Private key là gì? Khác public key, seed phrase

Private key (khóa riêng tư, còn gọi khóa bí mật) là một số ngẫu nhiên 256 bit mà ví dùng để ký lệnh chuyển tài sản. Trên Ethereum và các mạng tương thích, nó hiện thành 64 ký tự hex (chữ số 0–9 và chữ a–f). Từ private key tính ra public key (khóa công khai), từ public key tính ra địa chỉ ví; không ai tính ngược được. Seed phrase (cụm từ khôi phục) đứng trên cùng: 12–24 từ sinh ra private key cho mọi địa chỉ trong ví.

Bài này giải thích bốn thứ đó khác nhau thế nào, khóa được sinh ra ra sao ở mức khái niệm, khi nào bạn thật sự cần đến private key, và các chiêu lừa xin hoặc “tặng” private key đang nhắm vào người Việt.

Private key là gì?

Private key là con số bí mật chứng minh bạn là chủ một địa chỉ: chỉ người có nó mới tạo được chữ ký hợp lệ cho giao dịch chuyển tài sản từ địa chỉ đó. Theo tài liệu Bitcoin, private key ở dạng chuẩn “is simply a 256-bit number”, nằm trong khoảng từ 1 đến một giá trị gần 2^256 do đường cong elliptic secp256k1 quy định. Ethereum dùng cùng đường cong; ethereum.org mô tả private key “is made up of 64 hex characters” (64 × 4 bit = 256 bit).

Khi bạn bấm gửi, ví làm ba việc:

1. Soạn giao dịch: gửi bao nhiêu, tới địa chỉ nào, phí bao nhiêu.
2. Dùng private key ký giao dịch ngay trên máy (hoặc trong ví lạnh). Khóa không rời khỏi thiết bị.
3. Phát giao dịch kèm chữ ký lên mạng. Các nút trong mạng dùng public key kiểm tra chữ ký khớp, không cần biết private key.

Vì vậy ai có private key là người đó chuyển được tài sản, không cần mật khẩu ứng dụng, điện thoại hay mã OTP của bạn.

Private key, public key, địa chỉ ví và seed phrase khác nhau thế nào?

Seed phrase sinh ra private key, private key sinh ra public key, public key sinh ra địa chỉ. Hai thứ đầu phải giữ kín, hai thứ sau công khai được.

	Seed phrase	Private key	Public key	Địa chỉ ví
Trông như	12–24 từ tiếng Anh	64 ký tự hex; Bitcoin WIF bắt đầu bằng 5, K, L	Chuỗi dài hơn, ít khi hiện ra	0x… (EVM), T… (TRON), 1…, 3…, bc1… (Bitcoin)
Điều khiển	Mọi địa chỉ trong ví	Một địa chỉ	Không điều khiển gì	Không điều khiển gì
Đưa người khác	Không bao giờ	Không bao giờ	Được	Được, để nhận tài sản
Bị lộ thì	Mất cả ví	Mất tài sản ở địa chỉ đó	Không mất gì	Người khác xem được số dư, lịch sử
Khôi phục ví bằng nó	Được, toàn bộ ví	Được, riêng địa chỉ đó	Không	Không

Mật khẩu ứng dụng ví là thứ thứ năm, nằm ngoài chuỗi trên: nó chỉ mở khóa ứng dụng trên một máy. So sánh chi tiết mật khẩu với seed phrase ở bài cụm từ khôi phục là gì; cách đọc và kiểm địa chỉ trước khi gửi ở bài địa chỉ ví là gì.

Private key được tạo ra như thế nào?

Ví tạo một số ngẫu nhiên, biến nó thành seed phrase để bạn chép, rồi từ đó tính lần lượt ra từng private key theo một “đường dẫn” cố định. Ở mức khái niệm, với ví theo chuẩn BIP-39, BIP-32, BIP-44 (MetaMask, Trust Wallet và phần lớn ví hiện nay):

Số ngẫu nhiên 128–256 bit
  ↓ BIP-39: đổi thành 12–24 từ (seed phrase)
Seed phrase (+ passphrase nếu có)
  ↓ BIP-39: PBKDF2, 2.048 vòng HMAC-SHA512
Seed 512 bit
  ↓ BIP-32: khóa chủ (master key)
  ↓ BIP-44: đi theo đường dẫn m/44'/loại coin'/tài khoản'/0 (địa chỉ nhận)/số thứ tự
Private key của từng địa chỉ
  ↓ phép nhân trên đường cong secp256k1 (một chiều)
Public key
  ↓ hàm băm (một chiều)
Địa chỉ ví

Vài điểm đáng biết từ các chuẩn này:

