Cách thiết lập multisig trên ví cứng: 2-of-3, Safe và MetaMask

Tháng 10/2026, Ledger xác nhận có thiết bị cài cắm phần cứng kèm module LTE trong các thiết bị của đại lý CryptoBilis ở Đông Nam Á. Ba tháng trước đó, Coldcard bị phát hiện lỗi firmware: seed được tạo với độ ngẫu nhiên không đủ, và hơn một nghìn BTC đã bị đánh cắp khỏi các ví bị ảnh hưởng. Người dùng trong cả hai vụ đều làm đúng như sách hướng dẫn. Ví cứng, seed ghi trên giấy. Tiền vẫn mất, vì mọi thứ phụ thuộc vào một thiết bị duy nhất.

Multisig (đa chữ ký) loại bỏ điểm lỗi duy nhất này. Để tiêu coin, bạn cần M chữ ký từ N khóa, và các khóa nằm trên những thiết bị khác nhau. Nếu một thiết bị bị hack hoặc bị đánh tráo, chỉ một khóa thì không rút được tiền. Trong bài phân tích về các thiết bị Ledger bị đánh tráo, chúng tôi đã khuyên thiết lập chữ ký 2-of-3 với thiết bị của các hãng khác nhau. Dưới đây là từng bước làm việc đó cho bitcoin, cho Ethereum và các mạng EVM, cùng những điều cần lưu ý với từng nhà sản xuất.

Mô hình này đã qua thử thách thực tế. Sau sự cố Coldcard, Nunchuk (11/8/2026) và Unchained (12/8/2026) thông báo rằng các quorum gồm khóa của nhiều nhà sản xuất khác nhau vẫn an toàn. Nếu ít nhất một khóa trong quorum chưa bị lộ, kẻ tấn công thậm chí không tìm ra được địa chỉ ví: muốn vậy phải có public key của từng thành viên, mà trên blockchain public key chỉ lộ ra sau khi tiêu. Từ đó có lời khuyên của Unchained: khi tiêu, hãy làm trống toàn bộ địa chỉ, còn tiền thừa thì gửi sang địa chỉ mới.

Chọn mô hình nào

• 2-of-3. Tiêu chuẩn cho cá nhân: Sparrow, Trezor, Unchained và Coldcard đều đề xuất mặc định như vậy. Mất một khóa, tiền vẫn còn. Bị trộm một khóa, tiền cũng vẫn còn.
• 3-of-5. Dư địa nhiều hơn, nhưng cũng rườm rà hơn. Trezor cho rằng hơn năm khóa là quá phức tạp với cá nhân. Với bitcoin, chuyển từ 2-of-3 sang 3-of-5 chỉ có thể bằng ví mới, nên hãy quyết định từ trước.
• 2-of-4 và 2-of-5. Theo đánh giá của Unchained, bảo vệ tốt hơn trước việc mất khóa.
• 3-of-4 và 4-of-5. Bảo vệ tốt hơn trước trộm cắp: kẻ trộm phải gom được nhiều khóa hơn.
• 2-of-2 (và mọi mô hình N-of-N). Mất bất kỳ khóa nào là mất quyền truy cập vĩnh viễn. Casa và Unchained không khuyên dùng mô hình này.

Cần làm gì trước khi bắt đầu

• Chỉ mua thiết bị từ nhà sản xuất hoặc đại lý chính thức và kiểm tra bao bì. Sau vụ CryptoBilis, đây là quy tắc bắt buộc. Ledger khuyên: nếu bạn đã thiết lập thiết bị mua qua kênh này, hãy chuyển tiền sang ví mới với seed mới.
• Dùng thiết bị của các nhà sản xuất khác nhau. Một lỗi chung về firmware hay chuỗi cung ứng sẽ đánh vào mọi thiết bị cùng hãng cùng lúc.
• Cập nhật firmware trước khi tạo seed. Và nói chung, trước bất kỳ lần cập nhật nào, bạn phải có bản sao lưu seed.
• Tạo seed mới trên từng thiết bị. Cùng một seed trên hai thiết bị cho ra một khóa, không phải hai.
• Nếu dùng passphrase, mỗi thành viên có passphrase riêng và được ghi lại riêng. Không được đổi passphrase sau khi tạo ví: khóa sẽ thay đổi.
• Tính trước phí. Giao dịch multisig lớn hơn giao dịch thường khá nhiều, phí cao hơn, và khi mạng tắc nghẽn thì chênh lệch này rất rõ.

