Ví Ronin là gì, vụ hack cầu Ronin 2022 dạy gì về bảo mật ví?

Ronin Wallet (ví Ronin) là ví tự quản do Sky Mavis, công ty phát triển Axie Infinity, làm cho mạng Ronin. Ví chạy dưới dạng tiện ích trình duyệt và app điện thoại, giữ khóa ngay trên máy bạn, nên Sky Mavis không giữ hộ, không khóa được và cũng không lấy lại được tài sản cho bạn.

Mạng Ronin và token RON có trang riêng ở hồ sơ Ronin (RON). Trang này chỉ nói về chiếc ví, và vì sao vụ hack cầu nối (bridge: hạ tầng chuyển tài sản giữa hai blockchain) năm 2022 không phải là vụ hack ví.

Ví Ronin là gì?

Ví Ronin là phần mềm giữ khóa cho các địa chỉ trên mạng Ronin và một số mạng khác, dùng để ký giao dịch khi bạn bấm xác nhận. Tài sản không nằm trong app. Số dư ghi trên blockchain, còn ví chỉ chứng minh bạn là chủ địa chỉ.

Thông số đã kiểm trên trang hỗ trợ và tài liệu chính thức của Ronin (07/11/2026):

Mục	Thông tin	Nguồn
Đơn vị phát triển	Sky Mavis Pte. Ltd.	support.roninchain.com
Dạng ví	Tiện ích Chrome, Edge, Firefox; app iOS, Android	wallet.roninchain.com, Desktop Guide
Loại ví	Tự quản: chỉ người giữ khóa điều khiển được tài sản	Bài “Why is Ronin a Non-Custodial Wallet?”
Mạng hỗ trợ	Ronin, Ethereum, Polygon, BNB Smart Chain, Arbitrum One…; có thêm Solana (bài hướng dẫn đăng 12/2025)	Ronin Wallet Overview, bài về Solana
Dạng địa chỉ	0x…; trước bản cập nhật đầu năm 2024, ví hiển thị tiền tố ronin:	Bài về chuyển sang định dạng 0x
Quy mô tự công bố	31 triệu lượt tải ví trên Ronin	docs.roninchain.com

Con số 31 triệu là lượt tải do dự án tự công bố, không phải số người đang dùng.

Ba thứ hay bị gọi chung là “Ronin” nhưng khác nhau:

• Mạng Ronin: blockchain Sky Mavis xây cho Axie Infinity, từ 13/05/2026 là mạng lớp 2 (mạng chạy bên trên và dựa vào an ninh của Ethereum).
• RON: token trả phí giao dịch (phí gas) trên mạng Ronin.
• Ronin Wallet: phần mềm ví. Có ví không có nghĩa là có RON, và dùng mạng Ronin cũng không bắt buộc dùng Ronin Wallet.

Ví Ronin khác MetaMask chỗ nào?

Về gốc kỹ thuật, hai ví giống nhau: cùng dùng cụm từ khôi phục 12 từ, cùng sinh địa chỉ 0x cho các mạng EVM (mạng tương thích Ethereum). Khác biệt nằm ở mạng mặc định và các lớp cảnh báo đi kèm.

	Ronin Wallet	MetaMask
Đơn vị phát triển	Sky Mavis	Consensys
Mạng mặc định	Ronin	Ethereum
Dùng mạng của ví kia	Bật Ethereum và các mạng khác trong cài đặt	Thêm Ronin làm mạng tùy chỉnh (Chain ID 2020)
Tạo ví không cần cụm từ	Có, bằng email, Google, Facebook, Apple	Có, bằng Google, Apple, Telegram
Cảnh báo trang web	Xếp trang theo 6 mức tin cậy, chặn trang bị gắn cờ độc hại	Xem bài MetaMask là gì

Một điểm nhiều người không biết: nhập cùng cụm từ khôi phục vào hai ví thì ra cùng địa chỉ. Ronin dùng chính điều này để hướng dẫn lấy lại token lỡ gửi thẳng từ Ethereum sang địa chỉ Ronin: nhập cụm từ của ví Ronin vào một ví khác như MetaMask là thấy token nằm ở địa chỉ đó trên Ethereum.

