Ví Rabby là gì, khác MetaMask ở cảnh báo giao dịch thế nào?

Rabby Wallet (ví Rabby) là phần mềm ví tự quản cho Ethereum và các mạng tương thích EVM (mạng chạy được hợp đồng viết cho Ethereum), có tiện ích trình duyệt và ứng dụng điện thoại. Bạn tự giữ cụm từ khôi phục, Rabby không giữ tài sản và không phải sàn giao dịch.

Rabby được biết đến nhờ transaction simulation (chạy thử giao dịch trước khi ký để biết số dư sẽ thay đổi ra sao). Đây đúng là chỗ nhiều người mất tiền: ký approve (cấp quyền cho hợp đồng tiêu token của mình) hay ký kiểu blind signing (ký khi không đọc được nội dung) mà không biết mình vừa cho đi cái gì.

Ví Rabby là gì?

Rabby là ví tự quản, mã nguồn mở, chỉ dành cho Ethereum và các mạng EVM, gắn với đội phát triển DeBank. Kho mã nguồn tiện ích trên GitHub được tạo từ tháng 4/2021 và dùng giấy phép MIT (giấy phép mã nguồn mở cho phép ai cũng được đọc, sửa và dùng lại mã), trừ tên và logo Rabby.

Những thông tin cơ bản, tính đến 07/11/2026:

Mục	Ví Rabby
Loại ví	Ví tự quản: khóa nằm trên máy bạn, Rabby không giữ tiền
Nền tảng	Tiện ích Chrome, Brave, Edge; ứng dụng iOS, Android; bản máy tính đang thử nghiệm
Mạng	Mọi mạng EVM, hơn 80 mạng tích hợp sẵn; không hỗ trợ Bitcoin, Solana, Tron
Mã nguồn	Công khai, giấy phép MIT
Kiểm toán gần nhất	SlowMist (8/2026), Least Authority (báo cáo 09/10/2026)
Quy mô	800.000 người dùng tiện ích Chrome; hơn 500.000 lượt tải trên Google Play
Đơn vị phát hành ứng dụng	Opcode Labs Pte. Ltd.; App Store ghi bản quyền DeBank Global Pte. Ltd.

Số người dùng và lượt tải lấy từ trang của Rabby trên Chrome Web Store và Google Play, xem ngày 07/11/2026. Gói ứng dụng Android mang tên com.debank.rabbymobile, và báo cáo kiểm toán năm 2024 của Least Authority đề tên “DeBank Rabby Wallet”. DeBank là nền tảng theo dõi tài sản trên nhiều blockchain.

Theo Least Authority, tiện ích Rabby xây trên một bản tách nhánh (fork) của MetaMask và dùng lại thành phần của MetaMask, gồm bộ quản lý khóa. Nghĩa là hai ví có chung gốc ở phần giữ khóa.

Transaction simulation trong Rabby hoạt động thế nào?

Trước khi bạn ký, Rabby chạy thử giao dịch rồi hiện số token sẽ rời ví và số token dự kiến nhận về. Rabby gọi đây là tính năng bảo mật cốt lõi, giúp tránh blind signing.

Trang hỗ trợ của Rabby đưa ví dụ: trang web ghi nút “Claim” (nhận thưởng) nhưng bản mô phỏng lại hiện “Transfer” (chuyển đi). Hình dung bạn vào một trang nhận airdrop giả. Trang ghi “Nhận 200 token miễn phí”, còn màn hình ký của Rabby hiện “-1.500 USDT” ở mục số dư thay đổi. Chênh lệch đó là lý do để từ chối.

Đi kèm mô phỏng là security engine (bộ quét rủi ro) của Rabby. Khi thấy rủi ro, ví hiện dấu chấm than vàng hoặc đỏ. Một số dấu hiệu Rabby nêu:

• Approve token: bên nhận quyền (spender) là một ví cá nhân (EOA, địa chỉ do khóa riêng điều khiển, không phải hợp đồng), dấu hiệu lừa đảo hay gặp. Hoặc hợp đồng có “Trust Value” 0 USD, tức tổng giá trị tài sản đang được cấp quyền cho nó bằng 0. Hoặc hợp đồng mới tạo dưới 3 ngày.
• Swap: price impact cao (lệnh quá lớn so với quỹ thanh khoản nên bạn nhận về ít hơn hẳn giá trị bỏ ra), hoặc token sắp nhận là token lừa đảo đã biết.
• Chữ ký không tốn gas: permit (chữ ký cấp quyền tiêu token, không cần gửi giao dịch) không tốn phí nhưng vẫn có thể cho kẻ gian rút token. Rabby giải mã loại chữ ký này để bạn đọc được.

