Multisig wallet là gì? Trải nghiệm dùng Safe để bảo vệ tài sản crypto

Khi bắt đầu tự lưu ký crypto, mình từng để phần lớn tài sản trong một ví MetaMask duy nhất và chủ yếu tập trung vào việc bảo vệ seed phrase. Sau khi tìm hiểu các sự cố như QuadrigaCX, mình bắt đầu chú ý nhiều hơn đến một dạng rủi ro khác: single point of failure, tức quyền kiểm soát tài sản phụ thuộc quá nhiều vào một người hoặc một signer.

Đó cũng là lý do mình tìm hiểu và thử nghiệm multisig wallet. Bài viết này giải thích cơ chế M-of-N, những rủi ro multisig có thể giảm thiểu và những rủi ro nó không giải quyết được, đồng thời ghi lại trải nghiệm sử dụng Safe để quan sát quy trình đề xuất, xác nhận và thực thi giao dịch. Nếu bạn chưa quen với cách private key, recovery phrase và các loại ví crypto hoạt động, có thể xem trước bài viết giải thích ví tiền điện tử là gì để nắm phần nền tảng trước khi đi sâu vào cơ chế nhiều signer.

Bài viết mang tính giáo dục và chia sẻ trải nghiệm, không phải lời khuyên đầu tư hay cam kết về mức độ an toàn của bất kỳ loại ví nào.

Multisig Wallet là gì?

Trên các mạng EVM, Safe là một trong những nền tảng smart account hỗ trợ cơ chế nhiều signer và threshold. Ngoài multisig cơ bản, Safe còn hỗ trợ các thành phần mở rộng như modules và guards, vì vậy mức độ an toàn thực tế không chỉ phụ thuộc vào số lượng signer.

Cơ chế hoạt động của ví đa chữ ký

Quy trình multisig có thể hiểu qua bốn giai đoạn:

Tạo đề xuất → thu thập xác nhận → đạt threshold → thực thi giao dịch.

Ví dụ với Safe 2-of-3, signer A có thể tạo một đề xuất và xác nhận trước. Giao dịch vẫn ở trạng thái chờ cho đến khi có thêm ít nhất một signer hợp lệ xác nhận. Khi đạt threshold 2/3, giao dịch đủ điều kiện để được thực thi, nhưng việc đạt đủ chữ ký không nhất thiết đồng nghĩa giao dịch đã được thực thi ngay trên blockchain.

Đây chính là ngưỡng chữ ký tối thiểu để duy trì quyền kiểm soát hợp lệ. Với Safe, proposal và các confirmation trước khi execution có thể được theo dõi trong Transaction Queue. Sau khi transaction được thực thi on-chain, transaction hash và trạng thái blockchain có thể được kiểm tra trên block explorer.

Cách triển khai multisig khác nhau giữa từng blockchain. Trên Bitcoin, một số mô hình multisig truyền thống sử dụng Bitcoin Script và OP_CHECKMULTISIG để đặt điều kiện nhiều chữ ký. Trên Ethereum và các mạng EVM, các giải pháp như Safe thường triển khai cơ chế nhiều signer và threshold thông qua smart contract. Safe cũng hỗ trợ nhiều mạng Layer-2, nơi network fee và cách thực thi transaction có thể khác Ethereum mainnet.

Các cấu hình M-of-N khác nhau thế nào?

Với multisig, việc tăng số signer hoặc threshold không tự động đồng nghĩa mức độ bảo mật cao hơn. Cấu hình phù hợp còn phụ thuộc vào khả năng giữ signer độc lập, quy trình phục hồi, số người tham gia và mức độ phức tạp mà người dùng có thể vận hành ổn định.

Chẳng hạn, 2-of-3 cho phép một signer không khả dụng mà hai signer còn lại vẫn có thể đạt threshold. Ngược lại, 3-of-3 yêu cầu cả ba signer cùng hoạt động, nên việc mất quyền truy cập vào một signer có thể khiến Safe không còn đạt threshold cho các giao dịch thông thường.