Hệ quả ngược lại cũng đúng. Ai có cụm từ khôi phục của bạn thì mở được ví ở bất kỳ phần mềm nào, không cần app Ronin.

Tải ví Ronin bản thật ở đâu?

Chỉ cài từ đường dẫn trên trang wallet.roninchain.com, hoặc từ App Store, Google Play với nhà phát triển ghi Sky Mavis Pte. Ltd. Trang hỗ trợ của Ronin cảnh báo có trang ví giả cho bạn tạo cụm từ khôi phục rồi gửi luôn cụm từ đó cho kẻ gian, và có app ví giả đăng trên cửa hàng ứng dụng.

Cách đối chiếu nhanh là xem mã định danh trong đường dẫn của cửa hàng. Các mã dưới đây lấy từ chính trang wallet.roninchain.com (đọc 07/11/2026):

Nơi cài	Mã định danh của bản chính thức
Chrome Web Store	fnjhmkhhmkbjkkabndcnnogagogbneec
Microsoft Edge Add-ons	kjmoohlgokccodicjjfebfomlbljgfhk
Firefox Add-ons	ronin-wallet
App Store	id1592675001
Google Play	com.skymavis.genesis

Thêm vài điểm kiểm:

• Gõ tay địa chỉ wallet.roninchain.com, không bấm quảng cáo trên công cụ tìm kiếm. Ronin từng cảnh báo quảng cáo Google dẫn tới chợ Axie giả.
• Không cài tệp gửi qua Zalo, Telegram, Discord. Tiện ích ví chỉ cài từ cửa hàng tiện ích của trình duyệt.
• Khi cài, trình duyệt báo tiện ích xin quyền “đọc và thay đổi dữ liệu trên mọi trang web”. Ronin giải thích đây là quyền mọi ví tiện ích cần để kết nối với dApp (ứng dụng chạy trên blockchain), MetaMask cũng vậy. Quyền này bình thường với bản thật, nhưng cũng là lý do tiện ích giả nguy hiểm.

Cách tiện ích ví giả lọt vào máy và lấy tài sản ra sao có ở bài tiện ích ví giả mạo trên trình duyệt.

Tạo ví Ronin: chọn cụm từ khôi phục hay email?

Ronin cho hai cách tạo ví, và hai cách này không chuyển qua lại được. Ví tạo bằng cụm từ khôi phục mà mất cụm từ thì đăng nhập bằng email cũng không ra địa chỉ cũ.

Các bước tạo ví trên tiện ích, theo hướng dẫn của Ronin (bản cập nhật 16/06/2026, tên nút có thể đổi theo phiên bản):

1. Vào wallet.roninchain.com, chọn bản cho trình duyệt đang dùng (Chrome, Edge hoặc Firefox) và cài.
2. Mở tiện ích, bấm “Get started”, chọn tạo ví mới hoặc nhập ví có sẵn.
3. Chọn “Continue with Recovery Phrase” (cụm từ khôi phục) hoặc tạo bằng email, mạng xã hội.
4. Với cụm từ khôi phục: đặt passcode mở khóa ví trên máy, chép 12 từ ra giấy, rồi chọn đúng các từ ví hỏi lại để xác nhận đã lưu.

Hai kiểu ví khác nhau như sau:

	Ví cụm từ khôi phục	Ví email hoặc mạng xã hội
Khóa gốc	12 từ tiếng Anh do ví sinh ra trên máy	Không có cụm từ; bạn tự đặt mật khẩu khôi phục
Số địa chỉ	Nhiều địa chỉ trong cùng một ví	Một địa chỉ gắn với một email
Xuất khóa sang ví khác	Được	Không được
Mất thứ gì là mất ví	Cụm từ khôi phục	Mật khẩu khôi phục, hoặc quyền vào email, tài khoản mạng xã hội
Sky Mavis khôi phục hộ	Không	Không

Ví email dùng công nghệ MPC (khóa được chia thành nhiều phần, không phần nào đủ để ký một mình), nên Ronin gọi là ví “keyless”. Không có cụm từ không có nghĩa là không cần sao lưu: Ronin ghi rõ quên mật khẩu khôi phục thì không có cách nào lấy lại tài sản.

