Ký giao dịch

Ký giao dịch là gì?

Ký giao dịch là quá trình mật mã học dùng khóa riêng tư để phê duyệt giao dịch blockchain.

Trong crypto, việc ký chứng minh người hoặc ví kiểm soát khóa riêng tư đã cấp quyền cho một giao dịch cụ thể.

Giao dịch đã ký có thể được phát đến mạng blockchain để validator hoặc miner xác minh và quyết định giao dịch có hợp lệ hay không.

Tài liệu tài khoản Ethereum chính thức giải thích rằng cần khóa riêng tư để ký thông điệp và giao dịch, đồng thời chữ ký tạo ra có thể chứng minh tác giả.

Ký giao dịch không làm lộ khóa riêng tư.

Thay vào đó, quá trình này tạo chữ ký số có thể được kiểm tra bằng thông tin mật mã công khai.

Đây là một trong những ý tưởng bảo mật quan trọng nhất trong crypto, vì người dùng có thể cấp quyền chuyển tài sản mà không làm lộ bí mật kiểm soát tiền của họ.

Khi người dùng nhấp “confirm” trong ví, ví thường đang yêu cầu khóa riêng tư hoặc thiết bị ký tạo chữ ký trên dữ liệu giao dịch.

Blockchain sau đó kiểm tra chữ ký có khớp với tài khoản hoặc địa chỉ đang cố chi tiêu tiền hoặc thực hiện hành động hay không.

Nếu chữ ký hợp lệ và giao dịch tuân theo quy tắc mạng, giao dịch có thể được đưa vào block.

Vì sao ký giao dịch quan trọng?

Ký giao dịch quan trọng vì blockchain không sử dụng mật khẩu để phê duyệt thanh toán.

Blockchain sử dụng chữ ký mật mã được tạo từ khóa riêng tư.

Ngân hàng có thể đảo ngược hoặc chặn một số thao tác tài khoản qua hệ thống tập trung, nhưng hầu hết giao dịch blockchain có tính cuối cùng sau khi xác nhận.

Điều này khiến bước ký cực kỳ quan trọng.

Chữ ký hợp lệ có thể cấp quyền chuyển token, bán NFT, approval DeFi, thao tác staking, bỏ phiếu quản trị, chuyển qua bridge, gọi hợp đồng thông minh hoặc ủy quyền ví.

Nếu người dùng ký nhầm giao dịch, blockchain có thể xem đó là sự ủy quyền thực.

Nếu malware đánh cắp khóa riêng tư, kẻ tấn công có thể ký giao dịch mà không cần sự cho phép của người dùng.

Nếu website phishing lừa người dùng ký giao dịch nguy hiểm, người dùng có thể mất tiền ngay cả khi khóa riêng tư không bao giờ rời khỏi ví.

Do đó, ký giao dịch vừa là tính năng bảo mật vừa là điểm rủi ro lớn đối với người dùng.

Sử dụng crypto an toàn phụ thuộc vào việc hiểu nội dung đang được ký trước khi phê duyệt.

Ký giao dịch hoạt động như thế nào?

Đầu tiên, ví xây dựng dữ liệu giao dịch dựa trên hành động người dùng muốn thực hiện.

Dữ liệu này có thể bao gồm người gửi, người nhận, số lượng, phí, nonce, chain ID, địa chỉ hợp đồng, lệnh gọi hàm và các trường khác tùy blockchain.

Ví sau đó chuẩn bị dữ liệu theo định dạng blockchain đó yêu cầu.

Quá trình ký tạo chữ ký mật mã trên dữ liệu giao dịch.

Giao dịch đã ký bao gồm cả dữ liệu giao dịch gốc và chữ ký.

Giao dịch sau đó có thể được gửi đến mạng ngang hàng hoặc endpoint RPC.

Node xác minh chữ ký có hợp lệ cho người gửi được khai báo hay không.

Node cũng xác minh người gửi có đủ tiền không, nonce hoặc sequence có hợp lệ không, phí có đủ không và giao dịch có tuân thủ quy tắc giao thức không.

Nếu giao dịch vượt qua xác thực, nó có thể được đưa vào block.

Chữ ký biến giao dịch đã chuẩn bị thành giao dịch được ủy quyền.

Khóa riêng tư và khóa công khai

Khóa riêng tư là giá trị bí mật dùng để ký giao dịch.

Khóa công khai có quan hệ toán học với khóa riêng tư và có thể giúp chứng minh chữ ký hợp lệ.

Địa chỉ blockchain thường được tạo từ khóa công khai hoặc từ script hay cấu trúc tài khoản liên quan đến quyền sở hữu khóa.

Khóa riêng tư phải luôn được giữ bí mật.

Khóa công khai hoặc địa chỉ có thể được chia sẻ để người khác xác minh chữ ký hoặc gửi tiền.

Tài liệu ví Bitcoin chính thức giải thích rằng chương trình ví tạo khóa công khai để nhận satoshi và dùng khóa riêng tư tương ứng để chi tiêu chúng.

Ý tưởng cơ bản này xuất hiện trên nhiều mạng crypto, dù định dạng địa chỉ và thuật toán chữ ký khác nhau.

Nếu mất khóa riêng tư, người dùng có thể mất quyền truy cập tiền.

Nếu khóa riêng tư bị đánh cắp, kẻ tấn công có thể ký giao dịch và chuyển tiền.

Ký giao dịch chỉ an toàn khi khóa riêng tư được tạo, lưu trữ và sử dụng an toàn.

Chữ ký số

Chữ ký số chứng minh giao dịch được người có khóa riêng tư chính xác ủy quyền.

Chữ ký cũng giúp bảo vệ giao dịch khỏi bị thay đổi sau khi ký.

