当“安全”再次成为焦点，BIT如何让信任变得可验证？

Gần đây, ngành tài sản số liên tiếp xảy ra các sự cố an ninh, nhiều cuộc tấn công và vụ đánh cắp tài sản một lần nữa đẩy vấn đề an ninh nền tảng trở thành tâm điểm chú ý của thị trường. Khi các phương thức tấn công không ngừng tiến hóa, rủi ro cũng không còn giới hạn ở một ví hay lỗ hổng kỹ thuật đơn lẻ, mà có thể liên quan đến nhiều khâu như quyền truy cập tài khoản, quản lý khóa riêng tư, chuyển dịch tài sản và hạ tầng của bên thứ ba.

Đối với người dùng, câu hỏi thực tế hơn cả "nền tảng có an toàn hay không" là: khi bất thường thực sự xảy ra, liệu nền tảng có thể phát hiện và ngăn chặn rủi ro sớm hơn không? Các thao tác quan trọng có đủ cơ chế ủy quyền và kiểm soát đối trọng không? Khi tài sản mở rộng sang các loại hình khác nhau như cổ phiếu Mỹ, RWA, liệu hệ thống an ninh và kiểm soát rủi ro có theo kịp ranh giới kinh doanh mới không?

Trong bối cảnh đó, nền tảng dịch vụ tài chính số toàn cầu BIT (trước đây là Matrixport) chính thức công bố Sách trắng Niềm tin BIT V2.0, xoay quanh an ninh, tuân thủ, tính minh bạch và khả năng xác minh, hệ thống hóa việc trình bày quản trị rủi ro, kiến trúc an ninh, giám sát tuân thủ và cơ chế xác minh độc lập hiện tại của BIT, đồng thời mở rộng bao quát các sắp xếp về giám sát, quản trị và tính minh bạch trong các kịch bản kinh doanh khác nhau như cổ phiếu Mỹ, RWA và quản lý tài sản.

Khi một nền tảng ngày càng đảm nhận nhiều tài sản và nghiệp vụ hơn, làm thế nào để an ninh và niềm tin mở rộng đồng bộ?

Trước khi rủi ro thực sự xảy ra, nền tảng có thể làm gì?

Không nền tảng nào có thể xóa bỏ mọi rủi ro chỉ bằng một câu "an toàn". Đối với người dùng, điều đáng quan tâm hơn là: trước khi rủi ro xuất hiện có phòng tuyến nào không, khi bất thường xảy ra có cơ chế kịp thời nhận diện và hạn chế rủi ro không.

BIT nhấn mạnh trong sách trắng rằng quản lý rủi ro không chỉ là xử lý sau sự việc, mà phải xuyên suốt từ đánh giá trước giao dịch, giám sát trong giao dịch đến xử lý sau giao dịch. Trong các kịch bản kinh doanh cụ thể như cấp vốn và thế chấp, cơ chế này được triển khai cụ thể hóa thành các khâu như thẩm định, thiết lập tham số rủi ro, giám sát thời gian thực, cảnh báo rủi ro cũng như xử lý vi phạm và thanh lý.

Những cơ chế này cuối cùng được thể hiện ở mức độ an toàn tài khoản và tài sản mà người dùng dễ cảm nhận hơn. Ví dụ, BIT giám sát động 24 giờ đối với các hành vi rủi ro cao như đăng nhập bất thường, thiết bị bất thường và rút tiền bất thường, đồng thời kích hoạt cảnh báo, xử lý trì hoãn hoặc xét duyệt thủ công tùy theo mức độ rủi ro. Hệ thống an ninh cần làm không chỉ là "phát hiện sau sự việc đã xảy ra điều gì", mà là trong quá trình bất thường diễn ra, nhận diện rủi ro và can thiệp kịp thời nhất có thể.

Ở tầng bảo vệ tài sản số, phần lớn tài sản được lưu trữ trong ví lạnh; khóa riêng tư được lưu trữ trong mô-đun bảo mật phần cứng (HSM) đạt chuẩn FIPS 140-3 Level 3, và không thể bị truy cập hay xuất ra dưới dạng văn bản rõ.

Nhưng vấn đề then chốt hơn cả công cụ kỹ thuật là: khi tiến độ kinh doanh xung đột với yêu cầu an ninh, ai có quyền nói "không"?

Sách trắng tiết lộ rằng nếu phương án sản phẩm, kiến trúc hệ thống hoặc thay đổi trước khi lên sóng tồn tại rủi ro an ninh nghiêm trọng, hoặc không phù hợp với đường cơ sở an ninh và yêu cầu tuân thủ, đội ngũ an ninh của BIT có "quyền phủ quyết"; đối với các thao tác quan trọng như chuyển dịch tài sản, thay đổi quyền hạn, lệnh giao dịch, thì thực hiện "nguyên tắc bốn mắt", với ít nhất hai nhân sự được ủy quyền cùng tham gia.

Logic đằng sau cơ chế này không phải là cam kết rủi ro "sẽ không xảy ra", mà là đưa an ninh lên trước rủi ro nhất có thể — nhận diện bất thường sớm hơn, thiết lập ràng buộc sớm hơn, và giảm thiểu tác động từ sai sót điểm đơn nhất nhất có thể.

