Mercado Bitcoin nói đã chặn được vụ tấn công, nhưng dữ liệu blockchain cho thấy tiền vẫn chảy ra sau đó

Mercado Bitcoin, một trong những sàn giao dịch tài sản mã hoá lớn nhất Brazil, công bố vào đầu tháng 11 rằng đã nhanh chóng chặn đứng một vụ xâm nhập hệ thống. Nhưng một công ty phân tích blockchain sau đó công bố dữ liệu cho thấy dòng tiền bị rút ra từ các địa chỉ ký gửi của khách hàng vẫn tiếp diễn nhiều giờ sau thời điểm sàn tuyên bố đã kiểm soát được tình hình.

Khoảng cách giữa lời trấn an công khai và dữ liệu on-chain là điểm mấu chốt của vụ việc. Nó đặt ra câu hỏi về việc một sàn giao dịch dựa vào đâu để khẳng định đã chặn được một cuộc tấn công, trong khi bản thân blockchain — vốn công khai và có thể kiểm chứng độc lập — lại ghi nhận một câu chuyện khác.

Cơ chế: vì sao biết đã bị xâm nhập mà tiền vẫn chảy ra

Để hiểu vì sao việc 'chặn đứng' một vụ hack không đồng nghĩa với việc dừng được dòng tiền, cần nhìn vào cách một sàn giao dịch vận hành ví của khách hàng. Mỗi khách hàng khi nạp tiền được cấp một địa chỉ ký gửi riêng, hoạt động như một tài khoản nhận tiền cá nhân. Định kỳ, sàn gom số dư từ các địa chỉ này vào một ví nóng chung để xử lý giao dịch hằng ngày.

Muốn chuyển tiền ra khỏi một địa chỉ ký gửi, cần có khóa riêng tư của chính địa chỉ đó — chuỗi ký tự bí mật cho phép ký lệnh chuyển. Việc nhiều địa chỉ ký gửi bị rút tiền trực tiếp, không thông qua ví nóng trung tâm, cho thấy kẻ tấn công hoặc đã có quyền truy cập vào khóa riêng tư của từng địa chỉ, hoặc đã xâm nhập được vào chính hệ thống ký lệnh giao dịch của sàn.

Đây là điểm đáng lo hơn một vụ rò rỉ ví nóng thông thường. Phần lớn sàn giao dịch tạo khóa cho các địa chỉ ký gửi từ một khóa gốc duy nhất theo cơ chế phái sinh. Nếu kẻ tấn công đã chạm được tới cơ chế đó, về lý thuyết chúng có thể tiếp cận thêm các địa chỉ khác chưa bị rút, bất kể sàn đã tuyên bố 'be' sự cố hay chưa.

Hệ quả với khách hàng và mốc thời gian

Với khách hàng đang có tài sản trên sàn, hệ quả trực tiếp là không có cơ sở để coi một địa chỉ ký gửi cũ là an toàn cho đến khi sàn xác nhận rõ ràng cơ chế tạo khóa đã được thay thế hoàn toàn, không chỉ vá lỗi tại điểm xâm nhập ban đầu. Việc tái sử dụng địa chỉ cũ trong giai đoạn này mang rủi ro mất thêm tài sản.

Mercado Bitcoin cho biết sẽ mở lại tính năng xem số dư tài khoản từ ngày 9 tháng 11, nhưng chưa đưa ra mốc thời gian cho việc khôi phục nạp, rút tiền và giao dịch. Sàn cũng cam kết dùng nguồn vốn của chính mình để bù đắp thiệt hại cho khách hàng, song chưa công khai giải thích khoảng cách giữa thời điểm tuyên bố đã chặn được tấn công và thời điểm dòng tiền thực tế vẫn chảy ra sau đó.

Góc nhìn từ thị trường Việt Nam

Việt Nam hiện chưa có khung pháp lý vận hành đầy đủ cho sàn giao dịch tài sản mã hoá trong nước, và các quy định cụ thể về nghĩa vụ công bố sự cố an ninh, quản lý khóa riêng tư hay bồi hoàn khách hàng của một sàn giao dịch vẫn đang trong quá trình xây dựng. Vụ việc tại Mercado Bitcoin, dù xảy ra ở Brazil, là một trường hợp tham chiếu cho câu hỏi mà cơ quan quản lý và doanh nghiệp trong nước sẽ phải trả lời khi khung pháp lý được ban hành: sàn giao dịch cần công bố thông tin sự cố theo tiêu chuẩn nào, và ai có quyền xác minh độc lập lời tuyên bố 'đã kiểm soát được' của sàn.

Đây là câu hỏi mở, không phải kết luận — vì chưa có văn bản pháp luật Việt Nam nào quy định cụ thể vấn đề này tại thời điểm hiện tại.