Ví Rabby có an toàn không?

Câu trả lời ngắn

Ví Rabby thật, cài từ các cửa hàng chính thức, là lựa chọn vững chắc để dùng EVM hằng ngày, và các bước kiểm tra trước khi ký khiến nó an toàn hơn nhiều ví khác trên thực tế. "An toàn" phụ thuộc vào cách bạn dùng nhiều hơn là vào bản thân ví: một bản tải giả, một cụm từ khôi phục bị gõ vào trang web hay một phê duyệt không giới hạn cho hợp đồng drainer đều sẽ rút sạch bất kỳ ví nào. Với số tiền lớn, hãy kết hợp Rabby với ví phần cứng.

Rabby bảo vệ khóa của bạn thế nào

• Tự lưu ký. Cụm từ khôi phục (seed phrase) và khóa riêng tư được tạo trên thiết bị của bạn và lưu dưới dạng mã hóa bằng mật khẩu của bạn. Máy chủ của Rabby không nắm giữ chúng.
• Mật khẩu cục bộ. Mật khẩu chỉ mở khóa ví trên thiết bị đó. Đây không phải mật khẩu tài khoản và không thể khôi phục tiền của bạn ở nơi khác. Nếu quên, bạn khôi phục từ cụm từ khôi phục (xem quên mật khẩu Rabby).
• Tùy chọn ví phần cứng. Với Ledger, Trezor, Keystone hoặc thiết bị tương tự, khóa không bao giờ chạm vào máy tính hay điện thoại; Rabby chỉ chuẩn bị giao dịch để thiết bị ký. Xem ví phần cứng trong Rabby.
• Kiểm tra trước khi ký. Rabby mô phỏng mỗi giao dịch và hiển thị thay đổi số dư dự kiến, đồng thời gắn cờ các phê duyệt rủi ro, người nhận lạ và hợp đồng đáng ngờ. Xem mô phỏng giao dịch.

Mã nguồn mở

Mã nguồn của tiện ích được công khai trên GitHub theo giấy phép MIT, và mã ứng dụng di động được công khai trong một kho riêng (không có tệp giấy phép, theo CryptoSlate, tháng 10/2026). Mã công khai cho phép các nhà nghiên cứu kiểm tra cách lưu trữ khóa. Bản thân điều đó không chứng minh bản dựng trên cửa hàng khớp với mã nguồn, vì vậy kiểm toán và lịch sử hoạt động lâu dài cũng quan trọng.

Kiểm toán

Rabby lưu các báo cáo kiểm toán trong thư mục audits của kho GitHub, và Least Authority công bố báo cáo trên trang web của chính họ.

Nguồn: các trang kiểm toán của Least Authority; thư mục kiểm toán trên GitHub của Rabby; bài đánh giá của CryptoSlate (cập nhật ngày 24/10/2026). Chúng tôi chưa tóm tắt các phát hiện của báo cáo năm 2026 vì chưa thể đọc toàn văn. Kiểm toán là việc xem xét mã nguồn tại một thời điểm, không phải lời bảo đảm. Phát hiện chưa xử lý nghĩa là kiểm toán viên thấy có chỗ cần cải thiện mà Rabby chưa áp dụng khi báo cáo được công bố; điều đó không có nghĩa tiền đang gặp rủi ro từ một lỗ hổng đã biết.

Vụ khai thác Rabby Swap tháng 10/2022

Rabby Swap ra mắt ngày 14/9/2022. Ngày 11/10/2022, một kẻ tấn công đã khai thác lỗ hổng trong hợp đồng swap cho phép chuyển token từ những người dùng đã phê duyệt hợp đồng này, trên nhiều chuỗi (The Block, 11/10/2022). Thiệt hại được báo cáo là khoảng 114 ETH và 179 BNB, tương đương khoảng 200.000 đô la Mỹ vào thời điểm đó (Web3 Is Going Great; CryptoSlate). Hợp đồng đã được PeckShield kiểm toán nhưng họ bỏ sót lỗ hổng.

Rabby yêu cầu tất cả những ai từng dùng Swap thu hồi mọi phê duyệt trên mọi chuỗi và cho biết các ví chưa từng dùng Swap không bị ảnh hưởng. Khóa riêng tư không bị ảnh hưởng. Một số bài đánh giá sau này nói rằng nạn nhân đã được bồi hoàn, nhưng chúng tôi không tìm thấy tuyên bố gốc của Rabby về việc này. Hợp đồng cũ không thể tạm dừng, nên bất kỳ phê duyệt nào vẫn trỏ đến nó đều còn rủi ro. Bài học áp dụng cho mọi ví: phê duyệt cho một hợp đồng vẫn mở cho đến khi bạn thu hồi. Kiểm tra phê duyệt của bạn bằng công cụ giải thích phê duyệt và thu hồi các phê duyệt cũ. Các sự kiện khác được liệt kê trong lịch sử bảo mật của Rabby.

Lỗi chữ ký im lặng, tháng 8/2026

Vào tháng 8/2026, nhà nghiên cứu bảo mật V12 công bố một lỗ hổng trong tiện ích: một trang độc hại mà bạn đã kết nối trước đó có thể lấy được chữ ký mà bạn không hề thấy, nhưng chỉ khi thời gian tự khóa được đặt là 10 phút. Bản sửa mã của Rabby bảo đảm rằng một yêu cầu ký đang chờ không còn có thể được chấp thuận chỉ bằng việc mở khóa ví. Tiện ích đã sửa lỗi được phát hành ngày 11/8/2026; ứng dụng di động không bị ảnh hưởng và chưa có báo cáo nào về việc lỗi bị khai thác (TechFlow, 20/8/2026; GitHub của Rabby). Hãy luôn cập nhật Rabby.

