Cụm từ khôi phục bí mật là gì? Mất có lấy lại được?

Cụm từ khôi phục bí mật (tiếng Anh: seed phrase, secret recovery phrase) là chuỗi 12 đến 24 từ tiếng Anh do ví sinh ra khi bạn tạo ví, dùng để sinh lại toàn bộ khóa riêng tư của ví đó. Ai có cụm từ này thì nhập vào bất kỳ ví nào cũng chuyển được mọi tài sản của bạn, không cần điện thoại hay mật khẩu. Mất cụm từ mà ví không còn mở được trên thiết bị nào thì không ai lấy lại được, kể cả công ty làm ra ví.

Bài này giải thích cụm từ khôi phục hoạt động thế nào, các trường hợp quên hoặc mất và cái nào còn cứu được, cách cất giữ, các chiêu lừa lấy cụm từ đang lưu hành, và việc cần làm nếu lỡ để lộ. Bối cảnh chung về ví: ví crypto là gì.

Cụm từ khôi phục bí mật là gì?

Là cách viết một con số ngẫu nhiên rất lớn thành các từ tiếng Anh dễ chép, theo chuẩn BIP-39; từ con số đó ví tính ra mọi khóa và địa chỉ. Chuẩn BIP-39 (công bố năm 2013) quy định:

• Ví sinh 128 đến 256 bit ngẫu nhiên, thêm vài bit kiểm tra lỗi, rồi chia thành các nhóm 11 bit. Mỗi nhóm là số thứ tự của một từ trong danh sách 2.048 từ.
• Kết quả là 12, 15, 18, 21 hoặc 24 từ. MetaMask dùng 12 từ; nhiều ví phần cứng dùng 24 từ.
• Từ cuối cùng chứa một phần mã kiểm tra, nên gõ sai một từ thì ví thường báo cụm từ không hợp lệ.
• Có thể đặt thêm một mật khẩu tùy chọn (passphrase, hay gọi là “từ thứ 25”). Cùng 12 từ nhưng khác passphrase sẽ ra một ví hoàn toàn khác.

MetaMask mô tả: các tài khoản giữ token của bạn “được suy ra từ” cụm từ khôi phục, và mỗi tài khoản có khóa riêng tư riêng cũng sinh ra từ cụm từ đó. Vì vậy cụm từ khôi phục là chìa khóa gốc của cả ví.

Cụm từ khôi phục, khóa riêng tư và mật khẩu khác nhau thế nào?

Mật khẩu chỉ mở ứng dụng trên một máy; khóa riêng tư điều khiển một địa chỉ; cụm từ khôi phục điều khiển cả ví trên mọi máy.

	Mật khẩu ứng dụng ví	Khóa riêng tư (private key)	Cụm từ khôi phục
Phạm vi	Một thiết bị	Một địa chỉ	Toàn bộ địa chỉ trong ví, trên mọi mạng ví hỗ trợ
Ai đặt	Bạn tự đặt	Sinh ra từ cụm từ khôi phục	Ví sinh ngẫu nhiên
Quên thì sao	Nhập cụm từ khôi phục để cài lại ví, đặt mật khẩu mới	Lấy lại từ cụm từ khôi phục	Chỉ còn cách xem lại khi ví đang mở được
Bị lộ thì mất gì	Người có máy của bạn mở được ví	Tài sản ở địa chỉ đó	Tất cả tài sản trong ví
Đổi được không	Đổi bất kỳ lúc nào	Không, phải chuyển sang địa chỉ mới	Không, phải tạo ví mới và chuyển tài sản

Theo MetaMask, với ví tạo bằng cụm từ khôi phục, mật khẩu “chỉ mở khóa truy cập cục bộ” trên thiết bị bạn đang dùng. Đây là lý do kẻ gian không cần mật khẩu của bạn, chỉ cần cụm từ.

Vì sao 12 từ mà không ai đoán được?

Vì 12 từ chọn từ danh sách 2.048 từ tạo ra khoảng 2^128 tổ hợp hợp lệ, con số không thể thử hết bằng máy tính. Ví dụ bằng số:

• Mỗi từ có 2.048 khả năng, tức 11 bit. 12 từ là 132 bit, trong đó 4 bit là mã kiểm tra, còn 128 bit ngẫu nhiên.
• 2^128 xấp xỉ 3,4 × 10^38. Một hệ thống giả định thử được một tỷ tỷ (10^18) cụm từ mỗi giây vẫn cần khoảng 10^13 năm mới thử hết, gấp hàng trăm lần tuổi vũ trụ (khoảng 1,4 × 10^10 năm).