Nếu ai đó thay đổi số lượng, người nhận, phí hoặc lệnh gọi hợp đồng sau khi ký, chữ ký sẽ không còn xác minh được cho dữ liệu đã thay đổi đó.

Điều này có nghĩa dữ liệu được ký quan trọng ngang với chữ ký.

Người dùng không ký một ý định mơ hồ như “gửi một ít crypto”.

Người dùng ký dữ liệu giao dịch cụ thể với các chi tiết cụ thể.

Đây là lý do giao diện ví nên hiển thị thông tin ký rõ ràng trước khi phê duyệt.

Chữ ký hữu ích vì các thành viên mạng khác có thể xác minh mà không cần biết khóa riêng tư.

Điều này cho phép xác thực phi tập trung mà không cần máy chủ đăng nhập tập trung.

Chữ ký số là nền tảng thực tiễn của quyền sở hữu crypto.

Ký giao dịch trên Ethereum

Ký giao dịch Ethereum phê duyệt giao dịch từ tài khoản sở hữu bên ngoài hoặc luồng tài khoản được hỗ trợ khác.

Tài liệu giao dịch Ethereum chính thức giải thích giao dịch là chỉ thị được ký bằng mật mã từ một tài khoản.

Dữ liệu giao dịch Ethereum có thể gồm nonce, người nhận, value, dữ liệu đầu vào, gas limit, trường phí, chain ID và trường chữ ký.

Nonce giúp sắp xếp giao dịch từ cùng tài khoản và ngăn cùng giao dịch được chấp nhận lặp lại trong cùng chuỗi giao dịch của tài khoản.

Trường gas xác định số tiền người dùng sẵn sàng trả cho việc thực thi và đưa vào block.

Trường dữ liệu có thể trống với giao dịch chuyển ETH đơn giản hoặc chứa dữ liệu gọi hợp đồng thông minh.

Giao dịch chuyển token trên Ethereum thường là giao dịch gọi hợp đồng token, không phải dịch chuyển ETH gốc đơn giản.

Điều này nghĩa là người dùng có thể ký giao dịch gọi

, , , hoặc hàm hợp đồng khác.

Do đó, ký trên Ethereum có thể cấp quyền thanh toán đơn giản hoặc hành động hợp đồng thông minh phức tạp.

Người dùng nên đọc kỹ thông báo ví vì hành động được ký có thể mạnh hơn vẻ ngoài.

Ký giao dịch trên Bitcoin

Ký giao dịch Bitcoin hoạt động khác với chain dựa trên tài khoản vì Bitcoin dùng mô hình UTXO.

UTXO là đầu ra giao dịch chưa chi tiêu có thể được dùng làm đầu vào trong giao dịch tương lai.

Tài liệu giao dịch Bitcoin chính thức giải thích giao dịch cho phép người dùng chi tiêu satoshi và được xây dựng từ các thành phần hỗ trợ thanh toán đơn giản lẫn phức tạp.

Trong Bitcoin, chữ ký chứng minh bên chi tiêu được phép mở khóa các đầu ra cụ thể.

Giao dịch Bitcoin có thể có nhiều đầu vào và mỗi đầu vào có thể yêu cầu dữ liệu mở khóa hoặc dữ liệu witness riêng.

Điều này nghĩa là ví Bitcoin có thể ký nhiều phần của giao dịch khi chi tiêu nhiều UTXO.

Chữ ký Bitcoin được kiểm tra theo điều kiện khóa của các đầu ra được chi tiêu.

Nếu chữ ký và script bắt buộc hợp lệ, giao dịch có thể chi tiêu các đầu ra đó.

Thiết kế này khác với mô hình nonce tài khoản của Ethereum, nhưng ý tưởng cốt lõi tương tự.

Khóa riêng tư hoặc chính sách ký phải ủy quyền việc dịch chuyển giá trị.

Ký giao dịch trên Solana

Ký giao dịch Solana sử dụng chữ ký từ các tài khoản ủy quyền cho chỉ thị của giao dịch.

Tài liệu giao dịch Solana chính thức nêu rằng giao dịch gồm một hoặc nhiều chỉ thị, chữ ký của tài khoản ủy quyền thay đổi và recent blockhash.

Giao dịch Solana có thể cần nhiều hơn một signer nếu nhiều tài khoản phải ủy quyền chỉ thị.

Solana xử lý các chỉ thị trong giao dịch cùng nhau.

Nếu một chỉ thị thất bại, toàn bộ giao dịch thất bại và thay đổi trạng thái bị revert.

Tài liệu cấu trúc giao dịch Solana chính thức giải thích chữ ký đầu tiên trong mảng thuộc về bên trả phí và cũng là ID giao dịch.

Đây là lý do người dùng Solana thường thấy từ “signature” ở nơi hệ sinh thái khác có thể gọi là hash giao dịch hoặc ID giao dịch.

Người dùng nên hiểu thuật ngữ riêng của chain khi kiểm tra trạng thái giao dịch.

Chữ ký giao dịch Solana có thể xác định giao dịch trên mạng.

Khái niệm ký được chia sẻ giữa các chain, nhưng mỗi chain cấu trúc giao dịch khác nhau.

Ký giao dịch so với ký thông điệp

Ký giao dịch và ký thông điệp có liên quan nhưng khác nhau.

Ký giao dịch ủy quyền một hành động on-chain có thể di chuyển tài sản, thay đổi trạng thái hợp đồng, trả phí hoặc cập nhật quyền tài khoản.

Ký thông điệp chứng minh quyền kiểm soát địa chỉ ví mà không nhất thiết gửi giao dịch on-chain.

Website có thể yêu cầu người dùng ký thông điệp để đăng nhập, chứng minh quyền sở hữu ví hoặc chấp nhận điều khoản.

