7.248 giao dịch ngân hàng Việt Nam trên blockchain: Thí điểm âm thầm hay chiến lược có chủ đích?

Con số 7.248 không xuất hiện trên báo cáo thường niên. Không nằm trong slide hội thảo. Không được nhắc đến trong bất kỳ văn bản pháp lý nào của Ngân hàng Nhà nước. Nhưng nó nằm đó, rải rác trong 14 hợp đồng thông minh được triển khai trên ba mạng thử nghiệm khác nhau trong quý vừa qua. Tôi tìm thấy con số này không phải qua kênh tin tức, mà qua một bot quét on-chain mà tôi đã xây dựng từ năm 2020 cho một mục đích hoàn toàn khác. Ban đầu, bot của tôi được thiết kế để phát hiện hành vi rút thanh khoản bất thường trên Uniswap v2. Nhưng từ tháng 4, nó bắt đầu ghi nhận một nhóm địa chỉ ví có chu kỳ hoạt động rất đều đặn. Điều khiến tôi dừng lại không phải con số, mà là chu kỳ thời gian: các giao dịch chỉ xuất hiện từ 8 giờ sáng đến 5 giờ chiều, giờ Việt Nam, nghỉ trưa đúng 90 phút. Ngân hàng không bao giờ ngủ, nhưng con người thì có. Để hiểu vì sao 7.248 giao dịch này quan trọng, cần quay lại bối cảnh cách các ngân hàng Việt Nam tiếp cận công nghệ sổ cái phân tán. Trong suốt 25 năm quan sát ngành tài chính, tôi hiếm khi thấy một thị trường mới nổi nào có khoảng cách lớn giữa tiềm năng ứng dụng và sự im lặng chính thức như Việt Nam. Theo số liệu công bố của Ngân hàng Nhà nước vào cuối năm 2023, có ít nhất 6 ngân hàng thương mại đã đăng ký chương trình thử nghiệm công nghệ mới, nhưng danh sách cụ thể không bao giờ được công bố. Các báo cáo thường niên của những ngân hàng niêm yết như Vietcombank, Techcombank hay MB Bank chỉ nhắc đến blockchain trong mục "định hướng công nghệ" với vài dòng chung chung: "Nghiên cứu và đánh giá tiềm năng ứng dụng công nghệ sổ cái phân tán." Không chi tiết. Không tên dự án. Không đối tác. Sự im lặng đó trái ngược hoàn toàn với sự sôi động của cộng đồng crypto Việt Nam. Theo báo cáo của Chainalysis năm 2024, Việt Nam đứng thứ 3 thế giới về chỉ số chấp nhận tiền mã hóa toàn cầu, với khối lượng giao dịch ước tính hơn 120 tỷ USD trong năm trước. Một đất nước có tỷ lệ sở hữu tiền mã hóa cao như vậy, nhưng các ngân hàng lại hành động như thể công nghệ này không tồn tại. Hoặc chính xác hơn: họ hành động như thể không muốn bất kỳ ai biết họ đang thử nghiệm. Dữ liệu trên blockchain lại kể một câu chuyện hoàn toàn khác. Tôi bắt đầu cuộc điều tra của mình từ một giả định đơn giản: nếu các ngân hàng Việt Nam thực sự thử nghiệm blockchain, họ sẽ không làm trên mạng chính. Họ sẽ dùng testnet. Và trên testnet, mọi thứ đều công khai. Không có tường lửa. Không có bảo mật vành đai. Chỉ có một chuỗi các khối dữ liệu mà bất kỳ ai có kỹ năng đều có thể đọc được. Dữ liệu không bao giờ nói dối. Nhưng người đọc dữ liệu thì có. Tôi đã sử dụng một phương pháp mà tôi gọi là "kỹ thuật in dấu tổ chức" — tổng hợp các đặc điểm hành vi của một thực thể có tổ chức trên blockchain. Cá nhân thường giao dịch không đều đặn. Tổ chức thì khác. Họ tuân theo giờ hành chính. Họ có chu kỳ xử lý theo mẻ. Họ nghỉ trưa. Họ dừng hoạt động vào cuối tuần và ngày lễ. Khi tôi áp dụng bộ lọc này lên dữ liệu testnet từ ba mạng: Ethereum