Khi có rủi ro, nút ký (Sign) bị khóa. Muốn ký tiếp, bạn phải bấm “Ignore All”, và Rabby ghi rõ người bấm tự chịu trách nhiệm, Rabby không bồi thường. Nếu mô phỏng báo “Simulation Failed”, giao dịch nhiều khả năng sẽ thất bại trên chuỗi. Cố gửi thì vẫn mất phí mạng mà không được gì.

Rabby khác MetaMask ở cảnh báo giao dịch thế nào?

MetaMask nay cũng mô phỏng giao dịch và cảnh báo rủi ro mặc định, nên khoảng cách giữa hai ví hẹp hơn mô tả trong nhiều bài so sánh cũ. Khác biệt còn lại nằm ở cách chặn nút ký, mức approve khi swap, phí và giấy phép mã nguồn.

Tiêu chí	Rabby	MetaMask
Mô phỏng số dư trước khi ký	Có, là tính năng cốt lõi	Có, bật mặc định (cần bật “Basic Functionality”)
Cưỡng chế kết quả trên chuỗi	Tài liệu chúng tôi đọc không nhắc	Có (“Added protection”, 15 mạng, cho tài khoản thông minh trên tiện ích)
Khi phát hiện rủi ro	Khóa nút ký tới khi bấm “Ignore All”	Hiện “Warning” hoặc “Malicious”, vẫn cho xác nhận
Mức approve khi swap trong ví	Chỉ đúng số token cần cho lần swap	Mặc định không giới hạn, trừ một số mạng layer 2
Phí swap trong ví	0,25% (0% cho một số cặp)	0,875% (mức chuẩn)
Mạng	Chỉ EVM	Nhiều mạng, danh sách cảnh báo bảo mật gồm cả Bitcoin và Tron
Mã nguồn	MIT, dùng lại tự do	Công khai, giấy phép Consensys chỉ cho dùng phi thương mại

Theo trang hỗ trợ của hai ví và giấy phép trên GitHub, xem ngày 07/11/2026. Các mức phí có thể đổi. Tài khoản thông minh (smart account) là tài khoản ví vận hành bằng hợp đồng thông minh. Layer 2 là mạng mở rộng chạy trên nền Ethereum. MetaMask ghi rằng bật “Added protection” thì phí gas cao hơn, vì giao dịch có thêm bước kiểm trên chuỗi.

Về mức approve: Rabby ghi rằng khi swap, ví chỉ cấp quyền đúng số cần dùng, nên không phải thu hồi quyền sau đó. MetaMask giải thích họ mặc định không giới hạn để tiết kiệm gas, quyền chỉ cấp cho hợp đồng swap của chính MetaMask, và bạn sửa được số này trước khi gửi. Quyền chi tiêu không giới hạn nguy hiểm ra sao có ở bài approve token và revoke.

Rabby có thêm vài tiện ích bảo mật nhỏ. Danh sách địa chỉ tin cậy (whitelist) có thể bắt nhập mật khẩu khi gửi tới địa chỉ ngoài danh sách. Màn hình Approvals cho thu hồi nhiều quyền một lượt, kể cả ủy quyền EIP-7702 (chuẩn cho ví thường tạm chạy mã hợp đồng). Ví cũng tự chuyển mạng theo trang web đang dùng.

Mô phỏng giao dịch không bảo vệ được gì?

Mô phỏng là dự đoán, không phải bảo đảm. Đọc kỹ màn hình ký vẫn là việc của bạn.

