Cáo buộc nhằm vào Coinbase phơi bày lỗ hổng quản trị Bitcoin: Doanh nghiệp cần gì để bảo vệ tài sản?

Cáo buộc giữa Coinbase và BlockTower Capital đặt ra câu hỏi lớn về quản trị Bitcoin

Những tranh cãi xoay quanh Coinbase đang làm nổi bật một vấn đề quan trọng đối với thị trường tiền mã hóa: doanh nghiệp có thể xác minh một cách độc lập rằng Bitcoin của mình đang được kiểm soát đúng quy trình, được bảo vệ an toàn và vẫn tồn tại đầy đủ hay không?

Ari Paul, nhà sáng lập BlockTower Capital, đã công khai cáo buộc Coinbase làm thất thoát khoảng 25 triệu USD tài sản của công ty ông, tương đương khoảng 650 tỷ đồng theo tỷ giá quy đổi giả định 26.000 đồng/USD. Paul cũng đưa ra cáo buộc rằng Coinbase che giấu các vụ tấn công mạng gây thiệt hại hơn 1 tỷ USD, tương đương trên 26.000 tỷ đồng, tại hàng chục tổ chức.

Coinbase kiên quyết phủ nhận các cáo buộc này. Trong khi đó, Paul cho biết vụ kiện đang diễn ra khiến ông không thể công khai bằng chứng mà mình đề cập. Tranh chấp đã tạo ra nhiều tranh luận trong ngành tiền mã hóa về độ tin cậy của các bên liên quan và tính minh bạch trong hoạt động lưu ký tài sản số.

Cần nhấn mạnh rằng các thông tin trên là những cáo buộc đang gây tranh cãi, không phải kết luận pháp lý đã được xác lập. Khi chưa có đầy đủ bằng chứng được kiểm tra độc lập và kết quả giải quyết tranh chấp, không thể mặc nhiên coi các cáo buộc là sự thật.

Tuy nhiên, vấn đề quản trị được đặt ra từ câu chuyện này có ý nghĩa rộng hơn một vụ tranh chấp giữa hai doanh nghiệp. Nếu chủ sở hữu tài sản không thể tự xác minh ai có quyền chuyển tiền, ai phê duyệt giao dịch và số tài sản thực tế còn bao nhiêu, họ sẽ phải phụ thuộc đáng kể vào lời giải thích của đơn vị lưu ký.

Đây là nghịch lý đáng chú ý đối với Bitcoin, một loại tài sản được xây dựng trên nền tảng mật mã và cơ chế xác minh công khai. Công nghệ có thể cho phép kiểm tra giao dịch trên mạng lưới, nhưng việc kiểm soát khóa riêng, phân quyền nội bộ và xác định quyền truy cập trong các hệ thống lưu ký vẫn có thể tạo ra những điểm yếu nghiêm trọng.

Bitcoin trên bảng cân đối kế toán: Ai thực sự kiểm soát tài sản?

Đối với doanh nghiệp nắm giữ Bitcoin, câu hỏi không chỉ là giá tài sản tăng hay giảm. Một vấn đề quan trọng không kém là hệ thống quản trị có thể chứng minh quyền sở hữu và kiểm soát tài sản hay không.

Trong hoạt động tài chính truyền thống, tài khoản ngân hàng doanh nghiệp thường được thiết lập với người dùng cụ thể, vai trò được phân định, giới hạn giao dịch và quy trình phê duyệt. Những thay đổi quan trọng có thể được ghi nhận trong nhật ký kiểm toán để bộ phận tài chính, kiểm toán viên và hội đồng quản trị kiểm tra.

Tài khoản môi giới của doanh nghiệp cũng thường đi kèm các cơ chế phân quyền và quản lý giao dịch. Nhờ đó, tổ chức có thể xác định ai được phép thực hiện một hoạt động, ai phải phê duyệt và những giao dịch nào đã diễn ra.

Tuy nhiên, khi chuyển sang nắm giữ Bitcoin, một số doanh nghiệp lại sử dụng tài khoản đăng nhập sàn giao dịch duy nhất hoặc ví phần cứng do một cá nhân quản lý. Nếu không có cơ chế phân quyền phù hợp, quyền kiểm soát tài sản có thể tập trung vào một người hoặc một tổ chức.

