Tóm tắt: Nhà sáng lập BlockTower Capital, Ari Paul, công khai cáo buộc Coinbase làm thất lạc khoảng 25 triệu USD tài sản của công ty ông và che giấu các vụ hack có tổng giá trị hơn 1 tỷ USD trải rộng tại hàng chục tổ chức. Coinbase phủ nhận hoàn toàn, còn Paul nói rằng vụ kiện đang diễn ra khiến ông chưa thể công bố bằng chứng, và suốt nhiều tuần qua cả ngành tranh nhau xem ai đang nói thật. Nhưng vấn đề lớn hơn nằm ở chỗ: không ai bên ngoài hai bên liên quan có thể kiểm chứng. Bài viết lập luận rằng bitcoin trên bảng cân đối kế toán của doanh nghiệp đang là một bài toán kiểm soát — ai được chuyển tiền, ai phê duyệt việc chuyển, và tài sản còn đó hay không — và chừng nào các thoả thuận lưu ký còn chưa trả lời được những câu hỏi mà hội đồng quản trị vẫn hỏi về tài khoản ngân hàng, những câu chuyện như thế này sẽ mãi không có lời giải.
Một cáo buộc mà không ai bên ngoài kiểm chứng được
Cuộc tranh luận đang bỏ qua sự thật khó chịu nhất trong câu chuyện: không ai ngoài hai bên liên quan có thể kiểm tra. Đó là một điểm dừng kỳ lạ với một ngành được xây dựng trên một loại tài sản sinh ra để không ai phải tin vào lời của bất kỳ ai. Một tổ chức lưu ký đang giữ tài sản cho phần lớn thị trường bị cáo buộc che giấu số tài sản trị giá hàng tỷ USD, và những công cụ duy nhất để đánh giá cáo buộc đó chỉ là uy tín của bên tố cáo và lời khẳng định của bên lưu ký.
Lưu ký (custody) là việc một tổ chức thay mặt khách hàng nắm giữ, bảo quản và quản lý tài sản — ở đây là bitcoin — thay vì để khách hàng tự giữ.
Bài học cho mọi doanh nghiệp đang giữ bitcoin, hoặc đang cân nhắc giữ, là: bitcoin trên bảng cân đối kế toán đặt ra một bài toán kiểm soát. Chừng nào một thoả thuận lưu ký còn chưa trả lời được đúng những câu hỏi mà hội đồng quản trị vẫn hỏi về tài khoản ngân hàng và tài khoản môi giới của công ty — ai có thể chuyển tiền và ai ký duyệt — thì những câu chuyện như vụ Coinbase sẽ vẫn không thể có lời giải.
Những câu hỏi không hội đồng quản trị nào trả lời được
Mọi tài khoản khác mà doanh nghiệp sử dụng đều mặc định đi kèm cơ chế quản trị. Tài khoản ngân hàng doanh nghiệp có người dùng được đặt tên, vai trò xác định, quy tắc phê duyệt khi rút tiền và một dấu vết kiểm toán mà kiểm soát viên có thể đưa cho kiểm toán viên. Tài khoản môi giới cũng vậy. Khoảnh khắc doanh nghiệp mua bitcoin, tất cả những thứ đó biến mất vào một trong hai nơi: một tài khoản đăng nhập duy nhất trên sàn giao dịch, hoặc một ví cứng nằm trong ngăn kéo của ai đó.
Ví cứng (hardware wallet) là thiết bị vật lý lưu khoá riêng ngoại tuyến, dùng để ký giao dịch mà không đưa khoá lên môi trường internet.
Các hội đồng quản trị đã nhận ra điều này và đang đặt câu hỏi. Ai có thể chuyển tài sản? Ai phê duyệt việc chuyển? Điều gì xảy ra khi người giữ thông tin đăng nhập nghỉ việc, bị lừa đảo qua mạng hoặc qua đời? Đây không phải những giả thuyết:
- QuadrigaCX: giám đốc điều hành qua đời năm 2018 khi đang giữ chìa khoá duy nhất, kéo theo khoảng 190 triệu USD tài sản của khách hàng, theo tài liệu của Uỷ ban Chứng khoán Ontario.
- Prime Trust: tháng 12/2021 phát hiện mình không thể mở được các ví cũ của chính công ty, và 18 tháng sau vẫn không mở được khi bang Nevada tiến hành đặt công ty vào diện tiếp quản.