Cách 1. Bitcoin 2-of-3 trên ba ví cứng trong Sparrow

Với bitcoin, bạn cần một phần mềm điều phối (coordinator). Nó ghép ví từ các public key, dựng giao dịch và bản thân không giữ khóa. Chúng tôi dùng Sparrow: miễn phí, mã nguồn mở, phiên bản 2.5.5 ra ngày 17/9/2026. Qua USB, Sparrow làm việc với Trezor, Ledger, Coldcard, BitBox02, Jade, KeepKey và OneKey; qua mã QR với Passport, Jade, SeedSigner, Keystone và Krux; qua microSD với Coldcard, Keystone và Passport. Tài liệu của Sparrow khuyên giống chúng tôi: tối thiểu 2-of-3, thiết bị của các hãng khác nhau, cất giữ ở những nơi khác nhau.

Các coordinator miễn phí khác: Nunchuk (chế độ tự quản, có ứng dụng điện thoại), Electrum và Specter Desktop. Nếu muốn có người hỗ trợ, hãy xem Casa (gói Standard $250 mỗi năm, ba khóa, một khóa do Casa giữ) hoặc Unchained (công ty giữ một trong ba khóa). Nunchuk cũng có ví trả phí, trong đó dịch vụ giữ một khóa. Sau sự cố Coldcard, Nunchuk đã tắt hot key trên điện thoại trong các ví được quản lý của mình.

Đặc điểm của từng hãng

Điểm chung của tất cả chỉ có một: thiết bị ký, coordinator ghép ví và giao dịch, còn bạn đối chiếu địa chỉ trên màn hình. Khác biệt nằm ở chỗ ai giữ đăng ký ví, thiết bị giao tiếp với máy tính bằng cách nào và nói chung nó làm được gì.

Ledger

Nano S Plus, Nano X, Stax và Flex làm thành viên multisig trong Sparrow hoặc Nunchuk. Cần ứng dụng Bitcoin phiên bản 2.1.0 trở lên. Ở lần kết nối đầu tiên, thiết bị sẽ yêu cầu đăng ký ví (“Register account”). Không đăng ký thì Ledger chỉ ký cho ví thường một khóa. Đăng ký do coordinator lưu (Sparrow ghi nhớ từ phiên bản 2.1.0), và khi thay đổi bộ khóa thì phải đăng ký lại. Ứng dụng Ledger Wallet (trước đây là Ledger Live) không có multisig. Chỉ mua từ Ledger hoặc đại lý chính thức.

Trezor

Model T, Safe 3, Safe 5 và Safe 7. Trezor Suite không hỗ trợ multisig, bạn sẽ cần Sparrow, Electrum hoặc Casa. Ví không được đăng ký trên thiết bị, vì vậy hãy đối chiếu địa chỉ trên màn hình của nhiều thiết bị. Tháng 1/2026, Trezor đã phát hiện và khắc phục một lỗi hiển thị khi dùng multisig, nên hãy giữ firmware luôn mới.

Coldcard: multisig không cần máy tính

Mk4, Mk5 và Q là tiện nhất để ghép multisig không cần máy tính, chỉ bằng microSD. Đầu tiên là firmware mới nhất (5.6.3 hoặc 1.5.3Q) và seed mới tạo kèm tung xúc xắc. Tiếp theo:

1. Trên mỗi thiết bị: Settings > Multisig Wallets > Export XPUB. Bạn sẽ có tệp trên microSD với đường dẫn m/48'/0'/0'/2'.
2. Trên một thiết bị, chọn Create Airgapped, loại P2WSH, ngưỡng 2. Coldcard sẽ tạo tệp cấu hình.
3. Trên các Coldcard còn lại: Import from File. Mọi thành viên là Coldcard phải đăng ký ví trước khi ký.
4. Nhập ví vào Sparrow: File > Import Wallet > Coldcard Multisig.
5. Bật Full Address View: mặc định Coldcard chỉ hiển thị một phần địa chỉ.

