WalletConnect là gì, kết nối ví với ứng dụng có an toàn?

WalletConnect là giao thức mở để ví tài sản mã hóa, thường nằm trên điện thoại, nói chuyện với một ứng dụng web3 (dApp) mở trên máy tính hoặc trình duyệt. Bạn quét mã QR, duyệt kết nối trong ví, từ đó mọi yêu cầu ký từ ứng dụng được chuyển sang ví để bạn bấm đồng ý hay từ chối.

Khóa không rời ví. Chỗ mất tiền là nội dung bạn ký, không phải bản thân việc kết nối. Kiến thức nền về ví có ở bài ví crypto là gì.

WalletConnect là gì, của ai?

WalletConnect là giao thức kết nối ví với ứng dụng, bắt đầu năm 2018 dưới dạng một mã QR. Ngày 16/9/2024, công ty WalletConnect Inc. đổi tên thành Reown. Theo thông báo của Reown cùng ngày, mạng lưới WalletConnect Network vẫn giữ tên và tiếp tục lộ trình phi tập trung.

Theo tài liệu WalletConnect (đọc 31/10/2026), mạng lưới hỗ trợ hơn 700 ví và hơn 80.000 ứng dụng, đã phục vụ hơn 300 triệu lượt kết nối của hơn 50 triệu người dùng. Đây là số do dự án tự công bố.

WalletConnect không phải ví và không phải sàn giao dịch. Nó không giữ tài sản, không có số dư, không có tài khoản để “nạp” hay “rút”.

Kết nối qua WalletConnect diễn ra thế nào?

Kết nối gồm hai lớp: ghép đôi (pairing) để hai bên tìm thấy nhau, rồi phiên (session) ghi rõ ứng dụng được xin gì. Đặc tả Sign API v2 của WalletConnect tách riêng hai lớp này. Các bước theo đặc tả và tài liệu chính thức (đọc 31/10/2026):

Bước	Chuyện gì xảy ra	Hạn
1. Ứng dụng hiện mã QR hoặc nút mở ví	Mã chứa thông tin để ghép đôi	Ghép đôi chưa dùng hết hạn sau 5 phút
2. Ví quét mã, nhận lời mời kết nối	Lời mời ghi mạng (chain), hàm được gọi (method), sự kiện (event) ứng dụng xin	Lời mời hết hạn sau 5 phút
3. Bạn bấm đồng ý trong ví	Hai bên tạo khóa chung để mã hóa tin nhắn	Phiên mặc định 7 ngày theo SDK; ghép đôi đã dùng giữ 30 ngày
4. Ứng dụng gửi yêu cầu ký	Yêu cầu hiện trong ví, bạn duyệt từng lần	Ứng dụng tự đặt hạn, từ 5 phút đến 7 ngày
5. Một bên ngắt kết nối	Lệnh xóa phiên gửi sang bên kia	Phiên hết hiệu lực

Một vài chi tiết đáng biết:

• Danh sách quyền. Ví dụ trong đặc tả: một ứng dụng xin mạng Ethereum (eip155:1), hai hàm eth_sendTransaction (gửi giao dịch) và personal_sign (ký thông điệp). Ví đã đồng ý thì phải chấp nhận mọi quyền bắt buộc trong lời mời, có thể cho thêm nhưng “never less” (không bao giờ ít hơn).
• Mã hóa. Đặc tả ghi tin nhắn được mã hóa bằng ChaCha20-Poly1305, với khóa đối xứng suy ra từ khóa của ví và của ứng dụng (thỏa thuận Diffie-Hellman). Máy chủ trung chuyển chỉ định tuyến tin nhắn theo chủ đề.
• Thời hạn 7 ngày là giá trị mặc định trong mã nguồn SDK chính thức (hằng số SESSION_EXPIRY, nhánh v2.0, đọc 31/10/2026). Ví hoặc ứng dụng có thể gia hạn, nên phiên trong ví của bạn có thể dài hơn.

Một phiên kết nối làm được gì, không làm được gì?

Phiên kết nối cho ứng dụng thấy địa chỉ ví và quyền gửi yêu cầu ký. Nó không cho ứng dụng khóa riêng tư hay quyền tự rút tiền. Trust Wallet (bài cập nhật 17/7/2026) ghi bạn phải duyệt rõ ràng từng giao dịch và dApp không thực hiện được lệnh chuyển nếu bạn không xác nhận. Ngoại lệ là quyền chi tiêu bạn đã ký từ trước, xem dòng cuối của bảng dưới.

Ứng dụng đã kết nối	Làm được	Không làm được
Xem	Địa chỉ ví, mạng đang dùng, số dư công khai trên blockchain	Khóa riêng tư, cụm từ khôi phục
Gửi yêu cầu	Giao dịch, chữ ký thông điệp, đổi mạng, trong phạm vi quyền đã duyệt	Tự ký thay bạn
Sau khi bạn ký approve, permit	Hợp đồng được cấp quyền rút token trong hạn mức, kể cả sau khi ngắt kết nối	Rút token bạn chưa cấp quyền

Dòng cuối là chỗ người dùng hay hiểu nhầm. Ngắt kết nối chỉ đóng kênh liên lạc. Quyền chi tiêu đã ký nằm trên blockchain, MetaMask cũng ghi rõ chức năng ngắt kết nối của họ không thu hồi phê duyệt token. Cách đọc từng loại phê duyệt ở bài approve token và revoke.

Rủi ro thật sự nằm ở đâu: chữ ký cấp quyền và drainer

Drainer là bộ công cụ dụ bạn kết nối rồi ký cấp quyền, sau đó tự động rút token. Kẻ gian không cần phá WalletConnect: chỉ cần bạn bấm đồng ý một yêu cầu trông vô hại.

