RPC là gì, đổi RPC trong ví có nguy hiểm không?

RPC (viết tắt của remote procedure call, gọi thủ tục từ xa) là cách một chiếc ví hỏi dữ liệu và gửi giao dịch tới một node blockchain, tức một máy chạy phần mềm của mạng và tự kiểm tra dữ liệu (node là gì). Mỗi khi ví hiện số dư hay bạn bấm gửi, ví đang gọi tới một địa chỉ RPC.

Đổi RPC không lấy được khóa ví của bạn, nhưng không phải vô hại. Bên giữ RPC thấy địa chỉ ví đi kèm IP của bạn, quyết định con số ví hiển thị và là bên phát giao dịch lên mạng.

RPC hoạt động thế nào trong ví?

Ví không tự lưu blockchain mà hỏi một node qua RPC, rồi hiện câu trả lời lên màn hình. ethereum.org ghi rằng ứng dụng muốn đọc dữ liệu hay gửi giao dịch lên Ethereum “phải kết nối tới một node Ethereum”.

Ba khái niệm cần phân biệt:

• Node: máy chạy phần mềm blockchain, giữ dữ liệu và tự kiểm tra từng khối. Ví thông thường không phải node.
• Endpoint (RPC URL): địa chỉ mạng, thường dạng https://…, nơi ví gửi yêu cầu tới node. Một node có thể mở endpoint cho nhiều người dùng chung.
• JSON-RPC: quy ước viết yêu cầu và câu trả lời bằng định dạng văn bản JSON. ethereum.org mô tả đây là giao thức gọi thủ tục từ xa “gọn nhẹ, không lưu trạng thái”, và mọi phần mềm node Ethereum đều hỗ trợ cùng một bộ lệnh.

Vì bộ lệnh giống nhau, ví đổi từ endpoint này sang endpoint khác mà không phải sửa gì. Đó cũng là lý do một dòng RPC URL trong phần cài đặt mạng có sức nặng lớn hơn vẻ ngoài của nó.

Một yêu cầu JSON-RPC trông ra sao?

Mỗi yêu cầu gồm tên lệnh, tham số và số thứ tự; node trả lại kết quả cùng số thứ tự đó. Ví dụ dưới đây lấy nguyên từ tài liệu JSON-RPC của ethereum.org (đọc 31/10/2026), hỏi số dư của một địa chỉ ở khối mới nhất:

{"jsonrpc":"2.0","method":"eth_getBalance","params":["0x407d73d8a49eeb85d32cf465507dd71d507100c1","latest"],"id":1}

Node trả về:

{"id":1,"jsonrpc":"2.0","result":"0x0234c8a3397aab58"}

Kết quả viết ở hệ 16 và tính bằng wei, đơn vị nhỏ nhất của ETH (1 ETH = 10^18 wei). Đổi ra: 0x0234c8a3397aab58 = 158.972.490.234.375.000 wei, chia cho 10^18 được khoảng 0,159 ETH. Ví làm đúng phép tính này rồi hiện con số lên màn hình.

Ba lệnh ví dùng nhiều nhất:

Lệnh	Ví dùng để	RPC trả về
eth_getBalance	Hiện số dư đồng gốc	Số dư tính bằng wei
eth_chainId	Hỏi mã của mạng	Chain ID ở hệ 16, ví dụ “0x1”
eth_sendRawTransaction	Gửi giao dịch	Mã giao dịch (hash)

Nguồn: ethereum.org, JSON-RPC API, đọc 31/10/2026.

Chain ID là số định danh của từng mạng EVM, được đưa vào chữ ký giao dịch theo đề xuất EIP-155 (2016) để giao dịch ký cho mạng này không dùng lại được ở mạng khác. Ethereum có chain ID 1, nên câu trả lời “0x1” ở trên nghĩa là endpoint đang trỏ vào mạng chính Ethereum. Bảng chain ID các mạng phổ biến có ở bài EVM là gì.

RPC công khai và RPC riêng khác nhau thế nào?

RPC công khai ai cũng dùng chung được, RPC riêng cấp cho từng tài khoản và thường có hạn mức riêng. Bạn cũng có thể tự chạy node và trỏ ví về đó.

Loại	Ai vận hành	Điểm mạnh	Điểm cần biết
RPC mặc định của ví	Nhà cung cấp ví chọn	Không phải cài gì	Bên cung cấp thấy IP và địa chỉ ví
RPC công khai	Dự án mạng hoặc dịch vụ node	Miễn phí, dán vào là dùng	Có thể giới hạn số yêu cầu, chậm lúc đông
RPC riêng	Dịch vụ node, cấp theo tài khoản	Ổn định hơn khi dùng nhiều	URL thường gắn khóa API, cần giữ kín
Node tự chạy	Chính bạn	Tự kiểm dữ liệu, riêng tư nhất	Tốn ổ cứng, băng thông, công bảo trì

ethereum.org ghi các dịch vụ node “không và không được” lưu khóa riêng tư hay thông tin cá nhân của người dùng. Trang này cũng nêu mặt trái: dùng dịch vụ node là dồn hạ tầng vào một bên thứ ba.

