Cake Wallet có an toàn không?
Cake Wallet là ví tự lưu ký hợp pháp, mã nguồn mở, hoạt động từ năm 2018, và với đa số người dùng nó an toàn khi được cài từ nguồn chính thức và sao lưu đúng cách. Sự cố tệ nhất là seed Bitcoin yếu do các phiên bản năm 2020–2021 tạo ra, được Cake công bố vào tháng 5/2021. Phần lớn thiệt hại thực tế đến từ ứng dụng giả, lừa đảo phishing và việc chia sẻ seed, chứ không phải từ bản thân ứng dụng.
Với ví tự lưu ký, "an toàn" gồm hai phần: phần mềm có bảo vệ khóa của bạn hay không, và bạn có tránh được các trò lừa đảo xung quanh nó hay không. Trang này đề cập cả hai, kèm mốc thời gian, tính đến tháng 10/2026.
Câu trả lời ngắn
- Uy tín: có. Cake Wallet do Cake Labs phát triển, có mặt trên App Store từ năm 2018 và công bố mã nguồn trên GitHub theo giấy phép MIT.
- Bạn tự giữ khóa: coin on-chain là không lưu ký. Cake không thể đóng băng, đảo ngược hay khôi phục tiền của bạn.
- Không hoàn hảo: ví từng có một lỗi nghiêm trọng (seed Bitcoin yếu năm 2020–2021), một cảnh báo mức trung bình năm 2026, và bản build không thể tái tạo độc lập.
- Rủi ro lớn nhất: con người, không phải mã nguồn. Ứng dụng giả, hỗ trợ giả và đánh cắp seed chiếm phần lớn các vụ mất tiền mà chúng tôi thấy được thảo luận.
Các yếu tố bảo mật
| Yếu tố | Tình trạng (tháng 10/2026) |
|---|---|
| Lưu ký | Không lưu ký với coin on-chain; khóa được tạo và lưu trên thiết bị của bạn |
| Mã nguồn | Công khai trên GitHub, giấy phép MIT |
| Reproducible build | Không; Cake cho biết bản build của họ chưa reproducible |
| Bản phát hành có chữ ký | Tháng 9/2026, Cake công bố khóa phát hành để ký các file checksum và tag phát hành; các bản phát hành không có file checksum được ký thì liệt kê mã băm SHA-256 trong ghi chú |
| Kiểm toán độc lập | Không tìm thấy bản nào cho ứng dụng |
| Báo cáo lỗ hổng | Chính sách bảo mật với kênh cảnh báo riêng trên GitHub và địa chỉ email mã hóa |
| Tài khoản hoặc KYC | Không có với ví |
| Thu thập dữ liệu | Nhãn App Store ghi "Data Not Collected" (Không thu thập dữ liệu; do nhà phát triển tự khai) |
| Bảo vệ ứng dụng | PIN, sinh trắc học, Cake 2FA tùy chọn, Duress PIN |
Seed Bitcoin yếu năm 2020–2021
Đây là sự cố quan trọng nhất. Các phiên bản Cake Wallet phát hành năm 2020 và đầu 2021 tạo ví Bitcoin bằng bộ sinh số ngẫu nhiên không an toàn. Các seed bị ảnh hưởng là seed Bitcoin 12 từ kiểu Electrum ("Segwit"). Các nhà nghiên cứu ước tính độ ngẫu nhiên thực tế thấp đến mức kẻ tấn công có thể tái tạo lại khóa.
| Thời điểm | Sự kiện |
|---|---|
| 10/5/2021 | Phiên bản 4.1.7 thay đổi cách tạo seed Bitcoin |
| 11/5/2021 | Phiên bản 4.2.0 thêm banner trong ứng dụng yêu cầu người dùng tạo lại ví; trong tháng 5/2021 Cake công khai vấn đề và yêu cầu người dùng tạo ví mới và chuyển tiền |
| Tháng 12/2023 | Cake thêm cảnh báo trong ứng dụng cho người vẫn dùng seed yếu đã biết (mã được merge ngày 18/12/2023, phát hành khoảng phiên bản 4.12.0), dùng dữ liệu về hơn 8.700 ví do nhóm nghiên cứu Milk Sad cung cấp |
| Tháng 5/2024 | Nhóm Milk Sad công bố bài phân tích kỹ thuật |
| Từ 21/5/2024 | Các nhà nghiên cứu đánh giá các giao dịch chuyển ra lớn hơn từ ví yếu phần lớn là độc hại |
Các nhà nghiên cứu đếm được 8.757 ví yếu và khoảng 548,9 BTC đã đi qua chúng trong khoảng từ tháng 11/2020 đến tháng 10/2024; không phải tất cả số đó bị đánh cắp, và chưa có con số tổng thiệt hại nào được công bố (cập nhật nghiên cứu Milk Sad, 2024). Theo những gì được biết, Monero, Litecoin và các coin khác không bị ảnh hưởng.
