DApp là gì? Ứng dụng phi tập trung khác app thường ở đâu

DApp (decentralized application, ứng dụng phi tập trung) là ứng dụng mà phần xử lý chính là hợp đồng thông minh chạy trên blockchain, còn người dùng thao tác qua một giao diện web hay ứng dụng. Ethereum.org định nghĩa gọn: dApp “kết hợp một hợp đồng thông minh và một giao diện người dùng”. Bạn không tạo tài khoản bằng email, mật khẩu; bạn kết nối ví crypto và tự ký từng thao tác.

Sàn hoán đổi phi tập trung, giao thức cho vay, chợ NFT, game blockchain hay cổng bỏ phiếu của một DAO đều là dApp. Ở Việt Nam, Nghị quyết 05/2025/NQ-CP không nhắc dApp; dApp không phải tổ chức được Bộ Tài chính cấp phép, và tính đến 28/10/2026 chưa tổ chức nào được cấp phép. Bài này giải thích cách dApp hoạt động, khác app thường ở đâu, điều gì xảy ra khi bạn bấm “kết nối ví” và cách dùng an toàn. Bài không giới thiệu dApp nào để dùng.

DApp hoạt động thế nào?

Một dApp có ba phần: hợp đồng thông minh trên chuỗi, giao diện để bạn bấm, và ví của bạn để ký.

1. Hợp đồng thông minh. Đây là “phần lõi” chứa quy tắc: hoán đổi token theo công thức nào, cho vay với tài sản thế chấp bao nhiêu, ai được bỏ phiếu. Mã được triển khai lên blockchain, ai cũng đọc được và gọi được. Ethereum.org gọi đây là phần “backend chạy trên mạng ngang hàng phi tập trung”. Khi quy tắc cần dữ liệu ngoài chuỗi như giá tài sản, hợp đồng phải dựa vào nguồn cấp dữ liệu, xem bài oracle là gì.
2. Giao diện (front-end). Trang web hoặc ứng dụng hiển thị nút bấm, số dư, ô nhập. Phần này thường nằm trên máy chủ và tên miền như mọi trang web khác; ethereum.org ghi giao diện “có thể” đặt trên kho lưu trữ phi tập trung như IPFS, tức không bắt buộc.
3. Ví. Ví giữ khóa riêng và ký giao dịch. Giao diện chỉ soạn sẵn yêu cầu; không có chữ ký của bạn thì hợp đồng không chuyển được tài sản trong ví.

Một lượt dùng điển hình: bạn mở trang, bấm “kết nối ví”, ví hiện địa chỉ cho trang đọc. Khi bạn bấm “hoán đổi” hay “gửi”, ví bật màn hình xác nhận; bạn ký, giao dịch được gửi lên chuỗi và bạn trả phí gas bằng coin gốc của mạng. Giao dịch đã xác nhận gần như không thể đảo ngược, và không có bên nào tra soát hay hoàn tiền như ngân hàng.

DApp khác ứng dụng thường ở đâu?

Khác biệt cốt lõi: ở app thường, công ty giữ tài khoản và tiền của bạn; ở dApp, bạn tự giữ tài sản trong ví và tự chịu mọi chữ ký.

Tiêu chí	Ứng dụng thường (ví dụ app ngân hàng)	DApp
Nơi chạy quy tắc	Máy chủ của công ty	Hợp đồng thông minh trên blockchain
Đăng nhập	Email, số điện thoại, mật khẩu	Kết nối ví, không cần tài khoản
Ai giữ tài sản	Công ty giữ hộ	Bạn tự giữ trong ví
Sai sót, bị lừa	Có tổng đài, có thể tra soát	Giao dịch đã xác nhận gần như không đảo ngược được
Phí	Công ty tự đặt	Phí mạng (gas) cộng phí giao thức nếu có
Danh tính	Thường phải xác minh	Thường chỉ cần địa chỉ ví

Ethereum.org liệt kê cả hai mặt. Ưu điểm: không có thời gian ngừng khi hợp đồng đã triển khai, không cần danh tính thật, khó bị một bên chặn giao dịch, quy tắc kiểm tra được. Nhược điểm: khó sửa vì mã trên chuỗi khó thay đổi, chậm và khó mở rộng, mạng nghẽn khi một dApp dùng quá nhiều tài nguyên, trải nghiệm khó với người mới, và “tập trung hóa” ở đâu đó trong hệ thống sẽ xóa mất phần lớn ưu điểm.

Nếu bạn quen với sàn tập trung, bài DEX và CEX khác nhau thế nào so sánh trực tiếp sàn phi tập trung (một loại dApp) với sàn giữ tài sản hộ khách.

Các loại dApp phổ biến

Phần lớn dApp đang dùng thuộc tài chính phi tập trung; ngoài ra có chợ NFT, game, cầu nối và công cụ quản trị DAO.