FBI (21/7/2022) mô tả chiêu tương tự dưới tên “khai thác thanh khoản”: nạn nhân kết nối ví vào một ứng dụng hứa trả lãi rồi vô tình cấp quyền rút không giới hạn, thiệt hại trên 70 triệu USD từ tháng 1/2019. Kịch bản đầy đủ ở bài kiếm USDT miễn phí.

Rủi ro còn đến từ chuỗi cung ứng phần mềm. Tháng 12/2023, theo Ledger, thư viện Ledger Connect Kit bị chèn mã độc dùng một dự án WalletConnect giả để chuyển hướng tiền, ảnh hưởng các dApp dùng thư viện này. Chi tiết ở bài dApp là gì.

Trang, app WalletConnect giả nhận ra thế nào?

Dấu hiệu chắc chắn nhất: bất kỳ trang hay app nào xin cụm từ khôi phục để “kết nối”, “đồng bộ”, “sửa lỗi ví” đều là lừa đảo. Quy trình kết nối trong đặc tả chỉ dùng mã QR, khóa tạm của hai bên và chữ ký trong ví. Trust Wallet cũng ghi WalletConnect lập phiên kết nối được mã hóa thay vì bắt bạn nhập khóa riêng tư hay cụm từ khôi phục, và dApp không truy cập trực tiếp thông tin nhạy cảm của ví.

Khi rà kết quả tìm “walletconnect là gì” ngày 31/10/2026, chúng tôi thấy nhiều trang dựng trên các dịch vụ làm web miễn phí (tên miền phụ của teachable.com, dorik.io) dùng tên WalletConnect. Đây không phải tên miền của dự án. VietnamBit không đặt link tới các trang này.

Cách tự kiểm trước khi kết nối:

1. Tự gõ địa chỉ ứng dụng hoặc dùng dấu trang, không bấm đường dẫn trong tin nhắn, nhóm chat, quảng cáo. Cách kiểm tên miền ở bài phishing là gì.
2. Đọc tên miền mà ví hiển thị ở màn hình duyệt kết nối. Nhiều ví có nhãn kiểm tên miền của WalletConnect (Verify API). Ý nghĩa bốn trạng thái nhãn ở bài bảo mật ví và tài khoản sàn.
3. Đọc danh sách mạng và quyền trong lời mời. Ứng dụng xem tranh mà xin cả hàm gửi giao dịch trên nhiều mạng là điều cần hỏi lại.
4. Không tải app tự xưng là WalletConnect để “kết nối ví”. Giao thức nằm sẵn trong ví bạn đang dùng.

Xem và ngắt các phiên kết nối thế nào?

Mở mục WalletConnect (hoặc “ứng dụng đã kết nối”) trong ví, xem danh sách, ngắt những phiên không dùng. Sau đó thu hồi riêng các quyền chi tiêu. Tên mục khác nhau theo ví. Ví dụ với Trust Wallet, theo bài hướng dẫn của hãng cập nhật 17/7/2026:

1. Vào Cài đặt (Settings), chọn mục WalletConnect.
2. Xem danh sách ứng dụng đang kết nối.
3. Ngắt từng phiên, hoặc ngắt toàn bộ.
4. Thấy ứng dụng lạ: ngắt ngay và xem lại lịch sử giao dịch gần đây.

Ngắt kết nối và thu hồi quyền là hai việc khác nhau:

Việc	Chặn được gì	Tốn phí mạng không	Làm ở đâu
Ngắt phiên	Ứng dụng gửi thêm yêu cầu ký	Không	Mục WalletConnect trong ví
Thu hồi approve	Hợp đồng rút token theo quyền cũ	Có, là giao dịch trên blockchain	Công cụ kiểm quyền của trình khám phá khối hoặc trong ví

Đã lỡ ký cho trang lạ mà token đã bị rút, làm theo trình tự ở bài ví bị hack phải làm gì. Check Point khuyên không dùng tiếp ví đã bị drainer can thiệp cho tới khi tạo ví mới.

Thói quen giúp giảm rủi ro: dùng một ví riêng, ít tiền, để kết nối ứng dụng; phần lớn tài sản để ở ví không bao giờ kết nối.

Ở Việt Nam, kết nối ví qua WalletConnect có vi phạm gì không?

Nghị quyết 05/2025/NQ-CP và Nghị định 284/2026/NĐ-CP không nhắc WalletConnect hay việc kết nối ví. Điều cần xem là bạn làm gì sau khi kết nối.

• Đổi, mua bán token qua ứng dụng phi tập trung là giao dịch không qua tổ chức được Bộ Tài chính cấp phép. Nghị quyết 05 Điều 7 khoản 3 yêu cầu giao dịch tài sản mã hóa qua các tổ chức này.
  • Sau 6 tháng kể từ giấy phép đầu tiên, cá nhân trong nước giao dịch ngoài các tổ chức đó có thể bị phạt 15–25 triệu đồng (Điều 7 khoản 2; Nghị định 284 Điều 9 khoản 1, Điều 4 khoản 2).
  • Phân tích đầy đủ ở trang dùng DEX sau mốc 6 tháng có bị xử lý không.
• Mất tiền vì ký nhầm trên ví tự quản: bạn tự giữ khóa và tự ký, và Nghị quyết 05 không đặt nghĩa vụ bồi thường lên bên nào khác.
• Nhóm mời kết nối ví nhận lãi cần cảnh giác: chỉ tổ chức được cấp phép mới được quảng cáo, tiếp thị liên quan đến tài sản mã hóa (Nghị quyết 05 Điều 4 khoản 4).

Tính đến 31/10/2026, chưa sàn nào được cấp phép. Sàn được cấp phép là sàn tập trung, bạn không cần WalletConnect để giao dịch trên đó.