Cất giữ cụm từ khôi phục thế nào: giấy, kim loại hay chia phần?

Cách cất giữ cụm từ khôi phục an toàn là chép tay ra giấy hoặc khắc lên kim loại, cất ngoại tuyến ở nơi chỉ bạn kiểm soát, và không để nó đi qua bất kỳ thiết bị có mạng nào. Muốn chịu được mất mát hay trộm cắp tốt hơn thì chia thành nhiều phần theo cách Shamir (cần đủ số phần tối thiểu mới ghép lại được), hoặc thêm passphrase (mật khẩu tùy chọn ghép thêm vào cụm từ).

Nguồn là hai đặc tả kỹ thuật BIP-39 (chuẩn cụm từ 12–24 từ mà phần lớn ví dùng) và SLIP-39 (chuẩn chia cụm từ thành nhiều phần), cùng trang hỗ trợ của Ledger, Trezor, đọc ngày 31/10/2026.

Trang này dành cho người giữ ví tự quản (ví mà chính bạn giữ khóa, không qua sàn), gồm ví ứng dụng trên điện thoại và ví lạnh (thiết bị giữ khóa bên trong, ký giao dịch ngay trên máy). Tài khoản ở sàn không có cụm từ khôi phục: quên mật khẩu thì sàn xác minh danh tính để cấp lại.

Vì sao ai có cụm từ khôi phục là có tài sản?

Vì cụm từ sinh ra mọi khóa của ví, và ví nào hỗ trợ cùng chuẩn cũng tính ra đúng các khóa đó. Ledger giải thích tài sản không nằm trong ví mà nằm trên blockchain. Ví chỉ giữ khóa riêng tư nối bạn với các địa chỉ, và cùng một cụm từ thì luôn tính ra cùng một bộ khóa.

Chuẩn BIP-39 (đăng ký năm 2013) đổi một số ngẫu nhiên thành 12 đến 24 từ tiếng Anh. Người có cụm từ chỉ cần nhập vào một ví khác là chuyển được tài sản, không cần điện thoại hay mật khẩu của bạn. Cơ chế chi tiết, khác biệt với mật khẩu và khóa riêng tư có ở bài cụm từ khôi phục là gì.

Vì thế bản sao lưu phải đạt cùng lúc hai yêu cầu trái nhau. Trezor viết bản sao lưu phải được cất “ở nơi chỉ bạn tiếp cận được” và phải bền. Càng nhiều bản thì càng khó mất, nhưng cũng càng nhiều chỗ có thể lộ.

So sánh các cách cất giữ cụm từ khôi phục

Không cách nào chống được mọi rủi ro; chọn theo việc bạn sợ mất hơn hay sợ bị trộm hơn.

Cách cất	Chống được	Hỏng khi	Hợp với
Giấy chép tay, một bản	Tấn công qua mạng	Cháy, ngập, mực phai, vứt nhầm, bị lấy	Số tiền nhỏ, giữ ngắn hạn
Giấy, hai bản ở hai nơi	Mất một bản do thiên tai	Một trong hai nơi bị lục: lộ cả ví	Ai có hai chỗ cất thật sự kín
Tấm thép không gỉ hoặc titan	Cháy, ngập, ăn mòn	Bị nhìn thấy hoặc lấy đi; khắc nông, sai chính tả	Giữ lâu năm
Chia phần Shamir (SLIP-39)	Mất hoặc lộ dưới ngưỡng số phần	Mất quá số phần cho phép; ví khác không hỗ trợ	Số tiền lớn, có nhiều nơi cất hoặc người tin cậy
Tự cắt đôi cụm từ BIP-39	Gần như không gì	Mất một phần là mất ví; lộ một phần là giảm độ khó đoán	Không nên dùng
Thêm passphrase	Lộ cụm từ mà không lộ passphrase	Quên hoặc gõ khác passphrase	Người đã quen ví, có chỗ cất thứ hai
Ảnh, ghi chú, email, đám mây	Không	Tài khoản hoặc máy bị chiếm, ảnh tự đồng bộ	Không dùng

Tổng hợp từ BIP-39, SLIP-39, hướng dẫn sao lưu của Trezor và Ledger, cập nhật 31/10/2026.

