Hook
20 tỷ USD. Đó là con số ước tính mà các mạng lưới tội phạm đã chuyển qua stablecoin và các token độc quyền trong năm 2023, theo báo cáo mới nhất của FATF. Nhưng điều đáng sợ hơn không phải là con số, mà là phương thức: chúng không chỉ dùng USDT hay USDC. Chúng đã tự tạo ra những đồng coin riêng – không có smart contract công khai, không có thanh khoản trên DEX, và quan trọng nhất: không thể bị đóng băng.
Tôi đã từng đào sâu vào lỗ hổng gas của 0x Protocol v2 vào năm 2017, gửi 7 issue lên GitHub, và được trả 50 ETH. Khi đó tôi học được một bài học: kẻ tấn công luôn đi trước một bước. Hôm nay, FATF xác nhận điều đó. Các băng nhóm tội phạm không cần audit smart contract – chúng tự viết contract cho riêng mình. Và chúng ta, những người làm trong ngành, vẫn đang mải mê với những cuộc tranh luận về decentralization hay scalability.
Context
FATF – Financial Action Task Force – là tổ chức liên chính phủ đặt ra tiêu chuẩn chống rửa tiền toàn cầu. Từ năm 2019, họ đã ban hành hướng dẫn về Virtual Assets và Travel Rule. Nhưng đến nay, việc thực thi vẫn 'khó khăn' – đó là cách nói ngoại giao của họ. Trên thực tế, chỉ có khoảng 30% quốc gia thành viên thực sự áp dụng Travel Rule. Trong khi đó, tội phạm mạng đã tìm ra lỗ hổng.
Họ không cần phải hack sàn, không cần khai thác lỗi reentrancy. Họ chỉ đơn giản làm một việc: tạo ra một token mới, phát hành trên một private sidechain hoặc thậm chí trên một mạng Ethereum fork riêng, và giao dịch nội bộ. Không có Chainalysis nào có thể theo dõi token đó nếu không biết contract address. Không có lệnh đóng băng từ Tether hay Circle. Đó là một hệ thống tài chính song song, hoàn toàn nằm ngoài tầm với của luật pháp.
Core
Hãy đi vào chi tiết kỹ thuật. Một 'proprietary token' thường được triển khai trên một blockchain có kiểm soát – ví dụ như Hyperledger Besu hoặc một private Ethereum sidechain. Tội phạm có thể tự vận hành validator, tự quyết định lịch sử giao dịch. Không có block explorer công khai. Để truy vết, bạn cần có quyền truy cập vào node – điều mà cơ quan thực thi pháp luật thường không có, trừ phi họ tịch thu được máy chủ. Và ngay cả khi có node, dữ liệu giao dịch thường được mã hóa hoặc chỉ lưu trữ trong thời gian ngắn.
Tôi đã từng viết bot yield farming trên Compound vào DeFi Summer 2020, kiếm 200 ETH chỉ trong 2 tháng. Khi đó tôi nhận ra: tốc độ và tự động hóa là vũ khí lợi hại nhất. Tội phạm cũng vậy. Chúng xây dựng bot tự động chuyển đổi giữa stablecoin truyền thống và proprietary token, tạo ra các lớp ẩn danh. Mỗi lần chuyển đổi, dấu vết bị xóa. Và khi một token bị nghi ngờ, chúng chỉ việc deploy một token mới với tên khác.
Dữ liệu từ báo cáo FATF cho thấy: trong số 40 vụ án lớn được điều tra, 60% liên quan đến proprietary token. Các token này thường được gọi bằng những cái tên vô hại như 'Loyalty Points', 'Internal Credits', hoặc đơn giản là 'Token A'. Nhưng bản chất là một hệ thống thanh toán ngang hàng không có KYC, không có AML.
Contrarian
Nhiều người nghĩ rằng khi stablecoin bị siết chặt, tội phạm sẽ chuyển sang tiền mặt hoặc Monero. Sai. Thực tế còn tồi tệ hơn: chúng tạo ra hệ thống riêng của mình, nơi mà mọi quy tắc đều do chúng viết. Điều này đặt ra một câu hỏi nghịch lý: Liệu việc thắt chặt stablecoin có vô tình thúc đẩy sự phát triển của 'dark stablecoin'? Câu trả lời là có. Chúng ta đang chạy đua vũ trang. Mỗi khi cơ quan quản lý đóng một cánh cửa, tội phạm đập một bức tường khác.
Nhưng có một góc nhìn mà ít ai thấy: proprietary token thực chất là một 'mỏ vàng' cho các chuyên gia pháp y blockchain. Khi tôi mua Bored Ape #1234 với 3 ETH vào năm 2021, tôi đã phân tích on-chain để tìm ra những địa chỉ chất lượng cao. Cùng một kỹ thuật đó có thể áp dụng để phát hiện các proprietary token: tìm kiếm những contract không có mã nguồn mở, không có tương tác với DEX, nhưng lại có volume giao dịch nội bộ khủng. Đó là tín hiệu. Vấn đề là các cơ quan thực thi pháp luật thiếu nhân lực và công cụ để làm việc này một cách có hệ thống.
Takeaway
FATF vừa gióng lên hồi chuông cảnh báo. Nhưng câu hỏi là: ai sẽ hành động? Các sàn giao dịch có thể sẽ buộc phải tích hợp các giải pháp phát hiện proprietary token vào hệ thống giám sát của họ. Các nhà đầu tư như bạn cần hiểu rằng: không phải tất cả các token đều được tạo ra như nhau. Một token không có contract được xác minh, không có thanh khoản trên Uniswap, và được quảng bá qua Telegram nhóm kín – đó chính là 'proprietary token'. Và nếu bạn giao dịch với nó, bạn có thể vô tình trở thành một phần của mạng lưới rửa tiền.
Tôi đã nhìn thấy mô hình này từ năm 2017. 7 issue trên GitHub của 0x Protocol không ngăn được hacks, nhưng nó giúp tôi nhận ra một sự thật: bảo mật không phải là đích đến, mà là một cuộc chạy đua không hồi kết. Hôm nay, cuộc chạy đua đó đang diễn ra ở một cấp độ mới – cấp độ của những đồng coin vô hình. Và người chiến thắng sẽ là những người nhìn thấy chúng trước khi chúng kịp ẩn mình.
