Khi Bitcoin nằm trên một nền tảng do người khác giữ khoá bí mật, thứ bạn có thực chất là một lời hứa của nền tảng đó rằng họ sẽ trả lại cho bạn khi bạn yêu cầu. Lời hứa ấy chỉ tốt bằng sự trung thực, năng lực bảo mật và sức khoẻ tài chính của bên giữ.
Bài này giải thích rủi ro đối tác trong lưu ký Bitcoin theo hướng kiến thức: rủi ro đến từ đâu, những sự cố kiểu nào đã từng xảy ra trong ngành, và những câu hỏi nên đặt ra. Đây không phải lời khuyên đầu tư hay khuyến nghị dùng hoặc không dùng nền tảng nào.
Lưu ký nghĩa là ai đang cầm khoá
Trên mạng Bitcoin, quyền chi tiêu một khoản tiền thuộc về người nắm khoá bí mật tương ứng. Mạng lưới không biết tên bạn, không biết bạn có hợp đồng gì với ai; nó chỉ kiểm tra chữ ký có hợp lệ hay không.
Khi bạn để Bitcoin trên một nền tảng lưu ký, khoá bí mật nằm trong hệ thống của nền tảng. Số dư bạn thấy trên màn hình là con số trong cơ sở dữ liệu nội bộ của họ, một khoản nợ họ ghi nhận với bạn, chứ không phải đồng Bitcoin đứng tên bạn trên chuỗi khối.
Điều đó không tự động xấu. Nhiều người chọn lưu ký vì tiện, vì sợ tự làm mất khoá, hoặc vì cần một dịch vụ có hỗ trợ khách hàng. Nhưng hiểu bản chất giúp bạn đánh giá đúng mức độ tin cậy mình đang đặt vào một tổ chức.
Câu nói quen thuộc trong cộng đồng Bitcoin, đại ý rằng không phải khoá của bạn thì không phải tiền của bạn, tóm gọn đúng ý này. Nó không phải khẩu hiệu chống nền tảng, mà là lời nhắc về việc ai thật sự kiểm soát tài sản.
Những nguồn rủi ro chính
Tấn công mạng vào nền tảng. Kẻ gian nhắm vào nơi tập trung nhiều khoá. Một lỗ hổng trong hệ thống ví nóng có thể làm mất tài sản của rất nhiều khách hàng cùng lúc.
Gian lận hoặc lạm dụng nội bộ. Người có quyền trong tổ chức dùng tài sản khách hàng sai mục đích, ví dụ đem đi cho vay hay đầu tư rủi ro mà khách không biết.
Mất khả năng thanh toán. Nếu nền tảng làm ăn thua lỗ, tài sản khách hàng có thể bị kẹt trong thủ tục phá sản kéo dài, và khách có thể chỉ nhận lại một phần hoặc không nhận lại gì.
Không tách bạch tài sản. Nền tảng trộn tài sản khách với tài sản của chính họ, khiến khi có sự cố rất khó phân định cái gì thuộc về ai.
Phong toả theo yêu cầu pháp lý. Tài khoản có thể bị tạm khoá khi có yêu cầu từ cơ quan chức năng hoặc khi nền tảng nghi ngờ giao dịch bất thường.
Ngừng hoạt động đột ngột. Nền tảng rút khỏi một thị trường, đổi chính sách hoặc đóng cửa, khách phải rút tài sản trong thời gian ngắn.
Lỗi vận hành. Gửi nhầm mạng, lỗi phần mềm, sai sót của nhân viên có thể làm chậm hoặc làm mất giao dịch.
Rủi ro về pháp lý nơi đặt trụ sở. Nền tảng đặt ở nước có khung pháp lý lỏng lẻo thì khi có tranh chấp, khách hàng rất khó đòi quyền lợi.
Rủi ro mất quyền truy cập tài khoản. Mất email, mất số điện thoại, bị chiếm tài khoản đăng nhập cũng có thể làm bạn không vào được tài sản của mình.
Thông tin không minh bạch. Khách không biết nền tảng giữ bao nhiêu tài sản thật so với số họ nợ khách hàng.
