Vụ hack Binance 6.3 tỷ USD: Khi sàn tiền số "ôm đồm" quyền lực ngân hàng

Vụ hack Binance 6.3 tỷ USD: Khi sàn tiền số "ôm đồm" quyền lực ngân hàng

Vụ tin tặc lấy cắp 6.3 tỷ USD đêm 29/10 buộc sàn tiền mã hóa Binance phải khóa cổng rút tiền của khách hàng. Sự cố này cho thấy các sàn tiền số thực chất đang gom tiền gửi tương tự như ngân hàng, nhưng gần như không có ai giám sát. Tiền mã hóa ra đời với mục đích ban đầu là giúp nhà đầu tư tự giữ tiền không cần hệ thống tài chính tập trung, nhưng đám đông cuối cùng lại đem tài sản giao hết cho một số ông chủ sàn nắm giữ.

Đêm 29/10, sàn giao dịch tiền mã hóa lớn nhất thế giới Binance bị tin tặc tấn công và rút đi hơn 6.3 tỷ USD, phần lớn chỉ trong khoảng 20 phút. Sáng 30/10, Binance phải đóng toàn bộ cổng rút tiền trên phạm vi toàn cầu, trong khi giá đồng Bitcoin giảm 4.3% và Ethereum mất 4.6% giá trị ngay trong ngày xảy ra vụ tấn công.

Vụ mất cắp lớn nhất lịch sử tài chính số diễn ra ngay sát kỷ niệm 18 năm ngày nhân vật bí ẩn Satoshi Nakamoto công bố tài liệu khai sinh đồng Bitcoin hôm 31/10/2008. Trong câu mở đầu văn bản đó, Satoshi chỉ trích thương mại điện tử phụ thuộc quá nhiều vào các ngân hàng trung gian, đồng thời đề xuất mạng lưới giúp hai người chuyển tiền trực tiếp cho nhau.

Thế nhưng sau hơn một thập kỷ, nghiên cứu đăng trên Ngân hàng Thanh toán Quốc tế (BIS) chỉ ra phần lớn giao dịch tiền mã hóa vẫn dồn về một vài sàn tập trung đặt ở nước ngoài như Binance, vốn gần như không chịu giám sát, trong khi các sàn phi tập trung chỉ chiếm một phần nhỏ. Thay vì tự giữ tiền trên mạng lưới chung như thiết kế ban đầu, hàng trăm triệu người lại đem tài sản nộp vào một doanh nghiệp.

Sự đảo chiều này bắt nguồn từ thói quen chuộng sự tiện lợi trong đời sống hàng ngày của người dùng đại chúng. Tự giữ ví tiền cá nhân buộc người sở hữu phải bảo quản dãy mật khẩu dài, chỉ cần quên mật khẩu là mất trắng tài sản mà không có tổng đài hỗ trợ, trong khi các sàn tập trung khớp hàng triệu lệnh mỗi giây và cho phép lấy lại mật khẩu như ngân hàng.

Sàn tiền số một mình làm 4 nhiệm vụ

Nhiều nhà đầu tư cá nhân vẫn mặc định nạp tiền vào Binance cũng giống như mở tài khoản mua cổ phiếu qua công ty chứng khoán trên sàn HOSE hay Nasdaq. Thực tế, hai thị trường này vận hành theo hai cơ chế quản lý tài sản đối lập nhau hoàn toàn: một bên bắt buộc chia nhỏ quyền lực để giám sát chéo, còn một bên gom hết tiền bạc vào tay một tổ chức.

Tại Việt Nam, Điều 17 và Điều 18 Thông tư 121/2020/TT-BTC quy định công ty chứng khoán chỉ được làm trung gian nhận lệnh chứ tuyệt đối không được giữ tiền và cổ phiếu của khách trong két riêng. Tiền mặt của nhà đầu tư phải nằm ở tài khoản chuyên dùng tại ngân hàng thương mại, còn cổ phiếu được cất giữ tại Tổng công ty Lưu ký và Bù trừ chứng khoán.

Tương tự tại thị trường Mỹ, Quy tắc bảo vệ khách hàng 15c3-3 của Ủy ban Chứng khoán và Sàn giao dịch Mỹ (SEC) buộc công ty môi giới phải tách bạch tiền của khách vào tài khoản dự trữ đặc biệt ở ngân hàng. Pháp luật cấm công ty chứng khoán dùng tiền hoặc cổ phiếu của khách để tài trợ cho hoạt động tự doanh hay bù lỗ của chính công ty.

