Khi MiCA tạo ra danh sách mục tiêu: 1.400% lừa đảo mạo danh cơ quan quản lý châu Âu
Khi mọi người nói về MiCA, họ thường mường tượng một châu Âu trật tự: những tấm giấy phép được đóng dấu, những sàn giao dịch xếp hàng bước vào khuôn khổ, người dùng được bảo vệ bởi một tấm khiên pháp lý không thể xuyên thủng. Nhưng khi tôi nhìn vào con số 1.400%, tôi không thấy tấm khiên. Tôi thấy một cánh cửa khác vừa được mở ra.
Theo tiết lộ của Financial Times, ba cơ quan quản lý gồm AMF (Pháp), AFM (Hà Lan) và ESMA (châu Âu) vừa cùng lên tiếng về một làn sóng tội phạm mạo danh đang lớn chưa từng thấy. Chúng đóng giả nhân viên sàn giao dịch, giả giọng thanh tra tài chính, thậm chí dựng hẳn website giống hệt trang chính thức của cơ quan quản lý, nhắm vào những người dùng đang cố gắng chuyển tài sản khỏi các nền tảng chưa được cấp phép sau khi MiCA có hiệu lực. Trung bình mỗi nạn nhân mất 2.764 USD. Một người dùng ví lạnh – loại ví được quảng cáo là an toàn tuyệt đối – đã mất 2,1 triệu bảng Anh bitcoin.
Để hiểu vì sao thời điểm này đặc biệt nguy hiểm, bạn cần nhìn lại một dòng thời gian khắc nghiệt. Ngày 1/7 vừa qua, giai đoạn chuyển tiếp của Quy định Thị trường Tài sản Mã hóa (MiCA) chính thức kết thúc. Kể từ đó, bất kỳ nhà cung cấp dịch vụ tài sản mã hóa (CASP) nào chưa được ESMA đưa vào sổ đăng ký đều không còn quyền phục vụ khách hàng tại Liên minh châu Âu. Họ không thể nhận khách mới, không thể mở tài khoản mới. Họ chỉ được phép thực hiện các thao tác tối thiểu để rút lui: bán, chuyển, tái cơ cấu hoặc thanh lý vị thế. Và sau đó, họ phải biến mất.
Người dùng đứng trước hai lựa chọn: hoặc chuyển tài sản sang một CASP đã được cấp phép trong danh sách 322 cái tên mà ESMA công bố, hoặc tự nắm giữ tài sản của mình trong ví tự quản – nơi không một tổ chức nào đứng ra bảo hiểm hay cứu hộ. Không có lựa chọn thứ ba. Đây là áp lực hợp pháp, rõ ràng và không thể trì hoãn. Điều đó có nghĩa là trong vòng 5 tuần sau hạn chót, có một lượng lớn người dùng đang buộc phải đụng vào tiền của mình: chuyển khoản, tạo ví mới, khôi phục seed phrase, xác minh danh tính. Và bất kỳ ai làm những điều này trong trạng thái căng thẳng đều trở thành miếng mồi béo bở.
Tháng 6 vừa qua, có 76 công ty lần đầu được thêm vào sổ đăng ký ESMA – con số cao nhất từ trước tới nay trong một tháng. Tháng 7, thêm 31 công ty nữa. Đằng sau mỗi cái tên được cấp phép là hàng loạt khách hàng cũ của các nền tảng không có giấy phép đang cuống cuồng tìm đường lui. Đây không phải một dòng chảy nhỏ. Erald Ghoos, CEO của OKX Europe, từng ước tính rằng có tới 80% công ty crypto hiện tại sẽ không thể sống sót dưới MiCA. Nếu điều đó đúng, hàng trăm nghìn tài khoản cá nhân đang nằm trong vùng chuyển giao rủi ro.
Giờ đến phần tôi cho là quan trọng nhất: mô thức kỹ thuật của vụ lừa đảo này. Khi mọi người nói đến lừa đảo crypto, họ thường nghĩ tới những vụ hack smart contract, exploit cầu nối hay sàn giao dịch bị tấn công. Nhưng vụ này không hề dính dáng tới blockchain. Không một dòng mã nào bị khai thác. Thứ bị khai thác là niềm tin vào thẩm quyền – và sự vội vàng của người dùng.
