Ông Phan Đức Trung, Chủ tịch Hiệp hội Blockchain và Tài sản số Việt Nam
Trong giai đoạn Việt Nam triển khai thí điểm thị trường tài sản mã hóa, lưu ký (custody) cần được hiểu như một cấu phần an toàn – an ninh trọng yếu của hạ tầng tài chính số, thay vì chỉ là vấn đề kỹ thuật giữa ví nóng và ví lạnh.
Thực tiễn của sàn giao dịch tài sản mã hoá lớn nhất thế giới Coinbase tại Hoa Kỳ có giá trị vốn hóa trên 60 tỷ USD cho thấy rủi ro hiện đại chủ yếu phát sinh từ danh tính số, yếu tố con người và chuỗi cung ứng dịch vụ, đặt ra yêu cầu cần tiếp cận custody theo chuỗi kiểm soát, thay vì các quy định đơn lẻ, rời rạc.
Từng bước xây dựng hành lang pháp lý thí điểm cho thị trường tài sản mã hóa, việc thiết kế tiêu chuẩn an toàn – an ninh cho mô hình sàn giao dịch tập trvung (CEX) đặt ra yêu cầu tiếp cận mới đối với khái niệm “lưu ký” (custody).
Nếu trước đây custody thường bị giản lược thành câu chuyện quản lý khóa bí mật (private key) và lựa chọn giữa ví nóng – ví lạnh, thì thực tiễn vận hành tại các định chế lớn cho thấy rủi ro hiện đại hiếm khi đến từ việc phá vỡ thuật toán mật mã lõi. Thay vào đó, mối đe dọa chủ yếu xuất phát từ danh tính số, hành vi người dùng, yếu tố con người trong nội bộ và các điểm yếu của chuỗi cung ứng dịch vụ.
Nói cách khác, nếu blockchain được thiết kế để khiến việc “bẻ khóa” gần như bất khả thi, thì toàn bộ chuỗi quy trình vận hành lại tồn tại nhiều điểm có thể bị khai thác như sai sót thao tác, tấn công nội bộ hoặc khai thác đối tác bên thứ ba. Do vậy, custody trong kỷ nguyên tài sản số phải được hiểu như kiến trúc quyền sở hữu và quyền kiểm soát, được bảo đảm không chỉ bởi công nghệ mà còn bởi quy trình quản trị, nguyên tắc vận hành và cơ chế pháp lý.
Bài học từ Coinbase, sàn giao dịch tài sản mã hoá lớn nhất thế giới tại Hoa Kỳ có giá trị vốn hoá trên 60 tỷ USD cũng là một trong những định chế lưu ký tài sản số lớn tại Hoa Kỳ rất đáng học hỏi. Đây là một tổ chức hoạt động dưới mức độ giám sát và chuẩn hóa cao, đồng thời nắm giữ vai trò trung tâm trong hạ tầng tài sản mã hoá Hoa Kỳ.
Thành lập năm 2012 tại San Francisco, Coinbase là một trong những sàn giao dịch tài sản mã hóa lớn nhất Hoa Kỳ và là doanh nghiệp đầu tiên trong lĩnh vực này niêm yết trực tiếp trên Nasdaq (mã COIN) vào tháng 4/2021.
Với hàng trăm triệu người dùng toàn cầu, Coinbase không chỉ là nền tảng giao dịch, mà còn đóng vai trò như “kho tài sản số” của thị trường tổ chức. Vai trò này càng được củng cố khi Uỷ ban Chứng khoán Hoa Kỳ (SEC) phê duyệt các quỹ ETF Bitcoin giao ngay vào đầu năm 2024: Coinbase được lựa chọn làm đơn vị lưu ký cho nhiều nhà phát hành quỹ lớn.
Chính vị thế đó khiến Coinbase trở thành mục tiêu của những cuộc tấn công tinh vi nhất và cũng là nơi thể hiện rõ xu hướng dịch chuyển của rủi ro trong thị trường tài sản số: từ tấn công kỹ thuật sang tấn công quy trình.