Tình trạng này đặt ra hàng loạt câu hỏi mà hội đồng quản trị cần có câu trả lời rõ ràng:

• Ai có quyền chuyển Bitcoin ra khỏi ví hoặc tài khoản lưu ký?
• Những giao dịch nào phải được phê duyệt bởi nhiều người?
• Có thể xác minh độc lập số tài sản đang được nắm giữ hay không?
• Điều gì xảy ra nếu người giữ khóa riêng nghỉ việc, mất năng lực, qua đời hoặc bị chiếm đoạt thông tin đăng nhập?
• Doanh nghiệp có thể khôi phục quyền kiểm soát tài sản nếu đơn vị lưu ký gặp sự cố hay không?
• Nhật ký giao dịch và lịch sử phê duyệt có đủ để phục vụ kiểm toán độc lập?

Đây không đơn thuần là những câu hỏi kỹ thuật dành cho đội ngũ công nghệ thông tin. Chúng liên quan trực tiếp đến trách nhiệm quản trị doanh nghiệp, kiểm soát nội bộ và khả năng bảo vệ tài sản của cổ đông.

Nếu doanh nghiệp không thể trả lời những câu hỏi này, việc đưa Bitcoin lên bảng cân đối kế toán có thể kéo theo rủi ro vận hành mà báo cáo giá thị trường không thể phản ánh đầy đủ.

Những sự cố trong quá khứ cho thấy rủi ro lưu ký không chỉ nằm trên lý thuyết

Lịch sử ngành tiền mã hóa đã ghi nhận những trường hợp quyền truy cập tài sản trở thành vấn đề nghiêm trọng khi cá nhân hoặc tổ chức chịu trách nhiệm lưu ký gặp sự cố.

Một ví dụ nổi bật là sàn giao dịch QuadrigaCX. Sau khi giám đốc điều hành Gerald Cotten qua đời vào năm 2018, việc thiếu khả năng tiếp cận một số khóa và hệ thống cần thiết đã góp phần dẫn đến cuộc khủng hoảng tài sản của khách hàng. Ủy ban Chứng khoán Ontario sau đó công bố báo cáo về những sai phạm và vấn đề quản trị tại nền tảng này.

Theo số liệu thường được nhắc đến trong vụ việc, khoảng 190 triệu USD tài sản khách hàng bị ảnh hưởng, tương đương khoảng 4.940 tỷ đồng theo tỷ giá minh họa 26.000 đồng/USD. Con số này cần được hiểu trong bối cảnh vụ việc và các kết luận điều tra, thay vì mặc nhiên coi toàn bộ số tiền đều có cùng nguyên nhân là mất khóa truy cập.

Một trường hợp khác là Prime Trust. Năm 2023, cơ quan quản lý tại bang Nevada đã tiến hành các biện pháp nhằm bảo vệ khách hàng và đưa công ty vào quy trình tiếp nhận, quản lý theo thủ tục pháp lý liên quan. Những vấn đề về khả năng tiếp cận ví tài sản cũ đã trở thành một phần trong các thông tin được công bố về tình trạng của doanh nghiệp.

Các sự cố như vậy cho thấy rủi ro lưu ký có thể xuất phát từ nhiều nguyên nhân: quản trị khóa riêng không đầy đủ, quy trình vận hành yếu, phụ thuộc vào cá nhân, thiếu cơ chế khôi phục hoặc năng lực tài chính của đơn vị cung cấp dịch vụ.

Điểm chung là quyền sở hữu trên giấy tờ không tự động bảo đảm chủ sở hữu có thể tiếp cận và sử dụng tài sản khi cần thiết.

Đối với doanh nghiệp, điều này khiến việc đánh giá đơn vị lưu ký phải vượt xa câu hỏi về danh tiếng hay quy mô. Một hệ thống an toàn cần chứng minh được cách phân bổ quyền kiểm soát, cơ chế xử lý sự cố và khả năng duy trì hoạt động ngay cả khi một cá nhân hoặc tổ chức không còn khả năng thực hiện nhiệm vụ.

