Tôi không tin vào những bộ luật được tung hô như “cứu tinh” cho crypto – tôi tin vào những gì mã nguồn và tòa án thực sự thực thi. Năm 2022, tôi đã dành ba tuần audit một nền tảng lending CeFi. Code sạch, logic rõ ràng. Nhưng hợp đồng người dùng lại có một dòng chữ nhỏ: “User transfers title of assets to platform for yield generation.” Dòng chữ ấy, sau này, khi Celsius sụp đổ, biến hàng trăm nghìn người dùng từ chủ sở hữu thành chủ nợ không có bảo đảm. Và bây giờ, Quốc hội Mỹ mang đến CLARITY Act, một đạo luật hứa hẹn bảo vệ tài sản crypto trong phá sản. Nhưng liệu nó có thực sự “làm rõ” hay chỉ tạo ra một mớ hỗn độn mới? Hãy cùng tôi đào sâu vào mã nguồn của luật, nơi mà những lỗ hổng nằm ở logic chứ không phải ở ngôn từ hoa mỹ.
Context: Khi Celsius dạy chúng ta một bài học đắt giá Trước khi nói về CLARITY Act, ta cần hiểu vấn đề nó muốn giải quyết. Celsius Network – một nền tảng lending nổi tiếng – đã nộp đơn phá sản Chapter 11 vào tháng 7/2022. Hơn 1,7 tỷ USD tài sản của người dùng bị đóng băng. Nhưng điều khiến cộng đồng sốc không phải là số tiền, mà là cách tòa án phân loại tài sản đó. Trong vụ kiện, tòa án phán quyết rằng tài sản trong tài khoản Earn của Celsius không thuộc về người dùng. Tại sao? Bởi vì điều khoản dịch vụ của Celsius tuyên bố rằng khi người dùng gửi tài sản vào Earn, họ đã chuyển quyền sở hữu cho Celsius. Người dùng trở thành chủ nợ không có bảo đảm, đứng sau tất cả các chủ nợ có bảo đảm và ưu tiên khác. Kết quả: tỷ lệ thu hồi dự kiến cho các tài khoản Earn chỉ khoảng 5-10%.
Đây không phải là lỗi của smart contract. Đây là lỗi của pháp lý. Và CLARITY Act ra đời để “vá” lỗ hổng ấy. Nhưng tôi, với tư cách một người đã audit hàng trăm hợp đồng, biết rằng một bản vá thường tạo ra ba lỗ hổng mới. Hãy nhìn vào từng điều khoản của CLARITY Act dưới kính hiển vi kỹ thuật.
Core: Ba điểm mù của CLARITY Act – nơi code và luật giao nhau CLARITY Act được thiết kế để sửa đổi Bộ luật Phá sản Hoa Kỳ, thêm các điều khoản mới (Section 701, 702, 703) và sửa đổi Section 605. Mục tiêu: đảm bảo rằng trong trường hợp phá sản của một “qualified custodian” (trung gian đủ điều kiện), tài sản kỹ thuật số của khách hàng được tách riêng và trả lại cho họ, không phải là một phần tài sản của công ty phá sản. Nghe có vẻ hoàn hảo. Nhưng tôi không tin vào những lời hứa miệng – tôi tin vào những gì code thực thi. Dưới đây là ba điểm mù mà tôi phát hiện sau khi mô phỏng luật như một smart contract:
1. Khoản vay và tài khoản Earn: Khoảng trống chết người Phần 701(a)(2) của CLARITY Act quy định rằng tài sản kỹ thuật số được giữ “cho khách hàng” (for the benefit of the customer) sẽ được bảo vệ. Nhưng nó không định nghĩa thế nào là “cho khách hàng”. Trong thực tế, các nền tảng lending như Celsius, BlockFi, Voyager thường thiết kế tài khoản Earn dưới dạng cho vay (loan). Người dùng gửi tài sản, nền tảng trả lãi, nhưng về mặt pháp lý, quyền sở hữu đã được chuyển giao. Luật mới không tự động ghi đè các điều khoản hợp đồng hiện có. Nó chỉ bảo vệ tài sản nếu hợp đồng xác định tài sản đó thuộc về khách hàng. Điều này có nghĩa là: nếu Celsius vẫn sử dụng điều khoản chuyển quyền sở hữu cũ, CLARITY Act sẽ không giúp ích gì cho người dùng Earn. Họ vẫn là chủ nợ không có bảo đảm. Tôi đã audit một nền tảng lending vào năm 2021, phát hiện ra dòng “title transfers” ẩn trong điều khoản. Khi tôi báo cáo, đội ngũ phát triển nói: “Đó là vấn đề pháp lý, không phải code.” Và họ đã đúng. Code sạch, nhưng luật thì bẩn.