Loại	Làm gì	Ví dụ trung tính	Đọc thêm
Sàn hoán đổi (DEX)	Đổi token qua pool thanh khoản	Uniswap	Uniswap
Cho vay	Gửi tài sản thế chấp để vay	Aave	Aave
Chợ NFT	Mua bán, đúc NFT	Không nêu	NFT là gì
Game blockchain	Vật phẩm là NFT, thưởng bằng token	Axie Infinity	GameFi là gì
Cầu nối	Chuyển tài sản giữa các mạng	Không nêu	Bridge là gì
Quản trị DAO	Đề xuất, bỏ phiếu bằng token	Uniswap Governance	DAO là gì

Nhóm tài chính được giải thích kỹ ở bài DeFi là gì, gồm cả cơ chế pool thanh khoản và rủi ro thanh lý. Tên trong bảng chỉ là ví dụ minh họa, không phải lời khuyên dùng.

“Phi tập trung” thật đến mức nào?

Thường chỉ phần hợp đồng là phi tập trung; giao diện, tên miền, thư viện phần mềm và quyền nâng cấp hợp đồng vẫn có thể nằm trong tay một nhóm người.

Điều này quan trọng vì kẻ gian không cần phá hợp đồng; chỉ cần chiếm được giao diện là đủ để đưa cho bạn một yêu cầu ký độc hại trên đúng trang bạn quen. Ví dụ có nguồn gốc: ngày 14/12/2023, theo thư của Chủ tịch kiêm CEO Ledger, một cựu nhân viên bị lừa đảo chiếm quyền truy cập, kẻ gian đăng phiên bản chứa mã độc của thư viện Ledger Connect Kit (các phiên bản 1.1.5, 1.1.6 và 1.1.7). Mã độc dùng một dự án WalletConnect giả để “chuyển hướng tiền tới ví của tin tặc”, ảnh hưởng tới các dApp bên thứ ba có dùng thư viện này. Ledger cho biết tệp độc hại tồn tại khoảng 5 giờ, phần khai thác thực sự chạy dưới 2 giờ.

Bài học: một dApp “uy tín” không có nghĩa mọi yêu cầu nó đưa ra đều an toàn. Thứ cuối cùng bảo vệ bạn là màn hình xác nhận của ví.

Hỏi thêm ba câu trước khi dùng một dApp: hợp đồng có thể nâng cấp không và ai giữ quyền đó; có quyền tạm dừng hay đóng băng không; mã đã được kiểm toán chưa và báo cáo kiểm toán ở đâu. Câu trả lời nằm trong tài liệu chính thức của dự án. Không tìm thấy thì coi như chưa công bố.

Kết nối ví với dApp: bạn đang cho phép gì?

“Kết nối” chỉ cho trang đọc địa chỉ ví; thứ làm mất tài sản là các chữ ký sau đó, nhất là chữ ký cấp quyền chi tiêu token.

Thao tác	Trang được làm gì	Tốn phí mạng
Kết nối ví	Xem địa chỉ, số dư, đề xuất giao dịch	Không
Approve	Cho hợp đồng quyền chuyển token của bạn tới một hạn mức	Có
Permit (ký tin nhắn)	Cấp quyền chi tiêu bằng chữ ký, không cần giao dịch	Không
Giao dịch thường	Chuyển, hoán đổi, gửi tài sản ngay	Có

Quyền approve còn hiệu lực tới khi bạn thu hồi, kể cả khi đã đóng trang. Cách đọc từng loại màn hình ký và thu hồi quyền ở bài approve token và revoke.

Số liệu cho thấy đây không phải rủi ro lý thuyết. Báo cáo của Scam Sniffer công bố 3/1/2026 ghi nhận năm 2025, riêng phishing rút ví trên các mạng EVM gây thiệt hại 83,85 triệu USD với 106.106 nạn nhân; năm 2024 con số là 494 triệu USD. Báo cáo chỉ đếm các vụ trên mạng EVM mà đơn vị này theo dõi, không bao gồm các kiểu lừa khác. Các chiêu hay gặp ở Việt Nam (trang nhận thưởng giả, ví giả, đường dẫn trong nhóm Telegram) có ở bài phishing là gì.

Cách dùng dApp an toàn: checklist trước khi ký

Tách ví, gõ đúng địa chỉ, đọc kỹ màn hình ký, giới hạn quyền và thu hồi định kỳ.