Nhờ quy định này, nếu một công ty chứng khoán tại Việt Nam hay Mỹ làm ăn thua lỗ và phá sản, toàn bộ tiền mặt cùng cổ phiếu của nhà đầu tư vẫn nằm nguyên vẹn tại ngân hàng thương mại và trung tâm lưu ký. Chủ nợ của công ty chứng khoán không được đụng vào khối tài sản đó, và khách hàng chỉ việc chuyển tài khoản sang công ty khác.

Ngược lại, hai báo cáo công bố tháng 11/2023 của Hội đồng Ổn định Tài chính (FSB) và Tổ chức Quốc tế các Ủy ban Chứng khoán (IOSCO) chỉ rõ các sàn như Binance đang tự mình ôm trọn 4 vai trò xung đột lợi ích. Một công ty vừa làm sở giao dịch khớp lệnh, vừa làm đại lý môi giới, vừa làm ngân hàng nhận tiền gửi để cho vay, lại vừa lập đội tự doanh mua bán.

Theo Ngân hàng Thanh toán Quốc tế, ngay khoảnh khắc nhà đầu tư bấm nút nạp đồng Bitcoin hay tiền số neo giá USD vào sàn, số tài sản đó lập tức bị rút khỏi ví cá nhân để gom chung vào một túi tiền tổng do sàn nắm chìa khóa. Con số hiển thị trên màn hình điện thoại lúc này không còn là tài sản thật trên chuỗi khối (blockchain), mà chỉ là dòng ghi nợ nội bộ.

Gom tiền về một mối làm mồi ngon cho tin tặc

Khi toàn bộ tiền bạc của hàng trăm triệu khách hàng bị gom chung vào một cái kho khổng lồ do một nhóm nhân sự nội bộ tự nắm chìa khóa mà không có ngân hàng lưu ký độc lập kiểm soát, rủi ro mất tiền trở thành bản chất vốn có của hệ thống. Theo Quỹ Tiền tệ Quốc tế (IMF), gốc rễ vấn đề nằm ở rủi ro vận hành khi doanh nghiệp tập trung tài sản vào một đầu mối.

Để đáp ứng nhu cầu mua bán và rút tiền diễn ra liên tục 24/7 của khách hàng toàn cầu, sàn giao dịch buộc phải để sẵn nhiều tỷ USD trong các tài khoản trực tuyến nối thẳng với Internet. Những túi tiền khổng lồ luôn mở sẵn này trở thành mục tiêu săn đuổi của tội phạm mạng, vì chỉ cần bẻ khóa một đầu mối là lấy sạch.

Sự nguy hiểm của mô hình kho tiền tập trung càng tăng vọt do đặc tính kỹ thuật “một đi không trở lại” của các giao dịch tiền mã hóa. Trong hệ thống ngân hàng truyền thống, mọi lệnh chuyển tiền lớn đều phải đi qua nhiều tầng kiểm soát của ngân hàng đại lý và ngân hàng trung ương; nếu phát hiện tin tặc xâm nhập, các ngân hàng có thể chặn lệnh chuyển và thu hồi tiền.

Trái lại, ngay từ bản thiết kế năm 2008, Satoshi Nakamoto đã xây dựng mạng lưới tiền mã hóa theo nguyên tắc mọi giao dịch một khi đã được xác nhận thì không một ai có thể đảo ngược hay hủy bỏ. Tính năng này vốn được tạo ra để giúp người dân mua bán trực tiếp mà không sợ đối tác lật lọng đòi lại tiền, nhưng khi đặt vào kho tiền tập trung lại thành tử huyệt.

Trong vụ tấn công vào Binance đêm 29/10 vừa qua, ngay khi tin tặc vượt qua được hàng rào bảo mật của kho tiền trực tuyến và cầu nối thanh toán tự động, phần lớn trong số hơn 6.3 tỷ USD đã bị rút thẳng ra ngoài chỉ trong 20 phút. Không có bất kỳ tòa án, cơ quan cảnh sát hay ngân hàng trung ương nào có nút bấm tạm dừng mạng lưới Bitcoin hay Ethereum để lấy lại tiền đã mất.

Chi tiết trớ trêu nhất là giới tiền số luôn phản đối việc ngân hàng có quyền phong tỏa tài khoản của khách hàng, nhưng khi vụ hack xảy ra, chính quyền lực đó lại cứu sàn khỏi mất trắng. Hai công ty phát hành đồng USDT và USDC là Tether và Circle đã dùng quyền khóa tài khoản từ xa kiểu như ngân hàng để chặn đứng khoảng 2.4 tỷ USD trong ví tin tặc. Cộng thêm phần Binance tự đóng băng, gần 3 tỷ USD được giữ lại, còn khoảng 3.5 tỷ USD đã bị tẩu tán.

Mô hình gom toàn bộ tiền gửi của khách hàng vào một kho chung khiến sàn tiền mã hóa trở thành tử huyệt trước các đòn tấn công khi thiếu vắng cơ chế lưu ký độc lập - Ảnh minh hoạ.

