Passphrase ví (từ thứ 25) là gì, có nên dùng không?

Passphrase ví, hay “từ thứ 25”, là một chuỗi ký tự tùy chọn do bạn tự đặt và ghép với cụm từ khôi phục 12 hoặc 24 từ để mở ra một bộ ví hoàn toàn khác. Ai có 24 từ mà không có passphrase thì chỉ mở được ví thường, không mở được ví được bảo vệ bằng passphrase.

Đổi lại, thiết bị không lưu passphrase. Quên là mất quyền vào ví đó, và Ledger, Trezor đều nói không khôi phục được. Vì vậy passphrase hợp với người giữ tài sản giá trị lớn và chắc chắn cất được hai bản sao lưu riêng, không hợp với người mới.

Bài này không dùng bất kỳ cụm từ khôi phục hay passphrase thật nào làm ví dụ. Đừng bao giờ gõ cụm từ hay passphrase của bạn vào máy tính, điện thoại để “thử” theo hướng dẫn trên mạng.

Passphrase hoạt động thế nào?

Passphrase là thành phần thứ hai trong công thức tạo ví từ cụm từ khôi phục. Đổi passphrase là đổi toàn bộ ví. Theo chuẩn BIP-39, ví tạo hạt giống (seed) bằng hàm PBKDF2 với cụm từ khôi phục làm mật khẩu, còn chuỗi “mnemonic” cộng passphrase làm muối (salt), lặp 2.048 lần. Không đặt passphrase thì ví dùng chuỗi rỗng.

Hệ quả thực tế:

Bạn nhập	Kết quả
24 từ, không passphrase	Ví thường (ví A)
24 từ + passphrase đúng	Ví ẩn (ví B), địa chỉ khác hẳn ví A
24 từ + passphrase sai một ký tự	Một ví hợp lệ khác (ví C), số dư bằng 0
Passphrase mà không có 24 từ	Không mở được gì

Dòng thứ ba là chỗ nhiều người hoảng: ví không báo “sai passphrase” mà mở ra một ví trống. BIP-39 ghi rõ “mọi passphrase đều tạo ra một hạt giống hợp lệ”. Trezor nhắc tương tự: mỗi passphrase bạn nhập tạo ra một ví khác, “kể cả khi gõ nhầm”.

Passphrase khác mã PIN, mật khẩu ứng dụng và cụm từ khôi phục thế nào?

Mã PIN và mật khẩu ứng dụng chỉ mở khóa thiết bị hoặc ứng dụng. Cụm từ khôi phục và passphrase mới là thứ tạo ra ví.

Thứ	Bảo vệ cái gì	Ai có thể dùng nếu biết	Quên thì
Mã PIN thiết bị	Thiết bị đang cầm trên tay	Người cầm thiết bị	Thiết bị tự xóa sau vài lần sai; khôi phục bằng cụm từ
Mật khẩu ứng dụng ví	Ứng dụng trên một máy	Người dùng máy đó	Cài lại ứng dụng, khôi phục bằng cụm từ
Cụm từ khôi phục	Toàn bộ ví thường	Bất kỳ ai, ở bất kỳ đâu	Còn thiết bị đang mở thì chuyển tài sản sang ví mới
Passphrase	Ví ẩn sinh từ cụm từ	Người có cả cụm từ lẫn passphrase	Mất quyền vào ví ẩn

Vì sao cụm 12 từ không ai đoán được, bạn đọc ở bài cụm từ khôi phục là gì.

Ledger và Trezor xử lý passphrase ra sao?

Cả hai không lưu và không khôi phục passphrase. Hai hãng khác nhau ở độ dài và cách nhập.

	Ledger	Trezor
Độ dài tối đa	100 ký tự	128 ký tự (Model T, Safe 3, Safe 5, Safe 7); 50 với Model One
Phân biệt hoa thường	Có	Có
Cách dùng	Tạm thời (nhập mỗi lần, mất khi tắt máy) hoặc gắn với một mã PIN phụ	Nhập mỗi lần mở ví passphrase
Thiết bị có lưu không	Không lưu, không sao lưu	Không lưu
Quên thì	Mất vĩnh viễn quyền vào các tài khoản đó	Mất quyền vào ví passphrase và tài sản trong đó

Nguồn: Ledger Academy (cập nhật 5/8/2026), trang hướng dẫn passphrase của Trezor.