Deloitte: Kiểm soát và kế toán là rào cản lớn đối với doanh nghiệp

Sự phức tạp trong kế toán và kiểm soát nội bộ cũng là một trong những rào cản đối với việc doanh nghiệp tiếp nhận Bitcoin.

Theo số liệu được đề cập trong nội dung gốc, khảo sát của Deloitte với 200 giám đốc tài chính tại các doanh nghiệp có doanh thu từ 1 tỷ USD trở lên cho thấy 42% người tham gia xác định sự phức tạp về kế toán và kiểm soát là trở ngại đối với việc áp dụng Bitcoin. Tỷ lệ này chỉ thấp hơn một điểm phần trăm so với yếu tố biến động giá.

Kết quả này gợi ý rằng trở ngại của doanh nghiệp không chỉ nằm ở việc Bitcoin có thể tăng hoặc giảm giá mạnh. Khả năng kiểm soát tài sản, ghi nhận kế toán, thiết lập quy trình phê duyệt và đáp ứng yêu cầu kiểm toán cũng có thể ảnh hưởng đáng kể đến quyết định đầu tư.

Đối với một tổ chức tài chính hoặc doanh nghiệp niêm yết, việc nắm giữ tài sản mà không thể giải thích đầy đủ cơ chế kiểm soát sẽ tạo ra những câu hỏi khó trong quá trình giám sát nội bộ.

Ví dụ, nếu chỉ một nhân viên có quyền truy cập ví, doanh nghiệp cần xác định cách thay thế người này khi họ nghỉ việc. Nếu một đơn vị lưu ký kiểm soát toàn bộ khóa riêng, khách hàng cần biết cơ chế nào giúp họ xác minh tài sản và xử lý tình huống nhà cung cấp ngừng hoạt động.

Các câu hỏi đó không thể được giải quyết chỉ bằng việc thuê một đơn vị kiểm toán tài chính thông thường. Chúng đòi hỏi thiết kế hệ thống lưu ký phù hợp ngay từ đầu, kết hợp giữa công nghệ, quy trình và trách nhiệm quản trị.

Vì vậy, để Bitcoin được chấp nhận rộng rãi hơn trong môi trường doanh nghiệp, ngành công nghiệp cần cung cấp những giải pháp giúp ban lãnh đạo kiểm tra tài sản bằng các tiêu chuẩn quen thuộc, thay vì buộc họ chấp nhận những cơ chế thiếu minh bạch.

Tấn công vật lý và lừa đảo kỹ thuật số làm tăng sức ép bảo vệ Bitcoin

Rủi ro lưu ký đang trở nên đáng chú ý hơn khi các hình thức tấn công nhằm vào người nắm giữ tiền mã hóa tiếp tục phát triển.

Theo số liệu được dẫn trong bài viết gốc, cơ sở dữ liệu theo dõi các vụ tấn công vật lý liên quan đến Bitcoin của Jameson Lopp đã ghi nhận hơn 360 vụ được biết đến kể từ năm 2014. Trong đó, 86 vụ được ghi nhận trong năm 2025 và hơn 60 vụ tính đến thời điểm bài viết gốc đề cập trong năm 2026.

Những vụ việc này cho thấy nguy cơ đối với tài sản số không chỉ xuất hiện trên internet. Kẻ tấn công có thể nhắm đến người nắm giữ tài sản, tìm cách ép buộc họ tiết lộ thông tin truy cập hoặc thực hiện giao dịch trái ý muốn.

Nội dung gốc cũng đề cập đến vụ vi phạm dữ liệu tại Coinbase trong năm trước đó, khi tội phạm bị cáo buộc đã hối lộ nhân viên hỗ trợ để lấy thông tin khách hàng, bao gồm tên, địa chỉ và thông tin số dư. Coinbase ước tính sự cố có thể gây thiệt hại khoảng 400 triệu USD, tương đương khoảng 10.400 tỷ đồng theo tỷ giá quy đổi minh họa.

Các thông tin này cần được đối chiếu với công bố chính thức của Coinbase và nguồn theo dõi sự cố trước khi sử dụng như dữ kiện đã được xác minh. Dù vậy, về mặt quản trị, nguy cơ lộ thông tin khách hàng vẫn là vấn đề đáng lưu ý: dữ liệu về danh tính và mức độ sở hữu tài sản có thể khiến người nắm giữ trở thành mục tiêu của những cuộc tấn công tiếp theo.

