Ví đa chữ ký (multisig) là gì? Cách hoạt động và rủi ro

Ví đa chữ ký (multisig, multi-signature) là ví cần đủ M chữ ký trong tổng số N khóa thì giao dịch mới hợp lệ, ví dụ cấu hình 2 trong 3: có ba khóa, bất kỳ hai khóa nào cùng ký là chuyển được tiền. Nhờ vậy mất hoặc lộ một khóa chưa làm mất tài sản, và không một người nào tự ý chuyển tiền được. Trên Bitcoin, multisig là kiểu giao dịch chuẩn từ năm 2012; trên Ethereum và các mạng tương thích, multisig là một hợp đồng thông minh, phổ biến nhất là Safe (tên cũ Gnosis Safe).

Multisig không phải lá chắn tuyệt đối. Vụ sàn nước ngoài Bybit mất khoảng 1,5 tỷ USD từ ví lạnh đa chữ ký ngày 21/2/2025 cho thấy nhiều người ký vẫn có thể cùng bị lừa ký một giao dịch độc hại. Bài này giải thích cách hoạt động, ai hợp dùng, các bước tạo ví và những rủi ro cần biết.

Ví đa chữ ký hoạt động thế nào?

Ví đa chữ ký gắn với một danh sách khóa và một ngưỡng; mạng blockchain chỉ chấp nhận giao dịch khi có đủ chữ ký theo ngưỡng. Mỗi khóa thường do một người hoặc một thiết bị giữ riêng, với cụm từ khôi phục riêng.

So sánh với ví một khóa thông thường:

	Ví một khóa	Ví đa chữ ký 2 trong 3
Ai chuyển được tiền	Bất kỳ ai có khóa hoặc cụm từ	Bất kỳ hai trong ba người giữ khóa
Lộ một khóa	Mất quyền kiểm soát	Chưa mất; cần thay khóa bị lộ
Mất một khóa	Mất tài sản nếu không có bản sao lưu	Vẫn dùng được hai khóa còn lại
Phí giao dịch	Thấp nhất	Cao hơn (thêm chữ ký hoặc gọi hợp đồng)
Độ phức tạp	Thấp	Cao: phối hợp người ký, sao lưu thêm thông tin

Một số cấu hình hay gặp: 2 trong 2 (hai người cùng đồng ý), 2 trong 3 (chịu được mất một khóa), 3 trong 5 (nhóm, doanh nghiệp). Ngưỡng càng gần tổng số khóa thì càng khó bị chiếm, nhưng cũng càng dễ bị khóa chết khi mất khóa. Với ngưỡng M trong N, mất từ N − M + 1 khóa trở lên là không chuyển được nữa: ví dụ 2 trong 3 thì mất 3 − 2 + 1 = 2 khóa là hết đường.

Multisig trên Bitcoin và trên Ethereum khác nhau ra sao?

Trên Bitcoin, multisig là một kiểu địa chỉ do giao thức hỗ trợ sẵn; trên Ethereum, multisig là một hợp đồng thông minh có địa chỉ riêng. Khác biệt này ảnh hưởng tới cách sao lưu và cách thay khóa.

Bitcoin

Đề xuất BIP 11 (giao dịch chuẩn M trong N, đăng ký 18/10/2011) và BIP 16 (Pay to Script Hash, 3/1/2012) đưa multisig thành giao dịch chuẩn của Bitcoin. Địa chỉ multisig được tính từ khóa công khai của mọi người ký và ngưỡng. Hệ quả:

• Không đổi được khóa trong ví cũ. Muốn thay một khóa, bạn tạo ví đa chữ ký mới rồi chuyển tài sản sang.
• Sao lưu cần nhiều hơn cụm từ. Để khôi phục, ngoài đủ số cụm từ theo ngưỡng, phần mềm còn cần “output descriptor”: bản mô tả gồm khóa công khai mở rộng (xpub) của mọi người ký và đường dẫn tạo khóa. Một lập trình viên ví viết trên diễn đàn Delving Bitcoin (6/2/2025): “2 cụm từ khôi phục KHÔNG đủ để khôi phục ví đa chữ ký 2 trong 3”. Hãy lưu descriptor (hoặc tệp cấu hình ví) cùng mỗi bộ khóa, tách riêng khỏi cụm từ.