• Loại coin trong đường dẫn theo danh sách SLIP-44: Bitcoin là 0, Ethereum là 60, TRON là 195. Ví dụ đường dẫn cho địa chỉ Ethereum đầu tiên theo BIP-44 là m/44’/60’/0’/0/0. Cùng một seed phrase nhưng đường dẫn khác cho ra địa chỉ khác; đó là lý do đôi khi nhập seed vào ví khác lại không thấy tài sản.
• Passphrase (từ thứ 25) được trộn vào ở bước tạo seed. BIP-39 ghi seed tạo bằng PBKDF2 với chuỗi “mnemonic” cộng passphrase làm muối. Cùng 12 từ, khác passphrase là ra ví khác hoàn toàn.
• Địa chỉ Ethereum là 20 byte cuối của giá trị băm Keccak-256 của public key, thêm 0x ở đầu (ethereum.org), nên luôn dài 42 ký tự.
• Ví nhập bằng private key (imported account) không thuộc seed phrase. MetaMask ghi rằng với tài khoản nhập bằng private key, “the only way to access the account is to reimport it using the private key”. Seed phrase không cứu được tài khoản đó.

Vì sao không ai dò ra được private key?

Vì có khoảng 1,16 × 10^77 giá trị có thể, con số không máy tính nào thử hết. Tính bằng số:

• 256 bit cho 2^256 ≈ 1,16 × 10^77 khả năng.
• Giả sử một hệ thống thử được 10^18 khóa mỗi giây (một tỷ tỷ lần), thời gian thử hết là 1,16 × 10^77 ÷ 10^18 ≈ 1,16 × 10^59 giây.
• Chia cho số giây một năm (khoảng 3,16 × 10^7): khoảng 3,7 × 10^51 năm.

Phép tính trên chỉ đúng khi khóa được tạo ngẫu nhiên thật. Khóa do người tự nghĩ ra (ví “não”, mật khẩu dễ nhớ băm thành khóa) hoặc do phần mềm lỗi, phần mềm giả tạo ra thì đoán được. Vì thế chỉ tạo ví bằng ứng dụng tải từ nguồn chính thức, và không dùng ví do người khác tạo sẵn. Mối lo máy tính lượng tử với khóa riêng tư được giải thích ở bài máy tính lượng tử và bitcoin.

Private key MetaMask là gì, xem ở đâu?

Mỗi tài khoản trong MetaMask có một private key riêng. Theo hướng dẫn của MetaMask, bạn mở danh sách tài khoản, bấm dấu ba chấm cạnh tài khoản, chọn mục private key rồi nhập mật khẩu MetaMask để xem. MetaMask đặt cảnh báo ngay đầu trang hướng dẫn: việc xuất khóa “could be risky as it displays your private key in clear text”, và “No MetaMask representative, including our Support team, will ever ask for your private key, regardless of the context.”

Khi nào nên xem:

• Bạn muốn đưa riêng một tài khoản sang ví khác mà không chuyển cả seed phrase.
• Bạn có tài khoản nhập bằng private key và cần sao lưu khóa đó, vì seed phrase không khôi phục được nó.

Khi xem: làm ở nơi không có camera, không ai đứng cạnh, không chụp màn hình, không dán vào ghi chú hay tin nhắn. Còn lại, sao lưu seed phrase là đủ cho mọi tài khoản sinh từ nó. Giới thiệu chung về ví này ở bài MetaMask là gì.

Private key Bitcoin khác gì private key Ethereum?

Cùng là số 256 bit trên đường cong secp256k1, chỉ khác cách hiển thị và cách tính địa chỉ.

• Hiển thị. Ví Bitcoin thường xuất khóa dạng WIF (Wallet Import Format), mã base58 có kèm mã kiểm tra. Trên mạng chính, WIF bắt đầu bằng 5 nếu dùng khóa công khai không nén, bằng K hoặc L nếu dùng khóa nén (Bitcoin Wiki). Ethereum hiển thị 64 ký tự hex trần.
• Địa chỉ. Bitcoin có nhiều kiểu địa chỉ (bắt đầu bằng 1, 3, bc1) tính từ public key theo các cách khác nhau. Nhiều ví Bitcoin tạo địa chỉ nhận mới cho mỗi lần nhận, tất cả sinh từ cùng seed phrase.
• Rủi ro riêng của ví HD. Tài liệu Bitcoin cảnh báo: kẻ có được extended public key (khóa công khai mở rộng, xpub) cộng với bất kỳ private key con nào sinh từ nó có thể tính ngược ra khóa cha. Đừng đưa xpub cho dịch vụ lạ đi kèm việc xuất private key con.

Khi nào bạn thật sự cần đến private key?

Hầu như không bao giờ, nếu bạn đã sao lưu seed phrase. Các trường hợp hợp lý:

1. Khôi phục một tài khoản đã nhập bằng private key.
2. Chuyển riêng một địa chỉ sang ứng dụng ví khác.
3. Lấy tài sản từ một ví giấy cũ (private key in trên giấy).

Không có trường hợp nào bạn phải gõ private key vào một trang web, đưa cho “nhân viên hỗ trợ”, hay gửi cho sàn. Nhận tài sản chỉ cần địa chỉ.

