Nga ký luật tiền mã hóa: 2026, KYC/AML và bài toán chưa có lời giải

Vào năm 2025, Tổng thống Nga đã ký một đạo luật điều chỉnh các sàn giao dịch tiền mã hóa và tổ chức lưu ký trên lãnh thổ Liên bang Nga. Các điều khoản chính có hiệu lực từ tháng 9/2026. Trong khi nhiều bài viết ca ngợi đây là bước ngoặt "hợp pháp hóa", tôi đọc lại văn bản và nhận ra một điều đáng lo ngại hơn: văn bản không hề đề cập đến một yêu cầu kỹ thuật cụ thể nào. Không có tiêu chuẩn KYC/AML riêng, không có cơ chế kiểm toán lưu ký, không có định nghĩa về an toàn tài sản. Chỉ có một con số: 2026. Đây là nội dung từ bản phân tích giai đoạn hai của tôi, nơi tôi phải đối mặt với một câu hỏi khó chịu: Làm thế nào để đánh giá một bộ luật không có mã nguồn? Trước hết, cần đặt bối cảnh. Từ khi các lệnh trừng phạt quốc tế siết chặt hệ thống ngân hàng Nga, tiền mã hóa trở thành công cụ quan trọng để luân chuyển giá trị xuyên biên giới. Tuy nhiên, thị trường này hoạt động trong vùng xám. Các sàn giao dịch chính đều đặt tại Georgia, Kazakhstan hoặc UAE. Các tổ chức tài chính trong nước né tránh tiền mã hóa vì rủi ro pháp lý. Đạo luật mới có thể thay đổi điều đó, nhưng cách nó được xây dựng khiến tôi nhớ đến một lỗi mà tôi từng gặp khi kiểm toán hợp đồng thông minh vào năm 2017. Khi còn làm kiểm toán viên cho dự án Status, tôi phát hiện một lỗi reentrancy trong hàm withdraw(). Điều khiến tôi ám ảnh không phải là lỗi đó phức tạp đến mức nào – nó chỉ đơn giản là một vấn đề về thứ tự cập nhật trạng thái. Điều khiến tôi ám ảnh là đội ngũ dự án không hề biết lỗi tồn tại, cho đến khi có người khai thác. Luật này cũng vật lộn với cùng một vấn đề: cơ quan quản lý đang viết các quy tắc cho một hệ thống mà họ chưa hiểu hết kiến trúc. Điều nguy hiểm nhất không phải là mã nguồn có lỗi, mà là người vận hành tin rằng nó không có lỗi. Hãy nhìn vào phần được ca ngợi nhiều nhất: yêu cầu các sàn giao dịch bảo vệ tài sản của khách hàng. Ở mức độ bề mặt, điều này có vẻ hợp lý. Nhưng "bảo vệ tài sản" nghĩa là gì? Là tách biệt số dư trên sổ kế toán, hay là phân tách thực sự bằng ví lạnh? Là bảo hiểm, kiểm toán hàng năm, hay chỉ là một tuyên bố trong điều lệ? Luật không nói. Các sàn giao dịch có thể triển khai một cơ chế lưu ký đơn giản nhưng vẫn tuân thủ về mặt hình thức, trong khi vốn của người dùng vẫn nằm chung một ví nóng. Điều này giống hệt việc một giao thức DeFi công bố một hàm kiểm toán nhưng không ai gọi nó từ phần quản trị. Chúng ta đã thấy bi kịch này ở FTX. Một sàn giao dịch có đầy đủ giấy phép, được kiểm toán bởi các công ty lớn, vẫn sụp đổ vì thiếu tách biệt tài sản thực sự. Nếu ngay cả ở Mỹ – nơi có hệ thống giám sát dày đặc – một sàn giao dịch vẫn có thể tráo đổi tài sản khách hàng một cách có hệ thống, thì tại sao chúng ta nghĩ rằng một bộ luật viết tay vào năm 2026 sẽ làm tốt hơn? Điều này đưa tôi đến vấn đề KYC/AML. Luật được kỳ vọng sẽ buộc các sàn giao dịch triển khai hệ thống xác minh danh tính và chống rửa tiền. Nhưng có một sự khác biệt cơ bản giữa KYC trong ngân hàng truyền thống và KYC trên blockchain. Trong ngân hàng, mọi giao dịch đều nằm trong một sổ cái tập trung. Trên blockchain, mọi giao dịch đều có thể được quan sát công khai, nhưng danh tính người dùng lại được mã hóa bởi các địa chỉ ví. Yêu cầu KYC có nghĩa là các sàn giao dịch phải xây dựng một hệ thống theo dõi hành vi trên chuỗi, liên kết với dữ liệu cá nhân, đồng thời phải chống lại các kỹ thuật ẩn danh ngày càng tinh vi như coinjoin hoặc hợp đồng thông minh ẩn danh. Đây không phải là cài một phần mềm là xong. Đây là một quá trình nghiên cứu và phát triển kéo dài nhiều năm. Trong khi blockchain di chuyển tức thời, luật pháp di chuyển từng dòng một. Còn có một vấn đề kiến trúc mà hầu hết các bài báo bỏ qua: yêu cầu lưu trữ dữ liệu nội địa. Nếu Nga áp dụng mô hình tương tự như luật dữ liệu của Trung Quốc hoặc chính các quy định trước đây của Nga – nơi dữ liệu phải được lưu trữ trên máy chủ trong lãnh thổ – thì các tổ chức lưu ký sẽ phải đặt cụm máy chủ của họ trong phạm vi nước Nga. Điều đó đối lập trực tiếp với bản chất phi biên giới của blockchain. Một sàn giao dịch lưu trữ nút Bitcoin trên máy chủ Moscow có thể nhanh chóng đối mặt với xung đột giữa nguyên tắc phi tập trung và