App điện thoại có thêm tùy chọn sao lưu cụm từ lên iCloud hoặc Google Drive (từ bản v1.14.0), khóa bằng một mật khẩu riêng. Ronin nhắc khi đó an toàn của cụm từ phụ thuộc vào tài khoản đám mây và điện thoại. Mật khẩu sao lưu này Sky Mavis cũng không khôi phục được.

“Đăng nhập ví Ronin” thực ra là gì?

Với ví cụm từ khôi phục, không có đăng nhập trên máy chủ nào: passcode hay PIN chỉ mở khóa ví trên đúng thiết bị đó. Tài khoản Sky Mavis (Mavis Account) dùng email và mật khẩu là một tài khoản khác, để vào game và liên kết với địa chỉ ví.

Ronin nói thẳng mật khẩu tài khoản không bảo vệ được ví. Kẻ gian chỉ cần một trong ba thứ: cụm từ khôi phục, khóa riêng tư hoặc mật khẩu khôi phục. Một khi đã lộ, đổi mật khẩu tài khoản cũng vô ích, cần tạo ví mới và chuyển tài sản sang.

Check ví Ronin: xem số dư và giao dịch ở đâu?

Dán địa chỉ 0x của ví vào trình khám phá khối chính thức explorer.roninchain.com để xem số dư, token, NFT (token đại diện một vật phẩm số riêng, như một con Axie) và từng giao dịch. Trình khám phá khối (block explorer) là trang tra cứu công khai, chỉ cần địa chỉ, không bao giờ cần cụm từ khôi phục.

Ba chỗ người dùng hay nhầm khi check ví:

• Tiền tố ronin: và 0x. Từ bản cập nhật đầu năm 2024 (bài hỗ trợ đăng 31/01/2024), ví hiển thị địa chỉ bắt đầu bằng 0x thay cho ronin:. Ronin ghi đây chỉ là đổi cách hiển thị, tài sản vẫn ở cùng địa chỉ, không cần sao lưu lại gì.
• Cùng địa chỉ, khác mạng. Địa chỉ 0xabc trên Ronin và 0xabc trên Ethereum là hai ví riêng về số dư. Gửi ETH thẳng từ Ethereum vào địa chỉ Ronin thì tiền nằm ở địa chỉ đó trên Ethereum, không lên Ronin. Trên app, bật Ethereum trong mục mạng đang dùng (Active Networks) là thấy.
• Gửi vào địa chỉ hợp đồng. Token gửi thẳng vào địa chỉ hợp đồng của cầu nối thay vì qua giao diện cầu nối thì “mất vĩnh viễn”, theo thông báo của Ronin ngày 28/06/2022 về cầu nối lúc đó.

Lỗi chọn sai mạng khi chuyển tài sản nói chung có ở bài chuyển nhầm mạng USDT.

Vụ hack cầu Ronin 2022: ví người dùng có bị hack không?

Không. Thứ bị tấn công là cầu nối Ronin, nơi giữ ETH và USDC khóa lại để phát hành token tương ứng trên mạng Ronin, không phải ví của từng người. Ví bị rút chỉ khi lộ cụm từ, khóa riêng tư hoặc mật khẩu khôi phục của chính ví đó.

Tóm tắt theo báo cáo sự cố của Ronin (27/04/2022): ngày 23/03/2022, tin tặc chiếm 5 trong 9 khóa validator (máy chủ ký duyệt lệnh rút của cầu nối) và rút 173.600 ETH cùng 25,5 triệu USDC trong hai giao dịch. Sky Mavis chỉ phát hiện ngày 29/03/2022. Thông cáo ngày 23/05/2023 của Bộ Tài chính Mỹ quy vụ việc cho nhóm Lazarus của Triều Tiên và ước khoảng 620 triệu USD.