Ethereum và các mạng EVM: Safe

Safe (Gnosis Safe công bố đổi tên ngày 11/7/2022, theo blog của Safe) là tài khoản hợp đồng thông minh. Theo tài liệu của Safe, bạn đặt danh sách chủ sở hữu (owner) và một ngưỡng; khi đủ số chủ sở hữu xác nhận thì giao dịch được thực thi. Chủ sở hữu có thể là ví thường, một tài khoản hợp đồng khác hoặc passkey. Khác Bitcoin:

• Thay được người ký ngay trong ví. Đủ ngưỡng thì thêm, bớt người ký hoặc đổi ngưỡng mà không đổi địa chỉ.
• Mỗi mạng là một hợp đồng. Mỗi Safe là một hợp đồng triển khai trên một mạng cụ thể; tài sản gửi tới cùng địa chỉ trên mạng khác không tự nằm trong Safe đó. Trước khi nhận tài sản, kiểm đúng mạng bạn đã tạo Safe; cách xử lý khi chọn nhầm mạng ở bài chuyển nhầm mạng USDT.
• Có rủi ro hợp đồng và giao diện. Ngoài khóa, bạn còn phụ thuộc vào mã hợp đồng và trang web dùng để tạo giao dịch, như vụ Bybit ở dưới.

Mạng TRON

Tài khoản trên TRON có cơ chế phân quyền: quyền owner và active, mỗi quyền có danh sách khóa, trọng số và ngưỡng. Tính năng này hợp pháp, nhưng đang bị dùng để lừa ở Việt Nam: kẻ gian đăng công khai cụm từ của một ví “có sẵn USDT” đã bị đặt quyền đa chữ ký, người nhập vào thấy tiền nhưng không rút được, nạp thêm TRX làm phí thì mất luôn. Cơ chế chi tiết ở bài private key là gì.

Ai nên cân nhắc dùng ví đa chữ ký?

Multisig hợp khi tài sản đủ lớn để chi phí và độ phức tạp đáng bỏ ra, hoặc khi cần nhiều người cùng kiểm soát. Các trường hợp điển hình:

• Doanh nghiệp, tổ chức. Không một nhân viên nào tự chuyển được tiền; mỗi giao dịch có người thứ hai kiểm. Hướng dẫn của Safe nêu cấu hình phổ biến cho nhóm là mỗi người một khóa, ngưỡng 3.
• Nhóm cùng góp quỹ. Tiền chung không nằm trong tay một người.
• Cá nhân muốn bỏ điểm hỏng duy nhất. Safe nêu cấu hình phổ biến cho cá nhân: 3 khóa (1 MetaMask, 2 ví phần cứng), ngưỡng 2; MetaMask và một ví phần cứng dùng hằng ngày, ví phần cứng thứ hai cất ở nơi an toàn để dự phòng.
• Gia đình. Chia khóa cho nhiều thành viên để khi một người không còn khả năng ký, những người còn lại vẫn đủ ngưỡng. Phần pháp lý của thừa kế cần hỏi luật sư hoặc công chứng viên.

Không hợp với: người mới chưa quen tự giữ ví tự quản, người giao dịch hằng ngày số nhỏ, hoặc khi các khóa thực chất do cùng một người giữ trên cùng một máy (khi đó multisig không thêm an toàn).

Cách tạo ví đa chữ ký

Quy trình chung: chuẩn bị từng khóa trên thiết bị riêng, chọn ngưỡng, tạo ví, sao lưu cấu hình, rồi thử bằng khoản nhỏ. Các bước dưới đây mô tả theo hướng dẫn của Safe và nguyên tắc chung cho Bitcoin; giao diện cụ thể đổi theo phiên bản phần mềm.

1. Chuẩn bị khóa. Mỗi người ký tạo ví riêng (ví phần cứng, ví điện thoại), tự chép cụm từ khôi phục. Không tạo nhiều khóa trên cùng một thiết bị.
2. Chọn ngưỡng. Safe khuyến nghị ngưỡng lớn hơn 1 để không tài khoản nào tự thực thi giao dịch, và nhỏ hơn tổng số người ký để mất một khóa không bị khóa chết.
3. Tạo ví. Trên Safe: gõ tay địa chỉ trang chính thức, kết nối ví, chọn mạng, nhập địa chỉ các chủ sở hữu, đặt ngưỡng, trả phí gas để triển khai. Trên Bitcoin: dùng phần mềm ví hỗ trợ multisig, nhập xpub của từng thiết bị, đặt ngưỡng.
4. Sao lưu cấu hình. Bitcoin: lưu output descriptor. Safe: ghi lại địa chỉ Safe, mạng, danh sách chủ sở hữu.
5. Thử khoản nhỏ. Gửi vào một khoản nhỏ, rồi thực hiện một giao dịch rút đủ quy trình ký trước khi chuyển số lớn.
6. Kiểm nội dung trên màn hình ví phần cứng mỗi lần ký. Địa chỉ nhận, số tiền, loại giao dịch. Thiết bị hiện dữ liệu khó đọc (ký “mù”) thì dừng lại kiểm bằng công cụ khác.