Với người dùng ví thông thường, RPC mặc định của ví là đủ. Lý do chính đáng để đổi thường là RPC mặc định quá tải ở một mạng, hoặc bạn muốn riêng tư hơn. Yêu cầu cụ thể về phần cứng khi tự chạy node có ở bài node là gì.

Đổi RPC trong ví có nguy hiểm không?

Đổi sang RPC đáng tin thì không mất tài sản; đổi sang RPC lạ thì bạn trao cho người lạ quyền xem và quyền “kể chuyện” cho ví. Chuỗi cảnh báo trong ví MetaMask ghi rằng nhà cung cấp RPC “có quyền” thấy tài khoản và IP của bạn rồi liên kết chúng với nhau, hiển thị số dư và trạng thái trên chuỗi, và phát giao dịch của bạn. MetaMask nói thêm: nhà cung cấp độc hại “có thể nói dối về trạng thái blockchain và ghi lại hoạt động mạng của bạn”.

Hai danh sách dưới đây là diễn giải của VietnamBit dựa trên cách ví ký giao dịch (eth_sendRawTransaction, ethereum.org), chuỗi cảnh báo MetaMask và EIP-3085.

Một RPC độc hại không làm được gì?

• Không lấy được khóa riêng tư hay cụm từ khôi phục. Ví ký giao dịch trên máy bạn rồi gửi bản đã ký đi bằng eth_sendRawTransaction. RPC chỉ nhận bản đã ký. Cách khóa riêng tư hoạt động có ở bài private key là gì.
• Không tự tạo giao dịch thay bạn. Muốn chuyển tài sản phải có chữ ký từ khóa của bạn.
• Không sửa được số dư thật trên blockchain. RPC chỉ sửa được con số hiện trên ví của bạn.

Một RPC độc hại làm được gì?

• Hiện số dư, giá trị, lịch sử sai. Ví tin câu trả lời của RPC. Số dư “khủng” giả có thể dùng để dụ bạn làm bước tiếp theo, như nạp phí “mở khóa” hay ký một giao dịch lạ.
• Theo dõi bạn. Mỗi lần ví hỏi số dư, RPC thấy địa chỉ ví đi kèm IP. Đề xuất EIP-3085 (trạng thái Stagnant, chưa thành chuẩn chính thức) khuyến nghị ví báo cho người dùng rằng hoạt động trên chuỗi và địa chỉ IP “sẽ lộ ra” với endpoint RPC, kể cả endpoint đáng tin.
• Giữ lại hoặc làm chậm giao dịch. MetaMask ghi nhà cung cấp RPC là bên phát giao dịch của bạn. Từ đó VietnamBit suy ra RPC có thể không phát, phát muộn, hoặc báo lỗi giả; tài liệu MetaMask hiện không liệt kê riêng việc này.
• Trả về chain ID sai. EIP-3085 ghi rằng endpoint độc hại hoặc lỗi “có thể trả về chain ID tùy ý” và có thể khiến người dùng ký giao dịch cho mạng ngoài ý muốn. Đề xuất này khuyến nghị ví chỉ ký theo chain ID người dùng đã chấp nhận và đối chiếu với kết quả eth_chainId của endpoint.

MetaMask còn ghi một điểm ít người biết: thêm RPC URL tùy chỉnh cho Ethereum, Linea, Base, Arbitrum hoặc BNB Smart Chain sẽ tắt tính năng Smart Transactions, gồm cả bảo vệ MEV (chống bị chen lệnh). Muốn bật lại phải quay về RPC mặc định.

Vì sao không nên bấm “thêm mạng” từ trang lạ?

Thông số mạng do trang web gửi tới ví, nên trang lừa đảo gửi được thông số giả. Theo trang hỗ trợ của MetaMask, ví chỉ kiểm tra cơ bản, chặn thêm trùng một mạng, và “không xác minh” mạng tùy chỉnh. Bạn chỉ nên tin thông tin đó ngang mức bạn tin trang web.

Hộp xác nhận thêm mạng gồm tên mạng, RPC URL, chain ID, ký hiệu đồng gốc và trình khám phá khối. Mọi ô đều do trang web điền. Tên “Ethereum” kèm biểu tượng quen mắt không chứng minh gì, vì EIP-3085 cũng nhắc ví rằng biểu tượng có thể không đúng với mạng thật.