Cầu nối mở lại ngày 28/06/2022 và Ronin cho biết người dùng đã được hoàn đủ. Diễn biến chi tiết ở hồ sơ Ronin (RON), còn vì sao cầu nối hay là điểm yếu ở bài bridge blockchain là gì.

	Rủi ro cầu nối	Rủi ro ví
Ai giữ khóa	Nhóm validator của cầu nối	Bạn
Bị tấn công thế nào	Chiếm đủ số khóa ký duyệt, lỗi hợp đồng	Lộ cụm từ, ký nhầm giao dịch, cài ví giả
Ảnh hưởng tới bạn	Token đại diện trên Ronin có thể thiếu tài sản bảo chứng	Mất tài sản trong địa chỉ bị lộ
Ai có thể bù	Tùy dự án, không có cơ chế bắt buộc	Không ai
Bạn làm được gì	Chỉ giảm được mức phụ thuộc vào cầu	Gần như mọi thứ ở mục dưới

Hàng “thiếu bảo chứng” không phải giả định. Ronin ghi 56.000 ETH thuộc ngân quỹ của Axie DAO (tổ chức cộng đồng quản lý ngân quỹ Axie, xem DAO là gì) bị rút trong vụ này vẫn “undercollateralized” (không đủ tài sản bảo chứng) khi cầu mở lại.

Ngày 06/08/2024, cầu nối Ronin lại tạm dừng sau khi khoảng 11,8 triệu USD bị rút ra, lần này bởi nhóm tự nhận là mũ trắng (hacker rút tiền qua lỗ hổng rồi trả lại để báo lỗi). Theo The Block, số tiền được trả lại và Ronin cho biết sẽ thưởng nhóm này 500.000 USD.

Vụ hack dạy gì cho người giữ ví Ronin?

Báo cáo của Ronin cho thấy ba lỗi rất “đời thường”: một người bị lừa, một quyền cũ không được thu hồi, và không ai theo dõi tiền đi ra. Cả ba đều có bản thu nhỏ trong ví cá nhân.

Bài học 1: lừa có chủ đích bắt đầu bằng một tin nhắn

Ronin ghi nhân viên Sky Mavis “liên tục” bị tấn công lừa đảo có chủ đích (spear-phishing) qua mạng xã hội, và một người đã bị lừa. Theo The Block (06/07/2022), dẫn hai nguồn, đó là một lời mời làm việc giả qua LinkedIn: sau nhiều vòng phỏng vấn, kỹ sư này tải về tệp PDF “thư mời nhận việc”.

Trang hỗ trợ của Ronin hiện liệt kê đúng kiểu này trong danh sách chiêu lừa người dùng: kẻ gian giả làm nhà tuyển dụng, nhà báo, người làm nội dung để mời phỏng vấn qua một đường dẫn. Ví nằm trên máy nào thì đừng mở tệp lạ trên máy đó. Cách mã độc lấy ví được viết ở bài mã độc đánh cắp ví crypto.

Bài học 2: quyền cấp rồi phải thu hồi

Khóa thứ năm lọt ra vì tháng 11/2021 Axie DAO cho Sky Mavis ký thay để chia sẻ tải. Việc này dừng từ tháng 12/2021 nhưng quyền ký thay “không bị thu hồi”, theo báo cáo của Ronin.

Ví cá nhân có thứ tương tự là token approval (quyền chi tiêu bạn cấp cho hợp đồng của một dApp). Quyền đó còn hiệu lực đến khi bạn thu hồi. Tài liệu Ronin có công cụ Ronin Token Revoke để xem và thu hồi từng quyền; thu hồi là một giao dịch nên tốn phí gas. Cách đọc từng loại quyền ở bài approve token và revoke.