Từ tài sản số đến cổ phiếu Mỹ, an ninh theo kịp ranh giới kinh doanh mới như thế nào?

Khi nghiệp vụ mở rộng từ tài sản số sang các lĩnh vực như cổ phiếu Mỹ, RWA và quản lý tài sản, ý nghĩa của "an ninh" cũng thay đổi theo. Người dùng không chỉ quan tâm tài khoản có an toàn không, tài sản số được lưu trữ thế nào, mà còn quan tâm nghiệp vụ do ai vận hành, chịu sự giám sát ra sao, tài sản trải qua những khâu nào.

Lấy nghiệp vụ cổ phiếu Mỹ làm ví dụ, BIT đã tiết lộ thêm trong phiên bản sách trắng mới về các sắp xếp giám sát, tài khoản, thanh toán bù trừ và lưu ký tài sản của nghiệp vụ liên quan. Nghiệp vụ chứng khoán của BIT do Matrix Gelephu Pte Ltd vận hành và chịu sự giám sát của Cơ quan Dịch vụ Tài chính Gelephu (GFSO); nghiệp vụ liên quan thông qua các sắp xếp giám sát và giấy phép phù hợp, cơ chế bảo vệ tài sản khách hàng cũng như sự tham gia của các tổ chức tài chính bên thứ ba có giấy phép, nhằm cung cấp hỗ trợ tuân thủ và hạ tầng tương ứng cho hoạt động kinh doanh.

Người dùng nhìn thấy một lần "mua vào", nhưng đằng sau kết nối là nhiều khâu như vận hành, giám sát, thực thi giao dịch, thanh toán bù trừ và lưu ký tài sản. Đối với nền tảng tài chính, ranh giới kinh doanh càng rộng, càng cần để cơ chế quản trị rủi ro và tuân thủ tương ứng mở rộng đồng bộ, chứ không chỉ đơn thuần bổ sung lối vào sản phẩm mới.

Logic tương tự cũng mở rộng sang các nghiệp vụ khác của BIT. Phiên bản sách trắng mới bổ sung thêm thông tin giám sát và quản trị của Matrixport Asset Management (MAM), đồng thời trình bày bố cục tuân thủ của các tổ chức thuộc tập đoàn BIT tại nhiều khu vực tài phán như Hồng Kông, Bhutan, Singapore, Thụy Sĩ, Vương quốc Anh, Hoa Kỳ và Quần đảo Virgin thuộc Anh.

Từ tài sản số đến tài sản tài chính truyền thống, điều BIT trình bày không phải là cơ chế an ninh điểm đơn nhất cho một loại sản phẩm nào đó, mà là một khung quản trị rủi ro và niềm tin mở rộng theo ranh giới kinh doanh.

Ngoài an ninh, tại sao niềm tin còn cần "có thể xác minh"?

Kiểm soát rủi ro giải quyết vấn đề rủi ro được nhận diện và kiểm soát như thế nào, nhưng đối với một nền tảng tài chính bao phủ nhiều loại tài sản và nghiệp vụ, chỉ nói với người dùng rằng "chúng tôi có kiểm soát rủi ro" vẫn chưa đủ. Nếu an ninh, tuân thủ và sắp xếp tài sản chỉ có thể do nền tảng tự giải thích, thì niềm tin cuối cùng vẫn dừng ở việc "tin vào điều nền tảng nói".

Do đó, BIT lấy nền tảng tuân thủ và giám sát, cơ chế kiểm toán và chứng thực độc lập, tính minh bạch kỹ thuật và vận hành làm ba trụ cột của hệ thống niềm tin tổng thể, để "niềm tin" có thể được phân tách thành những câu hỏi cụ thể hơn: nền tảng do ai giám sát? Tài sản được bảo vệ như thế nào? Rủi ro được kiểm soát ra sao? Những cơ chế này có thể được xác minh độc lập không?

Ở tầng kiểm toán và chứng thực, BIT thông qua các cơ chế như kiểm toán hệ thống quản lý ISO, chứng thực độc lập SOC, kiểm toán tài chính thường niên và kiểm toán nội bộ, hình thành hệ thống xác minh đa tầng, bổ trợ lẫn nhau theo phạm vi áp dụng của từng pháp nhân và dòng nghiệp vụ, tránh phụ thuộc quá mức vào một cơ chế kiểm toán hay chứng thực duy nhất.

Minh bạch giải quyết vấn đề thông tin có thể được nhìn thấy hay không, còn khả năng xác minh tiếp tục trả lời câu hỏi liệu những thông tin này có thể được kiểm tra độc lập hay không.

Khi ngành một lần nữa đặt "an ninh" trước mặt tất cả các nền tảng, điều thực sự quan trọng có lẽ không phải là lặp lại câu "chúng tôi an toàn", mà là liệu có thể để người dùng nhìn thấy cơ chế đằng sau câu nói đó hay không.

Niềm tin không đến từ một lời hứa hay một lần kiểm toán, mà đến nhiều hơn từ việc vận hành thể chế và xác minh bên ngoài một cách lâu dài, liên tục. An ninh cần được vận hành liên tục, niềm tin thì cần được xác minh liên tục.

Liên kết phiên bản đầy đủ của Sách trắng Niềm tin BIT V2.0: https://www.bit.com/whitepaper