SafePal là gì? Ví S1, X1 có an toàn không

SafePal là hãng ví tài sản mã hóa thành lập năm 2018, ươm tạo trong chương trình Binance Labs Incubation đầu tiên, có cả ví lạnh (S1, S1 Pro, X1) lẫn ứng dụng ví điện thoại SafePal App. Điểm riêng của S1 và S1 Pro là ký giao dịch hoàn toàn qua mã QR, máy không có Bluetooth, Wi-Fi hay NFC; còn X1 dùng Bluetooth. Tính đến 27/10/2026, chưa có công bố nào về việc khóa trong máy SafePal bị đánh cắp, nhưng hãng từng bị chỉ ra điểm yếu phần cứng (2021) và lộ dữ liệu đơn hàng của khoảng 39.798 khách (2026).

Bài này mô tả từng mẫu theo thông tin của hãng, cách kiểm máy chính hãng ngay khi nhận hộp, các sự cố đã công bố và các kiểu lừa nhắm người dùng SafePal ở Việt Nam. Vietnambit không bán thiết bị và không xếp hạng ví. Khái niệm chung ở bài ví lạnh là gì.

SafePal S1, S1 Pro, X1 khác nhau thế nào?

Ba mẫu dùng chung chip EAL6+, PIN, passphrase, cơ chế tự hủy và bước xác thực thiết bị; khác nhau chủ yếu ở cách kết nối, màn hình và vỏ máy.

	S1	S1 Pro	X1
Kết nối khi ký	Mã QR	Mã QR	Bluetooth
Màn hình	1,3 inch màu, 320 x 320	1,3 inch màu, 320 x 320	1,8 inch đơn sắc, 128 x 64
Vỏ, phím	Nhựa ABS, PVC; phím điều hướng	Hợp kim nhôm, kính cường lực; phím điều hướng	Nhựa ABS, kính cường lực; 12 phím và phím điều hướng
Pin	400 mAh	500 mAh	200 mAh
Giá hãng công bố (27/10/2026)	49,99 USD	89,99 USD	69,99 USD

Nguồn: bảng so sánh trên trang sản phẩm S1 của SafePal, truy cập 27/10/2026. Giá chưa gồm thuế giá trị gia tăng, thuế nhập khẩu.

Giải thích vài điểm:

• Ký qua mã QR (S1, S1 Pro). Ứng dụng trên điện thoại hiện mã QR chứa giao dịch chưa ký, bạn dùng camera của máy SafePal quét, xác nhận trên máy, rồi điện thoại quét lại mã QR chữ ký. Trang S1 ghi máy không có NFC, Wi-Fi, Bluetooth, và không có kết nối USB (cáp đi kèm dùng để sạc). Đây là khác biệt thiết kế, không phải xếp hạng an toàn.
• Bluetooth (X1). Tiện hơn khi dùng với điện thoại, đổi lại có thêm một đường truyền dữ liệu. SafePal mô tả X1 là ví “mở mã nguồn hoàn toàn”.
• Mã nguồn. Với S1, trang sản phẩm ghi các phần mã quan trọng như tạo khóa riêng tư “là mã nguồn mở” để kiểm tra độc lập. Năm 2021 SafePal còn viết hãng “chưa mở mã nguồn”; mức độ công khai đã thay đổi theo thời gian.
• Tự hủy. Hãng ghi máy có nhiều cảm biến chống can thiệp, phát hiện bị mở thì xóa dữ liệu.

Ngoài ví phần cứng, SafePal App dùng độc lập như một ví nóng tự quản. Khi ghép với máy S1 hoặc X1, app chỉ giữ địa chỉ để xem số dư, còn khóa nằm trong máy. Ví nóng khác ví lạnh ở đâu, xem ví lưu ký và không lưu ký.

Kiểm SafePal chính hãng thế nào?

Máy SafePal thật bắt buộc qua bước xác thực thiết bị ngay khi bật lần đầu; kết quả cho biết máy có phải hàng thật và đã từng được dùng hay chưa. Theo trung tâm hỗ trợ của SafePal (cập nhật 3/4/2024), bước này tạo một mã 6 chữ số để xác minh qua thuật toán của hãng. Nếu kết quả báo máy không phải hàng thật hoặc đã từng được dùng, SafePal yêu cầu “ngừng dùng thiết bị ngay” và liên hệ hãng.

