Sàn mã hóa bị hack: Ai bồi thường, theo thứ tự nào?
Nếu sàn mã hóa bị hack và thiệt hại vượt quỹ bồi thường, Chủ tịch VBA Phan Đức Trung cho biết khung pháp lí chưa quy định thứ tự chi trả. Ông đề xuất bù bằng quỹ bảo vệ, bảo hiểm, rồi vốn sàn; cổ đông chịu lỗ trước khách hàng.
Sau vụ rút tiền khỏi ví nóng ngày 30/10, Binance cam kết bù toàn bộ tổn thất từ quỹ SAFU, quỹ dự phòng sàn lập từ năm 2018, cùng nguồn vốn của công ty.
Các sàn tài sản mã hóa Việt Nam hiện còn chưa vận hành chính thức. Trong bối cảnh đó, ông Phan Đức Trung, Chủ tịch Hiệp hội Blockchain và Tài sản số Việt Nam (VBA), nêu quan điểm với Một Thế Giới về quy mô quỹ, thứ tự chi trả, vai trò của cơ quan quản lí và những việc nhà đầu tư nên tự làm.
Quỹ bảo vệ tài sản số tính theo kịch bản xấu nhất
Về quy mô quỹ bảo vệ, ông Trung chọn kịch bản xấu nhất, rồi dùng tỉ lệ trên tổng tài sản lưu kí làm mức sàn. Theo ông, tính theo tổng tài sản không phản ánh rủi ro thật ở ví nóng. Tính theo từng ví thì bỏ sót trường hợp nhiều ví chung cơ chế kí bị chiếm cùng lúc.
Mức hợp lí, ông đề xuất, là quỹ tối thiểu bằng toàn bộ giá trị các ví nóng dùng chung cơ chế kí, cộng một phần tài sản ví lạnh, gần với chuẩn của Hồng Kông. Quỹ gồm tiền gửi ngân hàng tách biệt, bảo hiểm và tài sản cùng loại, không tính token do sàn tự phát hành.
Ông cũng nhấn mạnh phải phân biệt tài sản bị ảnh hưởng với tài sản bị mất. Theo công bố của Binance, khoảng 6,3 tỉ USD bị ảnh hưởng, nhưng khoảng 3 tỉ USD đã được phong tỏa, phần lớn là stablecoin (đồng tiền mã hóa neo giá USD, có thể bị tổ chức phát hành khóa). “Quỹ phải tính theo thiệt hại ròng trong kịch bản xấu nhất”, ông nói.
Cổ đông chịu lỗ trước khách hàng
Khi thiệt hại vượt quỹ bồi thường, ông Trung cho biết trước hết phải tách tài sản bị ảnh hưởng với tài sản thực mất. Chỉ phần mất ròng, sau khi đã phong tỏa và thu hồi, mới đi vào thứ tự chi trả. Thứ tự đó, theo ông, phải được viết ra trước khi có sự cố.
Tổn thất nên lần lượt được bù bằng quỹ bảo vệ người dùng, rồi bảo hiểm, rồi vốn chủ sở hữu của sàn. “Cổ đông phải chịu lỗ trước khách hàng”, ông nói. Chỉ khi vẫn thiếu, phần còn lại mới chia theo tỉ lệ cho khách nắm giữ tài sản bị mất, có thể ưu tiên nhà đầu tư nhỏ.
Về phía nhà đầu tư, ông chỉ ra ba thứ có thể mất. Thứ nhất là một phần tài sản, như tiền lệ Bitfinex năm 2016 khi mọi tài khoản bị cắt khoảng 36%. Thứ hai là thời gian chờ khi tài sản bị đóng băng. Thứ ba là chênh lệch giá, nếu được bù bằng tiền thay vì đúng loại tài sản đã mất.