Quỹ bảo hiểm bất lực khi thiếu người cứu trợ cuối cùng

Suốt từ tháng 7/2018, mỗi khi thị trường dấy lên nỗi lo về an toàn tài sản, Binance luôn trấn an người dùng rằng tiền của khách đã có Quỹ bảo hiểm tài sản khẩn cấp dành cho người dùng (gọi tắt là quỹ SAFU) đứng ra bảo vệ. Quỹ này được Binance tự lập ra bằng cách trích 10% doanh thu phí giao dịch để gom vào một tài khoản dự phòng riêng nhằm bồi thường khi có sự cố.

Ban đầu, quỹ SAFU nắm giữ hỗn hợp đồng Bitcoin, đồng tiền riêng BNB của sàn và các đồng tiền số khác, khiến giá trị của quỹ liên tục trồi sụt mạnh mỗi khi thị trường giảm sâu tăng sốc. Để khắc phục điểm yếu này, Binance từng chuyển toàn bộ quỹ sang đồng tiền ổn định USDC neo giá 1:1 với đồng USD, chốt quy mô 1 tỷ USD. Nhưng đến tháng 2/2026, Binance lại đổi toàn bộ số tiền này sang 15,000 Bitcoin, khiến giá trị quỹ một lần nữa phụ thuộc vào giá tiền số.

Theo giá ngày 30/10, quỹ SAFU trị giá khoảng 1.16 tỷ USD, chỉ đủ bù chưa tới 1/5 khoản thất thoát 6.3 tỷ USD. Binance phải lấy thêm từ quỹ bảo hiểm hợp đồng tương lai và vốn của chính sàn, tổng cộng hơn 6.34 tỷ USD, nghĩa là sự an toàn của khách hàng phụ thuộc vào túi tiền và thiện chí của một doanh nghiệp tư nhân chứ không phải một cơ chế bảo hiểm có ràng buộc.

Quỹ Tiền tệ Quốc tế (IMF) chỉ ra khi một sàn vừa giữ tiền, vừa môi giới, vừa cho vay mà không chịu giám sát, rủi ro lệch kỳ hạn có thể khiến sàn không đáp ứng nổi làn sóng rút tiền, như trường hợp FTX năm 2022 đem hơn một nửa tiền của khách cho công ty con Alameda vay. Binance khẳng định tài sản của khách được bảo đảm đủ 1:1, nhưng đó là số liệu do sàn tự công bố, không có bên lưu ký độc lập nào kiểm chứng, trong khi tài sản của khách vẫn nằm chung kho với tài sản của sàn.

Trong lĩnh vực ngân hàng truyền thống, người dân ít khi hoảng loạn rút tiền ồ ạt là nhờ cơ chế bảo hiểm tiền gửi được chính phủ đứng sau bảo đảm, ví dụ như tại Mỹ, FDIC bảo vệ 250,000 USD cho mỗi người gửi tiền; còn với tài khoản chứng khoán, tổ chức SIPC bảo vệ tới 500,000 USD khi công ty môi giới phá sản. Tuy nhiên, luật pháp Mỹ loại trừ hoàn toàn tiền mã hóa.

Tấm lá chắn thứ hai mà Binance không có là ngân hàng trung ương đóng vai trò người cho vay cuối cùng để bơm tiền khẩn cấp khi người dân rút tiền ồ ạt. Là doanh nghiệp tư nhân không có quyền in tiền pháp định hay tạo ra Bitcoin thật, Binance tránh khỏi sụp đổ và mở lại cổng rút tiền từ ngày 01/11 chỉ vì ông chủ sàn đủ giàu và sẵn sàng bỏ tiền ra cứu, chứ không phải vì luật buộc phải cứu. Với một sàn nhỏ hơn, khi quỹ dự phòng cạn, con đường duy nhất là khóa chặt cổng rút tiền và để khách hàng gánh thiệt hại, như vụ FTX năm 2022.

Nhìn lại chặng đường gần hai thập kỷ, vụ mất cắp 6.3 tỷ USD tại Binance cho thấy thị trường tài chính số đang vận hành trái ngược hẳn với tầm nhìn phi tập trung ban đầu. Thực tế, thị trường này đã tái lập nguyên vẹn sự tập trung quyền lực của tài chính truyền thống khi trao “quyền sinh quyền sát” cho một số ông chủ sàn, đồng thời bỏ qua toàn bộ lá chắn bảo vệ sống còn là cơ chế tách bạch tài sản, bảo hiểm tiền gửi nhà nước và khả năng in tiền cứu trợ khẩn cấp khi khách hàng rút vốn.

Đức Quyền

FILI