Ký thông điệp có thể hữu ích vì có thể không tốn gas và không trực tiếp chuyển tiền.

Tuy nhiên, ký thông điệp vẫn có thể rủi ro nếu thông điệp cấp quyền, ủy quyền giao dịch, ký lệnh hoặc ủy thác thẩm quyền.

Tiêu chuẩn EIP-712 chính thức định nghĩa phương pháp hash và ký dữ liệu có cấu trúc được định kiểu, thay vì chỉ ký chuỗi byte thô.

Ký typed data giúp ví hiển thị trường dễ đọc, nhưng người dùng vẫn phải đọc chi tiết.

Đối với Bitcoin, BIP-322 nêu định dạng ký thông điệp chung để chứng minh quyền kiểm soát địa chỉ Bitcoin.

Thông điệp đã ký không tự động an toàn chỉ vì nó không phát giao dịch.

Người dùng thực sự ký gì?

Người dùng ký dữ liệu có cấu trúc phụ thuộc vào blockchain và loại hành động.

Với giao dịch chuyển coin gốc đơn giản, dữ liệu ký có thể gồm địa chỉ đích, số lượng, phí, dữ liệu nonce hoặc sequence và thông tin chain.

Với giao dịch chuyển token, dữ liệu ký có thể gồm lệnh gọi hợp đồng thông minh để di chuyển token.

Với approval, dữ liệu ký có thể ủy quyền hợp đồng chi tiêu token về sau.

Với giao dịch DeFi, dữ liệu ký có thể gồm chi tiết tuyến swap, giới hạn trượt giá, thời hạn và approval token.

Với niêm yết NFT, dữ liệu ký có thể ủy quyền lệnh theo kiểu marketplace hoặc quyền chuyển token.

Với ủy quyền tài khoản, dữ liệu ký có thể cho phép hợp đồng hoặc cơ chế tài khoản khác hành động với quyền đặc biệt.

Trải nghiệm người dùng thường che giấu sự phức tạp này sau một nút xác nhận.

Điều này có thể nguy hiểm khi thông báo ví không rõ ràng.

Người dùng an toàn nhất sẽ hỏi chữ ký tạo ra chính xác quyền hạn nào trước khi phê duyệt.

Bảo vệ chống replay

Bảo vệ chống replay ngăn chữ ký hợp lệ bị tái sử dụng trong ngữ cảnh không phù hợp.

Nếu không có bảo vệ chống replay, giao dịch được ký cho một chain hoặc tình huống có thể bị sao chép và gửi ở nơi khác nếu dữ liệu được chấp nhận tại đó.

Tiêu chuẩn bảo vệ chống replay EIP-155 của Ethereum đã đưa chain ID vào ký giao dịch để giao dịch dành cho một chain không hoạt động trên chain tương thích khác sử dụng chain ID khác.

Điều này quan trọng vì nhiều mạng có thể dùng định dạng địa chỉ và cấu trúc giao dịch tương tự.

Chữ ký phải được gắn với đúng chain và ngữ cảnh giao dịch.

Thông báo ví hiện đại thường hiển thị mạng trước khi ký vì ngữ cảnh mạng quan trọng.

Người dùng nên từ chối yêu cầu ký hiển thị chain không mong đợi.

Nhà phát triển nên bao gồm mã định danh chain, nonce, thời hạn, domain và địa chỉ hợp đồng khi phù hợp.

Bảo vệ chống replay không chỉ là chi tiết kỹ thuật.

Nó bảo vệ người dùng khỏi việc chữ ký bị tái sử dụng vượt ngoài mục đích dự định.

Nonce và thứ tự giao dịch

Nonce là số giúp ngăn thực thi giao dịch trùng lặp và sắp xếp giao dịch từ cùng một tài khoản.

Trên Ethereum, mỗi giao dịch từ tài khoản sở hữu bên ngoài sử dụng nonce.

Nếu người dùng ký hai giao dịch cùng nonce, bình thường chỉ một giao dịch có thể được chấp nhận trong chuỗi giao dịch của tài khoản đó.

Đây là lý do giao dịch thay thế có thể xảy ra khi người dùng tăng tốc hoặc hủy giao dịch đang chờ.

Việc thay thế không phải phép màu.

Đó là giao dịch đã ký khác dùng cùng nonce với điều kiện phí hoặc chi tiết hành động khác.

Người dùng nên thận trọng khi thay thế giao dịch vì họ vẫn đang ký dữ liệu giao dịch thực.

Nhà phát triển nên quản lý nonce đúng cách khi xây dựng ví, bot giao dịch, hệ thống thanh toán hoặc hệ thống backend gửi giao dịch.

Lỗi nonce có thể tạo giao dịch bị kẹt, phát giao dịch thất bại hoặc thay thế ngoài ý muốn.

Chữ ký cùng nonce chính xác giúp mạng hiểu thứ tự giao dịch dự kiến.

Gas, phí và giao dịch đã ký

Ký giao dịch thường bao gồm dữ liệu liên quan đến phí.

Trên Ethereum, giao dịch đã ký chứa trường gas và phí xác định số tiền người gửi sẵn sàng trả.

Trên Bitcoin, phí giao dịch liên quan đến kích thước giao dịch và fee rate.

Trên Solana, bên trả phí ký giao dịch và trả phí cơ bản cùng mọi phí ưu tiên.

Phí quan trọng vì người dùng có thể ký giao dịch hợp lệ nhưng giao dịch không bao giờ được xác nhận nếu phí quá thấp so với điều kiện mạng hiện tại.

Phí cũng quan trọng vì giao diện độc hại có thể che giấu giao dịch đắt đỏ sau thông báo khó hiểu.