Các chiêu lừa xin hoặc “tặng” private key

Mọi chiêu đều nhằm một trong hai việc: lấy khóa của bạn, hoặc khiến bạn nạp tiền vào ví mà kẻ gian vẫn kiểm soát.

Chiêu	Diễn biến	Ghi nhận
“Hỗ trợ kỹ thuật” nhắn riêng	Bạn hỏi lỗi trong nhóm Telegram, Facebook; có người nhắn “admin hỗ trợ”, bảo gửi private key hoặc dán vào trang “đồng bộ ví”, “xác minh ví”	MetaMask: không nhân viên nào của họ hỏi private key, trong bất kỳ hoàn cảnh nào
Trang ví giả trên quảng cáo tìm kiếm	Trang giống hệt ví hoặc ứng dụng thật, đứng đầu kết quả nhờ mua quảng cáo, đòi “nhập private key hoặc seed phrase để khôi phục” hoặc bảo kết nối ví	VnExpress 27/11/2021: người dùng Hà Nội mất hết tài sản trong ví sau khi vào trang PancakeSwap giả chạy quảng cáo Google; một người dùng khác suýt tải ứng dụng MetaMask giả từ tên miền nhái
“Tặng” private key ví có sẵn USDT	Bình luận, tin nhắn đăng công khai private key hoặc seed của một ví đang có USDT. Bạn nhập vào, thấy tiền thật, nhưng chuyển không được vì thiếu TRX làm phí. Bạn nạp TRX, vẫn không chuyển được, và TRX vừa nạp cũng không rút ra được	SANS Internet Storm Center (3/2/2025): ví chứa hơn 5.000 USD, chủ yếu USDT, đã được đặt quyền đa chữ ký nên “the published seed phrase doesn’t give you control over the wallet”
Mạo danh cơ quan, sàn	Người tự xưng công an, sàn “được cấp phép” đòi “xác minh tài sản”	Công an TP Hà Nội (9/9/2026) khuyến cáo không cung cấp mật khẩu, mã OTP cho bất kỳ ai; private key còn quan trọng hơn hai thứ đó

Chiêu “tặng” private key hoạt động được vì trên mạng TRON, một tài khoản có quyền owner (chủ) và quyền active (vận hành), mỗi quyền có danh sách khóa, trọng số và ngưỡng. Mặc định chỉ khóa của chính địa chỉ đó, với ngưỡng 1. Chủ tài khoản có thể gửi giao dịch cập nhật quyền để thêm khóa khác hoặc nâng ngưỡng (tài liệu TRON Developer Hub). Kẻ gian làm đúng việc đó: địa chỉ vẫn như cũ, private key cũ vẫn đăng nhập được, nhưng không còn đủ quyền để chuyển. Trên Tronscan, mục quyền của địa chỉ sẽ cho thấy khóa lạ. Lòng tham “nhặt được ví có tiền” là cái bẫy; tài sản ở ví người khác cũng không phải của bạn.

Các kiểu lừa khác đang lưu hành ở Việt Nam được gom ở bài các kiểu lừa đảo tài sản mã hóa phổ biến.

Lỡ để lộ private key thì làm gì?

Coi địa chỉ đó đã mất quyền: tạo ví mới với seed phrase mới trên thiết bị sạch, chuyển ngay tài sản còn lại sang đó.

1. Tạo ví mới trên thiết bị hoặc trình duyệt khác. Không dùng lại seed phrase cũ, vì nếu khóa bị lộ do mã độc thì seed cũng có thể đã lộ. Một dạng mã độc hay gặp được mô tả ở bài virus đào coin là gì.
2. Chuyển tài sản giá trị lớn trước. Nếu địa chỉ cũ không còn đồng coin trả phí mạng, đừng nạp thêm khi chưa chắc kẻ gian không đang theo dõi để rút.
3. Nếu là địa chỉ TRON và không chuyển được dù đủ phí, kiểm mục quyền trên Tronscan; quyền đã bị đổi thì không có cách lấy lại.
4. Thu hồi các quyền đã cấp cho hợp đồng nếu còn tài sản (xem approve token và revoke).

Nếu tài sản đã bị rút, làm theo trình tự ở bài ví bị hack phải làm gì: giữ mã giao dịch, địa chỉ nhận, ảnh chụp tin nhắn, rồi trình báo cơ quan công an nơi cư trú.

Với ví tự quản, không có bên nào bồi thường. Nghĩa vụ bồi thường khi tài sản mất “do hệ thống bảo mật mất an toàn, bị xâm nhập, bị lừa đảo” trong Nghị quyết 05/2025/NQ-CP (Điều 15 khoản 2 điểm m) chỉ áp cho tổ chức được Bộ Tài chính cấp phép, với tài sản họ lưu ký; tính đến 28/10/2026 chưa tổ chức nào được cấp phép. Khác biệt giữa tự giữ khóa và để sàn giữ khóa phân tích ở bài ví lưu ký và ví không lưu ký.