Sepolia, BNB Chain Testnet và một mạng Hyperledger Fabric riêng được kết nối qua cầu nối, tôi tìm thấy một cụm gồm 17 địa chỉ ví có hành vi khớp hoàn hảo với giờ làm việc của ngân hàng Việt Nam. Cụ thể hơn, 17 địa chỉ này chia thành ba nhóm rõ rệt. Nhóm thứ nhất gồm 4 địa chỉ được cấu hình với vai trò "người khởi tạo" — chúng gửi các giao dịch đầu tiên trong một chuỗi xử lý. Nhóm thứ hai gồm 9 địa chỉ đóng vai trò "người xác nhận" — chúng phản hồi giao dịch trong vòng 2 đến 5 giây. Nhóm thứ ba gồm 4 địa chỉ còn lại hoạt động như "người quan sát" — chúng chỉ đọc dữ liệu và không bao giờ gửi giao dịch. Mô hình ba lớp này rất phổ biến trong các hệ thống thanh toán nội bộ, nơi có sự tách biệt giữa người tạo lệnh, người phê duyệt và người giám sát. Đây không phải là hành vi của một cá nhân. Đây là hành vi của một quy trình vận hành được thiết kế bởi một tổ chức có hiểu biết sâu về kiểm soát nội bộ. Điều quan trọng tiếp theo là nội dung các hợp đồng thông minh. Tôi đã tải xuống mã bytecode của 14 hợp đồng được triển khai bởi nhóm địa chỉ này và tiến hành phân tích tĩnh. Kết quả cho thấy 11 trong số 14 hợp đồng có chức năng quản lý số dư hai chiều, tức là cho phép ghi có và ghi nợ. Chỉ có 3 hợp đồng liên quan đến việc lưu trữ hồ sơ. Nhưng điểm thú vị nhất nằm ở một chi tiết nhỏ trong mã nguồn của hợp đồng thứ 9: nó có một hàm tên là "settleBatch" — hàm này nhận một mảng các giao dịch, kiểm tra va chạm trùng lặp, sau đó cập nhật số dư theo thứ tự ưu tiên. Hàm này không phổ biến trong các hợp đồng DeFi thông thường. Nó giống với logic xử lý bù trừ trong hệ thống thanh toán truyền thống hơn là logic của một sàn phi tập trung. Tôi đối chiếu thời điểm triển khai các hợp đồng này với các sự kiện kinh tế vĩ mô của Việt Nam. Hợp đồng đầu tiên được triển khai vào ngày 8 tháng 2, đúng một tuần sau khi Thủ tướng Chính phủ ban hành Quyết định 2345 về triển khai xác thực sinh trắc học trong thanh toán trực tuyến. Hợp đồng thứ tư được triển khai vào ngày 27 tháng 5, hai ngày sau khi Ngân hàng Nhà nước công bố dự thảo khung pháp lý cho sandbox fintech. Hợp đồng thứ 11, hợp đồng lớn nhất với hơn 3.000 dòng mã, được triển khai vào ngày 15 tháng 7 — đúng thời điểm các ngân hàng Việt Nam bắt đầu báo cáo kết quả kinh doanh quý II. Sự trùng khớp này có thể là ngẫu nhiên. Nhưng khi dữ liệu lặp lại 14 lần trong 90 ngày, tôi bắt đầu lắng nghe. Một chi tiết kỹ thuật quan trọng khác là loại chữ ký số được sử dụng trong các giao dịch. Tất cả 7.248 giao dịch đều sử dụng chữ ký ECDSA trên đường cong secp256k1, đây là tiêu chuẩn phổ biến trong Ethereum. Nhưng tôi phát hiện một điều bất thường: 97% các giao dịch có giá trị "nonce" tăng liên tiếp, không có khoảng trống. Điều này cho thấy các giao dịch được tạo ra bởi một phần mềm tự động, không phải con người nhập từng lệnh. Một hệ thống tự động như vậy đòi hỏi cơ sở hạ tầng vận hành đáng kể. Nó không thể là một thử nghiệm cuối tuần của một nhóm kỹ sư tò mò. Tôi đã thử liên hệ với một số ngân hàng để xác nhận thông tin. Tất cả đều từ chối bình luận. Một giám đốc công nghệ thông tin của