Người dùng nên kiểm tra cả việc dịch chuyển tài sản và phí trước khi ký.

Nhà phát triển nên hiển thị rõ ước tính phí và cập nhật khi điều kiện mạng thay đổi.

Ví cứng và ứng dụng ví nên giúp người dùng dễ hiểu mình đang trả gì.

Giao dịch đã ký là sự ủy quyền chi tiêu cả tài sản được chuyển lẫn phí mạng cần thiết.

Ký bằng ví cứng

Ký bằng ví cứng giữ khóa riêng tư trong thiết bị vật lý chuyên dụng.

Phần mềm ví chuẩn bị giao dịch, nhưng ví cứng chỉ ký sau khi người dùng xác nhận chi tiết trên thiết bị.

Điều này giảm rủi ro malware trên máy tính có thể trực tiếp đánh cắp khóa riêng tư.

Nó cũng cung cấp cho người dùng màn hình đáng tin cậy để kiểm tra địa chỉ, số lượng và chi tiết giao dịch.

Tuy nhiên, ví cứng không khiến mọi chữ ký trở nên an toàn.

Nếu người dùng phê duyệt giao dịch độc hại, ví cứng vẫn có thể ký đúng giao dịch độc hại đó.

Đây là lý do người dùng nên đọc màn hình thiết bị thay vì mù quáng phê duyệt thông báo.

Ví cứng phù hợp nhất cho lưu ký dài hạn, số dư lớn và xem xét giao dịch cẩn thận.

Nó không thay thế cho việc hiểu approval, lệnh gọi hợp đồng và rủi ro phishing.

Thiết bị bảo vệ khóa, nhưng người dùng phải bảo vệ quyết định ký.

Ký bằng ví nóng

Ví nóng ký giao dịch từ thiết bị kết nối internet.

Ví dụ gồm ví trình duyệt, ví di động, ví desktop và ví dựa trên ứng dụng.

Ví nóng tiện lợi vì giúp giao dịch thường xuyên dễ dàng.

Chúng cũng dễ chịu ảnh hưởng hơn từ malware, phishing, tiện ích trình duyệt độc hại và thiết bị bị xâm phạm.

Ví nóng có thể lưu khóa riêng tư hoặc dữ liệu khóa trên điện thoại hoặc máy tính.

Nếu thiết bị đó bị xâm phạm, kẻ tấn công có thể ký giao dịch hoặc đánh cắp bí mật ví.

Người dùng nên chỉ giữ lượng phù hợp cho chi tiêu thực tế trong ví nóng khi có thể.

Họ nên dùng ví cứng hoặc thiết lập lưu ký mạnh hơn cho lượng nắm giữ lớn.

Họ cũng nên tách ví hoạt động hằng ngày khỏi ví lưu trữ dài hạn.

Sự tiện lợi và bảo mật thường mâu thuẫn khi ký giao dịch crypto.

Ký giao dịch đa chữ ký

Ký giao dịch đa chữ ký yêu cầu nhiều hơn một khóa hoặc signer để ủy quyền giao dịch.

Trong Bitcoin, chi tiêu đa chữ ký có thể yêu cầu số lượng chữ ký được chọn từ một tập khóa lớn hơn.

Trong hệ sinh thái hợp đồng thông minh, ví multisig thường dùng quy tắc hợp đồng để yêu cầu nhiều phê duyệt trước khi thực thi.

Multisig có thể giảm rủi ro lỗi một khóa duy nhất.

Ví dụ, treasury có thể yêu cầu ba trong năm signer trước khi tiền có thể di chuyển.

Điều này có thể bảo vệ trước một khóa bị đánh cắp, một thiết bị bị mất hoặc một người vận hành bất chính.

Tuy nhiên, multisig làm tăng độ phức tạp về phối hợp và vận hành.

Signer phải hiểu họ đang phê duyệt điều gì.

Chính sách phải xác định ai ký, cách lưu thiết bị, cách xử lý tình huống khẩn cấp và cách luân chuyển khóa.

Hệ thống multisig chỉ mạnh bằng quy trình ký và kỷ luật quản trị của nó.

Ký bằng ví hợp đồng thông minh

Ví hợp đồng thông minh dùng logic hợp đồng để quyết định giao dịch hoặc thao tác có được ủy quyền hay không.

Điều này có thể hỗ trợ phê duyệt multisig, giới hạn chi tiêu, session key, khôi phục xã hội, paymaster và hành động theo lô.

Ví hợp đồng thông minh vẫn có thể dựa vào chữ ký, nhưng chữ ký được kiểm tra bởi logic hợp đồng thay vì chỉ quy tắc tài khoản nền tảng.

Điều này có thể cải thiện khả năng sử dụng và bảo mật khi được triển khai tốt.

Nó cũng có thể tạo rủi ro mới nếu hợp đồng ví, hệ thống plugin, hệ thống module hoặc thiết lập khôi phục không an toàn.

Người dùng nên hiểu ai có thể nâng cấp hoặc kiểm soát ví hợp đồng thông minh.

Họ nên thường xuyên kiểm tra module, delegate, session key và quyền hạn.

Nhà phát triển nên làm rõ thông báo ủy quyền và tránh quyền lực ẩn.

Ví hợp đồng thông minh giúp ký linh hoạt hơn, nhưng cũng làm ý nghĩa chữ ký phức tạp hơn.

Người dùng có thể đang ký một thao tác mà ví hợp đồng thực thi sau đó theo quy tắc cụ thể.

EIP-7702 và ký ủy quyền

Các tính năng tài khoản mới hơn của Ethereum khiến việc hiểu ký giao dịch càng quan trọng.

