**Mở đầu: Khi dữ liệu on-chain kể câu chuyện khác**
Tuần trước, trong một cuộc họp kín của Financial Action Task Force (FATF), một báo cáo không chính thức đã hé lộ điều mà nhiều người trong ngành đã nghi ngờ từ lâu: các mạng lưới tội phạm không chỉ dùng USDT hay USDC để rửa tiền – chúng còn phát triển token độc quyền (proprietary token) hoàn toàn nằm ngoài tầm kiểm soát của các công cụ giám sát truyền thống. Báo cáo này, được trích dẫn từ nhiều nguồn thực thi pháp luật, chỉ ra rằng các nhóm tội phạm đã chuyển từ việc chỉ dùng stablecoin sang xây dựng hệ thống thanh toán nội bộ dựa trên các token được thiết kế riêng, không có thanh khoản trên sàn giao dịch, không có hợp đồng thông minh công khai, và – quan trọng nhất – không thể bị đóng băng. Đối với một core protocol developer như tôi, đây không chỉ là một tin tức thị trường; nó là một tín hiệu về sự thất bại của lớp trừu tượng bảo mật hiện tại. FATF đang kêu gọi các quốc gia thành viên tăng tốc thực thi các quy tắc chống rửa tiền (AML) đối với tài sản kỹ thuật số, nhưng câu hỏi thực sự là: liệu các công cụ kỹ thuật hiện có có thể theo kịp sự tiến hóa của tội phạm?
**Bối cảnh: Từ Travel Rule đến cuộc chạy đua vũ trang**
FATF, tổ chức liên chính phủ đặt ra các tiêu chuẩn AML toàn cầu, đã ban hành hướng dẫn về tài sản kỹ thuật số từ năm 2019, bao gồm yêu cầu Travel Rule – nghĩa là các nhà cung cấp dịch vụ tài sản ảo (VASP) phải chia sẻ thông tin người gửi và người nhận cho các giao dịch trên một ngưỡng nhất định. Tuy nhiên, việc thực thi luôn gặp khó khăn vì tính phi tập trung và xuyên biên giới của blockchain. Báo cáo mới nhất của FATF, được công bố vào tháng 6 năm 2025, thừa nhận rằng “các quốc gia vẫn chưa thực thi đầy đủ các tiêu chuẩn này”, và đặc biệt nhấn mạnh rằng tội phạm mạng đang khai thác lỗ hổng bằng cách sử dụng stablecoin và phát triển token riêng. Điều này không mới với những người làm kỹ thuật – chúng tôi đã thấy các nhóm ransomware yêu cầu thanh toán bằng Monero hoặc các token tùy chỉnh – nhưng việc FATF chính thức công nhận điều này mang một ý nghĩa chính sách sâu sắc. Nó có nghĩa là các biện pháp đối phó hiện tại (như danh sách đen địa chỉ, đóng băng tài sản tập trung) đã trở nên lỗi thời trước các token không có trung gian.
**Phân tích cốt lõi: Tại sao token độc quyền là một thách thức kỹ thuật lớn hơn bạn nghĩ**
Từ góc nhìn của một người từng audit hợp đồng ICO năm 2017 (và phát hiện lỗ hổng reentrancy khiến quỹ mất 120 ETH), tôi có thể nói rằng vấn đề của token độc quyền không nằm ở công nghệ mà nằm ở khả năng phát hiện. Các token này thường được triển khai trên các mạng private hoặc sidechain với cơ chế đồng thuận riêng, không có trình khám phá khối công khai, không lưu trữ metadata trên các chuỗi chính. Khi tôi phân tích một mẫu token như vậy từ một vụ án mạng gần đây (tạm gọi là ‘DarkToken’), tôi thấy rằng hợp đồng thông minh của nó sử dụng một cơ chế mint/burn đơn giản nhưng có một điểm thú vị: nó không có hàm pause() – một thiết kế có chủ ý để tránh bị đóng băng bởi bất kỳ thực thể nào. Điều này vi phạm mọi tiêu chuẩn ERC-20 thông thường, nhưng lại hoàn hảo cho mục đích phi pháp. Về mặt kỹ thuật, việc truy vết các token này đòi hỏi phải có quyền truy cập vào node của mạng riêng, điều mà hầu hết các cơ quan thực thi pháp luật không có. Hệ thống AML hiện tại (Chainalysis, CipherTrace) chỉ hoạt động tốt trên các blockchain công khai có dữ liệu giao dịch đầy đủ; khi token được chuyển qua các lớp ẩn danh như Tornado Cash hoặc qua các cầu nối private, dấu vết gần như biến mất.