Ở môi trường số, sự phát triển của trí tuệ nhân tạo cũng tạo điều kiện cho các hình thức lừa đảo tinh vi hơn. Kẻ tấn công có thể giả giọng lãnh đạo, tạo email có cách trình bày gần giống thư nội bộ hoặc sử dụng kỹ thuật thao túng tâm lý để yêu cầu nhân viên chuyển tiền khẩn cấp.

Một doanh nghiệp chỉ dựa vào một tài khoản hoặc một khóa truy cập duy nhất có thể phải gánh chịu rủi ro rất lớn nếu thông tin đó bị chiếm đoạt.

Với Bitcoin, hậu quả còn nghiêm trọng hơn trong những trường hợp giao dịch đã được xác nhận trên mạng lưới và không có cơ chế hoàn trả. Doanh nghiệp vì vậy cần kết hợp bảo vệ dữ liệu cá nhân, xác thực nhiều lớp, phân quyền giao dịch và quy trình phê duyệt độc lập.

Các biện pháp này không loại bỏ hoàn toàn nguy cơ, nhưng có thể hạn chế khả năng một cá nhân bị lừa đảo hoặc một tài khoản bị xâm nhập dẫn đến thất thoát toàn bộ tài sản.

Vì sao các mô hình lưu ký hiện tại vẫn tồn tại nhiều hạn chế?

Hai mô hình phổ biến trong thị trường Bitcoin là tự lưu ký và sử dụng dịch vụ lưu ký của bên thứ ba. Mỗi mô hình đều có lợi ích riêng, nhưng cũng có những điểm yếu nếu không được thiết kế với cơ chế kiểm soát phù hợp.

Tự lưu ký: Quyền kiểm soát đi kèm trách nhiệm lớn

Khi doanh nghiệp tự lưu ký Bitcoin, tổ chức có thể chủ động kiểm soát khóa riêng và giảm sự phụ thuộc vào một nhà cung cấp dịch vụ bên ngoài.

Tuy nhiên, nếu toàn bộ quyền truy cập tập trung vào một cá nhân, doanh nghiệp sẽ phải đối mặt với nguy cơ mất khóa, sai sót vận hành hoặc lạm dụng quyền hạn. Việc nhân viên nghỉ việc, thay đổi vai trò hoặc xảy ra tranh chấp nội bộ cũng có thể làm gián đoạn khả năng truy cập tài sản.

Tự lưu ký chỉ thực sự phù hợp với doanh nghiệp khi đi kèm quy trình quản lý khóa, phân quyền, sao lưu, khôi phục và kiểm tra độc lập. Nếu không, tổ chức có thể chuyển rủi ro từ nhà cung cấp bên ngoài sang một cá nhân trong nội bộ mà không giải quyết được vấn đề cốt lõi.

Lưu ký tập trung: Thuận tiện nhưng phụ thuộc vào bên thứ ba

Sử dụng sàn giao dịch hoặc đơn vị lưu ký chuyên nghiệp có thể giúp doanh nghiệp đơn giản hóa quy trình vận hành. Nhà cung cấp thường có đội ngũ chuyên môn, hệ thống bảo mật và quy trình hỗ trợ khách hàng.

Tuy nhiên, khách hàng có thể không trực tiếp kiểm soát khóa riêng. Khả năng tiếp cận tài sản còn phụ thuộc vào hệ thống, chính sách và tình trạng hoạt động của đơn vị lưu ký.

Các báo cáo kiểm toán, chứng nhận kiểm soát nội bộ hoặc báo cáo về dự trữ có thể cung cấp thông tin hữu ích, nhưng không phải tài liệu nào cũng chứng minh đầy đủ quyền kiểm soát giao dịch của khách hàng. Phạm vi bảo đảm phụ thuộc vào nội dung, thời điểm và phương pháp kiểm tra của từng báo cáo.

Đặc biệt, một ảnh chụp số dư tại một thời điểm không nhất thiết cho biết ai có thể chuyển tài sản vào ngày hôm sau hoặc liệu quy trình phê duyệt có thực sự được thực thi hay không.