Bài học 3: theo dõi tiền đi ra, tách ví theo việc

Ronin thừa nhận khi đó “chưa có hệ thống theo dõi phù hợp” với dòng tiền lớn rời cầu nối, nên sáu ngày sau mới biết. Với ví cá nhân, xem lịch sử giao dịch trên explorer.roninchain.com định kỳ giúp phát hiện sớm một quyền lạ hay một lệnh chuyển không phải của mình.

Lỗi còn lại là tập trung: Sky Mavis giữ 4 trong 9 khóa. Bản thu nhỏ là để mọi tài sản trong một địa chỉ vừa giữ lâu vừa kết nối mọi trang web. Chính Ronin khuyên tạo một ví Ronin riêng cho những lần dùng trang chưa chắc chắn, còn tài sản chính có thể để ở ví lạnh Ledger hoặc Trezor kết nối qua tiện ích.

Các chiêu giả mạo ví Ronin hay gặp

Mọi chiêu đều nhắm tới một trong hai thứ: cụm từ khôi phục của bạn, hoặc một chữ ký cho phép rút tài sản. Bảng dưới gom các chiêu Ronin tự liệt kê trên trang hỗ trợ (đọc 07/11/2026):

Chiêu	Dấu hiệu	Cách tránh
Trang tạo ví giả, app ví giả	Trang lạ cho tạo ví, app không phải của Sky Mavis Pte. Ltd.	Chỉ cài theo mục tải bản thật ở trên
Quảng cáo chợ Axie giả	Kết quả quảng cáo trên Google, đòi cụm từ rồi chuyển sang chợ thật	Gõ tay địa chỉ, lưu dấu trang
Quà tặng, airdrop (phát token miễn phí) giả	“Bạn trúng Mystic Axie, SLP, AXS”, đòi kết nối ví và phê duyệt	Chỉ tin thông báo trên kênh chính thức của dự án
Livestream giả trên Twitch, YouTube	Phát lại video cũ, bot bình luận, rồi công bố “quà tặng”	Kiểm tài khoản phát qua trang chính thức
Tài khoản mạng xã hội giả	Tên sai một chữ, ví dụ @axieinfinityy thay cho @axieinfinity	So tên tài khoản với đường dẫn trên trang chính thức
Hỗ trợ giả trên Discord, email “xác minh ví”	Nhắn riêng, đặt hạn chót, dẫn tới trang đòi cụm từ	Sky Mavis ghi họ không bao giờ hỏi cụm từ hay mật khẩu khôi phục
Mã độc đổi địa chỉ khi dán	Địa chỉ dán ra khác địa chỉ đã sao chép	So toàn bộ địa chỉ trước khi gửi, không chỉ đầu và đuôi

Ronin còn cảnh báo “dust” (lượng token rất nhỏ ai đó tự gửi vào ví) và token honeypot (mua được nhưng không bán được). Token lạ tự xuất hiện thường kèm đường dẫn tới trang lấy cắp, nên bỏ qua, đừng bấm. Chiêu gửi giao dịch từ địa chỉ giống đầu giống đuôi có ở bài lừa đảo đầu độc địa chỉ ví.

Ví Ronin có hai lớp cảnh báo dựng sẵn: xếp mỗi trang web vào một trong 6 mức tin cậy (từ “Mavis” do Sky Mavis làm tới “Malicious” bị chặn), và mô phỏng giao dịch bằng Blockaid để hiện trước token nào sẽ đi ra, quyền nào sẽ được cấp. Ronin cũng ghi họ không bảo vệ được người dùng khỏi mọi trang lừa, nên hai lớp này không thay được việc tự đọc trước khi ký.

Ví Ronin bị rút tài sản thì làm gì?

Chuyển ngay phần còn lại sang một ví mới tạo trên thiết bị sạch, và không gửi thêm gì vào ví cũ. Đây là các bước Ronin hướng dẫn khi thấy giao dịch không phải của mình:

1. Xem lịch sử trên trình khám phá khối. Giao dịch lớn tới địa chỉ lạ là dấu hiệu ví đã lộ; tương tác hợp đồng, nhận thưởng thì có thể là bình thường.
2. Tạo ví mới (cụm từ mới), tốt nhất trên thiết bị đã quét mã độc, rồi chuyển tài sản còn lại sang.
3. Quét hoặc cài lại thiết bị từng chứa ví. Tránh phần mềm bẻ khóa.
4. Bỏ hẳn ví cũ. Ronin ghi khóa đã lộ “thì luôn bị lộ”, đổi mật khẩu không cứu được.