Tài liệu giao dịch Ethereum chính thức giải thích giao dịch Type 4 được giới thiệu cùng EIP-7702 trong bản nâng cấp Pectra của Ethereum.

Hướng dẫn Ethereum EIP-7702 chính thức giải thích EIP-7702 cho phép tài khoản sở hữu bên ngoài tạm thời hoạt động như tài khoản hợp đồng thông minh bằng cách đặt con trỏ đến mã đã triển khai qua loại giao dịch mới.

Điều này có thể cho phép các tính năng hữu ích như xử lý theo lô, tài trợ phí và nâng cấp theo kiểu tài khoản.

Nó cũng có thể khiến thông báo ký nhạy cảm hơn vì việc ủy quyền có thể thay đổi cách tài khoản hoạt động.

Chữ ký theo kiểu delegation có thể ủy quyền nhiều hơn một giao dịch chuyển cơ bản.

Người dùng nên đặc biệt thận trọng với mọi thông báo ủy quyền ví, danh sách ủy quyền, session key hoặc nâng cấp tài khoản.

Họ chỉ nên ký các yêu cầu này từ ứng dụng đáng tin cậy và sau khi hiểu rõ phạm vi.

Ví nên giải thích rõ delegation thực hiện điều gì và cách thu hồi nó.

Khi các tính năng tài khoản phát triển, ký an toàn đòi hỏi nhiều hơn việc kiểm tra địa chỉ người nhận.

Ký mù

Ký mù là phê duyệt giao dịch hoặc thông điệp mà không hiểu ý nghĩa dễ đọc của dữ liệu.

Điều này có thể xảy ra khi ví không thể giải mã rõ dữ liệu gọi hợp đồng.

Nó cũng có thể xảy ra khi ví cứng chỉ hiển thị hash hoặc trường không rõ ràng.

Ký mù rủi ro vì người dùng có thể không biết mình đang cấp quyền gì.

Website độc hại có thể hiển thị nút trông vô hại trong khi ví ký approval nguy hiểm hoặc giao dịch chuyển tài sản.

Người dùng nên tránh ký mù khi có thể.

Họ nên sử dụng ví giải mã giao dịch rõ ràng.

Họ nên xác minh website, địa chỉ hợp đồng, token, số lượng, mạng và quyền hạn.

Họ nên từ chối thông báo không thể hiểu.

Nếu giao dịch quan trọng nhưng không rõ, lựa chọn an toàn hơn là không ký cho đến khi hành động được xác minh.

Ký typed data

Ký typed data giúp chữ ký off-chain dễ hiểu hơn bằng cách cung cấp cho trường có cấu trúc tên và kiểu dữ liệu.

EIP-712 là tiêu chuẩn Ethereum nổi tiếng nhất cho ký dữ liệu có cấu trúc được định kiểu.

Tiêu chuẩn EIP-712 chính thức nêu đây là tiêu chuẩn hash và ký dữ liệu có cấu trúc được định kiểu thay vì chỉ chuỗi byte.

Điều này giúp ví hiển thị chi tiết như domain, spender, số lượng, thời hạn, token hoặc trường lệnh.

Ký typed data được sử dụng rộng rãi cho thông điệp đăng nhập, lệnh, permit, phiếu bầu và ủy quyền off-chain.

Tuy nhiên, dữ liệu dễ đọc không tự động nghĩa là dữ liệu an toàn.

Thông điệp được định kiểu vẫn có thể ủy quyền chi tiêu token, niêm yết marketplace, hành động delegate hoặc thực thi lệnh.

Người dùng nên đọc mọi trường trước khi ký.

Nhà phát triển nên sử dụng tên rõ ràng, domain chính xác, chain ID, địa chỉ hợp đồng xác minh và thời hạn.

Thiết kế typed data tốt giảm rủi ro phishing nhưng không loại bỏ hoàn toàn rủi ro.

Chữ ký permit

Chữ ký permit là chữ ký off-chain có thể phê duyệt chi tiêu token mà không yêu cầu chủ sở hữu token trước đó gửi giao dịch phê duyệt on-chain riêng.

Luồng theo kiểu permit có thể cải thiện trải nghiệm người dùng bằng cách giảm số giao dịch và chi phí gas.

Chúng phổ biến trong approval token, swap DeFi và tích hợp ví.

Tuy nhiên, permit có thể nguy hiểm vì người dùng có thể nghĩ mình đang ký thông điệp vô hại trong khi thực tế đang phê duyệt chi tiêu token.

Permit thường bao gồm chi tiết như owner, spender, value, nonce, deadline và hợp đồng token.

Nếu spender có mã độc và permit hợp lệ, spender có thể dùng permit để chuyển token trong phạm vi được phê duyệt.

Người dùng nên xem việc ký permit giống như approval token.

Họ nên xác minh địa chỉ spender, token, số lượng, thời hạn và website.

Nhà phát triển nên làm rõ thông báo permit và giới hạn số tiền phê duyệt khi có thể.

Chữ ký permit cho thấy vì sao ký thông điệp có thể mang ý nghĩa tài chính ngay cả khi không có giao dịch on-chain ngay lập tức.

Ký giao dịch và approval token

Approval token là một trong những rủi ro ký quan trọng nhất trong crypto.

Khi người dùng phê duyệt hợp đồng thông minh, họ có thể cho phép hợp đồng đó chi tiêu token về sau.

Một thao tác DeFi nhỏ có thể bắt đầu bằng giao dịch approval lớn.

Nếu hợp đồng có mã độc, approval có thể được dùng để rút sạch token đã được phê duyệt.

Nếu hợp đồng bị xâm phạm về sau, approval cũ có thể trở nên nguy hiểm.

Người dùng nên tránh approval không giới hạn trừ khi hiểu rủi ro và tin tưởng sâu sắc hợp đồng.

