ZachXBT và Roman Storm tranh luận về ví crypto trên iPhone cũ

ZachXBT: Ví phần cứng là "rác hoàn toàn"

Nhà điều tra on-chain nổi tiếng ZachXBT vừa đưa ra một quan điểm gây tranh cãi trong cộng đồng crypto: thay vì dùng ví phần cứng chuyên dụng, người dùng nên cân nhắc sử dụng một chiếc iPhone riêng biệt với mục đích duy nhất là làm ví lưu trữ tài sản số.

"Tất cả ví phần cứng đều vô dụng và tôi không khuyến khích dùng chúng cho các tác vụ quan trọng như ký giao dịch hay lưu trữ tài sản. Tốt hơn nhiều là dùng một chiếc iPhone riêng, với mục đích duy nhất là làm ví phần cứng," ZachXBT phát biểu.

Sự thất vọng của ông có cơ sở thực tiễn. Vào tháng 2/2025, sàn Bybit mất 1,5 tỷ USD sau khi kẻ tấn công lừa các bên ký giao dịch độc hại — trong khi các khóa bí mật vẫn nguyên vẹn.

Roman Storm đồng ý, nhưng có điều kiện

Developer Tornado Cash Roman Storm — người đang chờ xét xử lại trong vụ án liên quan đến dự án này — tán thành ý tưởng, song đặt ra một điều kiện quan trọng: "Tôi đồng ý — nếu thực sự có ứng dụng di động hỗ trợ BIP39 passphrase."

BIP39 passphrase là một từ bí mật bổ sung vào seed phrase (12 hoặc 24 từ). Khi thêm passphrase, cùng một bộ từ đó sẽ mở ra một ví hoàn toàn khác. Điều này có nghĩa là nếu kẻ trộm tìm được tờ giấy ghi seed phrase, chúng chỉ thấy một ví trống. Một ví dụ thực tế: một người dùng tại Anh đã mất khoảng 172 triệu USD sau khi camera CCTV tại nhà vô tình ghi lại recovery phrase Trezor của họ — và passphrase có thể đã khiến đoạn băng đó vô giá trị.

Theo dữ liệu từ Chainalysis, năm 2025 ghi nhận 158.000 vụ xâm phạm ví cá nhân, gần gấp ba lần so với năm 2022. Các cuộc tấn công này nhắm vào 80.000 nạn nhân với tổng thiệt hại 713 triệu USD. Chỉ riêng trong tháng này, một lỗ hổng seed phrase đã bị khai thác để rút 3,1 triệu USD.

Khoảng trống lớn trên thị trường ví di động

Theo Storm, các ví phần cứng như Trezor, Ledger, Coldcard, Keystone và BitBox đều đã hỗ trợ BIP39 passphrase. Nhưng phía ví di động thì ngược lại: MetaMask đã bỏ qua yêu cầu tính năng này từ năm 2021, Trust Wallet cũng không có, Rabby chỉ hỗ trợ trên desktop. Chỉ AirGap Vault là lựa chọn di động duy nhất hiện có.

Storm đề xuất hướng giải quyết: ví di động cần hỗ trợ cả passphrase lẫn air-gapped signing — tức là thiết bị không bao giờ kết nối internet khi ký giao dịch. Nghiên cứu từ Trail of Bits cũng ủng hộ nguyên tắc này nhằm giới hạn thiệt hại khi khóa bị lộ.

Tuy nhiên, Jameson Lopp, đồng sáng lập Casa, cảnh báo rằng nhiều người dùng thường quên passphrase và tự khóa vĩnh viễn tài khoản của mình. Ngoài ra, tại Hong Kong, nhà chức trách đã có quyền buộc du khách mở khóa điện thoại và ví tại biên giới.

Trezor phản bác: iPhone vẫn là thiết bị đa năng

Giám đốc thương mại Trezor, Danny Sanders, ghi nhận công việc điều tra của ZachXBT nhưng không đồng ý với đề xuất. Theo ông, điện thoại là thiết bị đa năng với quá nhiều "cửa hậu" tiềm ẩn — các zero-click exploit là mối đe dọa có thật và đã được ghi nhận. Ví phần cứng còn đóng vai trò là màn hình xác nhận độc lập: nếu điện thoại bị xâm phạm, không có gì ngăn người dùng ký nhầm giao dịch độc hại.

Ông Sanders cũng lưu ý rằng tạo seed phrase trên iPhone tiềm ẩn rủi ro iCloud backup và clipboard leak. Thậm chí pin cũng là vấn đề: iPhone cất giữ nhiều năm có thể xuống cấp, và để khởi động lại cần kết nối với máy chủ Apple cùng Apple ID.

Dù vậy, Storm kết lại rằng quả bóng đang nằm trong tay các nhà phát triển ví: nếu MetaMask hoặc Trust Wallet bổ sung trường passphrase, hàng triệu chiếc điện thoại cũ có thể trở thành ví crypto thực sự an toàn.