Tôi vừa kết thúc một phiên phân tích dữ liệu blockchain cho một quỹ đầu tư tại Amsterdam thì nhận được email thông báo về sự thay đổi bất thường trong doanh số bán ví phần cứng ở Nga. Con số tăng gấp đôi khiến tôi buộc phải dừng lại. Trong gần ba thập kỷ theo dõi ngành tài sản số, tôi đã thấy nhiều đợt bùng nổ doanh số như vậy, nhưng không phải lúc nào nó cũng kết thúc có hậu. Điều khiến tôi bận tâm không phải là câu chuyện tự hào về quyền tự quản lý tài chính cá nhân, mà là một thực tế khắc nghiệt hơn nhiều: những người đang vội vã mua ví cứng hôm nay có thực sự hiểu họ đang cầm trong tay thứ gì?
Kể từ khi chính phủ Nga bắt đầu xây dựng khung pháp lý chi tiết cho tiền mã hóa, thị trường đã nóng lên từng ngày. Một dự thảo luật mới, dự kiến có hiệu lực trong năm nay, được cho là sẽ yêu cầu người dân khai báo số dư tài sản số và thậm chí giới hạn quyền sử dụng ví tự quản lý. Trong bối cảnh các lệnh trừng phạt từ Mỹ và EU ngày càng siết chặt, người Nga không còn nhiều lựa chọn. Các sàn giao dịch quốc tế dần đóng cửa với thị trường này, ngân hàng truyền thống cũng thắt chặt dòng tiền xuyên biên giới. Ví phần cứng — một thiết bị nhỏ gọn có khả năng lưu trữ khóa riêng ở chế độ ngoại tuyến — trở thành một trong những kênh duy nhất để người dân nắm giữ tài sản ngoài tầm với của bất kỳ cơ quan quản lý nào. Đó là lý do vì sao doanh số của chúng tăng gấp đôi, nhưng đó cũng chính là lý do vì sao tôi lo ngại.
Hãy cùng tôi nhìn vào một con số khác, một con số mà không một bài báo nào nhắc đến: tỷ lệ người dùng mới mua ví cứng trong năm nay đã tăng bao nhiêu phần trăm so với năm ngoái? Không ai biết. Số liệu doanh số tăng gấp đôi thường được các trang tin khai thác như một minh chứng cho sự chiến thắng của tự do tài chính. Nhưng nếu không tách bạch giữa người dùng mới và người dùng cũ, giữa người mua online và người mua qua kênh chợ đen, thì con số đó gần như vô nghĩa. Một người dùng mới mua ví cứng lần đầu là một người mang trong mình sự thiếu hiểu biết. Họ có thể không biết cụm từ khôi phục là gì, không biết rằng một cụm từ được tạo ra khi thiết bị khởi động lần đầu tiên là thứ duy nhất có thể cứu họ nếu thiết bị hỏng hoặc bị mất. Họ cũng không biết rằng, nếu cụm từ đó được nhập vào bất kỳ một chiếc điện thoại hay máy tính nào, thì toàn bộ tài sản của họ đã nằm trong tay kẻ khác.
Tôi có một kỷ niệm đau đớn vào năm 2017, khi tôi còn tham gia kiểm toán hợp đồng thông minh cho các dự án ICO. Một nhà đầu tư đã mất toàn bộ số Ether của mình chỉ vì viết cụm từ khôi phục vào một file văn bản trên máy tính dùng chung với đồng nghiệp. Khi tôi hỏi tại sao anh ta làm vậy, anh ta trả lời: "Tôi sợ quên mất nó." Nỗi sợ quên mất cụm từ đã khiến anh ta đánh đổi toàn bộ tài sản. Hôm nay, ở Nga, nỗi sợ chính là các quy định mới. Con người có thể thay đổi, nhưng cách họ xử lý nỗi sợ thì gần như không đổi. Họ vẫn tìm kiếm giải pháp công nghệ trong khi bỏ quên yếu tố con người.
Một vấn đề lớn hơn nữa đang nằm ở chuỗi cung ứng. Các hãng sản xuất ví cứng lớn nhất thế giới đều có trụ sở tại châu Âu hoặc Mỹ. Dưới chế độ trừng phạt, họ không thể vận chuyển thiết bị trực tiếp đến Nga. Điều này tạo ra một khoảng trống thị trường mà các thương hiệu không tên tuổi, các nhà phân phối qua trung gian, và thậm chí là các đối tượng làm hàng giả, nhanh chóng lấp đầy. Một chiếc ví cứng giả mạo hoặc bị can thiệp phần sụn sẽ hoạt động hoàn hảo trong vài tuần đầu tiên, nhưng ngay khi người dùng nhập cụm từ khôi phục vào thiết bị, mã độc có thể đã được kích hoạt. Vào thời điểm người dùng phát hiện ra, tài sản đã biến mất từ lâu.
Điều này nghe có vẻ giống một kịch bản giật gân, nhưng tôi dám khẳng định rằng nó đang xảy ra ngay lúc này. Trong một cuộc hội thảo trực tuyến mà tôi tham gia hồi tháng trước với một nhóm nhà phát triển ở Đông Âu, một người tham gia đã khoe rằng anh ta mua được một chiếc ví cứng "chính hãng" với giá chỉ bằng một nửa giá trên website của nhà sản xuất. Khi tôi hỏi nguồn gốc, anh ta nói mua từ một người quen qua Telegram. Tôi không cần kiểm tra thiết bị của anh ta cũng có thể khẳng định rủi ro là rất cao. Một chiếc ví cứng không có tem bảo hành, không có mã xác thực từ nhà sản xuất, không có cách nào để xác minh tính toàn vẹn của phần sụn, chính là một quả bom hẹn giờ. Nhưng trong cơn hoảng loạn vì các quy định sắp tới, người ta sẵn sàng tin vào bất cứ thứ gì có thể giúp họ cảm thấy an toàn.
