Ví Multisig là gì? Cách hoạt động của ví đa chữ ký

Ví Multisig là gì? Đây là ví yêu cầu một số lượng chữ ký hợp lệ từ tập người ký được cấu hình trước để thực hiện giao dịch theo chính sách đó. Ví dụ, cấu hình 2/3 cần hai trong ba người ký xác nhận, thay vì để một khóa đơn lẻ quyết định mọi thao tác.

Điểm cần hiểu không chỉ là có bao nhiêu người giữ khóa. Ngưỡng ký, mức độ độc lập của các khóa và quyền bổ sung đều ảnh hưởng cách ví vận hành. EMA Crypto dùng những tình huống cụ thể để giải thích ví đa chữ ký và các giới hạn cần kiểm tra.

Hiểu ví Multisig qua một khoản chi của nhóm ba người

Giả sử một nhóm có ba người phụ trách quỹ chung: An, Bình và Chi. Nhóm chọn ví Multisig 2/3. An tạo đề nghị chuyển tài sản cho nhà cung cấp, Bình kiểm tra địa chỉ và xác nhận. Khi đủ điều kiện, giao dịch có thể được thực thi theo quy trình của ví.

Chi không phải ký mọi khoản chi. Ngược lại, An cũng không thể tự dùng riêng chữ ký của mình để thực hiện giao dịch qua đường ký thông thường. Đây là ý nghĩa của 2/3: đủ hai chữ ký hợp lệ trong tập ba người ký, không bắt buộc cả ba luôn có mặt.

Ví dụ chỉ xét đường giao dịch theo ngưỡng ký, không bao gồm module hay cơ chế khôi phục riêng. Khi xem một ví thực tế, cần kiểm tra cấu hình đầy đủ. Tên gọi “multisig” không tự cho biết một tài khoản đang dùng ngưỡng nào.

Tài liệu Ethereum về multisig contract mô tả mô hình cần một số chữ ký trong tập chữ ký được chấp nhận. Cách triển khai trên từng blockchain có thể khác nhau; bài này dùng Safe trên mạng EVM làm ví dụ, không áp dụng nguyên giao diện ấy cho mọi loại ví.

Người ký, ngưỡng ký và địa chỉ ví là ba thông tin khác nhau

Người ký, hay signer, là tài khoản có quyền tham gia xác nhận. Ngưỡng ký, hay threshold, là số xác nhận tối thiểu theo chính sách đang xét. Địa chỉ ví Multisig là nơi tài sản được quản lý; nó không nhất thiết trùng với địa chỉ riêng của một người ký.

Trong Safe, danh sách owner và ngưỡng xác nhận được lưu trong trạng thái hợp đồng. Tài liệu khái niệm Smart Account của Safe giải thích hợp đồng kiểm tra người ký và chữ ký trước khi cho phép thực thi. Vì vậy, không nên hình dung ví Multisig như một ví thường có mật khẩu được chia cho nhiều người.

Mỗi người ký vẫn cần bảo vệ phương tiện xác thực của mình. Nếu ba địa chỉ đều được khôi phục từ cùng một seed phrase, kẻ lấy được seed phrase ấy có thể đe dọa nhiều vị trí ký cùng lúc. Số địa chỉ tăng chưa chắc làm các nguồn rủi ro độc lập hơn.

Ngược lại, một cá nhân có thể dùng nhiều khóa độc lập trên những thiết bị tách biệt để vận hành ví Multisig. Mô hình đó phân tán rủi ro khóa nhưng chưa tạo ra cơ chế kiểm tra chéo giữa những con người độc lập. Cần nói rõ đang phân tán thiết bị, người quyết định hay cả hai.

Nếu chưa quen cấu trúc tài khoản, bài ví Web3 là gì giúp phân biệt giao diện quản lý ví với tài sản trên blockchain. Với multisig, hiểu đúng phần nào giữ tài sản và phần nào cung cấp chữ ký sẽ tránh nhầm khi sao lưu hoặc đổi thiết bị.

Một giao dịch Multisig đi từ đề nghị đến thực thi như thế nào?