Họ nên kiểm tra và thu hồi approval cũ khi không còn cần thiết.

Họ nên dùng ví riêng cho hoạt động dApp rủi ro cao và lưu trữ dài hạn.

Ví nên gắn nhãn approval rõ ràng và cảnh báo khi approval không giới hạn hoặc có phạm vi rộng bất thường.

Ký approval có thể rủi ro ngang với ký giao dịch chuyển.

Ký giao dịch và NFT

Ký giao dịch NFT có thể ủy quyền chuyển token, niêm yết, approval, đặt giá, mint, burn hoặc lệnh marketplace.

Lừa đảo NFT thường tập trung lừa người dùng ký approval thay vì trực tiếp đánh cắp khóa riêng tư.

Người dùng có thể ký giao dịch phê duyệt hợp đồng chuyển một NFT hoặc cả bộ sưu tập.

Người dùng có thể ký niêm yết off-chain cho phép người mua mua NFT theo điều khoản cụ thể.

Website mint giả có thể yêu cầu người dùng ký giao dịch thực chất chuyển NFT giá trị.

Người dùng nên xác minh trang bộ sưu tập, địa chỉ hợp đồng, phạm vi approval và chi tiết lệnh marketplace trước khi ký.

Họ nên tránh liên kết khẩn cấp, trang mint qua tin nhắn trực tiếp và website claim không rõ nguồn gốc.

Ví cứng có thể giúp bảo vệ khóa, nhưng không thể quyết định approval NFT có an toàn không.

An toàn khi ký NFT phụ thuộc vào việc đọc thông báo và hiểu quyền được cấp.

Chữ ký NFT nguy hiểm nhất thường là những chữ ký trông như thông thường.

Ký giao dịch và DeFi

Ký giao dịch DeFi thường liên quan đến các lệnh gọi hợp đồng thông minh phức tạp.

Một hành động người dùng có thể gồm approval token, thực thi swap, dịch chuyển thanh khoản, nạp tài sản thế chấp, vay, hoàn trả, staking hoặc bridge.

Nhiều giao dịch DeFi là giao dịch nguyên tử, nghĩa là mọi bước đi kèm đều thành công hoặc toàn bộ giao dịch thất bại.

Điều này có thể hữu ích, nhưng cũng khiến thông báo ký khó hiểu hơn.

Người dùng nên kiểm tra URL giao thức, hợp đồng token, số lượng dự kiến, lượng nhận tối thiểu, trượt giá, thời hạn và lượng approval.

Họ nên thận trọng với token và pool không quen thuộc.

Họ nên tránh ký giao dịch từ liên kết sao chép hoặc tin nhắn trực tiếp.

Họ nên cân nhắc mô phỏng và bản xem trước giao dịch khi có.

Nhà phát triển nên làm thông báo ký DeFi dễ hiểu và không che giấu quyền hạn rủi ro cao.

DeFi biến ký giao dịch thành quyết định tài chính, không chỉ là hành động kỹ thuật.

Ký giao dịch và bridge

Giao dịch bridge thường yêu cầu ký trên một chain để khóa, burn, mint, phát hành hoặc claim tài sản trên chain khác.

Điều này có thể bao gồm nhiều giao dịch và nhiều chữ ký.

Bridge có thể yêu cầu người dùng phê duyệt token, nạp token vào hợp đồng bridge, chờ xác nhận và claim tài sản đại diện ở nơi khác.

Mỗi bước ký có rủi ro riêng.

Approval có thể làm token bị phơi nhiễm.

Khoản nạp có thể gửi tài sản đến hợp đồng.

Claim có thể tương tác với chain và định dạng địa chỉ khác.

Người dùng nên xác minh URL bridge, địa chỉ hợp đồng, tuyến được hỗ trợ, phí, giả định tính cuối cùng và ví đích.

Họ nên gửi lượng thử nhỏ khi có thể.

Ký bridge làm tăng độ phức tạp cross-chain, vì vậy người dùng không nên vội vàng qua các thông báo.

Ký giao dịch và phishing

Tấn công phishing thường cố khiến người dùng ký nội dung nguy hiểm.

Kẻ tấn công có thể dùng airdrop giả, mint giả, trang hỗ trợ giả, dashboard staking giả, cảnh báo ví giả hoặc yêu cầu đặt lại approval giả.

Mục tiêu có thể là khiến người dùng ký approval token, approval NFT, permit, delegation hoặc giao dịch chuyển trực tiếp.

Phishing có thể thành công ngay cả khi khóa riêng tư không bao giờ rời khỏi ví.

Kẻ tấn công chỉ cần người dùng ký sai dữ liệu.

Người dùng nên kiểm tra kỹ URL và tránh liên kết từ tin nhắn trực tiếp, bình luận, quảng cáo hoặc email không rõ nguồn gốc.

Họ không nên kết nối ví với website không tin cậy.

Họ nên từ chối thông báo ký không mong đợi.

Họ không bao giờ nên chia sẻ seed phrase, từ khôi phục, khóa riêng tư hoặc tệp sao lưu ví.

An toàn khi ký bắt đầu trước khi thông báo ví xuất hiện.

Ký giao dịch và malware

Malware có thể tấn công quá trình ký giao dịch theo nhiều cách.

Malware clipboard có thể thay địa chỉ đã sao chép bằng địa chỉ của kẻ tấn công.

Malware trình duyệt có thể thay đổi nội dung website hiển thị.

Phần mềm ví giả có thể tạo thông báo giao dịch độc hại.

Keylogger có thể đánh cắp mật khẩu hoặc bí mật ví nóng.

Tấn công lớp phủ màn hình có thể che giấu chi tiết giao dịch thực.