- Khảo sát của Deloitte với 200 giám đốc tài chính tại các công ty quy mô tỷ USD: 42% nêu sự phức tạp của kế toán và kiểm soát là rào cản, chỉ cách mức độ biến động giá đúng một điểm phần trăm.
Trên khắp ngành, câu trả lời trung thực cho tất cả những câu hỏi này là một cái nhún vai. Những công ty từng muốn đưa bitcoin vào bảng cân đối kế toán đã bỏ đi đúng ở điểm này. Tài sản hiếm khi là phần khó; phần khó là kiểm soát.
Mối đe doạ đang cộng dồn từ hai hướng
Vấn đề hiện nay gay gắt hơn bất kỳ thời điểm nào trong lịch sử Bitcoin, vì bức tranh đe doạ đang lớn dần từ hai phía. Bitcoin biến người nắm giữ thành mục tiêu vật lý, và điều đó không chờ đến khi giá lập đỉnh mới. Bộ theo dõi công khai của Jameson Lopp hiện ghi nhận hơn 360 vụ tấn công vật lý được biết đến kể từ năm 2014, trong đó có 86 vụ trong năm 2025 và hơn 60 vụ tính đến thời điểm bài viết.
Coinbase đã khiến rủi ro này trở nên cụ thể vào năm ngoái khi tội phạm hối lộ nhân viên hỗ trợ khách hàng và đánh cắp dữ liệu khách hàng, gồm tên, địa chỉ và thông tin số dư. Công ty ước tính vụ xâm nhập có thể gây thiệt hại 400 triệu USD; các nhà nghiên cứu bảo mật gọi đó là hồi chuông cảnh tỉnh, bởi dữ liệu tài khoản bị đánh cắp khiến người nắm giữ đối mặt với nguy cơ bị ép buộc ngoài đời thực.
Về phía kỹ thuật số, trí tuệ nhân tạo đã công nghiệp hoá kiểu tấn công này: giọng nói bị nhân bản qua điện thoại với đội ngũ tài chính, email lừa đảo không thể phân biệt với email của giám đốc điều hành, kỹ thuật thao túng tâm lý được cải thiện mỗi tháng. Một doanh nghiệp nắm giữ tài sản vô danh chỉ bằng một thông tin đăng nhập duy nhất đang gánh toàn bộ bề mặt rủi ro đó thay cho nhân viên và chủ sở hữu của mình, với một loại tài sản mà thiệt hại thường là vĩnh viễn.
Tài sản vô danh (bearer asset) là tài sản mà người đang nắm giữ nó trên thực tế được coi là chủ sở hữu, không cần một sổ đăng ký trung tâm đứng ra xác nhận.
Vì sao các giải pháp hiện tại thất bại
Những câu trả lời hiện có của ngành đều tập trung rủi ro thay vì phân tán nó. Tự lưu ký dồn rủi ro vào một người, và đó là lý do việc tự lưu ký trong doanh nghiệp sụp đổ thành những buổi lễ bàn giao khoá ở mỗi lần tuyển người hay nghỉ việc, cùng một kiểm soát viên chỉ biết cầu nguyện rằng người giữ khoá sẽ không ra đi trong giận dữ.
Tự lưu ký (self-custody) là việc cá nhân hoặc doanh nghiệp tự quản lý khoá riêng của mình thay vì gửi tài sản cho bên thứ ba.
Lưu ký qua sàn giao dịch thì dồn rủi ro vào một công ty, khi khách hàng không giữ khoá và cũng không có cách nào nhìn xuyên qua lớp đăng nhập. Kiểm toán, điều lệ tín thác và báo cáo SOC chỉ kiểm tra sổ sách và quy trình của chính bên lưu ký. Không có công cụ nào trong số đó mang lại cho khách hàng người dùng được đặt tên, quy tắc phê duyệt khi rút tiền, hay cách xác nhận tài sản vẫn còn đó mà không phải đi hỏi. Việc BitMEX đóng cửa sau 11 năm hoạt động là lời nhắc rằng một tổ chức đơn lẻ có thể biến mất một cách thường tình đến mức nào.
Chứng thực dự trữ (proof-of-reserves) là hình thức công bố số dư tài sản mà một tổ chức lưu ký đang nắm giữ tại một thời điểm, thường dựa trên dữ liệu chuỗi.