Tạo đề nghị và ghi rõ mục đích

Người đề nghị chuẩn bị giao dịch: chuyển cho ai, tài sản nào, số lượng bao nhiêu và trên mạng nào. Tên ghi chú có thể giúp cả nhóm đối chiếu, nhưng phần quan trọng vẫn là dữ liệu giao dịch. Một nhãn “trả phí dịch vụ” không tự xác nhận địa chỉ đích là đúng.

Từng người ký kiểm tra cùng một nội dung

Người ký tiếp theo cần kiểm tra yêu cầu theo ý định chi ban đầu, không chỉ nhìn thấy người trước đã đồng ý. Nếu đề nghị thay đổi, phải đánh giá nội dung mới theo quy trình của ví. Hai người cùng tin một ảnh chụp từ nguồn sai vẫn có thể đi tới cùng một quyết định sai.

Đủ chữ ký vẫn cần bước thực thi

Trong quy trình Safe thông thường, việc thu thập xác nhận và gửi giao dịch thực thi là các bước khác nhau. Giao diện có thể gộp bớt thao tác, nhưng trạng thái chờ ký, đủ xác nhận và đã thực thi không nên bị đánh đồng. Kết quả còn phụ thuộc điều kiện mạng, phí và logic hợp đồng.

Tổng quan kiến trúc Safe cũng mô tả các giao dịch gộp nhiều thao tác. Khi gặp một lệnh dạng batch, người ký cần đọc các thao tác thành phần. Chỉ đếm số chữ ký mà bỏ qua nội dung bên trong không tạo ra lớp kiểm tra hiệu quả.

Sau khi gửi, đối chiếu trạng thái trên blockchain và thay đổi thực tế ở ví. Không nên thanh toán lần nữa chỉ vì một màn hình chưa cập nhật ngay. Trước tiên cần biết giao dịch cũ đang chờ, thất bại hay đã thành công để tránh thao tác trùng.

Chọn 2/3, 3/5 hay cấu hình khác dựa vào điều gì?

Không có một ngưỡng tốt nhất cho mọi ví Multisig. Cấu hình cần cân bằng giữa việc khó bị một người chi phối và khả năng vẫn vận hành khi có người mất quyền truy cập. Hướng dẫn chọn cấu hình của Safe khuyến nghị xem cả số người ký lẫn số chữ ký cần thiết.

Bảng chỉ minh họa điều kiện chữ ký, không bảo đảm an toàn cho toàn bộ tài sản. Với mô hình m/n không có đường truy cập bổ sung, tối đa n−m người ký có thể không khả dụng mà vẫn còn đủ m người. Điều kiện là các khóa còn lại thực sự truy cập được và chủ khóa có thể phối hợp.

Ví dụ, 2/3 có thể chịu việc mất một khóa về mặt số lượng. Nhưng nếu hai người còn lại cùng đi công tác và không có thiết bị, giao dịch vẫn có thể bị chậm. Vấn đề vận hành cần được tính bằng khả năng sử dụng thực tế, không chỉ bằng phép trừ trên giấy.

Trước khi chọn ngưỡng, nhóm nên thống nhất ai có trách nhiệm kiểm tra, khi nào cần phản hồi và xử lý thế nào nếu người ký rời nhóm. Mục tiêu là đủ độc lập để phát hiện sai sót, đồng thời đủ rõ trách nhiệm để không đẩy mọi kiểm tra cho một người.

Ví Multisig không loại bỏ những rủi ro nào?

Trước hết là ký nhầm. Một địa chỉ nhận sai, một hạn mức bất hợp lý hoặc một tương tác hợp đồng không hiểu rõ vẫn có thể được đủ người chấp thuận. Ví Multisig kiểm tra điều kiện ủy quyền; nó không tự biết khoản chi nào hợp lý với thỏa thuận ngoài đời.

Tiếp đến là các nguồn lỗi chung. Dùng cùng một máy không an toàn, lưu các bản sao lưu cạnh nhau hoặc chỉ dựa vào một người giải thích nội dung có thể làm giảm tính độc lập. Phân tán khóa cần đi kèm cách kiểm tra khác nhau và nguồn thông tin có thể đối chiếu.