Quy trình tấn công được các cơ quan quản lý mô tả như sau: đầu tiên, kẻ lừa đảo xác định một người dùng đang có tài sản trên nền tảng chưa được cấp phép. Điều này không khó. MiCA là một mốc công khai, và danh sách các nền tảng rời khỏi EU cũng là thông tin công khai. Kẻ lừa đảo chỉ cần theo dõi các thông báo rút lui, các nhóm Telegram, các thread trên Reddit để tìm những ai đang thắc mắc tôi nên chuyển tiền đi đâu. Sau đó, chúng chủ động liên hệ. Có thể qua email, qua tin nhắn, qua một cuộc gọi tự xưng là chuyên viên hỗ trợ của ESMA. Kịch bản thường là: Tài khoản của bạn sắp bị đóng băng do chưa tuân thủ MiCA. Chúng tôi sẽ giúp bạn chuyển tài sản đến một ví an toàn.
Chi tiết tôi muốn nhấn mạnh: các cơ quan quản lý không bao giờ chủ động liên hệ người tiêu dùng để yêu cầu chuyển tiền. Đây là chuẩn mực hành vi đã được ESMA, AMF và AFM khẳng định. Nếu bạn nhận được một cuộc gọi từ ngân hàng trung ương, cảnh sát tài chính, hay cơ quan chống rửa tiền yêu cầu xác minh seed phrase hoặc chuyển tài sản đến một ví an toàn, thì đó đã đủ để kết luận: bạn đang nói chuyện với tội phạm. Không cần kiểm tra thêm bất cứ điều gì.
Nhưng tại sao con số lại tăng 1.400%? Đây là nơi tôi muốn bạn dừng lại một chút. Tăng 1.400% nghĩa là so với cùng kỳ năm trước, số vụ tăng gấp 15 lần. Tăng trưởng kiểu đó không đến từ những kẻ nghiệp dư. Nó đến từ các tổ chức tội phạm có kịch bản, có công cụ, và quan trọng nhất – có dữ liệu. Một kẻ lừa đảo đơn lẻ không thể xây dựng một website giả mạo hoàn hảo với chứng chỉ SSL hợp lệ trong một sớm một chiều. Nhưng một băng nhóm có ngân sách thì có thể. Chúng có thể đăng ký tên miền gần giống, cài HTTPS để hiện ổ khóa trên trình duyệt, và dựng giao diện y hệt trang web của ESMA. Khi mọi người nói tôi cẩn thận rồi, tôi chỉ toàn giao dịch trên sàn lớn, tôi không muốn tranh cãi – tôi chỉ muốn chỉ ra rằng cú lừa này không nhắm vào trình độ kỹ thuật, mà nhắm vào cảm giác khẩn cấp.
Phân tích số liệu còn cho thấy một đặc điểm nữa: kẻ lừa đảo không cần nhắm tới con cá to. Mức bồi thường trung bình 2.764 USD là một con số kỳ lạ – không quá lớn để nạn nhân dám trình báo, nhưng cũng đủ lớn để tạo ra lợi nhuận khổng lồ khi nhân với hàng nghìn nạn nhân. Đây là một mô hình kinh doanh theo quy mô. Kẻ tấn công tìm kiếm số lượng, không tìm kiếm một cú ăn to. Và vì mỗi vụ chỉ vài nghìn USD, cơ quan công quyền thường không đủ nguồn lực để xử lý từng trường hợp. Điều đó vô tình khiến tỷ lệ báo cáo thấp và tỷ lệ tái phạm cao. Tôi đã nhìn thấy vòng lặp này nhiều năm nay – không phải ở crypto, mà ở cả các vụ lừa đảo tài chính truyền thống. Điểm khác biệt duy nhất là trong crypto, dòng tiền di chuyển nhanh hơn và gần như không thể đảo ngược.
Còn một tín hiệu tôi nghĩ anh em nên ghi lại: vụ một người dùng ví lạnh bị mất 2,1 triệu bảng Anh bitcoin. Nạn nhân bị một kẻ mạo danh cảnh sát cấp cao liên lạc, thuyết phục rằng tài khoản của ông đang bị điều tra, và yêu cầu ông chuyển bitcoin sang ví do cảnh sát kiểm soát để bảo vệ tài sản. Ví lạnh, trezor, ledger, seed phrase được khắc lên thép – tất cả những biện pháp này đều vô nghĩa khi con người tự tay nhập seed phrase vào một website giả mạo. Tôi nói điều này từ kinh nghiệm cá nhân trong những năm làm giao dịch: phần yếu nhất của hệ thống không phải là smart contract, không phải là mạng lưới, mà là quyết định được đưa ra trong 5 giây khi có ai đó tạo được cảm giác khẩn cấp.