Ba nhóm rủi ro Trezor đề nghị tự cân nhắc trước khi chọn:

• Môi trường: nắng, lửa, nước. Trezor kể có người mất bản sao lưu vì nhà cháy, sau bão, hoặc vô tình vứt đi.
• Tấn công vật lý: người biết bạn giữ tài sản mã hóa có thể lục nhà hoặc ép buộc. Trezor khuyên không nói ra mình giữ bao nhiêu.
• Tấn công từ xa: mã độc, trang lừa đảo. Trezor gọi đây là mối đe dọa lớn nhất với phần đông người dùng. Ví lạnh chặn kiểu này bằng cách giữ khóa ngoại tuyến, nên lớp bảo vệ mất tác dụng nếu cụm từ bị chụp hay lưu lên máy có mạng.

Giấy: rẻ, nhưng sợ nước, lửa và thời gian

Giấy đủ dùng nếu chép rõ, đúng thứ tự, và được kiểm định kỳ. Hướng dẫn của Trezor:

• Viết rõ ràng, Trezor khuyên dùng chữ in hoa. Chép đúng thứ tự từ hiện trên màn hình thiết bị, đánh số từng từ.
• Làm một mình, không đọc to các từ, để ý camera và micro trên máy tính, điện thoại xung quanh.
• Nếu chép nhiều bản thì cất ở các nơi an toàn tách biệt.
• Định kỳ kiểm bản giấy xem mực có phai, giấy có hư hỏng không.

BIP-39 ghi danh sách 2.048 từ được thiết kế để chỉ cần 4 chữ cái đầu là xác định được từ. Chữ viết khó đọc ở các chữ cái sau vẫn cứu được, chữ cái đầu thì phải rõ.

Khí hậu nóng ẩm và mùa mưa bão làm giấy là lựa chọn kém bền nếu giữ nhiều năm. Một tờ giấy là “điểm hỏng duy nhất”: Trezor viết nếu nó bị hủy và bạn mất thiết bị thì không lấy lại được tài sản.

Tấm kim loại: bền, nhưng ai nhìn thấy cũng đọc được

Trezor viết cách giải quyết độ bền phổ biến là khắc cụm từ lên thép không gỉ hoặc titan, vật liệu chịu được thiên tai. Với cụm từ 12 hoặc 24 từ, Trezor khuyên đột hoặc khắc lên kim loại để bù rủi ro cháy, ngập của giấy.

Vì 4 chữ cái đầu đã xác định được từ, khắc 4 chữ cái đầu vẫn đủ để khôi phục theo cả BIP-39 lẫn SLIP-39. Nếu tấm còn chỗ, khắc đủ từ giúp người thân đọc dễ hơn. Các lỗi đã ghi nhận khi tự thử nghiệm tấm kim loại (nhôm chảy trong đám cháy, ký hiệu khắc nông bị ăn mòn mất) có ở mục tấm kim loại của bài cụm từ khôi phục là gì.

Kim loại chỉ giải quyết độ bền, không giải quyết chuyện bị lộ:

• Tự khắc ở nơi không có camera, không nhờ người khác khắc hộ.
• Không chụp ảnh tấm kim loại “để nhớ chỗ”.
• Tấm bị người khác nhìn thấy thì cụm từ coi như đã lộ.

VietnamBit không giới thiệu sản phẩm hay cửa hàng nào. Tên hãng trên trang chỉ để dẫn nguồn tài liệu hướng dẫn.

Chia phần theo chuẩn Shamir (SLIP-39)

Shamir (cách chia một bí mật thành N phần, cần đủ T phần mới ghép lại được) cho phép mất bớt phần mà ví vẫn an toàn. SLIP-39 là chuẩn áp dụng cách chia này cho ví, do SatoshiLabs (nhóm công ty của Trezor) công bố, trạng thái “Final”. Theo đặc tả:

• Có ít hơn số phần cần thiết thì “không lộ thông tin” gì về bí mật gốc.
• Mỗi phần dài 20 từ (bí mật 128 bit) hoặc 33 từ (256 bit), lấy từ danh sách riêng 1.024 từ.
• 3 từ cuối mỗi phần là mã kiểm tra. Mã này chắc chắn phát hiện lỗi ở tối đa 3 từ, và bỏ sót lỗi nhiều hơn với xác suất dưới 1 phần tỷ.
• Mọi phần của cùng một bộ có 2 từ đầu giống nhau, nên nhìn là biết các phần có thuộc cùng bộ không.
• Có thể chia hai tầng, tối đa 16 nhóm, mỗi nhóm tối đa 16 phần.