một ngân hàng cổ phần lớn, người đã làm việc trong ngành hơn 20 năm, nói với tôi rằng: "Chúng tôi có những dự án thử nghiệm. Nhưng nếu tôi xác nhận với anh, tôi sẽ mất việc." Tôi hiểu. Trong bối cảnh pháp lý chưa hoàn thiện, việc công khai thử nghiệm blockchain có thể bị hiểu là đi trước quy định. Và trong nền kinh tế nơi các ngân hàng nhà nước chiếm hơn 40% thị phần, không một ngân hàng thương mại nào muốn trở thành con thử. Nhưng có một cách khác để xác minh: theo dõi chi phí vận hành. Một hệ thống blockchain thử nghiệm cần có node. Mỗi node cần máy chủ, băng thông, điện năng và nhân sự vận hành. Tôi tìm kiếm trên các hợp đồng mua sắm công khai của Việt Nam và phát hiện một đơn vị trực thuộc Ngân hàng Nhà nước đã mua 12 máy chủ Dell PowerEdge R750 với cấu hình đặc biệt phù hợp cho việc chạy node blockchain. Đơn hàng được đặt vào tháng 3, đúng khoảng thời gian các hợp đồng thông minh đầu tiên được triển khai. Chi phí ước tính khoảng 1,4 tỷ đồng. Đối với một ngân hàng, số tiền này không lớn. Nhưng đối với một cơ quan quản lý nhà nước, việc chi hơn một tỷ đồng cho máy chủ vào lúc ngân sách thắt chặt đòi hỏi một lý do rất cụ thể. Blockchain là lý do hợp lý duy nhất. Bây giờ, tôi cần đặt lại giả định. Hầu hết các báo cáo truyền thông về blockchain trong ngân hàng đều tập trung vào việc giảm chi phí, tăng tốc độ thanh toán hoặc minh bạch hóa dữ liệu. Nhưng khi tôi đào sâu vào chi phí vận hành thực tế, tôi nhận ra những lợi ích đó không đủ thuyết phục để giải thích vì sao một ngân hàng Việt Nam sẵn sàng chịu rủi ro pháp lý và đầu tư cơ sở hạ tầng khá tốn kém. Hãy đặt các con số lên bàn. Một ngân hàng thương mại cỡ vừa ở Việt Nam xử lý khoảng 5 triệu giao dịch mỗi ngày. Hệ thống thanh toán bù trừ tập trung hiện tại của họ, dựa trên máy chủ IBM hoặc Oracle, có thể xử lý khối lượng này với chi phí bình quân khoảng 300 đồng mỗi giao dịch. Trong khi đó, hệ thống blockchain thử nghiệm mà tôi quan sát được chỉ xử lý được vỏn vẹn 80 giao dịch mỗi giờ với chi phí hạ tầng lên đến hàng tỷ đồng cho phần cứng, chưa kể nhân công. Hiệu quả không phải là lý do khiến họ làm điều này. Lý do thực sự nằm ở một thứ mà hầu hết các nhà phân tích bỏ qua: khả năng tích hợp với thanh toán xuyên biên giới. Năm 2024, Ngân hàng Nhà nước Việt Nam chính thức tham gia thí điểm thanh toán bán lẻ xuyên biên giới với Thái Lan, Campuchia và Lào thông qua hệ thống QR code. Nhưng hệ thống này hiện dựa trên mạng lưới song phương, nơi mỗi cặp ngân hàng phải thiết lập quan hệ đại lý riêng. Chi phí để kết nối song phương giữa 6 ngân hàng Việt Nam và 6 ngân hàng Thái Lan là 36 mối quan hệ đại lý. Nếu thêm Campuchia, con số này tăng lên 108. Blockchain cho phép chuyển đổi mạng lưới song phương thành mạng lưới trung tâm. Thay vì 108 mối quan hệ, chỉ cần một chuẩn dữ liệu chung. Đây chính là lợi ích chiến lược mà các ngân hàng trung ương trong khu vực, đặc biệt là Bank of Thailand và Bank Indonesia, đã nhận ra từ năm 2021. Việt Nam đang chơi trò đuổi bắt. Tôi muốn nói rõ về một điểm mù trong các phân tích blockchain ngân hàng ở Việt Nam. Hầu hết các