quy định địa phương. Nếu một khối bị mọi node khác từ chối vì vi phạm quy tắc, ai sẽ được ưu tiên: luật pháp hay giao thức? Câu trả lời, theo quan điểm của tôi, không nằm trong văn bản luật. Nó nằm ở những gì văn bản không nói. Khi một quốc gia viết luật, quốc gia đó cũng đang viết lại giao thức của thị trường. Nhưng một giao thức không có testnet, không có mã nguồn mở, không có cơ chế phản hồi từ cộng đồng sẽ mang trong mình những lỗ hổng không thể vá bằng sửa đổi hành chính. Nó giống như một hợp đồng thông minh có hàm initialize() mà không có người gọi. Bây giờ, phần phản trực giác của luật này: Nó có thể không phải là một sự siết chặt. Nó có thể là một tấm vé VIP cho các sàn giao dịch đã có cơ sở hạ tầng tuân thủ. Các công ty lớn đã hoạt động tại Nga sẽ sẵn sàng đáp ứng các yêu cầu về KYC/AML vì họ đã vận hành trên các thị trường phát triển. Đạo luật loại bỏ các đối thủ nhỏ – những người không có nguồn lực để xây dựng hệ thống báo cáo – và củng cố vị thế của các công ty có quan hệ chặt chẽ với chính phủ. Điều này nghe có vẻ giống việc hợp pháp hóa, nhưng thực tế, nó có thể tạo ra một môi trường độc quyền hơn trong nội địa. Khác với EU và Mỹ, khuôn khổ này không tập trung vào bảo vệ nhà đầu tư. Nó tập trung vào kiểm soát dòng vốn. Một nhà đầu tư bán lẻ tại Nga sẽ không được bảo hiểm thị trường, nhưng họ sẽ bị theo dõi bởi một hệ thống giám sát giao dịch. Nói cách khác, luật này bảo vệ nhà nước khỏi tiền mã hóa, không bảo vệ người dùng khỏi rủi ro sàn giao dịch. Hãy nhìn vào một so sánh khác. Châu Âu đã dành nhiều năm để phát triển MiCA, một khuôn khổ có chi tiết kỹ thuật lớn, tham vấn công khai và đánh giá tác động. Nhật Bản đã sửa đổi luật thanh toán để điều chỉnh các sàn giao dịch sau sự cố Mt. Gox. Cả hai đều kéo dài nhiều năm và vẫn để lại lỗ hổng. Nga đang làm điều đó trong một môi trường chính trị biệt lập, không có sự tham gia của các chuyên gia kỹ thuật quốc tế, và không có đánh giá rủi ro công khai. Điều này khiến luật pháp không phải là một sản phẩm của kỹ thuật, mà là một sản phẩm của chính trị. Tuy nhiên, không thể phủ nhận một tác động tích cực tiềm năng. Khi có một khuôn khổ rõ ràng – dù rõ ràng một cách mơ hồ – các tổ chức tài chính truyền thống tại Nga có thể bắt đầu tham gia. Các ngân hàng có thể cung cấp dịch vụ cho các sàn giao dịch, các công ty bảo hiểm có thể đưa ra sản phẩm bảo hiểm. Sự tham gia của ngân hàng trung ương trong việc giám sát có thể tạo ra một thiên đường cho các nhà đầu tư muốn hợp pháp hóa thu nhập từ tiền mã hóa. Nhưng liệu điều này có đủ để bù đắp cho sự thiếu vắng của các tiêu chuẩn kỹ thuật? Tôi không chắc. Bài toán lớn nhất ở đây là câu hỏi về trách nhiệm khi công nghệ gặp lỗi. Nếu một sàn giao dịch Nga bị tấn công và đánh cắp 100 triệu đô la vào năm 2027, luật pháp sẽ đổ lỗi cho sàn đó vì không đáp ứng yêu cầu bảo mật. Nhưng yêu cầu đó là gì? Nếu luật không quy định cụ thể về ví lạnh, kiểm toán nội bộ, hay tiêu chuẩn mã hóa, thì làm sao có thể chứng minh rằng sàn đã không đáp ứng? Vô hình chung, luật tạo ra một sân chơi nơi những người vi phạm và những người bị hại phải tự chứng minh trong bóng tối. Có một sự tương tự với Layer2 trong thế giới blockchain. Một rollup lạc quan tin tưởng rằng mọi giao dịch đều hợp lệ cho đến khi có bằng chứng gian lận. Hệ thống pháp lý của Nga hoạt động theo cùng một triết lý: tin tưởng rằng các sàn giao dịch sẽ tuân thủ, cho đến khi một vụ bê bối chứng minh điều ngược lại. Nhưng blockchain có cơ chế thách thức; luật pháp Nga hiện tại không có. Nếu không có bằng chứng gian lận hiệu quả – tức là các cơ quan thanh tra độc lập và kiểm toán bắt buộc – thì hệ thống này sẽ chỉ hoạt động trên lý thuyết. Thị trường đang dạy các chính phủ rằng viết luật cũng giống như viết hợp đồng thông minh: một lỗi nhỏ trong logic có thể dẫn đến sự sụp đổ của toàn bộ hệ thống. Đạo luật vừa được ký không phải là đích đến, mà là điểm khởi đầu của một cuộc đối thoại giữa chính trị và giao thức. Câu trả lời cho câu hỏi liệu nước Nga có thể xây dựng một khuôn khổ tiền mã hóa an toàn hay không sẽ không xuất hiện từ các phòng họp của Duma. Nó sẽ được viết bởi những khối dữ liệu đầu tiên của các sàn giao dịch Nga khi họ phải đối mặt với một cuộc khủng hoảng.