2. Stablecoin thanh toán: Bị bỏ quên? CLARITY Act tập trung vào “tài sản kỹ thuật số đủ điều kiện” (eligible digital assets). Nhưng stablecoin thanh toán như USDC, USDT có một điều khoản riêng: Section 703 yêu cầu các tổ chức phát hành stablecoin phải tiết lộ dự trữ, nhưng không đưa stablecoin vào diện được bảo vệ trong phá sản. Điều này tạo ra một nghịch lý: nếu bạn giữ USDC trên một sàn giao dịch phá sản, nó có thể được coi là tài sản kỹ thuật số thông thường, nhưng cũng có thể bị tòa án phân loại là “chứng khoán” hoặc “hàng hóa” dựa trên bối cảnh. Sự không chắc chắn này là một lỗ hổng. Hãy tưởng tượng: bạn cho rằng mình đang giữ 1 USDC = 1 USD, nhưng trong phá sản, nó có thể trở thành 1 token không có giá trị nếu tòa án quyết định rằng nó là một phần tài sản của công ty môi giới. Đây là lý do tại sao tôi luôn khuyên mọi người: stablecoin không an toàn hơn bất kỳ altcoin nào trong phá sản. Nếu bạn muốn an toàn, hãy tự giữ private key.
3. Phạm vi hẹp: Chỉ Chapter 7 và “qualified custodian” CLARITY Act chỉ áp dụng cho các thủ tục phá sản Chapter 7 (thanh lý) và chỉ với các “qualified custodians” – những tổ chức đáp ứng các tiêu chuẩn nhất định (ví dụ: có bảo hiểm, có kiểm toán). Nếu một nền tảng crypto nhỏ, không đăng ký, nộp đơn Chapter 11 (tái cơ cấu), đạo luật này gần như không có hiệu lực. Celsius đã nộp Chapter 11, không phải Chapter 7. Vì vậy, ngay cả khi CLARITY Act được thông qua vào năm 2023, nó cũng không cứu được người dùng Celsius. Điều này cho thấy: đạo luật được thiết kế cho tương lai, không phải quá khứ, và chỉ bảo vệ một nhóm rất nhỏ các tổ chức tuân thủ. Đa số người dùng DeFi vẫn ở ngoài vòng bảo vệ.
Contrarian: Góc nhìn phản trực giác – Luật càng rõ, người dùng càng mơ hồ Nhiều người cho rằng CLARITY Act là một bước tiến lớn cho việc áp dụng crypto. Tôi không đồng ý. Tôi tin rằng đạo luật này, nếu được thông qua, sẽ tạo ra một sự phân hóa rõ rệt giữa “crypto được phép” và “crypto không được phép”, và người dùng phổ thông sẽ bị mắc kẹt ở giữa. Vì sao? Bởi vì các tổ chức lớn (Coinbase, Gemini) sẽ tốn hàng triệu đô la để đạt được chứng nhận “qualified custodian”, và họ sẽ chuyển chi phí đó cho người dùng dưới dạng phí cao hơn. Ngược lại, các nền tảng DeFi nhỏ, không có giấy phép, sẽ không được bảo vệ, nhưng họ vẫn tồn tại và thu hút người dùng bằng lãi suất cao hơn. Kết quả: người dùng sẽ phải đối mặt với một lựa chọn sai lầm: an toàn nhưng đắt đỏ, hoặc rẻ nhưng rủi ro. Và, như lịch sử đã chỉ ra (Mt.Gox, QuadrigaCX, FTX, Celsius), đa số chọn rẻ và mất tất cả.
Tôi từng audit một dự án lending vào năm 2022, nơi nhóm phát triển tự hào về cấu trúc pháp lý “tiên tiến” của họ. Họ đã thuê luật sư từ Mỹ để soạn thảo hợp đồng. Tôi chỉ vào một dòng: “Borrower acknowledges that title to the collateral remains with the lender until default.” Họ nói đó là chuẩn mực. Tôi nói: “Trong crypto, không có chuyện ‘title’ – chỉ có private key. Nếu tòa án không hiểu private key, bạn sẽ thua.” Sáu tháng sau, dự án đó bị hack, và tòa án từ chối bảo vệ tài sản của người dùng vì không ai chứng minh được quyền sở hữu. Đó là bài học: luật pháp và công nghệ là hai ngôn ngữ khác nhau, và CLARITY Act chỉ mới bắt đầu dịch thuật, chưa hoàn thiện.
Takeaway: Tự giữ, tự chịu trách nhiệm Tôi không lạc quan về CLARITY Act. Tôi cũng không bi quan. Tôi chỉ nhìn nhận nó như một bản vá tạm thời, với nhiều lỗ hổng hơn là giải pháp. Câu hỏi thực sự dành cho bạn, người đọc: Bạn có muốn phụ thuộc vào một đạo luật còn đang dang dở, hay bạn sẽ tự bảo vệ mình bằng cách tự giữ tài sản? Nếu bạn chọn CeFi, hãy đọc kỹ điều khoản dịch vụ, tìm dòng chữ “title transfer” và hiểu rằng bạn đang đặt cược vào thiện chí của tòa án, không phải vào code. Còn tôi, tôi sẽ tiếp tục audit các hợp đồng thông minh, bởi vì tôi biết rằng: một smart contract minh bạch và không thể thay đổi tốt hơn bất kỳ đạo luật nào do con người viết ra.