Coldcard không nhận cùng một khóa hai lần, nên không thể vô tình ghép “multisig” từ một seed duy nhất.

Keystone 3 Pro

Với multisig bitcoin, hãy dùng firmware chỉ dành cho bitcoin (BTC-Only) phiên bản 1.1.0 trở lên. Keystone kết nối với Sparrow qua mã QR hoặc microSD. Trong Sparrow: Settings > Export > Keystone Multisig > QR, trên Keystone: Add MultiSig Wallet.

BitBox02

Việc đăng ký diễn ra khi bạn hiển thị địa chỉ từ Sparrow lần đầu (Receive > Display Address). Thiết bị hiển thị xpub của tất cả thành viên, hãy đối chiếu chúng. Trước khi kết nối với Sparrow, hãy đóng BitBoxApp. BitBox02 không hỗ trợ Taproot trong multisig.

Blockstream Jade và Jade Plus

Đăng ký và lưu cấu hình multisig, kiểm tra địa chỉ nhận và địa chỉ tiền thừa. Làm việc qua USB và mã QR.

Passport

Passport Core nhập cấu hình qua mã QR hoặc từ microSD. Passport Prime có thể làm thành viên, nhưng tự nó không tạo multisig, nó cần một coordinator bên ngoài như Sparrow.

SeedSigner

Thiết bị tự lắp ráp, không có bộ nhớ. Nó không lưu cấu hình và làm việc qua mã QR cùng với Sparrow hoặc Specter.

Tangem: vì sao không phù hợp

Theo chính Tangem, ví này không có multisig gốc, và không làm việc trực tiếp với Sparrow và Electrum. Trong danh sách thiết bị được Sparrow và Nunchuk hỗ trợ cũng không có nó. Để làm multisig bitcoin từ thiết bị của nhiều hãng, Tangem không phù hợp.

Cách 2. Bạn chỉ có hai ví cứng

Điều đầu tiên muốn làm là mô hình 2-of-2. Đừng làm: mất hoặc hỏng bất kỳ thiết bị nào trong hai cái cùng với seed của nó là hết quyền truy cập. Casa và Unchained không khuyên dùng mô hình này. Đúng hơn là 2-of-3, trong đó khóa thứ ba lấy từ một trong các phương án dưới đây.

• Thiết bị thứ ba của hãng khác. Phương án đáng tin nhất: cả ba khóa đều của bạn và cả ba đều là phần cứng.
• MetaMask, nhưng chỉ trong Safe cho Ethereum và các mạng EVM. Đây là cách 3 bên dưới.
• Khóa do dịch vụ giữ: Casa, Unchained hoặc Nunchuk. Cả ba đều trả phí. Dịch vụ giữ một khóa, với hai khóa của mình bạn tiêu được mà không cần đến nó.

Hãy nhớ về cấu hình: với 2-of-3, hai seed của bạn cộng xpub của thành viên thứ ba thì khôi phục được. Vì vậy xpub của khóa dịch vụ hoặc của thiết bị thứ ba cũng phải nằm trong bản sao lưu của bạn.

Cách 3. Ethereum và các mạng EVM: Safe, hai ví cứng và MetaMask

Safe (trước đây là Gnosis Safe) là ví smart contract có ngưỡng chữ ký. Trong trang trợ giúp của Safe, mô hình thông thường cho cá nhân là: ba người ký (một MetaMask và hai ví cứng), ngưỡng 2. MetaMask và một ví cứng dùng hằng ngày, ví cứng thứ hai cất riêng làm dự phòng.