Malware truy cập từ xa có thể vận hành ví khi người dùng mất tập trung.

Ví cứng giúp giảm một số rủi ro malware vì khóa riêng tư nằm trên thiết bị.

Tuy nhiên, người dùng vẫn phải xác minh địa chỉ và số lượng trên màn hình thiết bị đáng tin cậy.

Rủi ro malware là một lý do không nên xem ký giao dịch là thói quen chỉ cần một cú nhấp.

Ký giao dịch và thu hồi

Giao dịch đã ký thường không thể bị thu hồi sau khi được xác nhận on-chain.

Tuy nhiên, một số quyền được tạo bởi chữ ký có thể được giảm về sau.

Approval token thường có thể được thu hồi hoặc giảm bằng cách gửi giao dịch khác.

Session key đôi khi có thể bị xóa qua cài đặt ví.

Delegation có thể có luồng thu hồi tùy hệ thống tài khoản.

Niêm yết marketplace có thể bị hủy nếu thiết kế marketplace hỗ trợ hủy và lệnh chưa được thực thi.

Người dùng nên hiểu chữ ký tạo hành động một lần hay quyền liên tục.

Họ nên thường xuyên kiểm tra approval và quyền đang hoạt động.

Họ nên hành động nhanh nếu nghi ngờ approval hoặc delegation độc hại.

Thu hồi hữu ích, nhưng không thể đảo ngược tài sản đã được chuyển bởi chữ ký hợp lệ.

Ký giao dịch và giao dịch thất bại

Giao dịch đã ký vẫn có thể thất bại.

Giao dịch có thể thất bại vì tài khoản không đủ số dư phí.

Giao dịch có thể thất bại vì nonce sai.

Giao dịch có thể thất bại vì điều kiện hợp đồng không được đáp ứng.

Giao dịch có thể thất bại vì trượt giá quá cao hoặc hết thời hạn.

Giao dịch có thể thất bại vì gas limit hoặc ước tính tài nguyên quá thấp.

Giao dịch có thể thất bại vì người dùng ký trên sai chain.

Giao dịch có thể thất bại vì approval token hoặc số dư thay đổi trước khi thực thi.

Ngay cả giao dịch thất bại cũng có thể tiêu tốn phí vì validator vẫn xử lý lần thực thi được thử.

Người dùng nên kiểm tra trạng thái giao dịch trên trình khám phá blockchain đáng tin cậy trước khi cho rằng tiền đã hoặc chưa di chuyển.

Ký giao dịch và quyền riêng tư

Chữ ký giao dịch có thể tiết lộ mô hình hoạt động liên quan đến địa chỉ ví.

Trên blockchain công khai, giao dịch đã ký thường hiển thị cho mọi người sau khi được phát và xác nhận.

Người quan sát có thể phân tích địa chỉ, số lượng, thời điểm, dịch chuyển token, approval và tương tác hợp đồng thông minh.

Chữ ký thông điệp cũng có thể tạo liên kết về quyền riêng tư nếu người dùng ký cùng một địa chỉ vào nhiều website.

Thông điệp đăng nhập đã ký có thể chứng minh quyền kiểm soát ví với dịch vụ và dịch vụ đó có thể liên kết ví với hồ sơ người dùng.

Người dùng quan tâm đến quyền riêng tư nên tách ví theo mục đích.

Họ nên tránh đăng nhập vào website không cần thiết bằng ví lưu trữ dài hạn.

Họ nên tránh tái sử dụng địa chỉ khi chain và thiết kế ví hỗ trợ thực hành riêng tư tốt hơn.

Họ nên hiểu ký giao dịch thường tạo hồ sơ công khai.

Quyền riêng tư tốt bắt đầu từ việc tách ví trước khi ký.

Thực hành tốt nhất cho người dùng

Xác minh website hoặc ứng dụng trước khi kết nối ví.

Kiểm tra mạng trước khi ký.

Đọc loại giao dịch trước khi phê duyệt.

Xác nhận địa chỉ người nhận và số lượng.

Kiểm tra kỹ lượng approval token.

Từ chối thông báo ký mù mà bạn không hiểu.

Dùng ví cứng cho số dư lớn.

Dùng ví riêng cho lưu trữ dài hạn và hoạt động dApp rủi ro cao.

Gửi giao dịch thử nhỏ trước khi di chuyển lượng lớn.

Không bao giờ chia sẻ khóa riêng tư, seed phrase, từ khôi phục hoặc tệp sao lưu ví.

Thực hành tốt nhất cho nhà phát triển

Làm thông báo ký rõ ràng và dễ đọc.

Sử dụng tiêu chuẩn typed data khi giúp người dùng hiểu tốt hơn.

Đưa vào chain ID, địa chỉ hợp đồng, nonce, thời hạn và domain separator khi phù hợp.

Giới hạn lượng approval khi có thể.

Tránh yêu cầu người dùng ký quyền hạn rộng mà không giải thích rõ.

Hiển thị mô phỏng và bản xem trước giao dịch khi có thể.

Cảnh báo người dùng khi chữ ký tạo quyền hạn liên tục.

Kiểm thử luồng ký trên nhiều ví và thiết bị.

Xử lý an toàn chữ ký thất bại và thông báo bị từ chối.

Thiết kế luồng ký có tính đến khả năng chống phishing.

Những hiểu lầm phổ biến về ký giao dịch

Sai lầm đầu tiên là cho rằng chữ ký chỉ là xác nhận đăng nhập.

Một số chữ ký có thể ủy quyền hành động tài chính thực.

Sai lầm thứ hai là cho rằng ví cứng khiến mọi chữ ký an toàn.

