Sự cố Coldcard đặt câu hỏi về cách lưu kí Bitcoin

Khi tỉ trọng Bitcoin do các định chế tài chính, quỹ ETF, ETP và doanh nghiệp kiểm soát ngày càng lớn, thị trường có thể chuyển mạnh từ mô hình tự lưu kí cá nhân sang những giải pháp lưu kí chuyên nghiệp, phân tán và an toàn hơn.

Từ sự cố Coldcard đến thay đổi trong cách lưu kí Bitcoin

Đối với Bitcoin, quyền tự kiểm soát tài sản luôn là một trong những giá trị cốt lõi. Nhà đầu tư có thể tự quản lí khóa riêng tư, lưu trữ Bitcoin trên ví lạnh và không cần phụ thuộc vào một tổ chức trung gian.

Tuy nhiên, chính mô hình này cũng đặt trách nhiệm bảo mật lên người sở hữu. Chỉ một sai sót trong quản lí khóa, thiết bị hoặc quy trình xác thực cũng có thể dẫn tới rủi ro mất quyền kiểm soát tài sản.

Theo Thạc sĩ Phạm Nhật Huy từ SSI, sự cố Coldcard cần được nhìn nhận trong bức tranh rộng hơn. Ông cho rằng đây không nên chỉ được xem là một sự cố riêng lẻ mà có thể trở thành “chất xúc tác làm chuyển dịch cấu trúc thị trường toàn cầu”, thúc đẩy ngành tài sản số nâng chuẩn bảo mật từ tự lưu kí cá nhân sang lưu kí thể chế.

Điểm đáng chú ý là quá trình chuyên nghiệp hóa thị trường Bitcoin đang diễn ra song song với sự phát triển của các sản phẩm đầu tư dành cho tổ chức. ETF, ETP và các mô hình kho bạc doanh nghiệp đang tạo thêm những kênh để nhà đầu tư tiếp cận Bitcoin mà không nhất thiết phải trực tiếp quản lí khóa riêng tư.

Thực tế, dữ liệu của Glassnode cho thấy cần rất thận trọng khi phân biệt giữa tự lưu kí, quyền sở hữu và tính thanh khoản của Bitcoin. Glassnode từng ước tính khoảng 78% nguồn cung Bitcoin vào cuối năm 2020 thuộc nhóm “illiquid entities”, nhưng thuật ngữ này phản ánh hành vi dòng tiền của các thực thể on-chain chứ không đồng nghĩa với việc 78% Bitcoin nằm trong ví tự lưu kí cá nhân. Dữ liệu mới hơn của Glassnode cũng tiếp tục phân loại nguồn cung theo các nhóm thanh khoản, thay vì xác định trực tiếp tỉ lệ Bitcoin do cá nhân hay tổ chức tự lưu kí. Sự khác biệt này rất quan trọng khi đánh giá thị trường.

Một lượng Bitcoin được một tổ chức lưu giữ tại ví lạnh có thể được xem là tài sản thuộc quyền kiểm soát của tổ chức đó, nhưng cũng có thể được một đơn vị lưu kí chuyên nghiệp quản lí thay. Tương tự, Bitcoin đứng sau một sản phẩm ETP có thể được một bên lưu kí tổ chức bảo quản, trong khi nhà đầu tư cuối cùng chỉ sở hữu chứng chỉ hoặc phần quyền lợi kinh tế trong sản phẩm.

Vì vậy, thay vì nói rằng Bitcoin đang chuyển hoàn toàn từ cá nhân sang tổ chức, có thể nhìn nhận xu hướng hiện nay là vai trò của các hạ tầng lưu kí chuyên nghiệp ngày càng lớn.

Điều này cũng làm thay đổi câu hỏi của nhà đầu tư. Nếu trước đây trọng tâm là “Bitcoin có an toàn không?”, thì với dòng vốn tổ chức, câu hỏi ngày càng trở thành: Ai đang lưu kí Bitcoin, khóa được bảo vệ thế nào, quyền phê duyệt giao dịch thuộc về ai và hệ thống có thể phục hồi ra sao khi xảy ra sự cố? Theo ông Huy, đây mới là tác động dài hạn đáng chú ý của những sự cố như Coldcard.