Các sự cố từng được ghi nhận liên quan đến Coinbase cho thấy một khuôn mẫu nhất quán: kẻ tấn công tìm cách khai thác lỗ hổng danh tính và quy trình xác thực thay vì phá các lớp bảo mật blockchain. Một ví dụ điển hình là các trường hợp chiếm quyền tài khoản (account takeover) thông qua lỗ hổng trong quy trình khôi phục bằng SMS. Về bản chất, với người dùng cuối, tài khoản đăng nhập chính là ví.
Khi phương thức xác thực yếu như SMS bị vượt qua bằng kỹ thuật SIM – swapping, hệ thống có thể mặc nhiên xác nhận kẻ tấn công là chủ sở hữu hợp pháp. Điều này cho thấy an ninh danh tính (identity security) là một cấu phần không thể tách rời khỏi custody.
Các nền tảng muốn đạt mức độ bảo vệ cao buộc phải chấp nhận đánh đổi một phần trải nghiệm người dùng để triển khai xác thực mạnh hơn, từ phần cứng bảo mật, xác thực đa yếu tố cấp cao đến các cơ chế kiểm soát hành vi như giới hạn rút tiền, thời gian chờ và “làm nguội” các thay đổi nhạy cảm trong hồ sơ tài khoản. Từ tháng 3 đến tháng 5/2021, khoảng 6.000 khách hàng của Coinbase đã bị rút sạch tài sản khỏi ví.
Ở chiều ngược lại, rủi ro không chỉ đến từ người dùng mà còn đến từ nội bộ.
Tháng 2/2023, một nhóm tin tặc (được cho là liên quan đến nhóm 0ktapus) đã mở chiến dịch tấn công hàng loạt nhân viên Coinbase. Chúng gửi tin nhắn SMS mạo danh bộ phận IT yêu cầu nhân viên đăng nhập vào một đường link giả mạo để “nhận thông báo khẩn”. Các chiến dịch phishing tinh vi nhắm vào nhân viên cho thấy tin tặc không cần phá lớp phòng vệ kỹ thuật, mà chỉ cần khai thác sơ suất để chiếm thông tin xác thực truy cập.
Trong các mô hình custody hiện đại, việc kiểm soát quyền truy cập nội bộ quan trọng không kém gì cơ chế bảo vệ ví. Kẻ tấn công chỉ cần thỏa hiệp được một tài khoản nội bộ hoặc lợi dụng sai sót thao tác là có thể tiến sâu vào chuỗi hệ thống.
Vì vậy, một mô hình custody trưởng thành phải được thiết kế theo nguyên tắc “zero trust” (không tin cậy mặc định), phân vùng hệ thống, áp dụng đặc quyền tối thiểu và cơ chế kiểm soát nhiều lớp để đảm bảo rằng ngay cả khi một tài khoản nội bộ bị xâm nhập, kẻ tấn công vẫn không thể chạm tới “lõi custody” – nơi sở hữu quyền ký hoặc kiểm soát luồng tài sản.
Trong giai đoạn 2024 tới nay, bức tranh rủi ro còn mở rộng sang một điểm yếu mới: chuỗi cung ứng và dữ liệu KYC. Khi dữ liệu định danh khách hàng bị rò rỉ từ các nhà thầu phụ hoặc bên thứ ba, nó trở thành “nguyên liệu” cho các cuộc tấn công kỹ nghệ xã hội nhằm vào người dùng lẫn quy trình hỗ trợ khách hàng.
Tại đây, sự cố không còn là câu chuyện của ví, mà là câu chuyện của dữ liệu và vận hành: một hệ thống kỹ thuật có thể rất an toàn nhưng vẫn bị phá nếu quy trình hỗ trợ khách hàng bị thao túng hoặc nhân viên bị lừa đảo để cấp lại quyền truy cập. Điều này khẳng định custody không chỉ là “giữ tiền”, mà còn bao gồm bảo vệ dữ liệu, giám sát hành vi truy cập và kiểm soát chặt chẽ toàn bộ chuỗi đối tác cung ứng dịch vụ.
Điểm chung của các rủi ro nêu trên là kẻ tấn công tìm cách phá vỡ chuỗi kiểm soát (chain of control) thay vì tấn công trực tiếp khóa bí mật. Do đó, phòng thủ hiệu quả trong mô hình sàn giao dịch tập trung không chỉ là dựng tường lửa hay tăng cường mã hóa, mà là thiết kế chuỗi quy trình sao cho không một lỗi đơn lẻ nào – từ người dùng, nhân viên hay đối tác – có thể dẫn đến mất mát lớn.
