Coinbase hiện đang lưu ký hơn 500 tỷ USD tài sản số và là sàn giao dịch crypto duy nhất niêm yết tại Mỹ. Điều gì giúp họ trở thành biểu tượng của ngành công nghiệp này? Câu trả lời được mọi người trong ngành đồng ý là: Chưa từng bị hack. Trong khi đó, kể từ khi Bitcoin ra đời, hàng loạt sàn giao dịch đã bị tấn công, gây thiệt hại hàng tỷ đô la. Gần đây nhất, Bybit – một trong những sàn có khối lượng giao dịch lớn nhất thế giới – bị hack hơn 1,5 tỷ USD.

Tôi là một kỹ sư, đã tham gia xây dựng hai sàn giao dịch crypto trong 9 năm qua, trong đó 7 năm đầu tiên tại Coinbase, khi họ còn là một startup chưa đến 50 kỹ sư. Ngay từ những ngày đầu, Coinbase đặt bảo mật lên hàng đầu. Từ thiết kế hệ thống cho đến vận hành, tất cả đều tuân thủ tiêu chuẩn cao nhất. Sau đây là vài bài học tôi muốn chia sẻ từ việc xây dựng những hệ thống bảo mật này từ 7 năm làm việc tại Coinbase

Vì sao bảo mật sàn crypto khó hơn hệ thống tài chính khác?

So với các hệ thống bảo vệ tiền khác, bảo mật cho sàn giao dịch crypto là cần thiết và khó hơn nhiều vì 2 lý do:

1. Tính không thể đảo ngược (irreversible): Giao dịch blockchain một khi đã gửi đi không thể hoàn tác như ngân hàng truyền thống. Thêm vào đó, tính ẩn danh của blockchain khiến việc truy dấu kẻ tấn công cực kỳ khó. Trong hầu hết vụ hack, nạn nhân chỉ biết nhìn dòng tiền mình di chuyển một cách bất lực trên blockchain mà không truy vết được.

2. Tài sản hoàn toàn online: Không giống ngân hàng, nơi kẻ gian cần đột nhập để lấy tiền, tài sản số chỉ cần vượt qua lớp bảo mật là mất vĩnh viễn. Vì thế, đây là miếng mồi béo bở cho hacker toàn cầu.

Những hiểm nguy thường trực sàn giao dịch nào cũng phải đối mặt?

Đầu tiên là phòng chống tấn công từ xa. Như đã nói ở trên, tài sản số nằm trên blockchain là hoàn toàn online và có thể bị lấy cắp và khó truy vết. Vì thế các sàn lớn đều có những hệ thống bảo vệ nhiều lớp, mỗi giao dịch lớn đều phải trải qua nhiều bước xác thực. Rất nhiều điểm dữ liệu có thể được sử dụng và hệ thống machine learning sẽ xác định xem giao dịch có hợp lệ không.

Tiếp theo là bảo vệ vật lý. Không chỉ hệ thống, mà cả con người và cơ sở hạ tầng cũng phải được bảo vệ nghiêm ngặt. Ví dụ, Coinbase phân tán khoá bảo mật của ví lạnh ra nhiều địa điểm khác nhau, được lưu trong HSM (Hardware Security Module). Ngay cả khi một trung tâm dữ liệu bị tấn công, hacker vẫn không thể chiếm quyền kiểm soát toàn bộ tài sản. Văn phòng của Coinbase thời kỳ đầu thậm chí không có biển hiệu và dùng địa chỉ giả trên Google Maps để tránh bị nhắm đến.

Cuối cùng là nguy cơ nội gián. Nhân viên là những người hiểu rõ hệ thống và có quyền truy cập quan trọng, vì vậy Coinbase thực hiện nguyên tắc phân quyền nghiêm ngặt. Không ai có thể tự ý chuyển tài sản; mọi giao dịch lớn đều yêu cầu phê duyệt và mọi thay đổi về code hay nâng cấp hệ thống đều cần 2-3 đồng nghiệp duyệt qua.

Đối với các sàn crypto, cuộc chiến với hacker không bao giờ dừng và chỉ một khoảnh khắc sơ hở có thể gây thiệt hại lớn, kéo theo niềm tin của hàng triệu người dùng. Vì thế bảo mật là cái móng của sàn giao dịch, thành ngữ có câu, “xây nhà từ móng”.