Những giới hạn có nguồn:

• Hợp đồng đánh lừa mô phỏng. MetaMask mô tả kiểu tấn công “red pill”: hợp đồng độc hại nhận ra mình đang bị chạy thử nên cư xử vô hại, rồi rút tiền khi chạy thật. Mô phỏng ngoài chuỗi nào cũng có nguy cơ này, không riêng ví nào.
• Chữ ký có hiệu lực về sau. Permit hay approve không làm số dư đổi ngay, nên mục “số dư thay đổi” có thể trống. Thứ cần đọc là ai được quyền gì, bao nhiêu, đến khi nào.
• Lộ cụm từ khôi phục. Whitelist và cảnh báo chỉ chạy trong ứng dụng trên máy bạn. Rabby ghi rõ: ai có cụm từ khôi phục thì nhập ví vào ứng dụng khác và chuyển tiền đi, không bị whitelist cản.
• Chép nhầm địa chỉ. Rabby lọc giao dịch rác khỏi lịch sử để chống đầu độc địa chỉ ví, nhưng bạn vẫn phải so đủ địa chỉ trước khi gửi.

Bản thân ví cũng có lỗi. Năm 2026, một nhóm nghiên cứu bảo mật công bố lỗ hổng: trang độc gửi yêu cầu ký rút tiền, lỗi giao diện giấu yêu cầu đó, ví tự khóa sau 10 phút. Khi người dùng mở khóa lại, thao tác nhập mật khẩu bị tính là đồng ý yêu cầu đang chờ. Rabby đã sửa (bản sửa trên GitHub ngày 07/8/2026), theo báo cáo của Least Authority.

Báo cáo kiểm toán (đánh giá mã độc lập do Rabby thuê) gần nhất cho biết tình trạng sau khi kiểm lại:

Đơn vị kiểm	Thời gian	Phát hiện	Tình trạng
SlowMist	03–07/8/2026	3 mục mức “Suggestion” (gợi ý)	1 đã sửa, 2 ghi nhận; kết luận “Passed”
Least Authority	Báo cáo 09/10/2026	2 lỗi mức “Medium” (trung bình), 2 gợi ý	1 lỗi xử lý một phần, 1 lỗi hoãn chưa sửa

Lỗi chưa sửa liên quan việc gắn mỗi thao tác ký với đúng tài khoản và đúng yêu cầu, trong luồng ký của tính năng giao dịch hợp đồng vĩnh cửu (Perps) và thành phần ký MiniSign. Rabby cho rằng khai thác cần điều kiện thời gian và thao tác đặc biệt. Least Authority khuyên chờ thao tác đang chạy xong rồi mới đổi tài khoản hay mở yêu cầu ký khác.

Đợt kiểm của Least Authority chỉ xét phần mã thay đổi từ lần kiểm trước. Báo cáo kiểm toán nào cũng không phải lời bảo đảm ví an toàn.

Tải ví Rabby ở đâu để không gặp bản giả?

Chỉ cài từ đường dẫn trên rabby.io, và nhớ rằng Rabby không có bản cho Firefox. Trang hỗ trợ của Rabby ghi mọi tiện ích tự xưng Rabby trên kho tiện ích Firefox đều là bản giả độc hại.

Đây không phải cảnh báo suông. Tháng 8/2025, BleepingComputer dẫn Koi Security cho biết 150 tiện ích độc hại giả các ví như MetaMask, TronLink, Rabby đã lọt vào kho Firefox. Kẻ gian đăng bản vô hại để gom đánh giá tốt giả, rồi mới đổi tên, logo và chèn mã lấy thông tin ví. Cách nhận diện kiểu này ở bài tiện ích ví giả trên trình duyệt.

Các bước kiểm trước khi cài:

1. Gõ tay rabby.io, không bấm kết quả quảng cáo (“Sponsored”) trên Google. Rabby cảnh báo kẻ gian mua quảng cáo dẫn tới trang giả giống hệt.
2. Trên Chrome Web Store, mã tiện ích thật là acmacodkjbdgmoleebolmdjonilkdbch, trang ghi do chủ trang rabby.io tạo.
3. Trên App Store và Google Play, nhà phát triển là Opcode Labs. Tên khác thì dừng.
4. Không cài tệp gửi qua Zalo, Telegram. Rabby không hỗ trợ qua Telegram và không bao giờ hỏi cụm từ khôi phục.

Cài ví Rabby và chuyển từ MetaMask sang thế nào?

Cài tiện ích, tạo mật khẩu, rồi tạo ví mới hoặc nhập ví đang có. Tài sản nằm trên blockchain nên không phải “chuyển” gì: cùng cụm từ khôi phục là cùng địa chỉ.