Khi nhận máy, kiểm thêm:

Kiểm	Bình thường	Dừng lại nếu
Hộp	Còn nguyên; bên trong có máy, cáp, 3 thẻ ghi cụm từ, hướng dẫn	Hộp có dấu đã mở hoặc dán lại
Thẻ ghi cụm từ	Trống, bạn tự chép khi máy tạo ví	Đã có sẵn 12 hoặc 24 từ, hoặc người bán “tạo ví giúp”
Xác thực thiết bị	Là bước đầu tiên, báo máy thật, chưa dùng	Bỏ qua được, báo đã dùng, hoặc người bán hướng dẫn làm qua trang lạ
Ứng dụng	Tải từ trang chính thức hoặc App Store, Google Play	Người bán gửi file cài đặt hay đường link riêng

SafePal ghi kênh mua chính thức là trang safepal.com, Amazon hoặc nhà bán lại địa phương có trong danh sách của hãng. Trang danh sách nhà bán lại, xem ngày 27/10/2026, có ghi một đơn vị ở Việt Nam; trước khi mua, đối chiếu tên miền người bán với danh sách trên trang của hãng (gõ tay safepal.com). Vietnambit không giới thiệu nơi bán cụ thể.

SafePal có an toàn không?

Chưa có công bố nào về việc khóa riêng tư trong máy SafePal bị đánh cắp, nhưng an toàn của bạn phụ thuộc vào ba thứ nằm ngoài con chip: nguồn mua máy, việc giữ kín cụm từ khôi phục, và việc đọc kỹ giao dịch trước khi ký. Các sự cố đã được công bố:

Thời điểm	Sự việc	Ý nghĩa với người dùng
18/11/2020 báo, 16/2/2021 công bố	Kraken Security Labs kiểm tra S1, báo các điểm yếu ở cơ chế phát hiện can thiệp và khả năng hạ cấp firmware	Không lấy được cụm từ; SafePal vá lỗi hạ cấp ở firmware V1.0.24
30/9/2021	SafePal cảnh báo ứng dụng ví giả, gồm một tiện ích Firefox giả đã bị Mozilla gỡ	Chỉ tải app từ trang chính thức
16/8/2026	SafePal thông báo lỗ hổng phân quyền ở plugin tra cứu đơn hàng làm lộ dữ liệu khoảng 39.798 khách	Lộ tên, email, địa chỉ, số điện thoại, đơn hàng; không lộ cụm từ, khóa

Kiểm tra của Kraken Security Labs (2021)

Theo phản hồi ngày 16/2/2021 của SafePal, nhóm Kraken Security Labs không lấy được cụm từ khôi phục từ S1. Các điểm Kraken nêu gồm: tháo tấm chắn sóng mà máy không xóa dữ liệu, có thể nạp firmware cũ đè lên bản mới mà máy không phát hiện, và không rõ máy có chuỗi khởi động an toàn hay không. SafePal trả lời điểm thứ nhất “không khai thác được và không ảnh hưởng an toàn ví”, lỗi hạ cấp firmware “không khai thác được, đã vá” ở bản V1.0.24. Hai bên đánh giá khác nhau về mức nghiêm trọng; điểm chung là tấn công kiểu này cần cầm được máy của bạn.

Ứng dụng, trang web giả (2021 đến nay)

SafePal cảnh báo có trang web giả, trang hỗ trợ giả, tài khoản mạng xã hội giả trên Telegram, X, Discord, và viết rõ: thành viên SafePal “sẽ không bao giờ hỏi cụm từ khôi phục của bạn”. Trang chống lừa đảo hiện tại của hãng bổ sung: SafePal không bao giờ hỏi cụm từ 12 hoặc 24 từ, mã PIN, khóa riêng tư, và không chủ động liên hệ trước qua điện thoại, tin nhắn riêng hay thư.

Lộ dữ liệu đơn hàng (8/2026)

