địa chỉ”.
Trước khi đổi điện thoại cần làm gì?
Trước khi đổi điện thoại, hãy chuyển ứng dụng xác thực sang máy mới trước, rồi mới xử lý Passkey. Có khóa sao lưu thì nhập khóa trên máy mới để liên kết lại; không có sao lưu thì khi điện thoại cũ còn dùng được, vào Trung tâm bảo mật để “đổi” ứng dụng xác thực. Ai đã bật “Must verify using passkey” của Binance thì Binance yêu cầu tắt trước khi đổi máy, nếu không có thể sẽ không đăng nhập được.
Mất Google Authenticator thì bao lâu mới rút tiền lại được?
Tùy sàn: OKX hạn chế 24 giờ sau khi đặt lại, Binance tối đa 72 giờ, Pionex tối đa 6 ngày. Thời gian xét duyệt của OKX chính thức không ghi rõ. Binance xét duyệt tối đa 24 giờ, cộng thêm hạn chế rút tiền tối đa 48 giờ sau khi đặt lại; Pionex xét duyệt trong vòng 72 giờ, sau khi đặt lại còn cấm rút tiền thêm 72 giờ. MEXC xét duyệt 1 ngày làm việc, sau đó cấm rút tiền 24 giờ.
Đưa khóa API cho bot hoặc công cụ ghi sổ có an toàn không?
Chỉ bật quyền đọc hoặc giao dịch, không bật quyền rút tiền, và gắn IP thì rủi ro mới kiểm soát được. Binance quy định muốn bật quyền rút tiền phải đặt giới hạn IP, OKX sẽ tự động xóa các khóa có quyền giao dịch hoặc rút tiền chưa gắn IP và 14 ngày không dùng. Danh sách trắng rút coin của HTX không giới hạn rút tiền qua API, nên càng không được tùy tiện bật quyền rút tiền.
Mất Passkey thì phải làm sao?
Khi mất Passkey, hãy đăng nhập bằng phương thức xác minh khác đã liên kết, rồi xóa Passkey cũ và tạo lại. Pionex ghi rõ ở trang xác minh có thể chọn “Xác minh bằng cách khác”, khi xóa thì hoàn tất xác minh bảo mật bằng các phương thức tài khoản đã liên kết. Sau khi xóa, OKX, Bybit và KuCoin sẽ hạn chế rút tiền 24 giờ; ai đã bật “Must verify using passkey” của Binance thì phải đi theo quy trình đặt lại 2FA.
Khi tài khoản có dấu hiệu bất thường, bị hạn chế hoặc bị đóng băng, cách xử lý xem tài khoản sàn bị đóng băng phải làm sao; lịch sử bị hack của chính các sàn được tổng hợp trong lịch sử an toàn của các sàn giao dịch. Điều khoản và quy tắc tiền về trước khi rút xem giải thích điều khoản nạp rút, so sánh phí rút USDT của các sàn xem so sánh phí rút USDT.