1. Cài tiện ích hoặc ứng dụng đúng nguồn ở mục trên. Trang cài đặt tự mở.
2. Đặt mật khẩu. Mật khẩu chỉ mở khóa và mã hóa dữ liệu trên máy đó, Rabby không lưu.
3. Ví mới: chép 12 từ của cụm từ khôi phục ra giấy. Rabby khuyên không lưu trong email, ghi chú đám mây hay ảnh chụp màn hình.
4. Ví đang có: chọn “I already have an address”, nhập cụm từ khôi phục hoặc khóa riêng tư. Có thể kết nối ví phần cứng như Ledger, Trezor, Keystone, OneKey thay vì nhập khóa.
5. Thử gửi một khoản nhỏ tới chính địa chỉ của mình trước khi dùng thật.

Một điều nên cân nhắc: nhập cùng cụm từ khôi phục vào cả MetaMask và Rabby là để nó tồn tại ở hai phần mềm, hai chỗ có thể lộ. Kết nối ví lạnh thì khóa không rời thiết bị, Rabby chỉ làm màn hình xem và gửi lệnh ký.

Dùng ví Rabby ở Việt Nam cần biết gì?

Chỉ giữ tài sản trong ví thì chúng tôi chưa thấy điều khoản phạt trong Nghị quyết 05 và Nghị định 284, còn swap trong ví có thể bị coi là giao dịch ngoài tổ chức được cấp phép. Theo Nghị quyết 05/2025/NQ-CP, sau 6 tháng kể từ khi tổ chức đầu tiên được cấp phép, nhà đầu tư trong nước giao dịch không qua tổ chức được cấp phép có thể bị xử lý hành chính hoặc truy cứu trách nhiệm hình sự, tùy mức độ vi phạm (Điều 7 khoản 2).

Sau mốc đó, cá nhân có thể bị phạt 15–25 triệu đồng (Nghị định 284/2026/NĐ-CP Điều 9 khoản 1, Điều 4 khoản 2). Tính đến 07/11/2026, chưa sàn nào được cấp phép. Phân tích đầy đủ ở bài dùng DEX, ví tự quản sau mốc 6 tháng có bị xử lý không, tiến độ ở lịch cấp phép.

Ba điểm thực tế cho người dùng Việt Nam:

• USDT mạng Tron: nhiều giao dịch USDT trong nước đi qua mạng Tron (TRC-20). Rabby ghi địa chỉ Rabby không phải địa chỉ nhận hợp lệ cho mạng Tron, Bitcoin, Solana. Gửi nhầm mạng thì không lấy lại được qua Rabby.
• Không ai bồi thường: Nghị quyết 05 giao tổ chức được cấp phép trách nhiệm giải quyết và bồi thường thiệt hại theo quy định pháp luật khi nhà đầu tư mất tiền, tài sản do hệ thống bảo mật mất an toàn, bị xâm nhập, bị lừa đảo (Điều 15 khoản 2 điểm m). Ví tự quản không có bên nào chịu nghĩa vụ này, và Rabby ghi không bồi thường khi bạn bỏ qua cảnh báo.
• Thuế: thuế thu nhập cá nhân 0,1% tính trên giá chuyển nhượng mỗi lần bán. Chuyển giữa các ví của chính bạn không phải là bán. Swap token lấy token trong ví có tính là một lần chuyển nhượng hay không thì Luật 109/2025/QH15 và Nghị định 253/2026 chưa nói rõ. Cách tính ở bài thuế tài sản mã hóa 0,1% tính thế nào.

Khi nào ví Rabby hợp, khi nào không?

Rabby hợp với người thường xuyên kết nối ứng dụng trên mạng EVM và muốn có thêm một lớp kiểm tra trước khi ký. VietnamBit không xếp hạng ví, chỉ so theo dữ kiện đã nêu.

• Hợp: hay kết nối dapp (ứng dụng chạy trên hợp đồng thông minh), dùng nhiều mạng EVM, muốn xem và thu hồi quyền approve thường xuyên, muốn ví chặn nút ký khi có dấu hiệu lạ.
• Không hợp: cần giữ Bitcoin, Solana hay USDT trên Tron; người mới chưa đọc được màn hình ký, vì mô phỏng không thay được việc hiểu mình đang ký gì.
• Giữ lâu, số tiền lớn, ít giao dịch: ví lạnh giảm rủi ro lộ khóa trên máy tính hơn bất kỳ ví trình duyệt nào.

Tổng quan các loại ví và cách chọn ở bài ví crypto là gì.