Nên làm gì: nếu bạn có seed Bitcoin 12 từ được tạo trong Cake Wallet năm 2020 hoặc đầu 2021, hoặc đã nhập seed như vậy vào ví khác, hãy coi nó đã bị lộ. Tạo ví mới bằng phiên bản hiện tại và chuyển ngay số tiền còn lại. Công cụ nhận diện loại seed của chúng tôi giúp bạn xác định loại seed chỉ qua số từ. Đừng bao giờ nhập chính các từ seed vào trang web.
Mã nguồn mở chứng minh được gì và không chứng minh được gì
Mã nguồn mở cho phép bất kỳ ai đọc cách Cake Wallet tạo khóa, giao tiếp với node và tạo giao dịch. Nhờ đó các nhà nghiên cứu bên ngoài mới có thể nghiên cứu chi tiết lỗi seed năm 2021, và mọi thay đổi trong mã đều diễn ra công khai trên GitHub.
Nó không chứng minh rằng ứng dụng trên cửa hàng được build từ mã đó. Cake cho biết bản build của họ chưa reproducible, nên bạn không thể tự biên dịch mã và nhận được file giống hệt để so sánh (Cake Wallet VERIFY.md, 2026). Điều bạn có thể kiểm tra là bản tải về có phải thật không: tháng 9/2026, Cake công bố khóa phát hành để ký file checksum và tag của các bản phát hành mới, mọi bản phát hành đều liệt kê mã băm SHA-256, và các APK Android từ GitHub, Accrescent và kho F-Droid của Cake dùng chung một chứng chỉ ký. Hướng dẫn tải về của chúng tôi chỉ cách kiểm tra cả hai.
Tính đến tháng 10/2026, chúng tôi cũng không tìm thấy bản kiểm toán bảo mật độc lập nào được công bố cho ứng dụng Cake Wallet. Cake có chính sách công bố lỗ hổng: nhà nghiên cứu có thể báo cáo riêng qua GitHub hoặc email mã hóa, và Cake công bố cảnh báo sau khi bản sửa được phát hành.
Các cảnh báo khác
Ngày 4/9/2026, Cake công bố cảnh báo GitHub GHSA-695v-fhpj-fv8x, mức độ trung bình. Ở các phiên bản 6.1.2 đến 6.3.0, một yêu cầu thanh toán kiểu Ethereum có thể được chuẩn bị trên sai mạng EVM vì chain ID bị bỏ mất. Rủi ro là thanh toán thất bại hoặc đi sai hướng, không phải bị đánh cắp khóa, và lỗi đã được sửa ở bản 6.4.4. Hãy cập nhật lên phiên bản mới nhất. Danh sách đầy đủ các sự cố có trên trang lịch sử bảo mật của chúng tôi.
Câu hỏi về Lightning
Lightning, thêm vào phiên bản 6.0 (tháng 2/2026), chạy trên mạng Spark thông qua Breez SDK. Cake mô tả nó là tự lưu ký, không cần quản lý kênh. Tài liệu của họ cũng cho biết các giao dịch chuyển Spark được đồng ký bởi một nhóm nhỏ bên vận hành được cấp phép, những người có thể thấy số tiền và địa chỉ (tài liệu Cake Wallet, 2026).
Ngày 6/10/2026, WalletScrutiny xếp lại Cake Wallet là "Custodial" (lưu ký) vì theo phân tích của họ, ứng dụng không có cách nào chuyển số dư Lightning về on-chain mà không cần các bên vận hành. Đó là đánh giá chỉ về số dư Lightning; nó không liên quan đến Monero, Bitcoin on-chain hay các coin khác. Cách thận trọng là chỉ giữ tiền chi tiêu trong Lightning. Xem Lightning trong Cake Wallet.
Quyền riêng tư và an toàn
Mặc định, Cake Wallet kết nối với node và dịch vụ của chính Cake. Điều đó tiện lợi, nhưng các dịch vụ này có thể thấy địa chỉ IP của bạn và dữ liệu ví nào bạn yêu cầu. Để riêng tư hơn, hãy dùng node của riêng bạn hoặc Tor. Một lưu ý: với Silent Payments, nếu máy chủ Bitcoin của bạn thiếu chỉ mục (index) cần thiết, tài liệu của Cake cho biết ứng dụng sẽ quay về dùng máy chủ của Cake. Chi tiết trong quyền riêng tư và Tor và node tùy chỉnh.