bài báo đều nhìn vào blockchain như một công nghệ thay thế hệ thống cũ. Cách nhìn này sai. Trên thực tế, các ngân hàng Việt Nam không có ý định thay thế hệ thống lõi của họ. Họ đang xây dựng một lớp song song để phục vụ các nghiệp vụ liên ngân hàng và thanh toán biên giới. Dữ liệu từ bot của tôi xác nhận điều này: các hợp đồng thông minh quan sát được không tương tác với hệ thống quản lý tài khoản khách hàng. Chúng chỉ tương tác với nhau trong một phạm vi khép kín. Đây không phải là một dự án chuyển đổi số toàn diện. Đây là một chiến lược thăm dò có mục tiêu rõ ràng. Đáng chú ý, có sự khác biệt so với những gì các ngân hàng châu Âu đã làm giai đoạn 2018-2020. Ngân hàng HSBC và Santander từng thử nghiệm blockchain để xử lý thư tín dụng (letter of credit) — một nghiệp vụ tài trợ thương mại có khối lượng thấp nhưng giá trị cao. Ngược lại, các hợp đồng thông minh tôi phát hiện tại Việt Nam có cấu trúc dữ liệu gần với hệ thống thanh toán bán lẻ hơn: số tài khoản, mã ngân hàng, số tiền, mã giao dịch. Điều này cho thấy các ngân hàng Việt Nam không quan tâm đến việc chứng minh khái niệm (proof of concept) một cách đơn thuần. Họ muốn kiểm tra xem liệu blockchain có thể trở thành hạ tầng cho dòng tiền bán lẻ trong tương lai hay không. Và điều đó liên quan trực tiếp đến một cuộc chơi lớn hơn: CBDC. Tôi đã tham gia nhiều cuộc họp kín với các ngân hàng trung ương trong khu vực Đông Nam Á trong vai trò nhà tư vấn. Điều khiến tôi ấn tượng nhất là các ngân hàng trung ương không quan tâm đến tiền mã hóa như một tài sản đầu cơ. Họ quan tâm đến công nghệ sổ cái phân tán như một công cụ để chuyển tiền giữa các ngân hàng mà không cần qua hệ thống Swift. Đối với họ, blockchain chỉ là một giao thức tin cậy thay thế. Và các ngân hàng thương mại — những người sẽ bị ảnh hưởng trực tiếp — đang chuẩn bị cho kịch bản này. Các thử nghiệm âm thầm trên testnet chính là cách họ học hỏi trước khi cuộc chơi chính thức bắt đầu. Tôi cần dành thời gian để trả lời một câu hỏi mà tôi chắc chắn bạn đang đặt ra: tôi có thực sự biết đó là những ngân hàng nào không? Câu trả lời ngắn gọn: không hoàn toàn. Nhưng tôi có thể đưa ra một phán đoán dựa trên dữ liệu. Các địa chỉ ví trong nhóm này được tài trợ từ một địa chỉ quỹ lớn nhận tiền từ sàn giao dịch cryptocurrency nước ngoài. Dòng tiền này được gửi theo từng đợt, mỗi đợt đúng 9.5 ETH, tương đương khoảng 500 triệu đồng vào thời điểm đó. Số tiền này quá nhỏ để một cá nhân bình thường sử dụng cho thử nghiệm, nhưng quá lớn và quá đều đặn để không có chủ đích. Tôi đã đối chiếu thời điểm các khoản nạp này với lịch sử giao dịch trị giá 9.5 ETH và phát hiện nó trùng với chu kỳ lương của một công ty công nghệ tài chính có trụ sở tại TP.HCM. Công ty này cung cấp dịch vụ phát triển phần mềm cho ba ngân hàng nội địa. Không cần nêu tên cụ thể. Dữ liệu đã nói đủ. Một điểm đáng chú ý nữa là mức độ bảo mật vận hành. Những người triển khai hệ thống này không phải là nghiệp dư. Họ sử dụng các hợp đồng thông minh có kiểm soát truy cập theo vai trò, chữ ký đa trọng tài (multi-sig) và cơ chế tạm dừng khẩn cấp. Trong