Bài học từ vụ Bybit mất 1,5 tỷ USD qua ví đa chữ ký

Multisig chống được việc mất một khóa, nhưng không chống được việc tất cả người ký cùng tin một giao diện đã bị cài mã độc.

Diễn biến theo các nguồn chính thức:

• Vụ trộm. FBI (thông báo ngày 26/2/2025) cho biết CHDCND Triều Tiên “chịu trách nhiệm” cho vụ trộm khoảng 1,5 tỷ USD tài sản ảo từ sàn Bybit vào khoảng ngày 21/2/2025, gọi hoạt động này là “TraderTraitor”, và đề nghị các bên chặn giao dịch liên quan địa chỉ rửa tiền.
• Ví bị rút. Bybit cho biết tài sản bị chuyển khi sàn thực hiện lệnh chuyển ETH định kỳ từ “ví lạnh đa chữ ký” sang ví nóng; hơn 400.000 ETH và stETH bị chuyển tới địa chỉ lạ (BleepingComputer, 26/2/2025).
• Cách làm. Safe Ecosystem Foundation (28/2/2025) cho biết tấn công đạt được qua “máy tính của một lập trình viên Safe{Wallet} bị xâm nhập”, dẫn tới việc đề xuất một giao dịch độc hại được ngụy trang. Theo các nhà điều tra được BleepingComputer dẫn, mã JavaScript độc được cài vào trang app.safe.global và chỉ kích hoạt với ví của Bybit. Bybit mô tả giao dịch độc hại đã “thay đổi logic hợp đồng thông minh và che giao diện ký”: người ký thấy một lệnh chuyển trông bình thường.
• Hợp đồng không có lỗi. Safe cho biết rà soát của các nhà nghiên cứu bên ngoài “không cho thấy lỗ hổng nào trong hợp đồng thông minh Safe”; Safe đã dựng lại hạ tầng, đổi toàn bộ thông tin xác thực và khuyến cáo người dùng “hết sức thận trọng” khi ký giao dịch.

Rút ra cho người dùng cá nhân:

• Đủ chữ ký chưa có nghĩa là an toàn. Nếu mọi người ký dùng chung một trang web để xem giao dịch, trang đó trở thành điểm hỏng duy nhất mới.
• Đọc trên màn hình thiết bị, không đọc trên trình duyệt. Giao dịch thay đổi cấu hình ví, cấp quyền hay gọi hợp đồng lạ trong khi bạn chỉ định chuyển tiền là dấu hiệu dừng lại.
• Kiểm độc lập. Với ví giá trị lớn, một người ký nên kiểm nội dung giao dịch bằng công cụ hoặc thiết bị khác giao diện đang dùng.
• Ví lạnh của sàn cũng có thể bị rút. Đây là một lý do khi chọn sàn nên xem cơ chế bồi thường. Nghị quyết 05/2025/NQ-CP Điều 15 khoản 2 điểm m buộc tổ chức được cấp phép tại Việt Nam bồi thường khi nhà đầu tư mất tài sản “do hệ thống bảo mật mất an toàn, bị xâm nhập, bị lừa đảo”. Tình trạng pháp lý của Bybit ở Việt Nam xem tra cứu Bybit.

Ở Việt Nam, dùng ví đa chữ ký có được không?

Văn bản hiện hành không nhắc riêng đến ví đa chữ ký; giữ tài sản trong ví cá nhân, kể cả ví nhiều người cùng ký, không bị cấm. Điều bị quản lý là giao dịch: theo Nghị quyết 05/2025/NQ-CP Điều 7 khoản 2, sau 6 tháng kể từ khi tổ chức đầu tiên được Bộ Tài chính cấp phép, nhà đầu tư trong nước giao dịch tài sản mã hóa không qua tổ chức được cấp phép sẽ bị xử lý; cá nhân có thể bị phạt 15–25 triệu đồng (Nghị định 284/2026/NĐ-CP Điều 9 khoản 1, Điều 4 khoản 2). Tính đến 28/10/2026 chưa tổ chức nào được cấp phép; theo dõi ở lịch cấp phép.

Doanh nghiệp muốn nắm giữ tài sản mã hóa qua ví đa chữ ký cần hỏi thêm về hạch toán, thuế với đơn vị tư vấn; Vietnambit không tư vấn việc này. Bảo mật từng khóa trong ví đa chữ ký vẫn theo nguyên tắc của ví lạnh: xem ví lạnh là gì, ví Ledger là gì, ví Trezor là gì và checklist bảo mật ví.