Trezor viết hai cấu hình hay dùng nhất là 2 trong 3 (mất được 1 phần) và 3 trong 5 (mất được 2 phần), và khuyên không làm phức tạp hơn nếu không có lý do riêng. Khi tạo nhiều phần trên Trezor, không đặt được ngưỡng chỉ một phần. Từ tháng 6/2024, kiểu sao lưu này là mặc định trên dòng Trezor Safe.

Các kiểu hỏng của SLIP-39:

• Mất quá số phần cho phép: Trezor ví dụ cấu hình 3 trong 4 mà mất từ 2 phần trở lên thì ví “không khôi phục được”.
• Ít ví hỗ trợ: SLIP-39 phần lớn không tương thích với BIP-39. Trezor ghi khôi phục cần thiết bị Trezor đời có hỗ trợ hoặc ví bên thứ ba hỗ trợ chuẩn này. Nếu Trezor không còn hoạt động thì vẫn có công cụ mã nguồn mở để khôi phục.
• Trộn phần của hai bộ khác nhau: các phần thuộc hai lần tạo khác nhau không ghép được với nhau, kể cả khi cùng cấu hình.
• Chủ quan: Trezor nhắc vẫn phải cất từng phần kín đáo và định kỳ kiểm tình trạng, vì luôn phải còn đủ số phần tối thiểu.

Nếu bạn đang dùng Trezor đời mới và có bản sao lưu 20 từ, đó là một phần SLIP-39 chứ không phải cụm từ BIP-39. Ghi rõ điều này cạnh bản sao lưu để người khôi phục sau này không nhập nhầm vào ví chỉ hỗ trợ BIP-39.

Tự cắt đôi cụm từ BIP-39: không phải Shamir

Cắt 12 từ thành hai nửa cất hai nơi làm bạn dễ mất ví hơn mà không an toàn hơn bao nhiêu. Hai kiểu hỏng:

• Không có dự phòng: mất một nửa là mất ví, khác với SLIP-39 cho phép mất bớt phần.
• Mỗi nửa bị lộ làm giảm độ khó đoán. Với cụm 12 từ, nếu lộ 6 từ thì còn 2.048^6 = 2^66 tổ hợp cho 6 từ còn lại. Mã kiểm tra 4 bit của BIP-39 loại bớt, còn khoảng 2^66 / 2^4 = 2^62 cụm hợp lệ. Con số này nhỏ hơn rất nhiều so với khoảng 2^128 khi chưa lộ từ nào (chúng tôi tính từ bảng độ dài trong BIP-39).

SLIP-39 nêu đúng lý do nó ra đời: cách thông thường là nhân bản sao lưu, nhưng khi tài sản có giá trị lớn thì có rủi ro “người giữ bản sao lưu ôm tài sản bỏ đi”. Chia theo Shamir giải quyết điều đó, cắt đôi thủ công thì không.

Muốn nhiều người cùng giữ quyền mà không ai một mình chuyển được tài sản, ngoài Shamir còn có ví đa chữ ký (ví cần nhiều khóa cùng ký mới chuyển được). Trezor viết đa chữ ký phức tạp hơn để thiết lập, nhưng có lợi khi nhiều người cùng quản lý tài sản.

Passphrase (từ thứ 25): lớp thêm, không thay bản sao lưu

Passphrase (mật khẩu tùy chọn ghép thêm vào cụm từ, mỗi passphrase mở ra một ví khác) bảo vệ bạn khi cụm từ bị lộ. BIP-39 ghi “mọi passphrase đều tạo ra một seed hợp lệ” (seed: chuỗi số tính ra từ cụm từ và passphrase, sinh mọi khóa của ví), nhưng chỉ passphrase đúng mới mở ra ví bạn cần.

Hệ quả thực tế: gõ sai một ký tự, sai chữ hoa hay thừa dấu cách thì ví không báo lỗi mà mở ra một ví khác, Trezor viết là “nhiều khả năng trống” (passphrase phân biệt chữ hoa, chữ thường). Nhiều người tưởng mất tiền ở bước này. Cách cất passphrase:

• Ghi ra giấy, rõ từng ký tự, cất ở nơi khác với nơi cất cụm từ.
• Không dựa vào trí nhớ. Trezor viết passphrase là “một phần không tách rời” của bản sao lưu, kể cả khi dùng SLIP-39.
• Người thân cần biết có passphrase và nơi cất, nếu không thì cụm từ trong tay họ chỉ mở ra ví trống.