Trong các đề xuất trong dự thảo, có một điểm mà tôi muốn góp ý:

Với nhà đầu tư (crypto), Bộ Tài chính đề xuất phạt 100-200 triệu đồng nếu họ không mở tài khoản và chuyển tài sản mã hóa đang sở hữu về lưu giữ, giao dịch tại các tổ chức được cơ quan này cấp phép.

Tôi hiểu đề xuất này nhằm mục đích quản lý nguồn tiền, giám sát các giao dịch (nhằm chống rửa tiền và các hoạt động phi pháp) và thu thuế. Dẫu vậy, tôi thấy việc làm này không khả thi và có thể là bước đi lùi trong việc quản lý tài sản và phát triển công nghệ này ở Việt Nam. Vài lí do như sau:

1. Số lượng tài sản mã hoá rất đa dạng, sẽ luôn tồn tại rất nhiều loại tài sản không được hỗ trợ lưu trữ và giao dịch bởi các tổ chức được cấp phép.

2. Khó thực thi về mặt kỹ thuật: sẽ rất khó để kiểm soát được tài sản được lưu trữ ở các ví non-custodial (ví không lưu ký). Năm ngoái Chính phủ Mỹ đã rút lại những đề xuất kiểm soát loại ví này vào (nguồn).

3. Đa số những tiến bộ mới trong công nghệ này đều dành cho ví noncustodial. Nếu yêu cầu nhà đầu tư chuyển tài sản về các ví custodial, chúng ta có thể vô tình đẩy lùi bước tiến của công nghệ này ở Việt Nam

Để phát triển bền vững crypto ở Việt Nam, tôi nghĩ có vài giải pháp về chính sách như sau:

• Khuyến khích phát triển những nền tảng có thể cạnh tranh với nước ngoài, đồng thời quản lý cả những sàn giao dịch nước ngoài mà người Việt đang sử dụng.

• Học hỏi và ứng dụng Travel Rule (đã được triển khai ở Mỹ) yêu cầu các đơn vị cung cấp dịch vụ tài sản mã hoá cần chia sẻ thông tin người gửi và nhận với nhau. Cách này khả thì và phù hợp cho các yêu cầu mà Bộ Tài Chính đang hướng tới.

• Phát triển các phần mềm truy vết và gắn nhãn ví crypto với độ chính xác cao. Đây là một bài toán kỹ thuật hay. Sẽ rất hữu ích trong việc giám sát các giao dịch và phòng chống việc sử dụng crypto trong rửa tiền và hoạt động phi pháp.

Việc quản lý crypto ở Việt Nam là vấn đề khó, trên thế giới cũng chưa có nước nào có bộ luật rõ ràng và tối ưu. Tôi nghĩ việc đề xuất và ban hành bộ luật (dù cơ bản) là bước đầu quan trọng, có thể linh hoạt sửa đổi tối ưu theo thời gian. Hi vọng tôi có thể hỗ trợ về mặt kỹ thuật hoặc chính sách trong sự phát triển của ngành công nghiệp này ở nước ta.

Thời điểm đó, BSX chỉ là một ý tưởng (pre-product) - chưa có sản phẩm hoàn thiện và người dùng. Hiện tại, sàn giao dịch đã chính thức hoạt động được một năm, xử lí hơn $9.7B volume và có hơn 100,000 người dùng và gọi vốn được $6.2M qua 2 vòng từ những nhà đầu tư crypto xịn sò nhất.

Ngoài những highlights trên, có thể nói đó cũng là 2 năm khó khăn nhất cuộc đời tôi. Trên chặng đường khởi nghiệp, tôi mắc nhiều sai lầm và học được nhiều bài học đáng giá. Trong post này, tôi tổng hợp vài bài học của bản thân - hy vọng ai đó sẽ thấy hữu ích.

Follow your intuition

Tôi có ngã rẽ đầu tiên khi thi lên cấp 3. Dù đậu vào lớp Toán nhưng tôi xin đổi sang lớp Tin vì thích máy tính từ bé và … nghĩ rằng mình không thi thố nổi với các bạn khác. Từ đó tôi học lập trình và đam mê code hơn cả chơi game. Nếu lúc ấy không theo trực giác có lẽ giờ cuộc đời tôi khác lắm.

Khi đi du học, tôi lại học Dược theo định hướng gia đình. Nhưng vì “ghiền” lập trình, tôi dành toàn bộ thời gian để làm nhiều app và game vì vẫn ghiền được code. Cuối cùng tôi quyết định đổi ngành vì thấy đam mê mình còn quá lớn.