Vào tháng 9/2025, trong một đợt tấn công diện rộng vào các gói JavaScript phổ biến, Rabby cho biết ví của họ không bị ảnh hưởng vì cố định phiên bản các thư viện phụ thuộc (Rabby trên X, 9/9/2025, theo tóm tắt của IQ.wiki).

Rủi ro lớn hơn: ví Rabby giả

Mạo danh gây ra nhiều thiệt hại liên quan đến Rabby hơn hẳn so với lỗi phần mềm:

• Ứng dụng giả trên App Store (tháng 2/2024). Một ứng dụng tên "Rabby Wallet & Crypto Solution" của nhà phát triển tên "Solution Development" đã đánh cắp cụm từ khôi phục trước khi ứng dụng iOS thật của Rabby được phát hành. Rabby đã cảnh báo người dùng ngày 16/2/2024 (ForkLog).
• Tiện ích Firefox giả (2025 và 2026). Các nhà nghiên cứu của Socket phát hiện 13 bản Rabby bị chỉnh sửa trong số 40 tiện ích Firefox độc hại gửi dữ liệu ví cho kẻ tấn công (The Hacker News, 20/8/2026), và thêm bốn bản sao Rabby khác vào tháng 10/2026. Rabby không có tiện ích Firefox chính thức.
• Trang web giả. Kết quả tìm kiếm về Rabby đầy rẫy các trang tải xuống nhái trên hosting miễn phí, nền tảng khóa học và các trang web bị hack.

Chi tiết và các bước khắc phục: lừa đảo ví Rabby giả.

Dấu hiệu nguy hiểm trong cửa sổ ký

Cửa sổ bật lên của Rabby cung cấp thông tin cho bạn; bạn vẫn phải tự đọc. Hãy dừng lại và từ chối nếu bạn thấy bất kỳ điều nào sau đây:

• Token rời khỏi ví mà bạn không mong đợi, ví dụ một "free mint" hay "claim" cho thấy ETH hoặc stablecoin của bạn bị chuyển đi.
• Phê duyệt hoặc permit cho một token bạn không giao dịch, đặc biệt với số lượng không giới hạn hoặc cho bên chi tiêu mà Rabby đánh dấu là mới hay rủi ro.
• Yêu cầu "set approval for all" cho một bộ sưu tập NFT trên trang bạn không biết. Yêu cầu này giao toàn bộ NFT trong bộ sưu tập đó.
• Chữ ký off-chain (permit) mà bạn không hiểu. Ký một thông điệp có thể cho phép chuyển tiền mà không tốn gas vào thời điểm đó.
• Người nhận lần đầu với một địa chỉ bạn nghĩ mình đã từng dùng. Đây là dấu hiệu kinh điển của đầu độc địa chỉ (address poisoning); hãy so sánh toàn bộ địa chỉ bằng công cụ kiểm tra địa chỉ.
• Một trang không phải trang bạn định truy cập. Kiểm tra tên miền hiển thị trong yêu cầu.

Giới hạn thẳng thắn

• Đây là ví nóng. Khóa nằm trên thiết bị kết nối internet. Phần mềm độc hại trên máy tính hoặc điện thoại, hay một tiện ích trình duyệt độc hại, vẫn có thể đánh cắp chúng.
• Rủi ro trình duyệt. Mọi tiện ích khác bạn cài đều có thể đọc và thay đổi trang web, và một số có thể bị kẻ tấn công chiếm quyền. Hãy giữ ít tiện ích.
• Cảnh báo có thể bị bỏ qua. Rabby cho phép bạn ký bất chấp cảnh báo, và ký mù (blind signing) vẫn có thể xảy ra với các giao dịch bất thường.
• Mô phỏng có giới hạn. Nó cho thấy điều sẽ xảy ra lúc này; nó không thể dự đoán một hợp đồng đã được phê duyệt sẽ làm gì sau này, và có thể không chạy trên mọi mạng tùy chỉnh.
• Mật khẩu yếu làm suy yếu mã hóa cục bộ. Hãy dùng mật khẩu dài và duy nhất.

Cách dùng Rabby an toàn

1. Chỉ cài từ cửa hàng chính thức. Tự gõ rabby.io hoặc dùng dấu trang, và kiểm tra ID tiện ích acmacodkjbdgmoleebolmdjonilkdbch bằng công cụ xác minh.
2. Viết cụm từ khôi phục ra giấy hoặc khắc lên kim loại và giữ ngoại tuyến. Xem sao lưu cụm từ khôi phục.
3. Không bao giờ gõ cụm từ khôi phục vào trang web, khung chat hay biểu mẫu. Rabby và DeBank không bao giờ yêu cầu nó, và bộ phận hỗ trợ thật không bao giờ nhắn tin cho bạn trước.
4. Đọc bản xem trước thay đổi số dư ở mỗi chữ ký. Dừng lại nếu nó cho thấy token rời khỏi ví mà bạn không mong đợi.
5. Tránh phê duyệt không giới hạn và thường xuyên thu hồi các phê duyệt cũ.
6. Dùng ví phần cứng cho khoản tiết kiệm và chỉ giữ tiền tiêu dùng trong tài khoản ví nóng.
7. Luôn cập nhật trình duyệt và Rabby, và gỡ các tiện ích không cần thiết.

Câu hỏi thường gặp