Sky Mavis ghi giao dịch trên blockchain không đảo ngược được và họ không lấy lại được tài sản. Người tự xưng “lấy lại tiền” có thu phí thường là lừa lần hai; các chiêu này có ở bài lừa đảo lấy lại tiền bị lừa. Các bước chung, kể cả trình báo công an, ở bài ví bị hack phải làm gì.

Dùng ví Ronin ở Việt Nam cần biết gì?

Nghị quyết 05 và Nghị định 284 không có điều khoản riêng về ví tự quản. Điều bị xử lý là giao dịch không qua tổ chức được Bộ Tài chính cấp phép, sau một mốc thời gian:

• Sau 6 tháng kể từ khi tổ chức đầu tiên được cấp phép, cá nhân trong nước giao dịch ngoài tổ chức được cấp phép có thể bị phạt 15–25 triệu đồng (Nghị quyết 05/2025/NQ-CP Điều 7 khoản 2; Nghị định 284/2026/NĐ-CP Điều 9 khoản 1, Điều 4 khoản 2).
• Tính đến 07/11/2026, chưa sàn nào được cấp phép. Mốc 6 tháng chỉ bắt đầu khi có giấy phép đầu tiên; tiến độ ở lịch cấp phép.
• Sky Mavis không có tên trong 5 hồ sơ xin cấp phép hợp lệ theo báo dẫn công văn của Bộ Tài chính.

Áp vào các thao tác trong ví Ronin:

• Giữ tài sản trong ví: Nghị quyết 05 không xử lý việc nắm giữ, không cấm và không bắt chuyển về sàn trong nước.
• Hoán đổi token trong ví (qua Katana, sàn phi tập trung của Ronin): có thể bị coi là giao dịch không qua tổ chức được cấp phép sau mốc 6 tháng; văn bản chưa định nghĩa rõ “giao dịch”. Phân tích ở dùng DEX sau mốc 6 tháng có bị xử lý không.
• Nút “Fund” mua token bằng thẻ: Ronin ghi phần này do các bên thứ ba nước ngoài cung cấp (Onramper và các nhà cung cấp như Transak, MoonPay, Ramp). Các bên này cũng không có tên trong 5 hồ sơ xin cấp phép hợp lệ nói trên.
• Thuế: bán tài sản mã hóa chịu thuế thu nhập cá nhân 0,1% trên giá chuyển nhượng mỗi lần bán, lãi hay lỗ (Luật Thuế thu nhập cá nhân 109/2025/QH15, hiệu lực 01/7/2026). Ví dụ bán số token thu về 20.000.000 đồng: 20.000.000 × 0,1% = 20.000 đồng. Chuyển giữa các ví của chính bạn không phải là bán. Cách khai ở thuế tài sản mã hóa 0,1% tính thế nào.

Riêng vật phẩm game (Axie, đất, vật phẩm trong trò chơi): chưa rõ có phải tài sản số chịu thuế 0,1% hay không, còn mua bán vật phẩm ảo giữa người chơi có quy định riêng. Chi tiết ở bán vật phẩm game có chịu thuế không.

Nghị quyết 05 không đặt nghĩa vụ bồi thường nào cho ví tự quản: Điều 15 chỉ buộc tổ chức được cấp phép bồi thường khi tài sản của nhà đầu tư mất do hệ thống bị xâm nhập, bị lừa đảo. Mất tài sản trong ví tự quản thì Sky Mavis ghi họ không lấy lại được. Tổng quan các loại ví và chỗ khác nhau giữa ví tự quản và ví của sàn ở bài ví crypto là gì.