Ví cứng bảo vệ khóa nhưng vẫn có thể ký giao dịch nguy hiểm nếu người dùng phê duyệt.

Sai lầm thứ ba là bỏ qua approval.

Approval có thể cho phép hợp đồng chuyển token về sau.

Sai lầm thứ tư là ký trên sai mạng.

Chain ID, tên mạng và hợp đồng xác minh có thể thay đổi ý nghĩa chữ ký.

Sai lầm thứ năm là tin thông báo ví không rõ ràng.

Nếu không thể hiểu thông báo, người dùng không nên ký cho đến khi hành động được xác minh.

Câu hỏi thường gặp

Ký giao dịch trong crypto là gì?

Ký giao dịch là quá trình dùng khóa riêng tư tạo chữ ký số để ủy quyền giao dịch blockchain.

Ký giao dịch có làm lộ khóa riêng tư không?

Không. Ký giao dịch đúng cách tạo chữ ký mà không tiết lộ khóa riêng tư.

Ai đó có thể đánh cắp tiền chỉ với chữ ký không?

Có, nếu chữ ký ủy quyền giao dịch chuyển, approval, permit, lệnh hoặc delegation cấp cho kẻ tấn công quyền hạn có thể sử dụng.

Ký thông điệp có giống ký giao dịch không?

Không. Ký thông điệp thường chứng minh quyền kiểm soát ví off-chain, còn ký giao dịch ủy quyền hành động on-chain, nhưng một số thông điệp vẫn có thể mang quyền tài chính.

Vì sao ví yêu cầu tôi ký?

Ví yêu cầu chữ ký khi ứng dụng cần chứng minh quyền kiểm soát ví hoặc cần ủy quyền cho giao dịch, thông điệp, approval, lệnh hoặc hành động hợp đồng thông minh.

Ký mù là gì?

Ký mù là phê duyệt dữ liệu mà ví hoặc người dùng không thể đọc hoặc hiểu rõ.

Ký mù có nguy hiểm không?

Có. Ký mù nguy hiểm vì người dùng có thể phê duyệt giao dịch chuyển, approval hoặc lệnh gọi hợp đồng mà không hiểu.

Bảo vệ chống replay là gì?

Bảo vệ chống replay ngăn chữ ký hợp lệ bị tái sử dụng trên chain hoặc ngữ cảnh khác ngoài dự định.

Nonce trong ký giao dịch là gì?

Nonce là số được dùng để sắp xếp giao dịch và giúp ngăn thực thi trùng lặp từ cùng một tài khoản.

Giao dịch đã ký có thể thất bại không?

Có. Giao dịch đã ký có thể thất bại do phí không đủ, nonce sai, hợp đồng revert, hết thời hạn, trượt giá hoặc quy tắc mạng khác.

Tôi có thể hủy giao dịch đã ký không?

Bạn có thể thay thế giao dịch đang chờ trên một số mạng, nhưng giao dịch đã xác nhận thường không thể đảo ngược.

Tôi có thể thu hồi chữ ký không?

Bạn không thể xóa chữ ký sau khi nó tồn tại, nhưng có thể thu hồi quyền hoặc approval mà chữ ký tạo ra nếu hệ thống hỗ trợ thu hồi.

Ký bằng ví cứng có an toàn hơn không?

Ký bằng ví cứng thường an toàn hơn trong bảo vệ khóa, nhưng người dùng vẫn phải xác minh chi tiết giao dịch trước khi phê duyệt.

Tôi nên kiểm tra gì trước khi ký?

Bạn nên kiểm tra website, mạng, người nhận, số lượng, token, địa chỉ hợp đồng, lượng approval, phí, thời hạn và phạm vi quyền hạn.

Quy tắc an toàn nhất khi ký giao dịch là gì?

Quy tắc an toàn nhất là không bao giờ ký nội dung bạn không hiểu, đặc biệt là approval, permit, delegation và yêu cầu ký mù.

Kết luận

Ký giao dịch là quy trình phê duyệt bằng mật mã giúp quyền sở hữu blockchain có thể hoạt động.

Nó cho phép người dùng ủy quyền chuyển tài sản và hành động hợp đồng thông minh mà không tiết lộ khóa riêng tư.

Chữ ký hợp lệ chứng minh khóa chính xác đã phê duyệt dữ liệu giao dịch cụ thể.

Các blockchain khác nhau cấu trúc giao dịch đã ký khác nhau, nhưng ý tưởng cốt lõi giống nhau trên Bitcoin, Ethereum, Solana, TRON và nhiều mạng khác.

Ký giao dịch mạnh mẽ vì loại bỏ nhu cầu về cơ quan tập trung dựa trên mật khẩu.

Nó cũng rủi ro vì chữ ký hợp lệ có thể di chuyển tài sản, phê duyệt chi tiêu token, niêm yết NFT, ủy quyền kiểm soát tài khoản hoặc tương tác với hợp đồng phức tạp.

Người dùng nên xem mọi thông báo ký là quyết định bảo mật nghiêm túc.

Họ nên xác minh ứng dụng, mạng, hợp đồng, địa chỉ, số lượng, phí và phạm vi quyền hạn trước khi phê duyệt.

Nhà phát triển nên thiết kế luồng ký dễ đọc, có giới hạn, chống replay và chống phishing.

Ví cứng, ký typed data, multisig, ví hợp đồng thông minh và trừu tượng hóa tài khoản có thể cải thiện an toàn khi được sử dụng đúng cách.

Không công cụ nào trong số này loại bỏ nhu cầu xem xét cẩn thận.

Trong bảng thuật ngữ crypto, Transaction Signing nên được hiểu là bước ủy quyền dựa trên khóa riêng tư biến ý định giao dịch thành hành động blockchain có thể thực thi.