Điều này có hai hệ quả ngược nhau. Không ai “dò” được ví của bạn. Nhưng cũng không ai “dò lại” được cụm từ bạn đã quên. Lời quảng cáo “phần mềm khôi phục ví từ địa chỉ” là lừa đảo.

Quên hoặc mất cụm từ khôi phục thì có lấy lại được không?

Còn cứu được nếu ví vẫn mở được trên ít nhất một thiết bị; không cứu được nếu đã mất cả cụm từ lẫn mọi thiết bị đang đăng nhập ví. Các trường hợp thường gặp:

Tình huống	Lấy lại được không	Cần làm
Quên mật khẩu ứng dụng, còn cụm từ	Được	Cài lại ví hoặc chọn đặt lại, nhập cụm từ khôi phục, đặt mật khẩu mới
Quên cụm từ, ví vẫn mở được bằng mật khẩu	Được	Vào phần cài đặt bảo mật của ví, nhập mật khẩu để xem lại cụm từ; chép ra giấy ngay
Quên cả mật khẩu lẫn cụm từ, ví còn trên máy	Rất khó	Thử lại các mật khẩu bạn hay dùng; không đưa tệp ví cho “dịch vụ phá mật khẩu” lạ
Mất điện thoại hoặc đã xóa ứng dụng, không có cụm từ	Không	Không ai khôi phục được. MetaMask: họ “không thể khôi phục ví của bạn nếu bạn mất quyền truy cập”
Nhớ được phần lớn, thiếu hoặc sai thứ tự vài từ	Có thể, tùy số từ thiếu	Không nhập các từ còn nhớ vào bất kỳ trang web hay công cụ trực tuyến nào
Ví đăng nhập bằng tài khoản Google, Apple (một số ví mới)	Tùy ví	Theo hướng dẫn chính thức của ví; MetaMask ghi mật khẩu khi đó dùng cùng tài khoản đăng nhập để mở các mảnh cụm từ đã mã hóa

Về trường hợp nhớ thiếu vài từ: vì từ cuối có mã kiểm tra, về kỹ thuật có thể thử các khả năng còn thiếu trên một máy không kết nối mạng. Nhưng đây đúng là điểm kẻ gian nhắm tới: “dịch vụ khôi phục” bảo bạn gửi các từ còn nhớ, rồi rút sạch ví ngay khi đoán ra phần thiếu. Không gửi các từ còn nhớ cho bất kỳ ai.

Cất giữ cụm từ khôi phục thế nào cho an toàn?

Chép tay, cất ngoại tuyến, có bản dự phòng ở nơi thứ hai, và không để nó đi qua bất kỳ thiết bị có mạng nào.

Nên	Không nên
Chép tay ra giấy, đúng thứ tự, đánh số từng từ	Chụp ảnh, chụp màn hình
Kiểm lại bằng cách khôi phục thử trên thiết bị thứ hai trước khi giữ số lớn	Lưu trong ghi chú điện thoại, email, Google Drive, iCloud, tin nhắn Zalo, Telegram gửi cho chính mình
Có hai bản ở hai nơi khác nhau (chống cháy, ngập, thất lạc)	Để cùng chỗ với ví phần cứng
Cân nhắc tấm kim loại khắc chữ nếu giữ lâu năm	Gõ cụm từ vào bất kỳ trang web nào, kể cả trang “giống hệt” trang chính thức
Nghĩ trước người thân sẽ tiếp cận ra sao nếu bạn gặp chuyện	Chia cụm từ cho nhiều người giữ mỗi người vài từ mà không có phương án thống nhất

Về chuyện người thân: Nghị quyết 05/2025/NQ-CP Điều 3 khoản 1 xác định tài sản số là “tài sản theo quy định của Bộ luật Dân sự”, nhưng về kỹ thuật, người thừa kế không có cụm từ khôi phục thì không thể chuyển tài sản trong ví tự quản. Một lá thư niêm phong hướng dẫn nơi cất cụm từ, để cùng giấy tờ quan trọng khác, là cách nhiều người dùng.

Nếu bạn không chắc tự giữ được, tài khoản ở sàn được cấp phép (khi đã có) là lựa chọn ít đòi hỏi hơn: quên mật khẩu vẫn khôi phục được qua xác minh danh tính. So sánh hai cách ở ví crypto là gì.

Kẻ gian lừa lấy cụm từ khôi phục bằng những chiêu nào?