Một điểm rất dễ bỏ sót là quyền mở rộng. Safe giải thích module có thể cung cấp đường kiểm soát với logic riêng, khác đường ký theo ngưỡng thông thường. Vì vậy, nhìn thấy nhãn 3/5 chưa đủ mô tả toàn bộ cách tài khoản có thể được điều khiển.

Guard cũng cần được xem xét đúng chức năng. Transaction guard có thể bổ sung kiểm tra trước và sau giao dịch. Cấu hình sai hoặc thành phần không phù hợp có thể ảnh hưởng khả năng thực thi. Không nên cài một tiện ích bảo mật chỉ vì tên gọi nghe an toàn.

Cuối cùng là rủi ro hợp đồng và khả năng tương thích ứng dụng. Một dịch vụ có thể chưa hỗ trợ đầy đủ ví hợp đồng hay kiểu chữ ký đang sử dụng. Bài audit smart contract là gì giúp đọc đúng phạm vi kiểm tra: có báo cáo audit không đồng nghĩa mọi cấu hình và tương tác sau đó đều đã được bảo đảm.

Mất một khóa hoặc cần thay người ký thì xử lý theo nguyên tắc nào?

Trước hết, kiểm tra còn đủ người ký để đáp ứng chính sách hiện tại hay không. Nếu ví 2/3 còn hai khóa sử dụng được, nhóm có thể xem xét quy trình thay người ký bị mất quyền truy cập. Với cấu hình 3/3 mà mất một khóa, đường giao dịch thông thường sẽ không còn đủ chữ ký.

Việc đổi owner hoặc ngưỡng xác nhận trong Safe cũng đi qua giao dịch và chính sách đang áp dụng. Không nên coi một người đang đăng nhập giao diện là có thể tùy ý thêm người mới hoặc hạ ngưỡng ký.

Nếu không còn đủ ngưỡng, khả năng khôi phục tùy cấu hình đã thiết lập. Tài liệu khôi phục Safe phân biệt tình huống còn đủ người ký với cơ chế khôi phục được chuẩn bị từ trước. Không có cơ sở để hứa hỗ trợ viên sẽ mở khóa mọi ví Multisig.

Một bản ghi vận hành nên lưu rõ mạng, địa chỉ tài khoản, danh sách người ký, ngưỡng và quy trình liên lạc. Bí mật khôi phục của từng người không nên được gom vào cùng bản ghi đó. Cũng cần rà lại quyền khi có người rời nhóm, thay vì chỉ xóa họ khỏi nhóm chat.

Câu hỏi thường gặp về ví Multisig

Ví Multisig có bắt buộc nhiều người cùng sở hữu không?

Không. Một người có thể quản lý nhiều khóa độc lập. Tuy nhiên, nếu cùng một người kiểm tra và xác nhận mọi vị trí ký, mô hình đó chưa tạo ra sự kiểm tra chéo giữa các thành viên.

Ví 2/3 mất một khóa thì có mất toàn bộ tài sản không?

Không thể kết luận chỉ từ việc mất một khóa. Nếu hai người ký còn lại sử dụng được và không có trở ngại khác, họ vẫn có thể đáp ứng ngưỡng thông thường. Cần kiểm tra cấu hình cụ thể trước khi xử lý.

Ví Multisig 1/3 có ngăn một khóa tự chuyển tài sản không?

Không theo ngưỡng 1/3: một chữ ký hợp lệ đã đủ yêu cầu chữ ký. Ngoài ra vẫn phải xem các kiểm tra hoặc quyền bổ sung của tài khoản.

Có ví Multisig rồi thì bỏ qua việc kiểm tra token lạ được không?

Không. Người lạ vẫn có thể gửi token hoặc thông tin gây nhầm. Trước một yêu cầu nhận thưởng, cả nhóm cần kiểm tra nội dung. Nhận token và chấp thuận thao tác liên quan là hai việc khác nhau.