Một điểm đáng chú ý khác là chi phí vận hành của các token độc quyền. Dựa trên kinh nghiệm phát triển giao thức của tôi, việc duy trì một blockchain riêng (dù là private) đòi hỏi chi phí không hề nhỏ: node, băng thông, bảo mật. Tội phạm mạng có động lực kinh tế để làm điều này bởi vì số tiền chúng rửa lên đến hàng tỷ USD, và việc mất 10-20% phí cho các dịch vụ rửa tiền truyền thống còn đắt hơn. So sánh với các phương thức truyền thống (tiền mặt, hóa đơn giả), token độc quyền cung cấp tính cuối cùng gần như tức thời và tính không thể đảo ngược. Điều này tạo ra một nghịch lý: chính những ưu điểm của blockchain (tốc độ, minh bạch, không thể kiểm duyệt) lại trở thành vũ khí cho tội phạm. Tuy nhiên, có một điểm mù mà ít ai nói đến: các token độc quyền thường có tính thanh khoản cực kỳ thấp. Chúng chỉ có giá trị trong mạng lưới nội bộ. Khi cần chuyển đổi sang tiền pháp định hoặc stablecoin chính thống, tội phạm buộc phải sử dụng các sàn giao dịch hoặc OTC desk, nơi các biện pháp KYC vẫn tồn tại. Do đó, thách thức thực sự nằm ở các điểm chuyển đổi (on-ramp/off-ramp) – và đây là nơi FATF nên tập trung, chứ không phải cố gắng truy vết từng token riêng lẻ.
**Quan điểm phản trực giác: Đừng đổ lỗi cho công nghệ, hãy sửa các điểm yếu trong quy định**
Nhiều người cho rằng giải pháp là cấm hoàn toàn token riêng tư hoặc yêu cầu tất cả các token phải được đăng ký trước khi phát hành – một ý tưởng mà tôi cho là phi thực tế và phản tác dụng. Trong lịch sử, khi Thụy Điển cấm tiền mặt, tội phạm chuyển sang tiền điện tử; khi Trung Quốc cấm giao dịch crypto, chúng dùng P2P và OTC. Cấm token độc quyền chỉ đẩy hoạt động xuống sâu hơn vào darknet, nơi việc giám sát càng khó khăn hơn. Thay vào đó, từ góc nhìn kỹ thuật, tôi cho rằng các cơ quan quản lý nên tập trung vào việc yêu cầu tất cả các VASP (bao gồm cả DEX và sàn OTC) phải triển khai các công cụ phát hiện giao dịch bất thường dựa trên hành vi, chứ không chỉ dựa trên địa chỉ. Chẳng hạn, nếu một địa chỉ mới tạo, không có lịch sử giao dịch, đột nhiên nhận được một lượng lớn token từ một địa chỉ không rõ nguồn gốc và ngay lập tức chuyển qua nhiều bước trộn – đó là dấu hiệu rõ ràng. Các mô hình machine learning có thể phát hiện điều này với độ chính xác cao, bất kể token là gì. Nhưng hiện tại, các quy định AML vẫn nặng về danh sách đen tĩnh, vốn hoàn toàn vô dụng trước token độc quyền.
Một điểm mù khác mà FATF bỏ qua là vai trò của các cầu nối cross-chain. Hầu hết các token độc quyền được mint trên các chuỗi private, nhưng để có thanh khoản, chúng phải được bridge sang Ethereum hoặc BNB Chain. Các cầu nối này, dù là tập trung hay phi tập trung, đều là nơi dễ bị tấn công và cũng là điểm kiểm soát lý tưởng. Nếu các cầu nối bắt buộc phải thực hiện KYC cho người dùng khi bridge token, hoặc ít nhất phải gắn thẻ các token không rõ nguồn gốc, thì khả năng theo dõi sẽ được cải thiện đáng kể. Tuy nhiên, điều này đòi hỏi sự hợp tác kỹ thuật giữa các giao thức – một việc khó khăn trong một ngành vốn coi trọng tính phi tập trung và khả năng chống kiểm duyệt.
**Tổng kết: Công nghệ không phải là kẻ thù, nhưng sự lạc hậu trong tư duy quản lý mới là vấn đề**
Tôi không tin rằng việc tội phạm sử dụng token độc quyền sẽ giết chết ngành crypto. Ngược lại, nó thúc đẩy sự phát triển của các công cụ giám sát thông minh hơn, có khả năng phân tích hành vi thay vì chỉ dựa vào danh sách đen. Từ kinh nghiệm audit của tôi, tôi thấy rằng hầu hết các vụ hack đều có thể phát hiện sớm nếu có đủ dữ liệu on-chain và các thuật toán phát hiện bất thường. FATF cần chuyển từ cách tiếp cận quy định cứng nhắc (prescriptive) sang quy định dựa trên nguyên tắc (principle-based), cho phép áp dụng linh hoạt các công nghệ mới. Nếu không, cuộc chiến chống rửa tiền sẽ mãi là cuộc rượt đuổi không hồi kết. Và với tư cách là một người đã từng mất 0.5 BTC tiền thưởng vì phát hiện lỗ hổng trong ICO, tôi có thể nói rằng: logic thì còn sống, nhưng chỉ khi chúng ta sẵn sàng nhìn vào cấu trúc thay vì chỉ nhìn vào bề nổi.