Tôi sau đó học Khoa Học Máy tính ở Georgia Tech và may mắn có offer ở vài nơi. Tôi quyết định chọn Coinbase thay vì Google hay các công ty FAANG khác. Lúc đấy còn trẻ, tôi máu nên muốn chọn startup làm “phê” và có nhiều ảnh hưởng hơn. Nhờ lựa chọn ấy mà tôi là một trong những kĩ sư đầu ở Coinbase, xây dựng nhiều sản phẩm hàng chục triệu người dùng và tham gia blockchain từ khá sớm.

Đứng trước những lựa chọn, trực giác thường đưa tôi tới những điều tốt nhất.

Do Hard Things

Con người thường thích cái dễ, và nghĩ cuộc sống thì nên dễ dàng. Tôi nhận ra đa số việc khó không tới từ cái khó khăn, mà tới từ nỗi sợ - nỗi sợ bước ra khỏi vùng an toàn.

Quyết định nghỉ việc và khởi nghiệp, tôi từ bỏ mức lương và những đãi ngộ tốt để bắt đầu một chặng đường nhiều ẩn số. Tôi biết khởi nghiệp khó, nhưng không ngờ nó khó như vậy. Gần như mỗi ngày đều nhận được lời từ chối (từ nhà đầu tư hoặc đối tác). Khó khăn trong khởi nghiệp thì nhiều lắm, có lẽ tôi sẽ dành ở một post khác.

Đã từng xây dựng nhiều hệ thống lớn ở Coinbase với hơn trăm triệu người dùng, bài toán ở BSX lại khó hơn vì chúng tôi cần hệ thống tối ưu hơn ở cả hiệu năng và giá cả. Chúng tôi quyết định phát triển tất cả hệ thống từ con số 0 dù tốn thời gian hơn cũng như mất nhiều công sức để học và xây dựng. Thời gian đó cực vì gặp nhiều cái khó, cái mới phải học và mắc nhiều sai lầm mắc. Nhờ áp lực phải xây dựng một hệ thống khó trong thời gian ngắn, chúng tôi đã sáng tạo những giải pháp thông minh và ra mắt sản phẩm trong 8 tháng (các chuyên gia tư vấn khẳng định sẽ mất ít nhất 1.5-2 năm).

Những khó khăn này đều có một điểm chung là từ từ sẽ … quen. Có vẻ vì sự quen đó nên làm những điều khó khăn khiến tôi thấy cuộc sống dễ dàng hơn.

Discussing what i do is never easy

Ở nhà hoặc các sự kiện, tôi luôn được hỏi về công việc. Dù đã trả lời câu hỏi đó nhiều lần, tôi vẫn chưa tìm ra câu trả lời vừa làm hài lòng người hỏi, vừa khiến tôi thấy thoải mái.

Chiến thuật đầu tiên của tôi là

Bạn làm nghề gì?

Tôi đang xây dựng BSX, một sàn giao dịch tài sản số

Sàn làm ăn có tốt không?

Dự án mình có X users và được đầu tư bởi investors A, B, C, đang phát triển thêm các chức năng và mở rộng thêm thị trường.

Với những cuộc trò chuyện ngắn với người lạ, cách trả lời này tạm chấp nhận được (dù hơi nhàm chán), nhưng khi nói chuyện với những người tôi quan tâm (bạn bè và gia đình), nó thường khiến tôi cảm thấy không chân thật. Với câu trả lời ngắn gọn này, tôi đã tô vẽ một bức tranh màu hồng về sự thành công — bỏ qua tất cả những khó khăn, tổn thương đang diễn ra phía sau hậu trường.

Chiến lược tiếp theo tôi thử là kiểu trả lời né tránh.

Vậy bạn làm nghề gì?

Tôi làm ở công ty công nghệ.

Ồ cụ thể bạn làm gì?

Tôi là kỹ sư phần mềm.

Tuyệt! Bạn làm kỹ sư lĩnh vực nào?

…và cứ thế tiếp diễn…

Sự né tránh này giúp tôi nhanh chóng chuyển sang chủ đề khác, nhưng phần lớn, người đối thoại lại từ từ lôi câu trả lời cũ rích ban đầu ra khỏi tôi. Cách trả lời này không thể hiện được cái “lửa” trong tôi, nên tôi không hài lòng.

Và tôi vẫn đang đi tìm câu trả lời hoàn hảo cho câu hỏi này.

Nhìn lại 2 năm qua, một trong những điều rõ ràng nhất là cảm giác rằng tôi không ngừng học hỏi những điều mới — hi vọng các năm tới cũng vậy!