Trong một vụ việc khác được đề cập, các nhà điều tra phát hiện những kẻ lừa đảo còn phát hành token giả trên các mạng lưới phí thấp như Tron rồi dùng chúng làm bằng chứng giao dịch để thuyết phục nạn nhân rằng họ đã nhận được tiền hoàn trả. FBI cũng xuất hiện trong vai trò là cái tên bị mạo danh. Điều đó cho thấy kịch bản lừa đảo đã được tiêu chuẩn hóa tới mức nào: một kẻ lừa đảo ở châu Âu có thể lấy kịch bản mạo danh FBI, đổi tên thành ESMA, và triển khai ở một quốc gia khác trong vòng 48 giờ.
Từ góc độ giao dịch, tôi nhìn thấy một sự thay đổi trong cấu trúc dòng tiền. Không phải ai cũng đang rút tiền khỏi crypto. Một phần trong số 322 CASP được cấp phép đang tăng trưởng mạnh, và các nhà cung cấp ví tự quản đang hưởng lợi từ dòng người dùng mới. Nhưng điều mà báo cáo không nói thẳng là: dòng tiền chảy từ các sàn nhỏ sang các sàn lớn có thể làm gia tăng tính tập trung thanh khoản – và điều đó đi ngược lại tinh thần phi tập trung. Trong ngắn hạn, những cái tên như Coinbase, Kraken hay Bitstamp có thể nhận thêm khách hàng. Nhưng đây không phải là một tin tốt lành cho sự đa dạng của hệ sinh thái.
Khi mọi người nói MiCA giúp thị trường an toàn hơn, tôi hiểu ý tốt của họ. Về mặt cấu trúc, điều đó đúng: những nhà cung cấp dịch vụ không tuân thủ sẽ bị đẩy ra khỏi thị trường. Nhưng về mặt hành vi, MiCA tạo ra một hiệu ứng phụ mà ít người nhắc tới. Nó khiến người dùng tin rằng có giấy phép nghĩa là có thể tin tưởng. Và chính niềm tin đó – chứ không phải sự thiếu hiểu biết – là thứ kẻ lừa đảo khai thác. Trong bối cảnh thị trường hiện tại, khi mọi người đang lo lắng về sự an toàn của tài sản hơn là kiếm lời, những kẻ mạo danh cơ quan quản lý lại có một mùa bội thu. Nỗi sợ không khiến con người thông minh hơn; nó chỉ khiến họ vâng lời nhanh hơn. Và kẻ lừa đảo biết điều này rất rõ.
Bây giờ là phần tôi muốn viết riêng cho những ai nghĩ rằng tấm khiên MiCA là vĩnh viễn. Sổ đăng ký công khai của ESMA – thứ được ca ngợi như một công cụ minh bạch – đồng thời là một danh sách mục tiêu được sắp xếp hoàn hảo. Hãy nghĩ mà xem: trước MiCA, kẻ lừa đảo phải phán đoán xem ai đang sử dụng sàn chưa được cấp phép. Bây giờ, chúng chỉ cần lấy danh sách các công ty không có tên trong sổ đăng ký ESMA, xem công ty nào tuyên bố vẫn phục vụ khách EU, và nhắm vào khách hàng của họ. Còn ai đang trong trạng thái hoang mang nhất? Là những người dùng có tài sản kẹt trên sàn không có giấy phép – chính xác là những người đang cần được giúp đỡ nhất. Minh bạch luôn có hai mặt. Mặt thứ nhất giúp người dùng xác minh. Mặt thứ hai giúp kẻ xấu sàng lọc nạn nhân.
Một nghịch lý nữa: chính các cơ quan quản lý lên tiếng càng nhiều, thì kịch bản cho kẻ lừa đảo càng thêm hoàn hảo. Mỗi bản tin về cuộc điều tra, mỗi cảnh báo trên website chính thức, mỗi lời khuyên hãy cẩn thận với những kẻ tự xưng là ESMA đều trở thành nguồn liệu để tội phạm học theo. Chúng không cần sáng tạo; chúng chỉ cần bắt chước ngôn ngữ của cơ quan quản lý. Lời nói của chính quyền vô tình trở thành kịch bản gốc cho một vở kịch lừa đảo. Tôi không nói rằng các cơ quan này sai khi cảnh báo – họ đúng và họ cần làm vậy. Nhưng người dùng cần nhận thức được rằng: sự xuất hiện của một cảnh báo chính thức không phải là rào cản cho tội phạm; nó là một phần của môi trường thông tin mà tội phạm đang vận hành.