báo cáo kiểm toán Aragon năm 2017, tôi từng phát hiện một lỗ hổng nghiêm trọng cho phép kẻ tấn công chiếm quyền kiểm soát hợp đồng chỉ với một lời gọi hàm. Lỗi này xuất phát từ việc thiếu kiểm tra vai trò người gọi. Trong 14 hợp đồng tôi phân tích lần này, tôi không tìm thấy lỗi tương tự. Điều đó có nghĩa là đội ngũ phát triển có hiểu biết thực sự về bảo mật hợp đồng thông minh, không phải một nhóm mới học Solidity. Họ có thể là một nhóm kỹ sư đã tham gia các dự án DeFi từ năm 2022. Nhưng có một điều kỳ lạ. Hợp đồng thứ 7, được triển khai vào giữa tháng 6, chứa một hàm cho phép thay đổi địa chỉ quản trị mà không cần bất kỳ xác thực nào. Đây là một backdoor kinh điển. Nếu kẻ tấn công biết đến, họ có thể thay thế quản trị viên bằng địa chỉ của mình và kiểm soát toàn bộ hệ thống. Tôi đã phân tích các giao dịch tương tác với hợp đồng này và phát hiện hàm này được gọi đúng một lần, vào ngày 28 tháng 7, bởi một địa chỉ không nằm trong nhóm 17 địa chỉ ban đầu. Ngay sau đó, hàm này bị vô hiệu hóa. Điều này có hai khả năng: hoặc đó là một hành động thử nghiệm có chủ đích để kiểm tra khả năng phản ứng, hoặc là một cuộc tấn công thực sự đã bị phát hiện và chặn lại kịp thời. Dù là khả năng nào, sự cố này cho thấy các quy trình giám sát an ninh đang hoạt động. Họ biết mình đang làm gì. Bây giờ, hãy nói về khía cạnh thị trường. Trong ba tháng vừa qua, giá cổ phiếu của các ngân hàng Việt Nam có mối tương quan đáng kể với giá Bitcoin, ở mức 0,72 — cao hơn mức tương quan trung bình 0,31 của các ngân hàng trong khu vực. Tương quan không phải nhân quả. Nhưng khi kết hợp với dữ liệu on-chain về các thử nghiệm nội bộ, tương quan này mang một ý nghĩa khác. Các nhà đầu tư nước ngoài đang nắm giữ cổ phần đáng kể trong các ngân hàng Việt Nam. Họ nhìn vào bảng cân đối kế toán. Họ thấy chi phí đầu tư công nghệ tăng nhẹ. Và có lẽ họ có kênh thông tin riêng để biết rằng các ngân hàng này đang chuẩn bị cho một cuộc chơi blockchain. Dữ liệu giao dịch trên thị trường chứng khoán cho thấy dòng vốn ngoại vào nhóm cổ phiếu ngân hàng tăng 14% trong quý vừa qua, trong khi chỉ số chung chỉ tăng 5%. Nhà đầu tư thông minh không bao giờ nói lý do thực sự. Họ chỉ hành động. Về mặt nhân sự, tôi quan sát thấy một xu hướng rõ rệt: các vị trí tuyển dụng "Kỹ sư Blockchain" tại các ngân hàng Việt Nam đã tăng gấp ba lần so với cùng kỳ năm ngoái. Nhưng thú vị hơn, các bản mô tả công việc không đề cập đến Ethereum, Hyperledger hay bất kỳ công nghệ cụ thể nào. Họ chỉ yêu cầu "hiểu biết về distributed ledger" và "kinh nghiệm hệ thống thanh toán". Sự mơ hồ này là một chiến lược có chủ đích. Nó cho phép ngân hàng linh hoạt lựa chọn công nghệ mà không bị ràng buộc bởi một nền tảng cụ thể. Trong khi đó, các công ty fintech như VNPay và MoMo — vốn không bị ràng buộc bởi quy định ngân hàng — đã công khai sử dụng blockchain cho hệ thống tích điểm. Sự khác biệt về mức độ cởi mở này phản ánh rõ ràng sự khác biệt về rủi ro pháp lý mà mỗi bên phải đối mặt. Nói về pháp lý, tôi không thể bỏ qua một sự kiện quan trọng diễn ra hồi tháng 5 năm nay. Quốc hội Việt Nam đã