Do đó, doanh nghiệp cần đánh giá cả năng lực tài chính lẫn cấu trúc kiểm soát của nhà cung cấp, thay vì chỉ dựa vào thương hiệu hoặc một báo cáo chứng thực đơn lẻ.

Đa chữ ký: Hướng tiếp cận giúp phân tán quyền kiểm soát

Một trong những giải pháp được đề xuất là tận dụng cơ chế đa chữ ký của Bitcoin để giảm sự phụ thuộc vào một cá nhân hoặc một tổ chức duy nhất.

Với mô hình đa chữ ký, một giao dịch chỉ được thực hiện khi đáp ứng số lượng chữ ký cần thiết theo cấu hình đã thiết lập. Chẳng hạn, hệ thống có thể yêu cầu hai trong ba khóa được ủy quyền cùng xác nhận trước khi Bitcoin được chuyển đi.

Trong môi trường doanh nghiệp, các khóa có thể được phân bổ cho những cá nhân hoặc tổ chức độc lập, tùy theo thiết kế và yêu cầu quản trị. Nhờ đó, việc một người mất khóa hoặc một tài khoản bị xâm nhập không nhất thiết khiến toàn bộ tài sản lập tức bị kiểm soát.

Một hệ thống lưu ký doanh nghiệp được thiết kế tốt có thể kết hợp các thành phần sau:

• Phân quyền người dùng theo chức năng và trách nhiệm.
• Thiết lập ngưỡng phê duyệt phù hợp với giá trị giao dịch.
• Yêu cầu nhiều người xác nhận đối với các giao dịch quan trọng.
• Lưu nhật ký kiểm toán để truy xuất lịch sử thao tác và phê duyệt.
• Xây dựng quy trình khôi phục khi mất khóa hoặc thay đổi nhân sự.
• Cho phép kiểm tra độc lập số dư và quyền kiểm soát tài sản.
• Xác định rõ quyền sở hữu pháp lý, trách nhiệm và phương án xử lý khi nhà cung cấp gặp sự cố.

Điểm quan trọng là đa chữ ký không tự động giải quyết mọi rủi ro. Nếu các khóa đều do cùng một người quản lý, được lưu tại cùng một địa điểm hoặc chịu sự kiểm soát của cùng một tổ chức, mức độ độc lập thực tế có thể thấp hơn mong đợi.

Doanh nghiệp cần đánh giá cách phân bổ khóa, phương án dự phòng và khả năng chống chịu trước các sự cố đồng thời. Mục tiêu không chỉ là yêu cầu nhiều chữ ký, mà là thiết kế hệ thống trong đó không một điểm lỗi đơn lẻ nào có thể dễ dàng làm mất hoặc chuyển toàn bộ tài sản.

Phân tán đơn vị lưu ký có thể giảm rủi ro tập trung

Nội dung gốc đề cập đến việc Morgan Stanley chỉ định hai đơn vị lưu ký cho đề xuất quỹ ETF Bitcoin của mình, thay vì phụ thuộc vào một đơn vị duy nhất. Chi tiết này được nêu như một ví dụ về cách các tổ chức tài chính xem xét nguy cơ tập trung trong hoạt động lưu ký.

Tuy nhiên, việc sử dụng hai đơn vị lưu ký không đồng nghĩa với việc rủi ro đã được loại bỏ. Hiệu quả còn phụ thuộc vào cách phân chia tài sản, tính độc lập giữa các nhà cung cấp, quyền truy cập khóa và cơ chế phối hợp khi xảy ra sự cố.

Quan trọng hơn, phân tán lưu ký cần đi cùng khả năng xác minh tài sản. Chủ sở hữu phải có phương thức kiểm tra độc lập, hiểu rõ ai có thể phê duyệt giao dịch và biết điều gì sẽ xảy ra nếu một bên ngừng hoạt động.

Nếu không có những điều kiện đó, việc bổ sung thêm nhà cung cấp có thể chỉ làm tăng độ phức tạp mà chưa giải quyết được vấn đề minh bạch.