Custody vì vậy phải được tiếp cận như một “chuỗi kiểm soát” toàn trình, gồm phân tách trách nhiệm giữa vận hành – an ninh – lưu giữ khóa; kiểm soát đa lớp trong đó giao dịch giá trị lớn bắt buộc phải trải qua đa chữ ký hoặc cơ chế tính toán đa bên (MPC) với phê duyệt của nhiều cá nhân độc lập; và khả năng phục hồi để khoanh vùng rủi ro, ngăn lan truyền và kích hoạt ứng cứu khi phát hiện bất thường.
Trong bối cảnh Việt Nam, những bài học này cần được đặt trên nền tảng chính sách mới. Từ ngày 01/01/2026, Luật Công nghiệp công nghệ số đã có hiệu lực và đã xác định tài sản mã hóa là một loại tài sản số, qua đó khẳng định đây là tài sản được pháp luật thừa nhận.
Đáng chú ý, Luật dẫn chiếu áp dụng theo Bộ luật Dân sự năm 2015, giúp các giao dịch liên quan đến tài sản mã hóa. từ xác lập quyền sở hữu, chuyển giao, nghĩa vụ, đến bồi thường, có thể viện dẫn trực tiếp theo hệ thống pháp luật hiện hành, ngay cả khi hệ thống văn bản dưới luật chưa hoàn thiện đầy đủ. Đây là điểm then chốt: thay vì “đợi đủ nghị định, thông tư mới kiểm soát được rủi ro”, Việt Nam đã có “khung tài sản” để định danh, định giá và quy trách nhiệm, từ đó có thể thiết kế chuẩn custody dựa trên nền tảng pháp lý hiện hữu.
Song song, Quyết định số 2815/QĐ-TTg xác định blockchain là công nghệ chiến lược thuộc nhóm sáu sản phẩm công nghệ chiến lược ưu tiên triển khai ngay của Chính phủ. Thông điệp chính sách rất rõ: blockchain không chỉ là một xu hướng công nghệ, mà là hạ tầng chiến lược cần đầu tư, phát triển và chuẩn hóa.
Vì vậy, custody và tiêu chuẩn an toàn an ninh cho tài sản mã hóa cần được tiếp cận như một cấu phần của hạ tầng tài chính số quốc gia, không phải chỉ là một dịch vụ fintech thông thường. Trong khuôn khổ thí điểm theo Nghị quyết 05/NQ-CP ngày 09/09/2025, yêu cầu vốn điều lệ 10.000 tỷ đồng và tiêu chuẩn an toàn hệ thống thông tin cấp độ 4 là đúng hướng.
Tuy nhiên, bài học từ Coinbase cho thấy các tiêu chuẩn này cần được cụ thể hóa bằng cơ chế vận hành dựa trên “chuỗi kiểm soát”: chuẩn hóa từ KYC, khôi phục tài khoản, kiểm soát truy cập của nhân sự, quản trị đối tác thứ ba, đến cơ chế giám sát liên tục và kiểm toán định kỳ. Vốn điều lệ lớn không chỉ là rào cản gia nhập thị trường, mà còn là nguồn lực bắt buộc để duy trì chi phí an ninh dài hạn và năng lực bồi hoàn khi xảy ra rủi ro.
Tóm lại, trong kỷ nguyên số, custody không còn là câu chuyện lưu trữ khóa bí mật trong “két sắt”. Custody là một chuỗi kiểm soát toàn trình, trả lời cho câu hỏi: ai được phép làm gì, trong điều kiện nào, qua bao nhiêu lớp phê duyệt và để lại dấu vết kiểm toán ra sao.
Một hệ thống an toàn không phải là hệ thống không có sai sót, mà là hệ thống đủ khả năng cô lập rủi ro để đảm bảo rằng sai sót của con người, dù là người dùng, nhân viên hay đối tác, không thể xâm phạm đến lõi tài sản. Bởi sau cùng, thứ được lưu ký không chỉ là tài sản số, mà là niềm tin của thị trường vào tính toàn vẹn của hệ thống tài chính quốc gia./.