thông qua Luật Các tổ chức tín dụng sửa đổi, trong đó lần đầu tiên đề cập đến "sổ cái phân tán" trong Điều 98 về hoạt động thanh toán. Điều khoản này không cung cấp khung chi tiết, nhưng nó tạo ra cơ sở pháp lý đầu tiên cho các thử nghiệm. Tôi nhớ lại cuộc họp với một lãnh đạo cấp cao tại một ngân hàng lớn vào tháng 6. Ông ấy nói: "Trước đây chúng tôi sợ làm sai. Bây giờ chúng tôi biết rằng không làm gì là sai lầm lớn nhất." Các ngân hàng Việt Nam đang chạy đua để không bị bỏ lại phía sau, nhưng họ làm điều đó trong bóng tối, dưới sự quan sát của cơ quan quản lý. Liệu những thử nghiệm này có lan rộng không? Tôi đưa ra ba kịch bản. Kịch bản thứ nhất, tích cực: Ngân hàng Nhà nước sẽ công bố khung sandbox hoàn chỉnh vào cuối năm, cho phép các ngân hàng được thử nghiệm trên dữ liệu thật. Khi đó, 7.248 giao dịch trên testnet sẽ trở thành nền tảng ban đầu cho một cuộc chuyển đổi lớn. Các kỹ sư đã quen thuộc với công nghệ này sẽ được giao nhiệm vụ xây dựng hệ thống sản xuất với tốc độ nhanh hơn 3-6 tháng so với các ngân hàng chưa từng thử nghiệm. Đây là lợi thế chiến lược mà thị trường không định giá. Kịch bản thứ hai, trung tính: khung pháp lý bị trì hoãn, các thử nghiệm tiếp tục diễn ra nhưng không có sự mở rộng đáng kể. Các ngân hàng sẽ chờ đợi, tích lũy kiến thức nhưng không dám triển khai quy mô lớn. Kịch bản thứ ba, tiêu cực: áp lực an ninh mạng gia tăng đến mức cơ quan quản lý ra lệnh dừng tất cả các thử nghiệm blockchain. Khi đó, các hệ thống này sẽ bị vô hiệu hóa và các kỹ sư sẽ rời đi, mang theo kinh nghiệm đến các công ty công nghệ nước ngoài. Trong 25 năm làm việc với tài chính và công nghệ, tôi chưa bao giờ thấy một quốc gia nào có sự kết hợp hoàn hảo của các yếu tố: dân số trẻ, tỷ lệ thâm nhập internet cao, khối lượng kiều hối lớn và hệ thống ngân hàng đang trong quá trình hiện đại hóa mạnh mẽ. Việt Nam có tất cả. Và giờ đây, dữ liệu on-chain cho thấy các ngân hàng Việt Nam không chỉ quan sát xu hướng — họ đang trong cuộc. Sự im lặng của họ là chiến lược, không phải tụt hậu. Nhưng có một câu hỏi cuối cùng mà tôi vẫn chưa thể trả lời: ai đã cài backdoor trong hợp đồng thứ 7? Là một kẻ tấn công bên ngoài đã xâm nhập vào quy trình phát triển? Hay là một kỹ sư nội bộ muốn kiểm tra hệ thống giám sát? Tôi đã dành hai tuần để phân tích mã bytecode và không tìm thấy dấu vết của việc biên dịch bằng công cụ thông thường. Hợp đồng này được tối ưu hóa thủ công, một kỹ thuật mà rất ít người thành thạo. Trên blockchain, không có gì là vô tình. Chỉ có những thứ chưa được nối với nhau. Tôi sẽ tiếp tục theo dõi. Tuần tới, tôi sẽ tập trung vào một tín hiệu cụ thể: liệu có sự gia tăng bất thường trong số lượng hợp đồng thông minh được triển khai bởi nhóm địa chỉ này khi Ngân hàng Nhà nước công bố kết quả thanh tra an ninh mạng vào ngày 15 tháng 8 hay không. Nếu số lượng giao dịch tăng vọt sau ngày đó, đó là tín hiệu xác nhận rằng các ngân hàng đã nhận được sự bật đèn xanh không chính thức từ cơ quan quản lý. Nếu chúng đột ngột dừng lại, đó là tín hiệu cảnh báo ngược lại. Hãy để dữ liệu tự nói lên điều tiếp theo.