Năm 2017, tôi 27 tuổi, dành trọn ba tháng ròng rã để rà từng dòng bytecode của 0x Protocol v2—một giao thức hoán đổi phi tập trung đang lên ngôi. Tôi phát hiện hai lỗ hổng gas có thể dẫn đến tấn công reentrancy, cộng thêm một lỗ hổng oracle giá. Bảy issue được tôi gửi lên GitHub. Nhóm 0x xác nhận và trả tôi 50 ETH—khoảng 20.000 USD thời điểm đó. Một trong hai lỗ hổng được vá trước khi mainnet ra mắt.
Tôi kể chuyện này không phải để khoe thành tích. Tôi kể vì đó là cách tôi học cách nhìn mọi sự kiện trong ngành bằng con mắt của một người audit: Tôi cần thấy lớp nền kỹ thuật, chứ không phải phần tiếng vang trên mặt báo.
Hôm nay, khi Bybit công bố khởi kiện Triều Tiên, Cục trinh sát nước ngoài (RGB) và Lazarus Group tại Tòa án Liên bang quận Columbia, đồng thời giành được lệnh đóng băng một phần tài sản bị đánh cắp từ vụ hack 1,5 tỷ USD—truyền thông lập tức gọi đây là chiến thắng lịch sử về pháp lý trong crypto.
Tôi nhìn nhận khác. Với tôi, đây là lời thú nhận kỹ thuật quan trọng nhất mà ngành blockchain từng đưa ra trong nhiều năm gần đây. Không phải vì nó cho thấy crypto đã trưởng thành, mà vì nó phơi bày một sự thật mà không ai muốn nói ra: Với một quốc gia tấn công, blockchain vẫn không tự bảo vệ được chính mình.
Bối cảnh vụ việc không hề mới. Vụ hack Bybit là một trong những vụ trộm tài sản số lớn nhất lịch sử, và chủ mưu được xác định là Lazarus Group—tổ chức tội phạm mạng do nhà nước Triều Tiên hậu thuẫn, hoạt động dưới sự điều phối của Cục trinh sát nước ngoài (RGB). Đội ngũ này không phải tay mơ: họ đã gây ra vụ tấn công Ngân hàng Bangladesh 81 triệu USD năm 2016, tấn công nhiều sàn giao dịch, nhiều giao thức DeFi suốt hơn một thập kỷ qua.
Trước đây, các sàn bị hack thường chọn một trong ba cách xử lý: âm thầm bồi thường bằng quỹ dự phòng, thương lượng bounty với hacker, hoặc tệ hơn—đóng cửa. Bybit đã chọn con đường thứ tư: kiện ra tòa án Mỹ. Vụ án được thụ lý tại Tòa án Liên bang quận Columbia (D.C.). Bị đơn bao gồm Triều Tiên, RGB và Lazarus Group, cùng các thể nhân giấu tên—"John Doe"—đang nắm giữ một phần tài sản bị đánh cắp. Tòa án đã ban hành lệnh cấm sơ bộ, yêu cầu các bị đơn không được chuyển nhượng hoặc bán tài sản trong thời gian xét xử.
Nghe có vẻ mạnh mẽ. Nhưng hãy mổ xẻ lệnh này bằng kỹ thuật.
Lệnh của thẩm phán không phải là một dòng code. Nó không được thực thi bởi validator hay miner. Không có smart contract nào được triển khai. Lệnh tòa chỉ có hiệu lực khi các bên tự nguyện chấp hành. Trên một mạng lưới phi tập trung, không có cơ chế tự động thực thi quyết định từ một tổ chức tập trung. Đây chính là nghịch lý lớn nhất: một chiến thắng pháp lý được đảm bảo bởi… một tờ giấy.
Phạm vi đóng băng bị hạn chế nghiêm trọng. Thông cáo của Bybit chỉ xác nhận "một phần" tài sản bị đánh cắp đã bị đóng băng. Con số cụ thể không được tiết lộ. Trong một vụ trộm 1,5 tỷ USD, tài sản thường được phân tán ngay lập tức qua hàng trăm địa chỉ, luân chuyển qua cross-chain bridge, mixer như Tornado Cash, rồi đổi qua các DEX. Với những tài sản đã chạm tới sàn giao dịch ở Singapore, validator ở Thụy Sĩ hay ngân hàng ở Quần đảo Cayman, phạm vi kiểm soát của tòa án Mỹ gần như bằng không.
Vấn đề thực thi với các bị đơn giấu tên càng rối rắm hơn. Bybit không thể kiện một địa chỉ ví. Họ phải kiện một thực thể pháp lý. Nhưng một địa chỉ ví không có tư cách pháp nhân, không có trụ sở, không có giấy tờ để trích xuất. Khi đối tượng bị đơn là "John Doe #4" đang nắm giữ một lượng tài sản trong một địa chỉ ẩn danh, việc tống đạt giấy tờ và thi hành án gần như bất khả thi.