Cấu hình	Tổng signer	Threshold	Nếu signer không khả dụng	Đánh đổi chính
2-of-2	2	2	Chỉ cần mất 1 là không đạt threshold	Đơn giản nhưng ít khả năng dự phòng
2-of-3	3	2	Có thể mất 1 signer và vẫn đạt threshold	Có dự phòng nhưng cần quản lý thêm signer
3-of-5	5	3	Có thể mất 2 signer	Phù hợp workflow nhiều người nhưng phức tạp hơn
4-of-7	7	4	Có thể mất 3 signer	Tăng số bên tham gia phê duyệt

Multisig wallet có thể giảm những rủi ro nào?

So với ví đơn chữ ký, multisig có thể giảm sự phụ thuộc vào một signer duy nhất, duy trì khả năng phê duyệt trong một số cấu hình khi một signer không còn khả dụng và hỗ trợ workflow nhiều bên cùng quản lý quỹ. Tuy nhiên, hiệu quả của từng cơ chế vẫn phụ thuộc vào threshold, cách bảo vệ signer và quy trình xác minh transaction.

1. Giảm single point of failure

Với ví đơn chữ ký, quyền thực hiện giao dịch có thể phụ thuộc vào một khóa hoặc một signer. Multisig cho phép phân tán quyền phê duyệt giữa nhiều signer và đặt threshold lớn hơn một, nhờ đó một signer đơn lẻ không nhất thiết đủ quyền thực hiện giao dịch.

Trường hợp QuadrigaCX thường được nhắc đến như một ví dụ về rủi ro khi quyền kiểm soát tài sản phụ thuộc quá nhiều vào một cá nhân. Một thiết kế nhiều signer có thể giảm dạng single point of failure này, nhưng không tự loại bỏ các rủi ro quản trị, gian lận hoặc vận hành khác. Multisig cũng cần được phân biệt với ví lạnh. Multisig phân tách quyền phê duyệt giữa nhiều signer, còn ví lạnh chủ yếu giảm mức độ private key tiếp xúc với môi trường trực tuyến.

2. Duy trì quyền kiểm soát khi một signer không khả dụng

Với cấu hình trong đó threshold thấp hơn tổng số signer, việc một signer không còn khả dụng chưa nhất thiết khiến Safe mất khả năng thực hiện giao dịch. Chẳng hạn, Safe 2-of-3 vẫn có thể đạt threshold bằng hai signer còn lại.

Tuy nhiên, khả năng này phụ thuộc trực tiếp vào cấu hình. Với 3-of-3, nếu không thể truy cập một signer thì hai signer còn lại không đủ threshold để thực hiện giao dịch quản trị thông thường. Vì vậy, số signer và threshold cần được xem xét cùng với kế hoạch khôi phục và thay thế signer.

3. Phê duyệt nhiều bên cho quỹ chung

Multisig cũng có thể được sử dụng khi nhiều người cùng quản lý một nguồn quỹ. Thay vì để một thành viên tự thực hiện giao dịch, nhóm có thể đặt threshold yêu cầu nhiều signer cùng kiểm tra và xác nhận.

Điểm đáng chú ý ở mô hình này không phải là mọi giao dịch đều trở nên “an toàn”, mà là quyền phê duyệt được phân tách giữa nhiều signer và lịch sử giao dịch có thể được đối chiếu trên blockchain. Mức threshold cụ thể vẫn cần được lựa chọn theo quy mô nhóm và quy trình vận hành.

Rủi ro và giới hạn của multisig wallet

Social engineering và compromise signer

Multisig không ngăn được việc signer bị lừa ký sai giao dịch hoặc nhiều signer cùng bị compromise. Các phương thức tấn công có thể bao gồm website giả mạo, malware, clipboard hijacking hoặc thông tin giả khiến người ký hiểu sai nội dung transaction. Điểm quan trọng là threshold chỉ yêu cầu đủ số signer hợp lệ. Nếu kẻ tấn công kiểm soát hoặc đánh lừa đủ signer để đạt threshold, cơ chế multisig tự nó không còn ngăn được transaction đó.