Cách Ledger, Trezor xử lý passphrase và khi nào nên dùng có ở bài passphrase ví là gì.

Những việc không được làm với cụm từ khôi phục

Mọi điều cấm đều quy về một ý: cụm từ không được đi qua thiết bị có mạng hay qua người khác.

Việc	Vì sao nguy hiểm
Chụp ảnh, chụp màn hình	Ảnh có thể tự đồng bộ lên đám mây; Trezor xếp ảnh chụp, ảnh màn hình vào nhóm bản sao số không được giữ
Lưu trong ghi chú điện thoại, email, Google Drive, iCloud, tin nhắn gửi chính mình	Trezor: lưu trên máy tính, điện thoại, dịch vụ đám mây là “rất rủi ro”; Ledger: không lưu trên dịch vụ đám mây
Gõ vào trang web, kể cả trang “kiểm tra cụm từ”, “đồng bộ ví”, “nhận token miễn phí”	Trezor: không nhập ở bất cứ đâu trừ khi chính thiết bị Trezor yêu cầu; Ledger: không bao giờ nhập vào máy tính hay điện thoại
Nhập cụm từ của ví lạnh vào ví ứng dụng trên điện thoại	Ledger: ví lạnh tạo cụm từ hoàn toàn ngoại tuyến; nhập vào ví không có đặc tính đó là có nguy cơ làm lộ cụm từ
Đọc cho “nhân viên hỗ trợ”, kể cả khi họ gọi đúng tên bạn	Ledger và Trezor đều viết nhân viên của hãng không bao giờ hỏi cụm từ khôi phục
Đọc to khi chép, chép trước camera	Trezor dặn không đọc to các từ và để ý thiết bị ghi âm, ghi hình
Dùng cụm từ in sẵn trong hộp, hoặc tự nghĩ ra câu	Người khác biết trước cụm từ in sẵn; BIP-39 ghi chuẩn này không dành cho câu do người dùng tự đặt
Kể với người khác mình giữ bao nhiêu	Trezor: người bị biết là giữ nhiều thành mục tiêu cướp, ép buộc

Các chiêu kẻ gian hay dùng để lấy cụm từ (trang giả, ứng dụng giả, “hỗ trợ” qua Telegram) có ở bài cụm từ khôi phục là gì và mã độc đánh cắp ví.

Cất ở đâu: nhà, két sắt hay nơi thứ hai?

Trezor viết két sắt giấu kín trong nhà là một trong số ít cách bạn kiểm soát được ai tiếp cận bản sao lưu. Các lựa chọn Trezor phân tích:

• Két sắt trong nhà: đặt ở chỗ khách, người ở cùng, người giúp việc không nhìn thấy. Nhìn thấy két là đủ khiến kẻ trộm chú ý. Nếu nhiều người biết bạn giữ tài sản mã hóa và biết nhà bạn ở đâu, Trezor gợi ý chia phần để một két bị lục không làm lộ cả ví.
• Chỗ giấu khác trong nhà: kém an toàn hơn két, chỉ dùng khi thật sự có chỗ khó tiếp cận và kín.
• Chôn dưới đất: Trezor viết đây có thể là ý tồi. Nhiều vật liệu hỏng nhanh trong đất ẩm, chua, và bạn phải kiểm soát được ai vào khu đất đó, phải nhớ chính xác chỗ chôn.
• Két thuê ở ngân hàng: an ninh vật lý tốt, nhưng phụ thuộc chính sách và quyền tiếp cận két của ngân hàng (xem câu hỏi thường gặp bên dưới).

Hai bản ở hai nơi chống được thiên tai, nhưng mỗi nơi bị lục là lộ cả ví. Nếu cần nhiều nơi cất, SLIP-39 phù hợp hơn: Trezor gợi ý chia phần giữa nhà mình, nhà người thân, văn phòng: một nơi bị lộ cũng không làm mất khả năng khôi phục, và theo đặc tả, số phần dưới ngưỡng không lộ gì về ví.

Kiểm bản sao lưu thế nào cho an toàn?