Chứng thực dự trữ — giải pháp nửa vời ưa thích của ngành — chỉ cho thấy một bức ảnh chụp tài sản tại một thời điểm mà không cho thấy cơ chế kiểm soát, và không nói gì về việc ngày mai ai có thể chuyển cái gì.
Giải pháp bền vững dựa trên tính chất sẵn có của Bitcoin
Cách xử lý lâu bền tận dụng chính những đặc tính bitcoin đã có. Đa chữ ký là tính năng gốc của giao thức, nghĩa là các khoá có thể được tạo và nắm giữ bởi nhiều tổ chức được quản lý độc lập, không tổ chức nào một mình có thể chuyển hoặc làm mất tài sản; doanh nghiệp giữ quyền sở hữu pháp lý, có người dùng được đặt tên với vai trò xác định, có chính sách phê duyệt cho mọi lệnh rút, và có dấu vết kiểm toán mà hội đồng quản trị thực sự đọc được.
Đa chữ ký (multisig) là cơ chế yêu cầu nhiều khoá riêng cùng ký thì một giao dịch mới được thực hiện, thay vì chỉ một khoá duy nhất.
Các tổ chức lớn đã đi theo hướng này. Khi Morgan Stanley thiết kế dịch vụ lưu ký cho quỹ bitcoin ETF đề xuất của mình, họ chỉ định hai đơn vị lưu ký thay vì một — dấu hiệu cho thấy việc phụ thuộc vào một bên lưu ký duy nhất đã trở thành mối lo thực sự ở tầng cao nhất của thị trường.
ETF là quỹ hoán đổi danh mục, một sản phẩm được niêm yết và giao dịch trên sàn chứng khoán, mô phỏng biến động giá của một tài sản cơ sở.
Nhưng chia tách lưu ký mới chỉ đi được nửa đường. Phép thử thực sự là liệu chủ sở hữu có thể tự nhìn thấy mình đang giữ gì mà không phải tin vào lời của bất kỳ bên lưu ký nào. Bitcoin cho phép điều đó, và một cấu trúc lưu ký không tận dụng được điều đó sẽ để chủ sở hữu rơi đúng vào vị trí khách hàng của Coinbase hôm nay: ngồi chờ ai đó nói cho mình biết sự thật.
Lưu ký một bên thì tiện — nhưng cái giá là gì?
Cần thừa nhận rằng các thoả thuận lưu ký một bên tồn tại vì những lý do chính đáng. Chúng đơn giản: một đối tác cần thẩm định, một hợp đồng, một lần tích hợp, và với nhiều doanh nghiệp sự đơn giản đó đáng giá rất nhiều. Việc chia lưu ký ra nhiều tổ chức độc lập khó hơn vẻ ngoài của nó, đòi hỏi phối hợp, tiêu chuẩn chung và kỷ luật vận hành mà ngành này đã dành 15 năm đầu để né tránh.
Cả hai điểm trên đều đúng, và không điểm nào làm yếu đi lập luận. Sự đơn giản chỉ là lợi thế nếu cái được đơn giản hoá vẫn có thể kiểm tra được. Một bên lưu ký duy nhất không thể cho khách hàng thấy mình đang giữ gì không hề loại bỏ sự phức tạp; nó chỉ giấu sự phức tạp đi. Cái giá của việc đó chỉ lộ ra khi một câu hỏi như câu hỏi đang đặt ra với Coinbase xuất hiện, và không ai bên ngoài trả lời được.
Kiểm chứng mới là toàn bộ mục đích
Một hệ thống tài chính mà ở đó câu hỏi trị giá hàng tỷ USD về tài sản của khách hàng không thể được giải quyết từ bên ngoài đã thất bại đúng ở điều mà bitcoin được phát minh ra để sửa. Xây dựng được thứ tốt hơn một điểm tin cậy duy nhất là việc khó, và đó cũng chính là công việc thực sự của ngành này.