Rủi ro từ modules và guards

Safe có thể mở rộng chức năng thông qua modules và guards, nhưng đây cũng là các thành phần cần được kiểm tra riêng. Safe Docs cảnh báo rằng module có thể thực thi transaction ngoài luồng multisig thông thường; module độc hại có khả năng chiếm quyền kiểm soát Safe.

Guards hoạt động theo cách khác: chúng có thể kiểm tra transaction trước hoặc sau khi thực thi. Tuy nhiên, một guard bị lỗi hoặc được cấu hình không phù hợp có thể ngăn giao dịch được thực thi. Vì vậy, việc Safe có nhiều signer không loại bỏ rủi ro từ các extension đã được enable.

Các sự cố multisig đáng chú ý và bài học vận hành

Các sự cố tại Bybit, Radiant Capital và Parity cho thấy threshold chỉ là một phần của mô hình bảo mật multisig. Rủi ro vẫn có thể xuất hiện ở signer, thiết bị, giao diện ký transaction hoặc smart contract được sử dụng bên dưới. Theo TRM Labs, khoảng 2,2 tỷ USD bị đánh cắp qua hacks và exploits trong năm 2024, tăng 17% so với năm trước. Các cuộc tấn công hạ tầng, chủ yếu liên quan đến private key và seed phrase bị compromise, chiếm gần 70% số tiền bị đánh cắp. Đây là số liệu về toàn bộ thị trường crypto, không phải thống kê riêng cho multisig.

• Vụ Bybit ngày 21/02/2025 là ví dụ điển hình cho thấy multisig vẫn có thể bị vượt qua nếu người ký bị ‘đánh lừa’ ở lớp hiển thị. Các phân tích hậu sự cố cho thấy kẻ tấn công đã lợi dụng supply-chain/front-end compromise, khiến giao diện hiển thị thông tin ‘có vẻ hợp lệ’ trong khi nội dung giao dịch thực tế là độc hại. Bạn có thể đọc bài viết từ Chainalysis để hiểu rõ hơn.
• Vụ tấn công Radiant Capital năm 2024: Radiant báo cáo thiệt hại khoảng 50 triệu USD sau khi thiết bị của ít nhất ba contributor bị compromise. Theo post-mortem của dự án, Safe và Tenderly vẫn hiển thị transaction có vẻ hợp lệ trong quá trình kiểm tra, trong khi malware trên thiết bị khiến các signer ký transaction độc hại. Sự cố này cho thấy multisig vẫn có thể thất bại nếu nhiều signer hoặc thiết bị của họ cùng bị compromise, ngay cả khi nhóm đã sử dụng hardware wallet và quy trình kiểm tra transaction.
• Sự cố Parity Wallet năm 2017: Một lỗ hổng trong shared library của Parity multisig wallet cho phép một người dùng trở thành owner của library rồi kích hoạt chức năng self-destruct. Parity cho biết sự cố khiến 513.774,16 ETH cùng một số token trong 587 ví không thể được chuyển theo cơ chế bình thường. Trường hợp này cho thấy việc dùng multisig không loại bỏ rủi ro từ smart contract và kiến trúc phần mềm bên dưới.

Điểm chung của các sự cố trên là threshold không phải lớp bảo vệ duy nhất. Nếu signer, thiết bị, giao diện xác nhận hoặc smart contract bị compromise, transaction độc hại vẫn có thể đạt đủ chữ ký cần thiết.

Khi nào thì multisig wallet có thể phù hợp?