MPC và lưu kí lai có thể trở thành chuẩn mới

Một trong những hướng công nghệ mà chuyên gia Phạm Nhật Huy nhấn mạnh là Tính toán Đa bên (MPC). Về cơ bản, MPC cho phép quá trình kí giao dịch được phân tán giữa nhiều bên hoặc nhiều máy chủ thay vì phụ thuộc vào một khóa riêng tư hoàn chỉnh tồn tại tại một điểm duy nhất. Cách tiếp cận này giúp giảm rủi ro nếu một thiết bị hoặc một hệ thống bị xâm nhập.

Điểm khác biệt quan trọng là MPC không đơn thuần tìm cách bảo vệ một khóa riêng tư có sẵn, mà thiết kế quy trình kí theo hướng hạn chế việc khóa hoàn chỉnh phải tồn tại tại một địa điểm duy nhất.

Trong môi trường tổ chức, đây là lợi thế đáng kể. Một quỹ, doanh nghiệp hay đơn vị lưu kí có thể xây dựng nhiều lớp phê duyệt và phân quyền, từ đó giảm nguy cơ một cá nhân hoặc một thiết bị đơn lẻ có thể kiểm soát toàn bộ tài sản. Bên cạnh MPC, ông Huy cho rằng mô hình lưu kí lai (Hybrid Custody) cũng có nhiều tiềm năng.

Mô hình này tìm cách kết hợp quyền kiểm soát và phê duyệt giao dịch của tổ chức với hạ tầng bảo mật, mạng lưới giao dịch và hệ thống báo cáo tự động của bên thứ ba. Đây có thể là phương án trung gian giữa hai cực: Tự lưu kí hoàn toàn và giao toàn bộ quyền kiểm soát cho một bên lưu kí.

Với các tổ chức nắm giữ lượng tài sản lớn, bài toán không chỉ là bảo vệ khóa riêng tư. Họ còn cần quy trình phân quyền, kiểm toán, giám sát giao dịch, quản trị nhân sự và khả năng khôi phục khi có sự cố. Vì vậy, một hệ thống lưu kí chuyên nghiệp phải được xây dựng như một hạ tầng quản trị rủi ro, thay vì chỉ là một chiếc ví an toàn hơn.

Một xu hướng dài hạn khác là mật mã kháng lượng tử (Post-Quantum Cryptography - PQC). Các tiêu chuẩn PQC được NIST phê chuẩn từ năm 2024 đang thúc đẩy quá trình chuyển đổi của ngành công nghệ sang những thuật toán có khả năng chống lại các mối đe dọa từ máy tính lượng tử trong tương lai.

Tuy nhiên, điều này không có nghĩa toàn bộ hệ thống mã hóa truyền thống sẽ đồng loạt bị loại bỏ vào một mốc thời gian duy nhất. Đúng hơn, ngành công nghiệp đang phải xây dựng lộ trình chuyển đổi dài hạn để những hệ thống có vòng đời nhiều năm không trở thành điểm yếu khi năng lực tính toán thay đổi.

Đối với Bitcoin, vấn đề càng đáng chú ý bởi tài sản có thể được lưu giữ trong thời gian rất dài. Một giải pháp lưu kí được xem là an toàn hôm nay vẫn phải tính đến khả năng thích ứng với những thay đổi công nghệ trong tương lai.

Do đó, sự cố Coldcard có thể tạo ra một tác động lớn hơn phạm vi của một thiết bị hay một nhà sản xuất. Nó buộc thị trường phải xem lại toàn bộ chuỗi bảo mật của tài sản số, từ thiết bị cá nhân đến hạ tầng lưu kí tổ chức.

Nếu giai đoạn đầu của Bitcoin đề cao thông điệp “không phải khóa của bạn, không phải Bitcoin của bạn”, thì giai đoạn trưởng thành của thị trường có thể đặt ra một yêu cầu mới: Không chỉ kiểm soát tài sản, mà phải kiểm soát rủi ro của chính quá trình lưu kí.

Theo góc nhìn của ông Phạm Nhật Huy, đây mới có thể là di sản lớn hơn của những sự cố như Coldcard: Không làm suy yếu Bitcoin, mà thúc đẩy ngành tài sản số tiến tới những tiêu chuẩn bảo mật cao hơn để đáp ứng quy mô ngày càng lớn của dòng vốn tổ chức.

Bùi Tú