Mọi chiêu đều dẫn tới một việc: khiến bạn gõ hoặc đọc cụm từ ở nơi kẻ gian nhìn thấy. Các chiêu đã được ghi nhận, kèm nguồn:

Chiêu	Cách hoạt động	Ghi nhận
Trang giả chạy quảng cáo trên công cụ tìm kiếm	Trang giống hệt ví hoặc ứng dụng thật, đứng đầu kết quả nhờ mua quảng cáo, yêu cầu “nhập 12 từ để khôi phục”	VnExpress 27/11/2021: người dùng Hà Nội mất tài sản; trang giả mạo MetaMask dùng tên miền na ná
“Nhân viên hỗ trợ” nhắn riêng	Bạn hỏi trong nhóm, có người nhắn “hỗ trợ”, gửi đường link “đồng bộ ví”, “xác minh ví”	MetaMask: nhân viên của họ không bao giờ hỏi cụm từ
Thư, tin nhắn giả mạo hãng ví phần cứng	Kẻ gian dùng dữ liệu khách hàng bị lộ để gửi thư “cập nhật bảo mật”	The Block 21/12/2020: dữ liệu 272.852 khách hàng Ledger (tên, email, địa chỉ nhà) bị phát tán
Thiết bị ví phần cứng bị can thiệp	Linh kiện gắn thêm đọc cụm từ khi hiện trên màn hình lúc cài đặt rồi gửi ra ngoài	Decrypt 13/10/2026: Ledger phát hiện ở thiết bị bán qua một nhà bán lại không chính thức ở Đông Nam Á
Thiết bị hoặc giấy kèm “cụm từ có sẵn”	Người bán đưa sẵn cụm từ in trên giấy, bảo bạn dùng luôn	Thiết bị chính hãng luôn để bạn tự tạo cụm từ khi cài đặt (xem ví lạnh là gì)
Mạo danh cơ quan, sàn	Người tự xưng công an, sàn “được cấp phép” yêu cầu “xác minh tài sản”	Công an TP Hà Nội (9/9/2026) khuyến cáo không cung cấp mật khẩu, mã OTP cho bất kỳ ai; cụm từ khôi phục còn quan trọng hơn cả hai thứ đó

Quy tắc chỉ có một dòng: TUYỆT ĐỐI KHÔNG đưa cụm từ khôi phục cho bất kỳ ai, không gõ nó vào bất kỳ trang web nào. Chỉ nhập cụm từ trong chính ứng dụng ví bạn tải từ nguồn chính thức, khi bạn chủ động khôi phục ví.

Lỡ để lộ cụm từ khôi phục thì phải làm gì?

Coi như ví đã mất: tạo ví mới với cụm từ mới trên thiết bị sạch và chuyển ngay tài sản còn lại sang đó. Đổi mật khẩu ứng dụng không có tác dụng, vì kẻ gian không cần mật khẩu.

1. Tạo ví mới (cụm từ mới) trên thiết bị khác hoặc trình duyệt khác, chưa từng dùng ví cũ.
2. Chép cụm từ mới ra giấy.
3. Chuyển tài sản còn lại từ ví cũ sang địa chỉ mới, ưu tiên tài sản giá trị lớn trước.
4. Ngưng dùng ví cũ hoàn toàn.

Nếu tài sản đã bị rút, hoặc ví cũ bị rút ngay khi bạn nạp phí vào, xem quy trình đầy đủ ở ví bị hack phải làm gì.

Ở Việt Nam, sàn hay cơ quan nhà nước có bao giờ cần cụm từ khôi phục của bạn không?

Không. Tài khoản ở sàn dùng đăng nhập, mật khẩu và xác thực hai lớp, không dùng cụm từ khôi phục ví cá nhân của bạn. Sàn được cấp phép giữ tài sản của khách bằng hệ thống lưu ký của sàn và phải “quản lý tách biệt tiền, tài sản mã hóa của khách hàng” (Nghị quyết 05/2025/NQ-CP Điều 15 khoản 2 điểm a). Không có quy trình nào của sàn được cấp phép cần bạn đưa cụm từ khôi phục ví tự quản.

Tính đến 26/10/2026 chưa sàn nào ở Việt Nam được cấp phép. Người tự xưng là “sàn được cấp phép” hay “đại diện cơ quan” hỏi cụm từ khôi phục là kẻ gian. Đã lỡ chuyển tiền hoặc đưa thông tin, giữ bằng chứng và trình báo cơ quan công an nơi cư trú hoặc nơi gần nhất. Dấu hiệu nhận diện sàn giả: nhận biết sàn tài sản mã hóa giả mạo.