Sự cố dây chuyền. Một nền tảng gặp vấn đề có thể kéo theo các đối tác của nó, như đã thấy trong những đợt đổ vỡ của ngành.
Ảo giác an toàn. Giao diện đẹp, thương hiệu lớn, quảng cáo nhiều không phải là bằng chứng tài sản được giữ an toàn.
Bài học từ những đợt đổ vỡ của ngành
Lịch sử ngành tài sản mã hoá đã ghi nhận nhiều vụ nền tảng lưu ký bị tấn công hoặc sụp đổ. Không cần nêu tên từng vụ để rút ra điểm chung: phần lớn đều bắt đầu từ việc khách hàng không thấy được thứ đang diễn ra phía sau màn hình.
Trong nhiều trường hợp, số dư trên tài khoản khách vẫn hiển thị bình thường cho tới ngày nền tảng ngừng cho rút. Khi đó việc lấy lại tài sản phụ thuộc vào thủ tục pháp lý, có thể kéo dài nhiều năm.
Một điểm chung khác là việc dùng tài sản của khách để tạo lợi nhuận, như đem cho vay. Khi khoản cho vay không đòi được, lỗ hổng lộ ra và lan sang chính tài sản của khách hàng.
Bài học không phải là mọi nền tảng đều gian dối. Bài học là cần hiểu mình đang chấp nhận rủi ro gì, và rằng rủi ro ấy có thật ngay cả với những tên tuổi được nhiều người biết.
Ngành này cũng cho thấy một điều: thông tin quảng bá thường nhấn mạnh tiện ích và lợi ích, ít khi nói rõ rủi ro đối tác. Người dùng phải tự đặt câu hỏi.
Câu hỏi nên đặt ra trước khi tin một bên lưu ký
Họ được cấp phép ở đâu, bởi cơ quan nào? Cấp phép không loại bỏ rủi ro, nhưng cho biết có một cơ quan giám sát và một khung pháp lý để khiếu nại.
Tài sản khách có được tách riêng không? Hỏi xem tài sản của khách được giữ tách bạch khỏi tài sản của công ty hay không.
Họ có công bố bằng chứng dự trữ không? Một số nền tảng công bố bằng chứng cho thấy họ giữ đủ tài sản tương ứng; cần hiểu bằng chứng đó chứng minh được gì và không chứng minh được gì.
Họ có dùng tài sản của khách để cho vay không? Đọc kỹ điều khoản; các sản phẩm "sinh lãi" thường đồng nghĩa với việc tài sản được đem đi dùng.
Phần lớn tài sản được giữ thế nào? Hỏi về tỉ lệ giữ ngoại tuyến và quy trình phê duyệt rút tài sản.
Khi có tranh chấp thì luật nước nào điều chỉnh? Điều này quyết định bạn có thể đòi quyền lợi ở đâu và bằng cách nào.
Có bảo hiểm không, bảo hiểm cái gì? Nhiều chính sách chỉ bảo hiểm một phần hoặc một loại sự cố cụ thể; tài sản mã hoá không có bảo hiểm tiền gửi như ngân hàng.
Lịch sử sự cố và cách họ xử lý? Cách một tổ chức xử lý sự cố nói lên nhiều điều về trách nhiệm của họ.
Quy trình khôi phục tài khoản ra sao? Biết trước để không lúng túng khi mất thiết bị hay mất quyền truy cập.
Ai là người được liên hệ khi có vấn đề? Một kênh hỗ trợ thật, có trách nhiệm, khác với một hộp thư tự động.
Điều khoản có cho phép họ thay đổi đơn phương không? Nhiều điều khoản cho phép nền tảng đổi chính sách bất cứ lúc nào.
Bạn có hiểu hết điều khoản mình đồng ý chưa? Nếu chưa hiểu, đó là dấu hiệu nên dừng lại và tìm hiểu thêm.