Theo thông báo của SafePal ngày 16/8/2026 (cập nhật 18/8/2026), một lỗ hổng phân quyền ở plugin tra cứu tiến độ đơn hàng làm lộ tên, email, địa chỉ giao hàng, số điện thoại và thông tin mua hàng của khoảng 39.798 khách, với đơn đặt từ 2/3/2025 đến 11/4/2026. Cụm từ khôi phục, khóa riêng tư, mật khẩu ví không bị lộ; SafePal cũng không lưu số tài khoản ngân hàng, số thẻ hay giấy tờ tùy thân. Hãng cho biết khách không cần chuyển tài sản chỉ vì vụ này, nhưng ai đã đưa cụm từ hoặc khóa cho tin nhắn, cuộc gọi, trang web, thư đáng ngờ thì nên “coi ví đó đã bị xâm phạm”, tạo ví mới trên thiết bị hoặc ứng dụng SafePal tin cậy và chuyển tài sản còn lại sang. Phạm vi lùi về tháng 3/2025 vì, theo SafePal, quy trình xóa dữ liệu định kỳ bị lỗi cấu hình từ 9/2025 đến 4/2026; hãng đã sửa và rút thời gian lưu thông tin cá nhân xuống 90 ngày. Bản cập nhật ngày 18/8/2026 cho biết có người tự nhận đang giữ và rao bán bộ dữ liệu khách hàng, SafePal chưa xác minh được, đã gỡ hơn 30 trang web, đường link lừa đảo, và khuyên khách lo ngại về an toàn thân thể liên hệ công an địa phương.

Hệ quả thực tế giống vụ Ledger năm 2020: kẻ gian biết bạn đã mua máy SafePal, biết địa chỉ, số điện thoại, nên cuộc gọi hay thư “bộ phận hỗ trợ SafePal” có thể nêu đúng đơn hàng của bạn. Đúng thông tin đơn hàng không chứng minh là hãng thật.

Các kiểu lừa nhắm người dùng SafePal ở Việt Nam

Kẻ gian không cần phá máy; họ cần bạn tự đưa cụm từ khôi phục hoặc tự dùng ví do họ tạo sẵn. Các kịch bản cần nhận ra:

• Máy “đã kích hoạt”, kèm tờ giấy cụm từ. Người bán có thể bảo “bỏ qua bước xác thực đó”; đừng bỏ qua (xem bảng kiểm ở trên).
• “Hỗ trợ SafePal” gọi điện, nhắn Zalo, Telegram. Sau vụ lộ dữ liệu 2026, kẻ gian có thể nêu đúng tên, địa chỉ, đơn hàng. SafePal không chủ động liên hệ trước.
• Trang “đồng bộ ví”, “xác minh ví”, “nhận thưởng SFP”. Đòi nhập cụm từ hoặc kết nối ví rồi xin cấp quyền token. Cách thu hồi quyền đã cấp ở bài approve token và revoke.
• Ứng dụng giả. Kiểm tên nhà phát triển trên cửa hàng ứng dụng, không cài từ file người lạ gửi.
• “Ví có sẵn USDT” chia sẻ cụm từ công khai. Ví đã bị đặt quyền đa chữ ký nên bạn không rút được, còn tiền phí bạn nạp vào thì mất; cơ chế ở bài private key là gì.

Lỡ nhập cụm từ ở đâu đó thì coi ví đã lộ: tạo ví mới với cụm từ mới, chuyển phần còn lại sang ngay, rồi đọc ví bị hack phải làm gì.

Ở Việt Nam, dùng SafePal có hợp pháp không?

Giữ tài sản mã hóa trong ví cá nhân như SafePal không bị cấm; điều bị quản lý là giao dịch ngoài tổ chức được Bộ Tài chính cấp phép, áp dụng sau mốc 6 tháng kể từ giấy phép đầu tiên. Theo Nghị quyết 05/2025/NQ-CP Điều 7 khoản 2, sau mốc đó nhà đầu tư trong nước giao dịch không qua tổ chức được cấp phép sẽ bị xử lý; cá nhân có thể bị phạt 15–25 triệu đồng (Nghị định 284/2026/NĐ-CP Điều 9 khoản 1, Điều 4 khoản 2).

Trang SafePal giới thiệu app có tính năng hoán đổi, giao dịch, kiếm lợi suất và cổng nạp rút tiền pháp định. Các tính năng này do SafePal và đối tác nước ngoài cung cấp, không phải tổ chức được cấp phép tại Việt Nam, nên khi mốc 6 tháng bắt đầu, dùng chúng để mua bán là giao dịch ngoài phạm vi được phép. Tính đến 28/10/2026 chưa tổ chức nào được cấp phép; theo dõi ở lịch cấp phép. Đổi ra Đồng Việt Nam hợp pháp thì chuyển tài sản về sàn được cấp phép.

Hai dòng ví lạnh khác ở ví Ledger là gì và ví Trezor là gì. Nếu quên mật khẩu app hay mã PIN máy SafePal, xem quên mật khẩu ví crypto.