Kịch bản hay gặp là trang giả mạo một dự án, đòi “thêm mạng để nhận airdrop” rồi xin ký. Đây là một dạng phishing (lừa đảo giả danh để lấy thông tin hay chữ ký). MetaMask cảnh báo có nhiều kênh mạng xã hội giả, “đặc biệt trên Telegram”. Bước nguy hiểm nhất thường là chữ ký xin quyền sau đó, xem bài approve token và revoke.

Cách kiểm chain ID và RPC trước khi thêm mạng

Lấy thông số từ tài liệu chính thức của chính mạng đó, rồi đối chiếu chain ID ở một nguồn độc lập thứ hai. Các bước dưới đây theo hướng dẫn của MetaMask và EIP-3085 (đọc 31/10/2026).

1. Kiểm danh sách mạng có sẵn trong ví trước. MetaMask khuyên xem mạng đã được hỗ trợ chưa rồi mới thêm tay. Mạng có sẵn dùng RPC do ví chọn.
2. Mở trang tài liệu (docs) của mạng bằng tên miền bạn tự gõ hoặc lưu trong dấu trang, không bấm link trong tin nhắn hay quảng cáo. Tìm mục kiểu “Network details”, “Add network”, “RPC endpoints”.
3. Ghi lại chain ID, ký hiệu đồng gốc, RPC URL, trình khám phá khối từ trang đó.
4. Đối chiếu chain ID và tên mạng với một danh bạ chain ID cộng đồng. Kho dữ liệu mở ethereum-lists/chains là một nguồn như vậy. MetaMask hướng dẫn tra một trang danh bạ, đồng thời ghi họ không quản lý dữ liệu trên đó.
5. Nếu mạng không có trong danh bạ, MetaMask nhận xét mạng đó “hoặc rất mới, hoặc có thể kém chất lượng”. Chưa chắc thì từ chối, tìm hiểu thêm rồi quay lại sau.
6. Sau khi thêm, tra địa chỉ ví trên trình khám phá khối chính thức của mạng. Số dư ở đó khác số trên ví thì RPC có vấn đề.

Thao tác bấm nút trong MetaMask (thêm mạng, sửa RPC URL) có ở bài MetaMask là gì.

Riêng tư: RPC biết gì về bạn?

Mọi RPC đều nhận được IP và các địa chỉ ví bạn tra cứu, kể cả RPC mặc định của ví. Ở bước cài đặt riêng tư khi tạo ví, bản tiện ích MetaMask ghi rằng bạn có thể chọn RPC riêng, nhưng “bất kỳ RPC nào” cũng nhận địa chỉ IP và địa chỉ ví Ethereum của bạn để thực hiện giao dịch.

Khi một bên vừa thấy IP vừa thấy nhiều địa chỉ ví hỏi cùng lúc, bên đó có thể đoán các ví ấy cùng một chủ. Muốn giảm điều này, ethereum.org gợi ý hai hướng:

• Tự chạy node và trỏ ví về node của mình, để không phải “để lộ địa chỉ và số dư cho bên trung gian”.
• Dùng node của một cộng đồng bạn tin, theo ethereum.org là riêng tư hơn một bên thứ ba ngẫu nhiên.

RPC “không lưu nhật ký” chỉ là lời hứa của bên cung cấp. Người dùng không tự kiểm được lời hứa đó.

Người dùng ở Việt Nam cần để ý gì?

Tài sản để trên sàn không đụng tới RPC; chỉ ví tự quản mới đặt bạn vào vai chọn RPC. Sàn giữ hộ tài sản (ví lưu ký) tự vận hành kết nối tới blockchain, bạn chỉ chọn mạng nạp rút như TRC20, ERC20, BEP20. Với ví tự quản (ví bạn tự giữ khóa), mạng và RPC là việc của bạn.

Theo Nghị quyết 05/2025/NQ-CP (Điều 4 khoản 4), chỉ tổ chức được Bộ Tài chính cấp giấy phép mới được cung cấp dịch vụ liên quan đến tài sản mã hóa và quảng cáo, tiếp thị liên quan đến tài sản mã hóa. Tính đến 31/10/2026, chưa sàn nào được cấp phép. Trang hay nhóm chat nào hướng dẫn “thêm mạng mới” để nhận thưởng, đầu tư hay rút tiền mà không phải tổ chức được cấp phép thì nên coi là dấu hiệu lừa đảo cho tới khi tự kiểm được.

Ai hỏi cụm từ khôi phục để “sửa lỗi RPC”, “đồng bộ ví” hay “mở khóa số dư” là đang lừa: RPC hoạt động mà không cần tới cụm từ này.