Cách kiểm tra giao dịch trước khi ký

Ngày 21/2/2025, Bybit bị đánh cắp hơn 401.000 ETH, và không ai hack khóa cả. Kẻ tấn công đã đánh tráo mã giao diện Safe: những người ký thấy một lệnh chuyển bình thường, nhưng thực ra đã ký lệnh thay thế contract. Kết luận đơn giản: giao dịch phải được đối chiếu trên màn hình thiết bị, không phải trong trình duyệt. Tốt hơn là ký từ một thiết bị khác, không phải thiết bị đang mở giao diện Safe. Theo trang trợ giúp của Safe, hãy kiểm tra:

• địa chỉ đích (to);
• số tiền (value);
• dữ liệu (data), sau khi giải mã bằng công cụ decoder;
• operation: 0 nghĩa là lời gọi thông thường (call), 1 nghĩa là delegatecall, và điều này nguy hiểm;
• nonce, số thứ tự của giao dịch;
• safeTxHash và các hash khác trên màn hình ví cứng. Tenderly, OpenZeppelin Safe Utils và safe-tx-hashes-util giúp tính chúng một cách độc lập.

Từ tháng 9/2026, Trezor có clear signing cho Ethereum: thiết bị giải mã các thao tác trên màn hình. Tính năng này hoạt động với các contract được hỗ trợ, với những contract còn lại Trezor cảnh báo về blind signing.

Nếu mất một khóa

Thay chủ sở hữu: Settings > Owners > Replace owner. Ngưỡng được chỉnh trong Settings > Setup. Việc thay thế do các chủ sở hữu còn lại xác nhận trong phạm vi ngưỡng. Vì thế người ta đặt ngưỡng thấp hơn số chủ sở hữu: với 2-of-3, hai khóa còn lại dễ dàng thay thế khóa đã mất. Nếu không còn đủ chữ ký cho ngưỡng, sẽ không có cách thông thường nào lấy lại quyền truy cập.

Solana: Squads

Trên Solana, multisig được làm trong Squads. Ledger kết nối qua Phantom hoặc Solflare, nhưng trong Squads bạn sẽ phải bật blind signing (Blind Signing) trên Ledger. Điều đó có nghĩa là bạn sẽ không thấy chi tiết giao dịch trên màn hình thiết bị, và lớp bảo vệ chính từ cách dùng Safe ở đây yếu hơn. Khi tạo có thể thêm tối đa 10 thành viên. Đừng đặt mô hình 1/1, đó chỉ là ví thường với thêm bước thừa. Việc tạo tốn một lần 0,1 SOL cộng một khoản thuê (rent) nhỏ.

Lỗi thường gặp

• Không có bản sao lưu cấu hình (descriptor hoặc tệp Sparrow). Có seed mà không tiêu được.
• Tất cả thiết bị cùng một hãng. Một lỗi firmware hay chuỗi cung ứng phủ lên toàn bộ mô hình.
• Một seed trên hai thiết bị. Đó là một khóa, không phải hai.
• Mô hình 2-of-2. Mất bất kỳ khóa nào là mất quyền truy cập vĩnh viễn.
• Seed nằm cạnh chính thiết bị của nó, hoặc hai seed nằm cùng một chỗ.
• Đổi passphrase sau khi tạo ví. Khóa đã thành khóa khác.
• Cập nhật firmware mà không có bản sao lưu seed.
• Chỉ đối chiếu địa chỉ trên màn hình máy tính, không phải trên các thiết bị.
• Dùng lại cùng một địa chỉ. Địa chỉ multisig vốn đã khác về hình thức, việc dùng lại càng làm hại quyền riêng tư hơn.
• Bỏ qua bước kiểm tra khôi phục. Lỗi trong bản sao lưu bạn sẽ phát hiện đúng vào ngày cần đến nó.
• Ký giao dịch trong Safe mà chỉ kiểm tra trên trình duyệt.
• Thiết bị không mua từ nhà sản xuất cũng không mua từ đại lý chính thức.

Câu hỏi thường gặp

Trước khi nhận coin vào ví mới từ người gửi lạ, hãy kiểm tra địa chỉ bằng dịch vụ kiểm tra AML của chúng tôi. Các công cụ khác để làm việc với ví được tập hợp trong mục công cụ cho ví.