An toàn seed phrase: seed phrase là gì và cách bảo vệ
Seed phrase (cụm từ khôi phục) là danh sách 12, 20 hoặc 24 từ có thể tái tạo mọi khóa trong ví của bạn. Ai nhìn thấy nó đều có thể lấy tiền của bạn, vì vậy hãy chép ra giấy hoặc kim loại, giữ ngoại tuyến và riêng tư, và đừng bao giờ nhập nó vào website hay đưa cho bất kỳ ai, kể cả bộ phận hỗ trợ.
Seed phrase là gì?
Seed phrase mã hóa một số ngẫu nhiên rất lớn thành các từ mà con người đọc được. Ví của bạn suy ra mọi khóa riêng tư (private key) và địa chỉ từ đó, cho mọi mạng mà ví hỗ trợ. Hầu hết các ví dùng chuẩn BIP39, chọn từ trong một danh sách cố định gồm 2.048 từ tiếng Anh. Khôi phục cùng cụm từ đó trong một ví tương thích thì các địa chỉ và số dư y hệt sẽ xuất hiện.
Những tên gọi khác cho cùng một thứ: cụm từ khôi phục (recovery phrase), mnemonic, cụm từ khôi phục bí mật (MetaMask), cụm từ sao lưu, 24 từ (Ledger).
12 hay 24 từ (và 20 từ)
| Định dạng | Mức bảo mật | Mặc định trên (ví dụ) |
|---|---|---|
| BIP39 12 từ | 128-bit | Hầu hết ví phần mềm, ví dụ MetaMask, Trust Wallet, Phantom |
| BIP39 24 từ | 256-bit | Thiết bị Ledger, Trezor Model One |
| SLIP-39 20 từ (một phần chia) | 128-bit; các từ thêm lưu siêu dữ liệu và checksum | Trezor Safe 3 (từ tháng 6/2024), Safe 5, Safe 7 |
Hướng dẫn của chính Trezor gọi tất cả các định dạng này là "cực kỳ an toàn": đoán một cụm 12 từ được tạo ngẫu nhiên đúng cách là điều không khả thi (Trezor, kiểm tra tháng 10/2026). Rủi ro thật sự là cụm từ không thực sự ngẫu nhiên (bộ tạo kém) hoặc cụm từ bị người khác nhìn thấy. Từ cuối cùng của cụm BIP39 chứa checksum, nên lỗi gõ nhầm ngẫu nhiên thường bị phát hiện khi khôi phục.
Tính ngẫu nhiên yếu đã gây thiệt hại thật: lỗ hổng Milk Sad trong công cụ bx seed (hơn 900.000 USD, tháng 8/2023), lỗi entropy WebAssembly của Trust Wallet (khoảng 170.000 USD, tháng 4/2023) và lỗi build firmware Coldcard 4.0.1, bị khai thác từ ngày 30/7/2026 (khoảng 116 triệu USD theo thống kê của TRM Labs). Đừng bao giờ dùng cụm từ do website tạo ra hoặc do người khác đưa cho bạn.
Passphrase BIP39 ("từ thứ 25")
Nhiều ví, bao gồm Ledger và Trezor, cho phép thêm một passphrase tùy chọn bên trên seed phrase. Mỗi passphrase khác nhau sẽ mở ra một ví hoàn toàn khác. Nó bảo vệ bạn nếu ai đó tìm thấy cụm từ bạn đã chép, và Trezor cho biết nó vô hiệu hóa cuộc tấn công trích xuất vật lý mà Kraken Security Labs trình diễn trên các thiết bị đời cũ của hãng vào tháng 1/2020 (The Block, tháng 1/2020).
- Ưu điểm: chỉ riêng seed phrase bị tìm thấy thì vô dụng.
- Nhược điểm: quên passphrase là mất tiền. Không ai có thể đặt lại nó.
- Cất passphrase tách biệt với seed phrase, và thử khôi phục với số tiền nhỏ trước.
