Gần đây, ngành công nghiệp tài sản số liên tục ghi nhận các sự cố bảo mật, nhiều vụ tấn công và mất tài sản một lần nữa đưa vấn đề bảo mật nền tảng vào trung tâm sự chú ý của thị trường. Khi các phương thức tấn công không ngừng phát triển, rủi ro không còn giới hạn ở một ví hoặc lỗ hổng kỹ thuật duy nhất, mà có thể liên quan đến nhiều khía cạnh như quyền truy cập tài khoản, quản lý khóa riêng, chuyển đổi tài sản và cơ sở hạ tầng bên thứ ba.
Đối với người dùng, câu hỏi thực tế hơn “nền tảng có an toàn không” là: khi sự cố thực sự xảy ra, nền tảng có thể phát hiện và ngăn chặn rủi ro sớm hơn không? Các thao tác quan trọng có đủ cơ chế ủy quyền và kiểm soát không? Khi tài sản được mở rộng sang các danh mục khác như cổ phiếu Mỹ, RWA, hệ thống an toàn và quản lý rủi ro có theo kịp các ranh giới kinh doanh mới không?
Trong bối cảnh này, nền tảng dịch vụ tài chính kỹ thuật số toàn cầu BIT (trước đây là Matrixport) chính thức phát hành Bản trắng về niềm tin của BIT V2.0, trình bày hệ thống các cơ chế quản trị rủi ro, kiến trúc bảo mật, tuân thủ quy định và xác minh độc lập của BIT xung quanh các nguyên tắc an toàn, tuân thủ, minh bạch và khả năng xác minh, đồng thời mở rộng phạm vi bao gồm các sắp xếp về quy định, quản trị và minh bạch trong các bối cảnh kinh doanh khác nhau như cổ phiếu Mỹ, RWA và quản lý tài sản.
Khi một nền tảng ngày càng sở hữu nhiều tài sản và hoạt động hơn, làm thế nào để đảm bảo an toàn và sự tin tưởng được mở rộng đồng bộ?
Trước khi rủi ro thực sự xảy ra, nền tảng có thể làm gì?
Không có nền tảng nào có thể xóa bỏ mọi rủi ro chỉ bằng một câu nói “an toàn”. Đối với người dùng, điều đáng quan tâm hơn là: liệu có các biện pháp phòng ngừa trước khi rủi ro xảy ra và có cơ chế nào để phát hiện và hạn chế rủi ro kịp thời khi có bất thường không.
BIT trong whitepaper nhấn mạnh rằng quản lý rủi ro không chỉ là hành động xử lý sau sự việc, mà cần được tích hợp xuyên suốt các giai đoạn đánh giá trước giao dịch, giám sát trong giao dịch và xử lý sau giao dịch. Trong các bối cảnh nghiệp vụ cụ thể như đòn bẩy và thế chấp, cơ chế này được cụ thể hóa thành các bước điều tra kỹ lưỡng, thiết lập thông số rủi ro, giám sát thời gian thực, cảnh báo rủi ro, cũng như xử lý vi phạm và thanh lý.
Các cơ chế này cuối cùng hướng đến việc tăng cường bảo mật tài khoản và tài sản cho người dùng. Ví dụ, BIT theo dõi động học 24/7 các hành vi rủi ro cao như đăng nhập bất thường, thiết bị bất thường và rút tiền bất thường, đồng thời kích hoạt cảnh báo, trì hoãn xử lý hoặc kiểm tra thủ công tùy theo cấp độ rủi ro. Hệ thống bảo mật không chỉ dừng lại ở việc “phát hiện sau khi sự việc xảy ra”, mà còn phải nhận diện rủi ro và can thiệp kịp thời trong quá trình xảy ra bất thường.
Ở cấp độ bảo vệ tài sản kỹ thuật số, phần lớn tài sản được lưu trữ trong ví lạnh; khóa riêng được lưu trữ trong mô-đun bảo mật phần cứng (HSM) cấp độ 3 FIPS 140-3 và không thể truy cập hoặc xuất dưới dạng văn bản rõ.
Nhưng vấn đề quan trọng hơn công cụ kỹ thuật là: khi tiến độ kinh doanh xung đột với yêu cầu bảo mật, ai có quyền nói “không”?
The whitepaper discloses that if there are significant security risks in the product solution, system architecture, or deployment changes, or if they fail to meet security baselines and compliance requirements, the BIT security team holds a "veto power"; for critical operations such as asset transfers, permission changes, and trading instructions, the "four-eyes principle" is enforced, requiring at least two authorized personnel to participate jointly.
Logic đằng sau cơ chế này không phải là cam kết rủi ro “sẽ không xảy ra”, mà là cố gắng đảm bảo an toàn trước khi rủi ro xảy ra—nhận diện bất thường sớm hơn, thiết lập ràng buộc sớm hơn, và giảm thiểu tối đa tác động từ lỗi đơn lẻ.
Từ tài sản số đến cổ phiếu Mỹ, bảo mật theo kịp các ranh giới kinh doanh mới như thế nào?