1. Dùng ví riêng cho dApp. Tài sản giữ lâu để ở ví khác, tốt nhất là ví lạnh; ví dùng với dApp chỉ để số dư bạn chấp nhận rủi ro.
2. Vào đúng trang. Mở từ dấu trang đã lưu hoặc tài liệu chính thức của dự án. Không bấm đường dẫn trong quảng cáo, tin nhắn riêng, bình luận hay nhóm chat, kể cả khi người gửi là tài khoản quen.
3. Đọc màn hình ký của ví. Xem đúng mạng, đúng token, đúng số lượng, địa chỉ được cấp quyền là ai. Thấy “approve”, “permit”, “setApprovalForAll” mà bạn không định cấp quyền thì từ chối.
4. Giới hạn hạn mức. Khi ví cho sửa hạn mức chi tiêu, đặt đúng số cần dùng thay vì “không giới hạn”.
5. Không bao giờ nhập cụm từ khôi phục vào bất kỳ trang dApp nào. DApp thật chỉ yêu cầu ký, không bao giờ cần cụm từ khôi phục.
6. Thu hồi quyền định kỳ và ngay khi nghi ngờ đã ký nhầm.
7. Ví đã bị rút: làm theo bài ví bị hack phải làm gì, không trả tiền cho ai hứa “lấy lại tài sản”.

DApp browser và các cách kết nối ví

DApp browser là trình duyệt nằm trong ứng dụng ví di động; trên máy tính, ví thường là tiện ích trình duyệt hoặc kết nối qua mã QR.

Có ba cách phổ biến. Thứ nhất, tiện ích ví trên trình duyệt máy tính: trang dApp gọi ví, ví bật cửa sổ xác nhận. Thứ hai, trình duyệt tích hợp trong ví di động: bạn mở dApp ngay trong ứng dụng ví. Thứ ba, quét mã QR qua WalletConnect: dApp mở trên máy tính, ví nằm trên điện thoại. Cách nào cũng chung một điểm: ví không tự phân biệt trang thật hay giả. Cách cài và dùng một ví phổ biến ở bài MetaMask là gì.

Dùng dApp ở Việt Nam có hợp pháp không?

Văn bản không nhắc dApp. Theo câu chữ Nghị quyết 05/2025/NQ-CP, dApp không phải tổ chức được cấp phép nên nằm ngoài thị trường thí điểm, và người dùng tự chịu rủi ro.

• Ai được cung cấp dịch vụ, quảng cáo. “Chỉ tổ chức được Bộ Tài chính cấp Giấy phép … được thực hiện hoạt động cung cấp dịch vụ liên quan đến tài sản mã hóa và quảng cáo, tiếp thị liên quan đến tài sản mã hóa” (Nghị quyết 05 Điều 4 khoản 4). Tổ chức cung cấp dịch vụ liên quan đến tài sản mã hóa khi chưa có giấy phép có thể bị phạt 180–200 triệu đồng, cá nhân 90–100 triệu đồng (Nghị định 284/2026/NĐ-CP Điều 7 khoản 4 điểm a, Điều 4 khoản 2). Tính đến 28/10/2026 chưa tổ chức nào được cấp phép, nên lời mời “kết nối ví nhận thưởng” trên mạng xã hội không đến từ tổ chức được cấp phép nào.
• Người dùng trong nước. Sau 6 tháng kể từ khi tổ chức đầu tiên được cấp phép, nhà đầu tư trong nước giao dịch tài sản mã hóa không qua tổ chức được cấp phép có thể bị xử lý; cá nhân có thể bị phạt hành chính 15–25 triệu đồng (Nghị quyết 05 Điều 7 khoản 2; Nghị định 284 Điều 9 khoản 1, Điều 4 khoản 2). Văn bản không định nghĩa “giao dịch” và không nói riêng thao tác qua hợp đồng thông minh được xử lý thế nào. Mốc này tính ra sao: xem mốc 6 tháng tính từ khi nào.
• Không có cơ chế bồi thường. Nghị quyết 05 buộc tổ chức được cấp phép bồi thường khi nhà đầu tư mất tiền, tài sản “do hệ thống bảo mật mất an toàn, bị xâm nhập, bị lừa đảo” (Điều 15 khoản 2 điểm m). Dùng dApp, không có tổ chức nào gánh nghĩa vụ đó khi bạn ký nhầm hay hợp đồng bị khai thác lỗi.
• Thuế. Bán tài sản mã hóa chịu thuế thu nhập cá nhân 0,1% trên giá chuyển nhượng của từng lần bán (Luật Thuế thu nhập cá nhân 109/2025/QH15 Điều 19 khoản 2). Văn bản chưa hướng dẫn cách xác định giá khi đổi token lấy token khác, trường hợp phổ biến trên dApp. Chi tiết ở bài thuế tài sản mã hóa 0,1% tính thế nào.

Phân tích pháp lý đầy đủ hơn cho nhóm tài chính phi tập trung nằm ở mục “DeFi có hợp pháp ở Việt Nam không?” của bài DeFi là gì. Bức tranh rộng hơn về hệ sinh thái này có ở bài Web3 là gì.