Tự lưu ký có phải lời giải cho mọi người
Tự lưu ký loại bỏ rủi ro đối tác nhưng chuyển toàn bộ trách nhiệm về phía bạn. Mất cụm từ khôi phục, để lộ khoá, bị lừa ký giao dịch, tất cả đều không có ai đền bù.
Với người mới, tự lưu ký đòi hỏi học cách sao lưu, cách kiểm tra địa chỉ, cách giữ bí mật cụm từ khôi phục. Đây là kỹ năng, và kỹ năng cần thời gian.
Vì thế câu hỏi không phải là tự lưu ký hay lưu ký tốt hơn tuyệt đối, mà là bạn hiểu và chấp nhận rủi ro nào. Hai lựa chọn đánh đổi giữa rủi ro đối tác và rủi ro tự quản lý.
Dù chọn cách nào, nguyên tắc vẫn là không để những gì mình không thể chấp nhận mất ở nơi mình không hiểu rõ. Kiến thức là lớp bảo vệ đầu tiên.
Thói quen giúp giảm rủi ro
Bật xác thực hai lớp bằng ứng dụng. Tin nhắn có thể bị chiếm số điện thoại; ứng dụng xác thực an toàn hơn.
Dùng email riêng cho tài khoản tài chính. Tách khỏi email dùng đăng ký mạng xã hội hay mua sắm.
Ghi lại lịch sử giao dịch của mình. Có hồ sơ riêng giúp bạn chứng minh quyền lợi khi có tranh chấp.
Theo dõi thông báo chính thức của nền tảng. Chỉ tin kênh chính thức, cảnh giác thư giả mạo.
Không bấm liên kết lạ yêu cầu đăng nhập. Trang giả mạo nền tảng là kiểu lừa phổ biến.
Không chia sẻ tài khoản cho người khác dùng. Kể cả người quen; tài khoản đứng tên ai thì người đó chịu trách nhiệm.
Định kỳ kiểm tra thiết bị đăng nhập. Gỡ thiết bị lạ, đổi mật khẩu khi nghi ngờ.
Đọc kỹ trước khi đồng ý sản phẩm sinh lãi. Hiểu tài sản của mình sẽ được dùng vào việc gì.
Cảnh giác với lời hứa lợi nhuận cố định. Lời hứa càng hấp dẫn càng cần nghi ngờ.
Nhớ rằng đây là tài sản rủi ro cao. Có thể mất một phần hoặc toàn bộ; chỉ dùng số tiền bạn chấp nhận được việc mất.
Tìm hiểu quy định hiện hành. Pháp lý về tài sản số ở Việt Nam đang được hoàn thiện; theo dõi văn bản chính thức.
Câu hỏi thường gặp
Để Bitcoin trên nền tảng lớn có an toàn tuyệt đối không?
Không có nơi nào an toàn tuyệt đối. Nền tảng lớn có thể có hệ thống bảo mật tốt hơn, nhưng vẫn mang rủi ro đối tác như bị tấn công, phá sản hay phong toả. Quy mô không thay thế được việc hiểu điều khoản.
Bằng chứng dự trữ có chứng minh nền tảng an toàn không?
Bằng chứng dự trữ cho thấy nền tảng giữ một lượng tài sản tại một thời điểm, nhưng không luôn chứng minh được các khoản nợ của họ. Nó là một tín hiệu, không phải bảo đảm.
Nếu nền tảng phá sản, tôi có lấy lại được Bitcoin không?
Tuỳ từng trường hợp và luật áp dụng. Khách có thể nhận lại toàn bộ, một phần hoặc không nhận lại gì, và thường phải chờ rất lâu qua thủ tục pháp lý.
Tự lưu ký có loại bỏ hết rủi ro không?
Tự lưu ký loại bỏ rủi ro đối tác nhưng thêm rủi ro tự quản lý, như mất khoá hay bị lừa. Mỗi lựa chọn có đánh đổi riêng.
Bài viết này có khuyên tôi dùng hay bỏ nền tảng nào không?
Không. Đây là kiến thức về rủi ro để bạn tự đánh giá. Quyết định tài chính là của bạn, và nên cân nhắc kỹ vì tài sản mã hoá có rủi ro cao.