Với cách gắn mã PIN phụ của Ledger, nhập sai mã PIN phụ ba lần thì thiết bị tự đặt lại và bạn phải khôi phục từ cụm từ khôi phục. Ledger cũng lưu ý đặt passphrase không tự chuyển tài sản cũ: các tài khoản mới bắt đầu trống, với địa chỉ mới.

Khi nào nên dùng passphrase, khi nào không?

Nên dùng khi rủi ro lớn nhất của bạn là cụm từ khôi phục bị người khác tìm thấy. Không nên dùng khi rủi ro lớn nhất là chính bạn quên.

Hợp với:

• Người giữ tài sản giá trị lớn, cất cụm từ khôi phục ở nơi người khác có thể tiếp cận (két chung, nhà người thân).
• Người đã dùng ví lạnh thành thạo, có quy trình kiểm định kỳ.

Không hợp với:

• Người mới, chưa từng khôi phục ví lần nào.
• Người không có chỗ cất thứ hai, tách biệt với cụm từ khôi phục.
• Trường hợp người thân sẽ cần mở ví khi bạn không còn: thêm passphrase là thêm một thứ họ phải tìm được.

Dùng passphrase làm ví mồi khi bị ép buộc có hiệu quả không?

Có một chút, và không nên trông cậy vào nó. BIP-39 nêu cơ chế này cho phép “chối hợp lý” (plausible deniability): ví thường để một ít tài sản làm mồi, ví passphrase giữ phần chính, và người khác không biết bạn có ví passphrase. Ledger mô tả đây là “một mức bảo vệ hạn chế” khi bị ép mở thiết bị, và gợi ý có thể dùng nhiều ví ẩn với passphrase khác nhau, phòng khi kẻ tấn công biết tính năng này.

Thực tế, tính năng này giờ được nhiều người biết. Khi bị khống chế bằng bạo lực, an toàn tính mạng của bạn và người thân là ưu tiên số một, tài sản mã hóa không đáng để đánh đổi. Bảo vệ tốt hơn là không để ai biết bạn giữ bao nhiêu tài sản.

Các vụ cướp tài sản mã hóa đã xảy ra ở Việt Nam. Cách tự bảo vệ có ở bài cướp tài sản mã hóa ngoài đời.

Cất passphrase thế nào, người thừa kế cần biết gì?

Ghi passphrase ra giấy, rõ từng ký tự, cất ở nơi khác với nơi cất cụm từ khôi phục. Một số lưu ý:

• Ghi rõ chữ hoa, chữ thường, dấu cách, có dấu tiếng Việt hay không (Trezor chỉ nhận ký tự ASCII, tức không nhập được chữ có dấu). “Hanoi” và “hanoi” là hai ví khác nhau.
• Không cất trong ghi chú điện thoại, ảnh chụp, email, đám mây. Ledger khuyến cáo không nhập passphrase trên thiết bị có kết nối mạng.
• Sau khi đặt, thử khôi phục lại ví ẩn và đối chiếu địa chỉ trước khi chuyển số tiền lớn.
• Người thừa kế cần biết ba thứ tồn tại và ở đâu: thiết bị, cụm từ khôi phục, passphrase. Không ghi passphrase vào di chúc, chỉ ghi nơi cất. Bối cảnh pháp lý có ở hỏi đáp thừa kế tài sản mã hóa.

Quên passphrase thì có cứu được không?

Không ai khôi phục được, kể cả nhà sản xuất. Bạn chỉ có thể tự thử lại các biến thể mình có thể đã gõ. Lỗi hay gặp là sai chữ hoa, chữ thường, dấu cách hoặc dấu tiếng Việt.

Cách thử có hệ thống và cách nhận ra dịch vụ “khôi phục ví” lừa đảo có ở bài quên mật khẩu ví crypto: khôi phục thế nào. Không đưa cụm từ khôi phục cho ai hứa “dò passphrase” hộ.

Ai có thể hỏi passphrase của bạn?

Không ai cần nó để giúp bạn. Ledger viết rõ hãng sẽ không bao giờ hỏi passphrase. Sàn giao dịch dùng tài khoản và mật khẩu của sàn, không dùng cụm từ hay passphrase ví cá nhân của bạn.

Kẻ gian thường giả danh nhân viên hỗ trợ ví, nhân viên sàn, thậm chí cán bộ công an để xin cụm từ khôi phục. Cách nhận ra có ở bài giả danh công an, cơ quan thuế lừa đảo. Ai đòi cụm từ khôi phục hay passphrase qua tin nhắn, cuộc gọi, trang web là dấu hiệu lừa đảo.