Cách lưu trữ seed phrase
| Phương pháp | Đánh giá |
|---|---|
| Giấy, viết tay, giữ kín | Điểm khởi đầu tốt; cần chống nước và chống cháy |
| Tấm kim loại hoặc thép dập chữ | Tốt nhất cho tài sản nắm giữ dài hạn; chịu được hỏa hoạn và lũ lụt |
| Hai bản sao ở hai nơi an toàn khác nhau | Tốt để chống thất lạc; mỗi bản sao là thêm một nơi có thể bị tìm thấy |
| Ảnh chụp, ảnh màn hình, ghi chú đám mây, email, tin nhắn chat | Tránh: mã độc và việc chiếm đoạt tài khoản nhắm vào những nơi này |
| Trình quản lý mật khẩu | Tránh với số tiền đáng kể; các kho mật khẩu trực tuyến từng bị đánh cắp và bẻ khóa |
| Chia làm hai nửa | Tránh: cách này làm giảm bảo mật; hãy dùng passphrase, các phần chia SLIP-39 hoặc multisig thay thế |
Với số tiền lớn hơn, hãy cân nhắc loại bỏ hoàn toàn điểm lỗi duy nhất: sao lưu nhiều phần của Trezor (SLIP-39), một tài khoản thông minh multisig như Safe, hoặc một kế hoạch thừa kế cho người tin cậy biết bản sao lưu ở đâu mà không đưa họ các từ ngay hôm nay.
Các chiêu lừa đảo nhắm vào seed phrase của bạn
- Hỗ trợ giả mạo. Các tài khoản trên X, Telegram và Discord trả lời các lời phàn nàn và dẫn bạn tới một biểu mẫu "xác thực".
- Thư và email. Thư giấy in tiêu đề giả của Ledger và Trezor yêu cầu kiểm tra "bắt buộc" qua mã QR (The Block, tháng 4/2025; BleepingComputer, tháng 2/2026). Tháng 9/2026, kẻ tấn công xâm nhập nhà cung cấp email Brevo của Trezor đã gửi email lừa đảo từ địa chỉ hỗ trợ thật của Trezor; Trezor gỡ trang web lừa đảo trong khoảng 20 phút (BleepingComputer, tháng 9/2026).
- Ứng dụng giả. Ứng dụng Ledger Live giả trên Microsoft Store (khoảng 768.000 USD, tháng 10/2023) và Mac App Store (khoảng 9,5 triệu USD, tháng 4/2026) yêu cầu người dùng "khôi phục" bằng cụm từ của họ. Xem ứng dụng ví giả.
- Thiết bị bị can thiệp. Thẻ khôi phục điền sẵn trong hộp, hoặc thiết bị mua từ đại lý không chính thức. Một ví chính hãng luôn tạo cụm từ mới cho bạn.
- Mã độc quét ảnh. SparkCat dùng tính năng nhận dạng chữ ngay trên thiết bị để tìm ảnh chụp cụm từ khôi phục (The Hacker News, tháng 2/2025).
Nguyên tắc: nơi duy nhất bạn nên nhập seed phrase là chính ví đó, trong quá trình khôi phục do bạn tự bắt đầu, lý tưởng nhất là trên ví cứng. Không ai hợp pháp sẽ hỏi bạn cụm từ này. Nếu bạn nghĩ nó đã bị nhìn thấy, hãy tạo ví mới ngay và chuyển toàn bộ tài sản.
Câu hỏi thường gặp
Seed phrase 12 từ có đủ an toàn không?
Có, nếu nó được một ví uy tín tạo ngẫu nhiên. Cụm BIP39 12 từ có mức bảo mật 128 bit, mà Trezor mô tả là cực kỳ an toàn. Rủi ro thật sự là bị đánh cắp và thất lạc, không phải bị đoán ra.
Seed phrase khác private key như thế nào?
Một private key kiểm soát một địa chỉ. Seed phrase tạo ra nhiều private key trên nhiều mạng, vì vậy nó sao lưu toàn bộ ví.
Có thể khôi phục ví mà không cần seed phrase không?
Chỉ khi ví dùng phương thức khôi phục khác, như phần chia MPC, thẻ sao lưu hoặc tài khoản thông minh. Với ví seed phrase thông thường thì không: không ai có thể đặt lại nó.
Tôi có nên dùng passphrase BIP39 không?
Nó tăng mạnh khả năng bảo vệ nếu ai đó tìm thấy cụm từ bạn đã chép, nhưng nếu bạn quên nó thì tiền sẽ mất. Chỉ dùng khi bạn có thể sao lưu nó một cách đáng tin cậy và tách biệt.
Tôi nên làm gì nếu đã nhập seed phrase vào một website?
Hãy coi như nó đã bị lộ. Tạo một ví hoàn toàn mới với cụm từ mới trên thiết bị sạch và chuyển toàn bộ tiền ngay lập tức, bắt đầu từ tài sản giá trị nhất.
Tôi có thể cất seed phrase trong két an toàn ngân hàng không?
Nhiều người làm vậy. Cách này chống cháy và trộm tại nhà, nhưng hãy tính đến độ trễ khi cần truy cập và những ai khác có thể mở két, đồng thời giữ một bản sao thứ hai ở nơi khác.