Việc doanh nghiệp đưa bitcoin vào bảng cân đối kế toán sẽ đình trệ chừng nào họ còn giữ nó trong những cấu trúc lưu ký không cho thấy ai kiểm soát tiền, ai phê duyệt việc chuyển tiền, hay tài sản còn đó hay không — đúng cái lỗ hổng mà cáo buộc nhắm vào Coinbase đã phơi ra. Hội đồng quản trị không cần trở thành chuyên gia bitcoin để tạo ra thay đổi; họ chỉ cần hỏi những gì họ vốn hỏi với mọi tài khoản khác, và thêm một câu: điều gì còn lại nếu bất kỳ một cá nhân hay một tổ chức nào đó biến mất. Bất kỳ thoả thuận lưu ký nào không trả lời rõ ràng được những câu hỏi đó đều là một bản công bố rủi ro đang chờ được viết ra. Một thập kỷ nữa, ngành này sẽ nhìn lại với sự ngạc nhiên rằng mình đã phát minh ra một hình thái tiền tệ hoàn toàn mới rồi dành nhiều năm lưu ký nó phía sau một tài khoản đăng nhập duy nhất. Càng sớm xây dựng cơ chế lưu ký sao cho không một bên nào có thể làm mất, chuyển hoặc nói dối về tài sản mình đang giữ, thì câu hỏi đang treo lơ lửng trên đầu ngành này càng sớm trở thành câu hỏi không thể đặt ra.
Lưu ý: quan điểm trong bài là của tác giả Michael Tanguma (giám đốc điều hành Onramp), biên tập bởi Cheyenne Ligon, và không nhất thiết phản ánh quan điểm của CoinDesk, Inc. hay các bên sở hữu và liên kết.
Câu hỏi thường gặp
Ari Paul cáo buộc Coinbase điều gì?
Nhà sáng lập BlockTower Capital cáo buộc Coinbase làm thất lạc khoảng 25 triệu USD tài sản của công ty ông và che giấu các vụ hack có tổng giá trị hơn 1 tỷ USD tại hàng chục tổ chức. Coinbase phủ nhận hoàn toàn, còn Paul nói rằng vụ kiện đang diễn ra khiến ông chưa thể công bố bằng chứng.
Vì sao việc nắm giữ bitcoin lại là vấn đề quản trị doanh nghiệp?
Tài khoản ngân hàng và tài khoản môi giới của doanh nghiệp mặc định có người dùng được đặt tên, vai trò rõ ràng, quy tắc phê duyệt khi rút tiền và dấu vết kiểm toán. Khi doanh nghiệp mua bitcoin, tất cả những thứ đó thu về một tài khoản đăng nhập trên sàn hoặc một ví cứng, nên hội đồng quản trị không thể trả lời ai được chuyển tiền, ai phê duyệt và tài sản còn đó hay không.
Những ví dụ nào cho thấy rủi ro khi khoá bị tập trung vào một người hoặc một tổ chức?
QuadrigaCX: giám đốc điều hành qua đời năm 2018 khi đang giữ chìa khoá duy nhất, kéo theo khoảng 190 triệu USD tài sản của khách hàng. Prime Trust: tháng 12/2021 không mở được các ví cũ của chính mình và 18 tháng sau vẫn không mở được khi bang Nevada đặt công ty vào diện tiếp quản. BitMEX đóng cửa sau 11 năm hoạt động là một ví dụ khác về việc một tổ chức đơn lẻ có thể biến mất.
Đa chữ ký giải quyết vấn đề lưu ký như thế nào?
Đa chữ ký là tính năng gốc của giao thức bitcoin, cho phép các khoá được tạo và nắm giữ bởi nhiều tổ chức được quản lý độc lập để không bên nào một mình chuyển hoặc làm mất tài sản. Doanh nghiệp vẫn giữ quyền sở hữu pháp lý, có người dùng được đặt tên với vai trò xác định, chính sách phê duyệt cho mọi lệnh rút và dấu vết kiểm toán mà hội đồng quản trị đọc được.
Chứng thực dự trữ có đủ để trấn an khách hàng không?
Không. Chứng thực dự trữ chỉ cho thấy một ảnh chụp tài sản tại một thời điểm, không cho thấy cơ chế kiểm soát và không nói gì về việc ngày mai ai có thể chuyển tài sản nào. Nó không thay thế được một cấu trúc lưu ký minh bạch về người dùng, quyền hạn và phê duyệt.
Dịch và biên tập lại theo nguồn: CoinDesk Bitcoin
Theo Nghị quyết số 05/2025/NQ-CP ngày 09/09/2025 của Chính phủ về việc thí điểm triển khai thị trường tài sản số tại Việt Nam, Tienmahoa.Net hiện chỉ cung cấp thông tin cho độc giả quốc tế và không phục vụ người dùng tại Việt Nam cho đến khi có hướng dẫn chính thức từ cơ quan chức năng.