Giám sát trước, diễn tập trước
Về vai trò của cơ quan quản lí, chủ tịch VBA cho rằng cần cả giám sát trước lẫn xử lí sau, nhưng trọng tâm phải dịch về phía trước. Sau sự cố chỉ còn vài giờ trước khi tài sản bị chuyển sang chuỗi khác hoặc đem trộn, nên xử lí sau chỉ thu hồi được một phần.
Giám sát trước nghĩa là cơ quan quản lí nắm danh sách địa chỉ ví của từng sàn, tự theo dõi trên chuỗi theo thời gian thực, độc lập với báo cáo của sàn. Ông dẫn thực tế vụ Binance: cộng đồng phân tích độc lập đã dựng lại toàn bộ đường đi của tài sản trong vài giờ. “Cơ quan quản lí hoàn toàn có thể có năng lực đó”, ông nói.
Phần hậu sự cố, theo ông, là bài toán phối hợp về pháp lí và truyền thông. Về pháp lí, cần xác lập chứng cứ và yêu cầu phong tỏa xuyên biên giới, phối hợp với Bộ Công an, Ngân hàng Nhà nước và các tổ chức phát hành stablecoin. Về truyền thông, cần một nguồn thông tin chính thức duy nhất để tránh hoảng loạn và lừa đảo. Kịch bản phối hợp này phải được diễn tập trước.
Hỏi về vai trò của Mạng dịch vụ đa chuỗi blockchain Việt Nam (VBSN) với rủi ro lưu kí của sàn, ông Trung nói rõ VBSN không thay sàn quản lí khóa. Theo ông, giá trị lớn nhất của VBSN là hạ tầng cho giám sát tự động và độc lập. Địa chỉ ví và báo cáo dự trữ của các sàn được ghi trên một lớp có kiểm chứng, để cơ quan quản lí và các đơn vị hỗ trợ giám sát độc lập cùng theo dõi theo thời gian thực, tự động cảnh báo bất thường.
Ông cho rằng rủi ro kí phần lớn không phụ thuộc chuỗi, nhưng chuỗi quyết định kẻ tấn công có thêm công cụ gì, nên giám sát phải phủ nhiều chuỗi.
Theo ông, khi góp ý xây dựng mạng blockchain quốc gia, “chúng tôi đã nhiều lần nêu rõ mạng đơn chuỗi là rủi ro”, và Quyết định 2815/QĐ-TTg ngày 28/12/2025 của Thủ tướng cũng khẳng định hướng đi đó: hạ tầng blockchain quốc gia có nhiều cơ chế đồng thuận, cầu nối đa chuỗi giữa chuỗi công khai và chuỗi cấp phép, cùng nền tảng giám sát giao dịch theo thời gian thực.
Nhà đầu tư cần tự làm gì?
Lời khuyên đầu tiên của ông Trung: sàn là nơi giao dịch, không phải két sắt dài hạn. Phần tài sản không định giao dịch trong khoảng một tháng nên chuyển về ví tự lưu kí, với điều kiện nhà đầu tư hiểu rằng tự lưu kí là tự giữ khóa.
Với phần để trên sàn, ông khuyên dùng khóa bảo mật phần cứng thay vì mã xác thực qua tin nhắn, và bật danh sách địa chỉ rút cho phép. Ông nhắc đừng bao giờ kí một ủy quyền mà mình không hiểu. “Cơ chế khiến Binance 14 bị chiếm quyền cũng áp dụng cho ví cá nhân, và chỉ một chữ kí sai là có thể trao toàn quyền ví cho người khác”, ông nói.
Ông cũng khuyên chọn sàn được cấp phép. Nghị định 284/2026/NĐ-CP, có hiệu lực từ 1/9/2026, quy định mức phạt 30-50 triệu đồng với nhà đầu tư trong nước giao dịch qua tổ chức không được cấp phép.
Cuối cùng, ông đề nghị đặc biệt cảnh giác trong những ngày có sự cố, vì đó là lúc các đường link “nhận bồi thường” hay “xác minh ví” giả mạo xuất hiện nhiều nhất.