Kiểm bằng chức năng kiểm có sẵn trên chính ví phần cứng, không kiểm bằng cách gõ cụm từ vào máy tính hay điện thoại. Ledger viết sai một chữ hay sai thứ tự là ví sinh ra bộ địa chỉ khác, nên bản chép phải được kiểm trước khi bạn chuyển số lớn vào.

1. Kiểm ngay sau khi chép. Trezor có chức năng Check backup: thiết bị so các từ bạn nhập với bản đang lưu, báo khớp hay không, và không ghi nhớ gì thêm. Ledger có ứng dụng Recovery Check để kiểm cụm từ đã chép có khớp với cụm từ bảo vệ thiết bị không. Các bước trên Trezor Safe 3 có ở bài khởi tạo ví lạnh lần đầu.
2. Kiểm lại trước mỗi lần cập nhật firmware (phần mềm chạy bên trong ví lạnh) và trước khi xóa thiết bị. Trezor khuyên làm đúng hai thời điểm này.
3. Với SLIP-39, kiểm từng phần. Trezor ghi thiết bị cho nhập các phần ngắt quãng: bắt đầu kiểm, rút máy, mang tới nơi cất phần tiếp theo rồi làm tiếp mà không mất tiến độ.
4. Kiểm cả passphrase, nếu có. Mở ví bằng passphrase đã ghi và so địa chỉ nhận với địa chỉ bạn đã dùng trước đó.
5. Kiểm vật liệu định kỳ. Giấy xem mực phai, ẩm mốc; tấm kim loại xem chữ còn rõ; các phần SLIP-39 xem còn đủ ngưỡng.

Cách kiểm không an toàn: tải một “công cụ BIP-39” trên mạng để nhập thử, hoặc nhập cụm từ vào ví ứng dụng “cho nhanh”. Cả hai đều đưa cụm từ qua thiết bị có mạng, đúng điều Ledger và Trezor dặn không làm.

Chuẩn bị cho người thân thế nào?

Người thân cần biết bản sao lưu tồn tại, ở đâu và theo chuẩn nào, không cần đọc nội dung khi bạn còn sống. Theo câu chữ của Luật 71/2025/QH15 đọc cùng Bộ luật Dân sự, tài sản mã hóa là di sản. Nhưng ví tự quản mà không ai có cụm từ hay thiết bị mở được ví thì người thừa kế thường không lấy được tài sản. Ai được hưởng, di chúc ghi gì, thuế ra sao có ở hỏi đáp thừa kế tài sản mã hóa.

Một tờ hướng dẫn để cùng giấy tờ quan trọng, không ghi cụm từ, nên có:

• Loại ví đang dùng (ví ứng dụng hay ví lạnh, hãng nào).
• Chuẩn sao lưu: cụm 12 hay 24 từ BIP-39, hay các phần 20 từ SLIP-39, cần ghép bao nhiêu phần.
• Nơi cất từng bản hoặc từng phần.
• Có passphrase không, và passphrase cất ở đâu.
• Lời dặn: không nhập cụm từ vào trang web nào, không tin ai tự xưng là “hỗ trợ khôi phục”.

Trezor khuyên lập kế hoạch thừa kế riêng tư, nhờ người tư vấn pháp lý tin cậy hoặc bảo đảm người thừa kế hiểu cách tiếp cận bản sao lưu an toàn. Không ghi cụm từ hay passphrase vào di chúc, chỉ ghi nơi cất.

SLIP-39 có sẵn cách chia cho trường hợp này. Đặc tả nêu ví dụ: chủ ví giữ 2 phần cho riêng mình, phần dự phòng chia cho nhóm bạn bè (cần 3 trong 5) và nhóm gia đình (cần 2 trong 6). Cả 6 người nhà cùng thông đồng cũng không mở được ví nếu không có 3 người bạn hoặc một phần của chủ ví.

Cập nhật tờ hướng dẫn mỗi khi đổi ví, tạo cụm từ mới hay đổi nơi cất. Hướng dẫn trỏ tới ví đã bỏ thì vô dụng.

Lỡ để lộ hoặc nghi đã lộ thì làm gì?

Coi như cụm từ đã mất: tạo ví mới với cụm từ mới và chuyển ngay tài sản còn lại sang đó. Đổi mật khẩu hay mã PIN không giúp gì, vì kẻ có cụm từ không cần chúng. Các bước chi tiết có ở bài cụm từ khôi phục là gì. Mất thiết bị mà vẫn còn cụm từ thì xem bài mất ví lạnh phải làm sao.