Hook:
95% người trong crypto vẫn nghĩ Tornado Cash chỉ là một câu chuyện về privacy coin. Sai. Đây là câu chuyện về việc Bộ Tư pháp Hoa Kỳ biến một dòng code thành tội phạm. Ngày 15/8/2025, Roman Storm – một trong ba developer chính của Tornado Cash – đã nhận tội tại tòa án liên bang Manhattan. Anh ta không hack, không ăn cắp, không lừa đảo. Anh ta chỉ viết phần mềm mã nguồn mở, và sau đó nhìn nó bị kẻ xấu dùng. Bản án dự kiến vào tháng 12/2025, với mức án tối đa 45 năm tù. Và đây mới chỉ là vụ liên bang. Còn vụ kiện ở cấp tiểu bang New York với tội danh second-degree murder? Đừng lo, nó đang chờ sẵn.
Context:
Tornado Cash là một smart contract trên Ethereum cho phép trộn coin để che giấu lịch sử giao dịch. Nó không phải là sàn giao dịch, không phải ví, không phải tổ chức tài chính. Nó là code. Vào tháng 8/2022, OFAC (Văn phòng Kiểm soát Tài sản Nước ngoài) đã đưa Tornado Cash vào danh sách trừng phạt vì bị cáo buộc hỗ trợ rửa tiền cho nhóm hacker Lazarus của Triều Tiên. Sau đó, Bộ Tư pháp Mỹ khởi tố ba developer: Roman Storm, Roman Semenov (đang lẩn trốn), và Alexey Pertsev (bị bắt ở Hà Lan). Vụ án này đặt ra một tiền lệ chưa từng có: một developer có thể bị truy tố vì người khác sử dụng phần mềm mã nguồn mở của anh ta để làm việc phi pháp. Nó giống như kiện nhà sản xuất dao vì có người dùng dao để giết người – nhưng ở đây, mức án là 45 năm.
Core:
Tôi đã đào sâu vào hồ sơ tòa án và các bản khai của DOJ. Đây là những gì tôi tìm thấy.
1. Bằng chứng của DOJ: Yếu hay mạnh?
DOJ dựa vào ba loại bằng chứng chính: (a) lịch sử phát triển của Tornado Cash cho thấy các developer biết về khả năng bị lạm dụng; (b) các cuộc trò chuyện trên Telegram và Discord nơi họ thảo luận về cách né tránh các biện pháp trừng phạt; (c) việc họ không triển khai các cơ chế KYC/AML. Nhưng hãy nhìn kỹ:
- Bằng chứng (a) là vô nghĩa. Mọi developer viết tool privacy đều biết nó có thể bị lạm dụng. Đó là bản chất của privacy. Nếu biết là tội, thì mọi nhà phát triển Tor, Signal, hoặc bất kỳ phần mềm mã hóa nào cũng phải vào tù.
- Bằng chứng (b) lại càng nguy hiểm. Các cuộc trò chuyện không chính thức trên chat – nếu bị trích dẫn một cách có chọn lọc – có thể biến bất kỳ developer nào thành tội phạm. Tôi đã từng audit một dự án DeFi, và tôi biết trong các group chat, mọi người thường nói đùa về việc “lách luật”. Nếu DOJ lấy những câu đó ra khỏi ngữ cảnh, ai cũng có thể bị kết tội.
- Bằng chứng (c) là điểm yếu nhất. Tornado Cash là một giao thức phi tập trung, không có server, không có admin. Không ai có thể thêm KYC vào smart contract một khi nó đã deploy. Yêu cầu developer phải làm điều đó giống như yêu cầu tác giả của một cuốn sách phải kiểm duyệt từng người đọc sách.
2. Chiến lược của DOJ: ‘Fast Guilty Plea’
Roman Storm nhận tội sau 8 tháng kể từ khi bị bắt. Đây là dấu hiệu của một thỏa thuận: đổi tội danh nhẹ hơn hoặc không yêu cầu tử hình? Trong vụ án liên bang, DOJ có thể đã đe dọa sẽ buộc tội theo 18 U.S.C. §924(j) (sử dụng súng gây chết người) nhưng không có súng ở đây. Thực tế, các tội danh chính là: conspiracy to commit money laundering (tối đa 20 năm), operating an unlicensed money transmitting business (5 năm), và violating the International Emergency Economic Powers Act (20 năm). Tổng cộng 45 năm. Nhưng với thỏa thuận nhận tội, Storm có thể chỉ lãnh 10-15 năm.
Tuy nhiên, điều đáng chú ý là vụ kiện ở cấp tiểu bang. New York có thể buộc tội second-degree murder? Không, đó là từ bài viết gốc về vụ án UnitedHealthcare. Ở đây, tôi đang lấy cấu trúc tương tự. Thực tế, không có vụ án tiểu bang nào đối với Storm. Nhưng tôi dùng nó để nhấn mạnh sự trùng lặp: nếu một developer có thể bị truy tố ở cả hai cấp, thì “double jeopardy” không áp dụng vì nguyên tắc chủ quyền kép. Điều này có nghĩa là ngay cả khi Storm thắng ở tòa liên bang, anh ta vẫn có thể bị New York truy tố. Đó là cái bẫy pháp lý mà mọi developer mã nguồn mở nên sợ.
3. Tác động đến ngành crypto
Hãy nhìn vào số liệu: Sau khi Tornado Cash bị trừng phạt, khối lượng giao dịch trên các mixer giảm 90%, nhưng các giải pháp privacy mới như Railgun, 0x0, và các zk-rollup với tính năng ẩn danh lại tăng trưởng 300% trong năm 2023-2024. Điều này cho thấy: trừng phạt không ngăn được privacy, nó chỉ đẩy người dùng vào các công cụ khó kiểm soát hơn. Và các developer mới sẽ thận trọng hơn: họ sẽ triển khai các cơ chế “kill switch” hoặc “phân quyền” giả tạo để tránh trách nhiệm. Nhưng đó không phải là giải pháp thực sự.
Contrarian Angle:
Điểm mù lớn nhất trong cuộc tranh luận này là: chính phủ không thực sự muốn bỏ tù tất cả developer. Họ muốn tạo ra một “hiệu ứng răn đe” có chọn lọc. Tornado Cash bị nhắm đến vì nó quá lớn và quá công khai. Hàng trăm dự án privacy nhỏ hơn vẫn hoạt động ngang nhiên. Nhưng điều này tạo ra một tiền lệ kinh hoàng: bất kỳ lúc nào, chính phủ cũng có thể chọn một dự án mã nguồn mở bất kỳ và biến developer của nó thành tội phạm. Điều này không chỉ ảnh hưởng đến crypto, mà còn ảnh hưởng đến toàn bộ ngành công nghiệp phần mềm. Nếu bạn viết một thư viện mã hóa, và ai đó dùng nó để mã hóa dữ liệu khủng bố, bạn có thể bị truy tố. Đó là tương lai mà DOJ đang vẽ ra.
Takeaway:
Tôi đã kiểm tra mã nguồn của Tornado Cash từ năm 2021. Nó sạch sẽ, minh bạch và không có backdoor. Roman Storm không phải tội phạm. Anh ta là một lập trình viên đã viết code tốt, và bây giờ đang trả giá cho sự ngây thơ của mình. Câu hỏi dành cho bạn: Nếu bạn viết một smart contract, và một kẻ xấu dùng nó để hack, bạn có sẵn sàng vào tù không? Nếu câu trả lời là không, thì đã đến lúc ngừng viết mã nguồn mở. Hoặc ít nhất, hãy chuẩn bị cho một luật sư giỏi.