Sự đơn giản không nên đánh đổi bằng khả năng kiểm chứng

Lưu ký tập trung vẫn có lý do tồn tại. Đối với nhiều doanh nghiệp, làm việc với một đối tác duy nhất giúp giảm chi phí tích hợp, đơn giản hóa hợp đồng và hạn chế số lượng quy trình phải quản lý.

Ngược lại, việc phân tán quyền lưu ký giữa nhiều tổ chức độc lập đòi hỏi tiêu chuẩn kỹ thuật chung, cơ chế phối hợp, trách nhiệm rõ ràng và quy trình vận hành phức tạp hơn. Đây là những yêu cầu không dễ triển khai, đặc biệt với doanh nghiệp chưa có kinh nghiệm quản lý tài sản số.

Tuy nhiên, sự thuận tiện chỉ thực sự có giá trị khi doanh nghiệp vẫn có thể kiểm chứng những gì mình sở hữu và kiểm soát được các rủi ro quan trọng.

Nếu khách hàng không thể xác minh số tài sản, không biết ai có quyền chuyển tiền và không có phương án khôi phục khi nhà cung cấp gặp sự cố, sự đơn giản về mặt vận hành có thể che giấu một mức độ phụ thuộc lớn.

Vấn đề không nhất thiết là mọi doanh nghiệp đều phải sử dụng cùng một mô hình lưu ký. Điều cần thiết là mỗi mô hình phải có cơ chế kiểm soát tương xứng với quy mô tài sản, yêu cầu pháp lý và mức độ chấp nhận rủi ro của tổ chức.

Một doanh nghiệp nắm giữ lượng Bitcoin lớn cần tiêu chuẩn quản trị khác với cá nhân sở hữu một lượng nhỏ. Nhưng ở bất kỳ quy mô nào, quyền truy cập, trách nhiệm phê duyệt và khả năng khôi phục tài sản đều phải được xác định rõ ràng.

Muốn Bitcoin được doanh nghiệp chấp nhận, phải chứng minh được quyền kiểm soát

Những cáo buộc giữa Ari Paul và Coinbase, bất kể kết quả cuối cùng của tranh chấp ra sao, đã làm nổi bật một vấn đề có ý nghĩa đối với toàn bộ thị trường: tài sản số không chỉ cần được bảo vệ mà còn phải có khả năng kiểm chứng độc lập.

Đối với doanh nghiệp, việc nắm giữ Bitcoin không nên dừng lại ở quyết định mua tài sản và ghi nhận trên bảng cân đối kế toán. Hội đồng quản trị cần biết ai kiểm soát khóa, ai được quyền phê duyệt giao dịch, số dư có thể được xác minh bằng cách nào và tổ chức sẽ xử lý ra sao nếu một cá nhân hoặc nhà cung cấp không còn khả năng thực hiện nhiệm vụ.

Các giải pháp như đa chữ ký, phân quyền người dùng, nhật ký kiểm toán và phân tán đơn vị lưu ký có thể giúp cải thiện hệ thống kiểm soát. Tuy nhiên, hiệu quả phụ thuộc vào cách triển khai thực tế, tính độc lập giữa các bên và khả năng kiểm tra định kỳ.

Bitcoin cung cấp các công cụ mật mã để xác minh giao dịch, nhưng việc xây dựng một hệ thống quản trị doanh nghiệp đáng tin cậy vẫn đòi hỏi thiết kế cẩn thận. Nếu ngành công nghiệp muốn mở rộng mức độ chấp nhận Bitcoin trong các tổ chức lớn, khả năng chứng minh quyền sở hữu và kiểm soát tài sản cần trở thành một tiêu chuẩn cốt lõi, thay vì chỉ là lời cam kết của đơn vị lưu ký.

Thông tin phục vụ mục đích tham khảo, không phải khuyến nghị đầu tư.

Lưu ý Các số liệu về tranh chấp Coinbase–BlockTower Capital, sự cố bảo mật, khảo sát Deloitte và các vụ việc lưu ký được giữ theo nội dung gốc cung cấp. Nên đối chiếu nguồn công bố ban đầu và tình trạng pháp lý mới nhất trước khi đăng. Các khoản tiền quy đổi sang VND sử dụng tỷ giá minh họa 26.000 đồng/USD, không phải tỷ giá thị trường được xác nhận tại thời điểm đăng.