Khi hoạt động mở rộng từ tài sản kỹ thuật số sang các lĩnh vực như cổ phiếu Mỹ, RWA và quản lý tài sản, ý nghĩa của “an toàn” cũng thay đổi. Người dùng không chỉ quan tâm đến việc tài khoản có an toàn không, tài sản kỹ thuật số được lưu trữ như thế nào, mà còn quan tâm đến việc hoạt động do ai vận hành, chịu sự giám sát nào, và tài sản đi qua những khâu nào.
Ví dụ với hoạt động thị trường chứng khoán Mỹ, BIT đã tiết lộ thêm trong bản whitepaper phiên bản mới về các sắp xếp giám sát, tài khoản, thanh toán và lưu ký tài sản liên quan. Hoạt động chứng khoán của BIT được vận hành bởi Matrix Gelephu Pte Ltd và chịu sự giám sát của Văn phòng Dịch vụ Tài chính Gelephu (GFSO); các hoạt động liên quan được hỗ trợ về mặt tuân thủ và cơ sở hạ tầng thông qua các sắp xếp giám sát và giấy phép phù hợp, cơ chế bảo vệ tài sản khách hàng, cùng sự tham gia của các tổ chức tài chính bên thứ ba được cấp phép.
Người dùng nhìn thấy một hành động “mua”, nhưng đằng sau đó là sự kết nối của nhiều khâu như vận hành, giám sát, thực hiện giao dịch, thanh toán và quản lý tài sản. Đối với các nền tảng tài chính, phạm vi hoạt động càng rộng, càng cần mở rộng đồng bộ các cơ chế quản lý rủi ro và tuân thủ, chứ không chỉ đơn thuần thêm các điểm truy cập sản phẩm mới.
Cùng một logic này cũng được áp dụng cho các hoạt động khác của BIT. Bản whitepaper phiên bản mới bổ sung thêm thông tin về giám sát và quản trị của Matrixport Asset Management (MAM), đồng thời trình bày các bố cục tuân thủ của các tổ chức thuộc tập đoàn BIT tại nhiều khu vực pháp lý như Hồng Kông, Bhutan, Singapore, Thụy Sĩ, Anh, Mỹ và Quần đảo Virgin thuộc Anh.
Từ tài sản kỹ thuật số đến tài sản tài chính truyền thống, BIT không chỉ đưa ra cơ chế bảo mật điểm cho một sản phẩm cụ thể, mà là một khung quản lý rủi ro và niềm tin được mở rộng theo biên độ hoạt động.
Ngoài an toàn, tại sao sự tin tưởng lại cần phải “có thể xác minh”?
Rủi ro được quản lý là cách nhận diện và kiểm soát rủi ro, nhưng đối với một nền tảng tài chính bao gồm nhiều tài sản và dịch vụ khác nhau, việc chỉ nói với người dùng rằng “chúng tôi có quản lý rủi ro” là chưa đủ. Nếu an toàn, tuân thủ và sắp xếp tài sản chỉ có thể được nền tảng tự giải thích, thì sự tin tưởng cuối cùng vẫn chỉ dừng lại ở mức “tin vào những gì nền tảng nói”.
Do đó, BIT coi việc tuân thủ và nền tảng quản lý, cơ chế kiểm toán và xác minh độc lập, cũng như tính minh bạch về công nghệ và vận hành là ba trụ cột của hệ thống niềm tin tổng thể, giúp làm rõ “niềm tin” thành những câu hỏi cụ thể hơn: Nền tảng được cơ quan nào giám sát? Tài sản được bảo vệ như thế nào? Rủi ro được kiểm soát ra sao? Các cơ chế này có thể được xác minh độc lập không?
Ở cấp độ kiểm toán và xác minh, BIT xây dựng hệ thống xác minh đa cấp và bổ sung cho nhau thông qua các cơ chế như kiểm toán hệ thống quản lý ISO, xác minh độc lập SOC, kiểm toán tài chính hàng năm và kiểm toán nội bộ, phù hợp với phạm vi áp dụng của từng thực thể và dòng sản phẩm, nhằm tránh phụ thuộc quá mức vào một cơ chế kiểm toán hoặc xác minh duy nhất.
Sự minh bạch giải quyết vấn đề liệu thông tin có thể được nhìn thấy hay không, trong khi tính khả năng xác minh trả lời thêm rằng những thông tin này có thể được kiểm tra độc lập hay không.
Khi ngành công nghiệp một lần nữa đặt “an toàn” lên bàn của mọi nền tảng, điều quan trọng thực sự có lẽ không phải là lặp lại câu “chúng tôi an toàn”, mà là liệu có thể để người dùng nhìn thấy những cơ chế đằng sau câu nói đó hay không.
Sự tin tưởng không đến từ một lời hứa hay một cuộc kiểm toán duy nhất, mà chủ yếu đến từ việc vận hành hệ thống lâu dài và liên tục, cùng với việc xác minh từ bên ngoài. An toàn cần được vận hành liên tục, còn sự tin tưởng cần được xác minh không ngừng.
Liên kết phiên bản đầy đủ của Sách trắng Niềm tin BIT V2.0: https://www.bit.com/whitepaper