Mất tiền thực sự xảy ra ở đâu
- Ứng dụng giả và trang web nhái đòi seed của bạn. Chỉ cài từ nguồn chính thức trong hướng dẫn tải về và kiểm tra link bằng công cụ kiểm tra tải về.
- Hỗ trợ giả. Cake Wallet cho biết bộ phận hỗ trợ sẽ không bao giờ hỏi seed của bạn, và bất kỳ ai nhắn tin cho bạn trước để đề nghị hỗ trợ gần như luôn là kẻ lừa đảo (tài liệu Cake Wallet, 2026).
- Seed lưu trực tuyến trong ảnh chụp màn hình, ứng dụng ghi chú, ổ đĩa đám mây hoặc email.
- Sai địa chỉ hoặc sai mạng. Giao dịch không thể đảo ngược. Hãy dùng công cụ kiểm tra địa chỉ và gửi thử một khoản nhỏ trước.
- Dịch vụ "khôi phục" hứa lấy lại crypto bị đánh cắp. Chúng đều là lừa đảo.
Thêm các dấu hiệu cảnh báo trong ứng dụng Cake Wallet giả và lừa đảo.
Danh sách kiểm tra an toàn
- Cài từ App Store, Google Play, Accrescent, kho F-Droid của Cake hoặc GitHub, truy cập bằng cách tự gõ cakewallet.com.
- Luôn cập nhật ứng dụng.
- Chép từng seed ra giấy và cất giữ offline. Với seed Monero 25 từ, ghi cả restore height. Xem sao lưu seed.
- Đặt PIN mạnh; cân nhắc dùng Cake 2FA. Cake lưu ý rằng 2FA giúp chống lại người cầm điện thoại của bạn, không chống được người có seed của bạn.
- Với số tiền lớn hơn, hãy dùng ví cứng hoặc Cupcake. Xem Ledger và Trezor.
- Thay thế mọi ví Bitcoin Cake cũ có seed Electrum 12 từ từ năm 2020–2021.
- Không bao giờ chia sẻ seed, và phớt lờ bất kỳ ai liên hệ với bạn trước.
Nếu bạn nghĩ ví của mình đã bị xâm phạm
Lời khuyên của Cake là lập tức tạo ví mới cho mỗi coin bị ảnh hưởng và chuyển số tiền còn lại sang đó, ngừng dùng ví cũ, lưu lại mọi bằng chứng, và báo cáo vụ trộm cho cảnh sát và bộ phận hỗ trợ của Cake (tài liệu Cake Wallet, 2026). Kẻ tấn công có thể mất nhiều thời gian hơn để đồng bộ ví Monero, điều này có thể cho bạn một khoảng thời gian ngắn để hành động. Đừng bao giờ gửi thêm tiền cho những người "hỗ trợ khôi phục".
Câu hỏi thường gặp
Cake Wallet có uy tín không?
Có. Đây là ví thật, mã nguồn mở, do Cake Labs phát triển và có trên App Store từ năm 2018. Có tồn tại các bản sao giả, vì vậy chỉ cài từ nguồn chính thức.
Cake Wallet có từng bị hack không?
Chúng tôi không tìm thấy vụ xâm nhập nào vào hệ thống của chính Cake làm lộ tiền của người dùng. Vấn đề nghiêm trọng là seed Bitcoin yếu do các phiên bản năm 2020–2021 tạo ra, và các nhà nghiên cứu đánh giá rằng từ ngày 21/5/2024, các giao dịch chuyển ra lớn hơn từ những ví đó phần lớn là độc hại, ở những ví mà người dùng chưa bao giờ chuyển tiền đi.
Cake Wallet có thể thấy hoặc đóng băng tiền của tôi không?
Không, với coin on-chain. Cake không thể đóng băng, đảo ngược hay khôi phục giao dịch. Máy chủ của Cake có thể thấy địa chỉ IP của bạn trừ khi bạn dùng Tor hoặc node riêng.
Cake Wallet có an toàn cho số tiền lớn không?
Với số tiền lớn hơn, hãy dùng kèm Ledger hoặc Trezor, hoặc dùng Cupcake làm thiết bị ký offline, và giữ bản sao lưu seed offline.
Bộ phận hỗ trợ Cake Wallet có bao giờ nhắn tin cho bạn trước không?
Cake Wallet cho biết bất kỳ ai nhắn tin cho bạn trước và tự xưng là hỗ trợ gần như luôn là kẻ lừa đảo, và bộ phận hỗ trợ của họ sẽ không bao giờ hỏi seed của bạn.
Tiền Monero của tôi có bị ảnh hưởng bởi lỗi seed năm 2021 không?
Không. Lỗi này ảnh hưởng đến seed Bitcoin 12 từ kiểu Electrum được tạo năm 2020 và đầu 2021, không phải seed Monero.