Điều quan trọng mà ít bài báo nhấn mạnh: Để có được lệnh cấm sơ bộ này, Bybit gần như chắc chắn đã sử dụng dịch vụ phân tích on-chain để định vị tài sản. Họ phải chứng minh với tòa án rằng họ biết tài sản nằm ở đâu, đang bị kiểm soát bởi những địa chỉ nào, và chúng có nguy cơ bị dịch chuyển. Đây chính là giá trị của on-chain forensics. Nhưng nó cũng đặt ra một câu hỏi khó chịu: nếu chúng ta có khả năng theo dõi tài sản đến từng địa chỉ ví, tại sao chúng ta lại không ngăn chặn được hành vi trộm cắp ngay từ đầu?
Năm 2020, trong mùa hè DeFi, tôi viết bot yield farming trên Compound và kiếm được 200 ETH. Bài học tôi rút ra: trong crypto, tốc độ là vũ khí. Nhưng giờ đây, khi nhìn Lazarus Group hoạt động, tôi hiểu rằng tốc độ cũng là vũ khí của kẻ trộm. Họ chuyển tiền trong vài phút sau vụ tấn công. Lệnh tòa đến sau nhiều ngày hoặc nhiều tuần. Khi lệnh đóng băng được ban hành, phần lớn tài sản có thể đã được rửa sạch qua hàng lớp.
Nhìn tổng thể, vụ kiện này cho thấy một thực tế ngành blockchain đang cố tình lờ đi.
Toàn bộ hệ sinh thái phi tập trung mà chúng ta đã xây dựng suốt 15 năm vẫn không thể tự bảo vệ mình trước một tổ chức hacker tầm quốc gia. Chúng ta không có cơ chế on-chain để ngăn chặn giao dịch đến từ địa chỉ bị đánh cắp. Chúng ta không có giao thức đồng thuận nào để phong tỏa tài sản bị trộm tại chỗ. Chúng ta phải chạy đến Washington DC, xin một thẩm phán ký giấy.
Nếu "code is law" thật sự đúng, hợp đồng thông minh phải là bức tường cuối cùng. Nếu blockchain thật sự là một hệ thống phân quyền, tại sao giải pháp cuối cùng lại là một cơ quan tập trung có tên là tòa án liên bang Mỹ?
Từ góc nhìn của Lazarus Group, lệnh đóng băng này chỉ là một tờ giấy vô nghĩa. Họ nằm ngoài mọi khuôn khổ pháp lý. Họ không phải tuân thủ tòa án Mỹ, không có tài sản hợp pháp tại Mỹ, và cũng không có ý định hợp tác. Các công ty phân tích on-chain ước tính phần lớn tài sản từ vụ Bybit đã được luân chuyển qua Tornado Cash và các bridge trong vòng vài tuần đầu. Lệnh mà Bybit vừa giành được chỉ giữ lại phần chưa kịp di chuyển.
Vậy ý nghĩa thật sự của vụ kiện này là gì?
Về mặt chiến thuật, nó tạo ra một kênh phối hợp quan trọng giữa Bybit và chính phủ Mỹ. Khi lệnh đóng băng được thi hành, các sàn giao dịch, tổ chức tài chính, và có thể cả OFAC sẽ được kích hoạt để hành động. Việc Bybit tìm đến tòa án quận Columbia—nơi quản lý các vụ kiện liên quan đến an ninh quốc gia—không phải sự tình cờ. Đây là chiến lược đưa vụ trộm tiền điện tử vào khuôn khổ an ninh tài chính toàn cầu.
Về mặt pháp lý, vụ này tạo ra một tiền lệ: tài sản số có thể bị đóng băng theo lệnh tòa. Điều này có thể thúc đẩy một hệ thống hợp tác mới giữa các sàn giao dịch—một liên minh tạm giam tài sản bị đánh cắp, hoạt động dựa trên quyết định tòa án thay vì chỉ dựa vào kỹ thuật số.
Nhưng về mặt kỹ thuật, nó không giải quyết được vấn đề cốt lõi: các cơ chế bảo mật của blockchain đã lỗi thời. Một hệ thống không thể phân biệt giữa người dùng hợp pháp và kẻ trộm cắp tài sản quy mô quốc gia. Một hệ thống không thể phản ứng tức thời trước một cuộc tấn công phối hợp. Một hệ thống mà phán quyết cuối cùng thuộc về tòa án chứ không phải giao thức.
Trong vòng 6 tháng tới, hãy theo dõi hai tín hiệu. Thứ nhất, liệu OFAC có ban hành lệnh trừng phạt trực tiếp lên các địa chỉ ví liên quan đến Lazarus hay không. Nếu có, các sàn giao dịch tuân thủ sẽ lập tức đóng băng các địa chỉ này—một hiệu ứng pháp lý mạnh hơn hẳn lệnh của một thẩm phán. Thứ hai, liệu các sàn lớn có xây dựng một "liên minh đóng băng xuyên sàn" phối hợp với cơ quan thực thi pháp luật hay không.
Và một câu hỏi để mỗi chúng ta tự trả lời: Nếu ngành crypto thật sự tin rằng phi tập trung là tương lai, tại sao chúng ta lại vỗ tay khi một sàn giao dịch chạy đến Washington DC để xin thẩm phán đóng băng tài sản? Có lẽ câu trả lời không nằm ở công nghệ. Có lẽ nó nằm ở cách chúng ta đang xây dựng một ngành vẫn cần cảnh sát—thay vì một hệ thống kỹ thuật tự bảo vệ được chính mình.