Multisig có thể phù hợp khi rủi ro của việc một signer duy nhất kiểm soát toàn bộ quyền giao dịch trở nên đáng quan tâm hơn chi phí và độ phức tạp của quy trình nhiều signer. Với cá nhân, một lý do có thể cân nhắc multisig là muốn phân tách quyền kiểm soát giữa nhiều signer hoặc thiết bị thay vì phụ thuộc hoàn toàn vào một khóa. Với nhóm hoặc doanh nghiệp, multisig có thể hữu ích khi nhiều thành viên cần cùng phê duyệt việc sử dụng quỹ. DAO cũng thường sử dụng threshold để nhiều signer cùng tham gia quản lý treasury.

Ngược lại, multisig tạo thêm công việc quản lý signer, xác nhận transaction và xây dựng phương án khôi phục. Vì vậy, số lượng tài sản không phải tiêu chí duy nhất để quyết định có nên dùng multisig; mức độ quen thuộc với self-custody và khả năng duy trì quy trình vận hành cũng cần được tính đến. Safe cũng lưu ý rằng không tồn tại một cấu hình signer và threshold tốt nhất cho mọi trường hợp. Việc lựa chọn cần dựa trên use case cụ thể.

Hướng dẫn tạo multisig wallet với Safe

Safe (tên cũ Gnosis Safe) là một nền tảng smart account được sử dụng rộng rãi trên Ethereum và nhiều mạng EVM. Safe hỗ trợ các network như Polygon, Arbitrum, Optimism và BNB Chain. Trong phần dưới đây, bài viết tập trung vào workflow multisig cơ bản gồm tạo Safe, thêm signer, đặt threshold và thực thi transaction thay vì các module nâng cao.

Chuẩn bị trước khi tạo ví

Trước khi tạo Safe, cần xác định ba yếu tố chính:

• Các signer sẽ sử dụng.
• Tổng số signer.
• Threshold cần để phê duyệt transaction.

Nếu chỉ muốn làm quen với giao diện, có thể sử dụng testnet thay vì tài sản thật. Trong môi trường thử nghiệm, nên dùng các account riêng chỉ dành cho test và không đưa seed phrase hoặc private key của ví đang giữ tài sản vào ảnh chụp màn hình.

Nếu một signer của Safe là hardware wallet, nên hoàn tất việc thiết lập và kiểm tra thiết bị trước khi thêm signer vào Safe. Bài viết cách sử dụng ví lạnh sẽ trình bày riêng quy trình khởi tạo, backup và xác nhận transaction trên hardware wallet. Nếu mục tiêu của bạn là chuyển tài sản từ sàn hoặc ví nóng sang hardware wallet thay vì dùng thiết bị làm signer cho Safe thì có thể xem thêm cách chuyển coin vào ví lạnh. Phí triển khai và phí transaction phụ thuộc vào network, trạng thái mạng và flow được sử dụng, vì vậy không nên coi một mức ETH cố định là chi phí tiêu chuẩn.

Các bước tạo ví Safe trên Ethereum

Quá trình tạo multisig wallet Safe trên mạng lưới Ethereum bao gồm 7 bước chính đi từ việc kết nối đến triển khai:

Best practices bảo mật sau khi tạo ví

Sau khi thiết lập Safe, mức độ an toàn còn phụ thuộc vào cách từng signer bảo vệ thiết bị, kiểm tra transaction và quản lý các thành phần được bật trong wallet. Bốn nguyên tắc dưới đây tập trung vào những điểm vận hành có thể giúp giảm rủi ro trong quá trình sử dụng multisig:

1. Giữ các signer độc lập: tránh để tất cả signer phụ thuộc vào cùng một thiết bị, trình duyệt hoặc phương thức khôi phục.
2. Kiểm tra transaction trước khi xác nhận: đối chiếu địa chỉ, số tiền và nội dung interaction thay vì chỉ nhìn trạng thái “Confirm” trên giao diện.
3. Kiểm tra modules và guards: chỉ enable những thành phần thực sự cần thiết và hiểu quyền mà chúng có thể thực thi.
4. Chuẩn bị quy trình mất signer: xác định trước cách nhóm xử lý khi một signer không còn khả dụng hoặc cần được thay thế.

Câu hỏi thường gặp về multisig wallet

Tác giả