Tôi cũng muốn nói thẳng về xu hướng đổ lỗi cho nạn nhân mà tôi thấy trong cộng đồng crypto. Khi một người mất tiền vì bị lừa đảo, phản ứng thường là sao lại không biết – nhưng tôi nghĩ cách nhìn đó bỏ qua cấu trúc thật sự của vấn đề. Kẻ lừa đảo không cần nạn nhân ngu ngốc. Chúng chỉ cần nạn nhân đang ở trong một khoảnh khắc mà sự khẩn cấp lấn át khả năng phán đoán. Điều này có thể xảy ra với bất cứ ai, kể cả những trader kỳ cựu. Chính tôi đã từng mất trắng 2.000 USD vào một ICO copycat năm 2017 vì tin vào whitepaper được thiết kế đẹp mắt. Lúc đó tôi không ngu, tôi chỉ quá tham lam. Bây giờ, thay vì tham lam, đó là sự sợ hãi – và sợ hãi còn nguy hiểm hơn tham lam rất nhiều.
Vậy làm thế nào để sống sót qua giai đoạn này? Tôi có một quy trình đơn giản, tôi gọi là nguyên tắc cuộc gọi ngược. Bất kể ai liên hệ với bạn – dù họ tự xưng là ESMA, cảnh sát, nhân viên sàn Binance, hay một cơ quan chống rửa tiền – bạn không bao giờ sử dụng thông tin liên lạc mà họ cung cấp. Bạn tự đóng trình duyệt, tự mở tab mới, tự gõ địa chỉ website chính thức của cơ quan đó, lấy số điện thoại từ đó và gọi lại. Nếu đối phương thực sự là người có thẩm quyền, họ sẽ trả lời. Nếu không, bạn vừa tránh được một cú lừa trị giá 2.764 USD trung bình. Hãy tự hỏi: lần cuối cùng bạn nhận được một cuộc gọi từ cơ quan quản lý không yêu cầu bạn làm gì cả là khi nào? Nếu câu trả lời là không bao giờ, thì bất kỳ cuộc gọi nào xưng danh cơ quan nhà nước trong thế giới crypto đều là một dấu hiệu đỏ.
Trong 3 đến 6 tháng tới, tôi nghĩ chúng ta sẽ chứng kiến ít nhất hai làn sóng tiếp theo. Làn sóng thứ nhất: các vụ lừa đảo phục hồi tài sản, nhắm vào những nạn nhân đã bị lừa một lần. Lịch sử của Mt. Gox và FTX đã chứng minh rằng ngay sau mỗi thảm họa lớn, các dịch vụ giúp bạn lấy lại tiền lại mọc lên như nấm. Làn sóng thứ hai: tội phạm sẽ sử dụng AI để tạo bản ghi âm, thậm chí video giả mạo lãnh đạo các cơ quan quản lý. Khi bạn nghe một giọng nói quen thuộc nói rằng tài khoản của bạn đang gặp nguy hiểm, phản xạ của bạn sẽ là tin. Nhưng phản xạ đó là thứ bạn cần phải phá bỏ từ bây giờ.
Hãy nhớ một sự thật không thoải mái: MiCA không thể bảo vệ bạn khỏi chính bạn. Nó có thể loại bỏ những nền tảng rác, nhưng nó không thể loại bỏ những kẻ đứng sau các website giả mạo với chứng chỉ SSL hợp lệ. Nó có thể thiết lập một sổ đăng ký 322 cái tên, nhưng nó không thể ngăn một người tự tay nhập seed phrase vào một trang web trong lúc hoảng loạn. Trong nền kinh tế này, ranh giới giữa sự an toàn và sự sụp đổ không nằm ở khóa mã hóa, mà nằm ở một khoảng dừng. Bạn có đủ bình tĩnh để dừng lại – trước khi bàn tay kịp gõ những ký tự cuối cùng? Câu trả lời cho câu hỏi đó sẽ quyết định bạn là người sống sót, hay là một con số thống kê tiếp theo trong bản báo cáo 1.400%.