Nếu chỉ nhìn vào bề mặt, chúng ta có thể dễ dàng ca ngợi đây là một chiến thắng của triết lý "không có khóa của bạn, không có đồng coin của bạn". Nhưng nếu nhìn sâu hơn, tôi thấy một nghịch lý đau lòng. Những người yếu thế nhất — những người chưa từng nghe đến MPC, ví đa chữ ký, hay thậm chí là khái niệm cụm từ khôi phục — lại là những người đang bị đẩy vào vùng nước sâu nhất. Họ rời bỏ các sàn giao dịch, nơi có đội ngũ hỗ trợ, có quy trình khôi phục và có thể chịu trách nhiệm pháp lý. Họ chuyển sang một thiết bị mà nếu sai một bước, không một ai trên thế giới có thể giúp họ lấy lại tài sản. Sự tự do không thể tồn tại nếu thiếu sự hiểu biết. Và triết lý "không có khóa là không có tiền" chỉ thực sự có ý nghĩa khi chủ sở hữu khóa hiểu rõ trách nhiệm của mình.
Tôi muốn nhìn nhận vấn đề dưới một góc độ kỹ thuật để thấy rõ hơn bức tranh toàn cảnh. Ví phần cứng dựa trên một loạt giả định: chip bảo mật không thể bị tấn công vật lý; phần sụn được ký số bởi nhà sản xuất và không thể bị thay thế; người dùng không bao giờ nhập cụm từ khôi phục vào bất kỳ thiết bị nào khác ngoài ví. Tất cả những giả định này đều có thể bị phá vỡ trong bối cảnh thiếu hụt nguồn cung chính hãng và thiếu sự giáo dục người dùng. Trong các cuộc kiểm toán bảo mật mà tôi thực hiện, tôi không bao giờ chỉ xem xét mã nguồn của hợp đồng thông minh, mà còn nhìn vào cách người dùng sẽ tương tác với nó. Một giao thức có thể có mã nguồn hoàn hảo, nhưng nếu người dùng dễ dàng bị lừa ký một giao dịch độc hại, thì toàn bộ hệ thống trở nên vô nghĩa. Ví cứng cũng vậy. Chúng là những cỗ máy mật mã tuyệt vời khi được vận hành đúng cách. Nhưng khi được vận hành sai cách, chúng trở thành nơi chôn cất tài sản kỹ thuật số tồi tệ nhất.
Có một câu hỏi mà tôi đã tự hỏi mình rất nhiều lần: liệu những người mua ví cứng ở Nga hôm nay có biết rằng việc lưu trữ tài sản ngoại tuyến không đồng nghĩa với việc họ có thể sử dụng nó một cách dễ dàng? Trong một nền kinh tế bị trừng phạt, việc chuyển đổi Bitcoin thành tiền mặt là một thách thức khổng lồ. Các sàn giao dịch quốc tế không chấp nhận người dùng Nga. Các sàn giao dịch trong nước có thể bị cô lập khỏi các bể thanh khoản toàn cầu. Người dân Nga có thể sở hữu một tài sản kỹ thuật số có giá trị lớn, nhưng lại không thể tiêu dùng nó. Điều đó dẫn đến một tình huống trớ trêu: họ giữ tài sản của mình an toàn khỏi sự kiểm soát, nhưng đồng thời cũng cắt đứt khả năng sử dụng tài sản đó. Liệu đó có phải là thứ chúng ta gọi là tự do tài chính?
Không thể phủ nhận rằng doanh số tăng gấp đôi là một tín hiệu quan trọng cho các nhà sản xuất ví cứng toàn cầu. Nhưng nó cũng là một tín hiệu về sự phân mảnh của thị trường. Khi các thương hiệu phương Tây rút lui khỏi Nga, các nhà sản xuất ở những khu vực khác sẽ nhanh chóng chiếm lấy thị phần. Nếu một phần ba số ví cứng được bán ra tại Nga trong quý này đến từ các thương hiệu không có danh tiếng lâu năm, nguy cơ hàng giả và phần sụn độc hại sẽ tăng theo cấp số nhân. Trong thế giới tài chính truyền thống, chúng ta có cơ quan quản lý, có quy trình kiểm định và có trách nhiệm pháp lý. Trong thế giới của ví cứng, niềm tin được xây dựng dựa trên mã nguồn mở, khả năng kiểm toán và danh tiếng lâu dài. Khi chuỗi cung ứng bị bẻ gãy, lớp niềm tin đó cũng bị bẻ gãy theo.
Nhìn xa hơn, xu hướng này không chỉ xảy ra riêng ở Nga. Người dùng ở Ấn Độ, Nigeria hay Thổ Nhĩ Kỳ cũng đang đối mặt với các quy định thắt chặt. Sự gia tăng nhu cầu ví cứng ở Nga có thể là một dấu hiệu cho thấy nhiều thị trường mới nổi sẽ đi theo con đường tương tự. Nhưng nếu chúng ta không giải quyết được vấn đề giáo dục người dùng và chuỗi cung ứng an toàn, thì câu chuyện này sẽ không kết thúc với hình ảnh những người dân tự hào nắm giữ tài sản. Nó sẽ kết thúc với một vụ mất mát hàng loạt khác, rất có thể là những mất mát âm thầm, không có người chịu trách nhiệm, không có khả năng khôi phục. Và những mất mát đó sẽ không xuất hiện trên bản tin, bởi vì nạn nhân của chúng quá xấu hổ để lên tiếng.
Tôi không có câu trả lời dứt khoát cho việc liệu Nga có nên cấm hay cho phép ví cứng. Vai trò của tôi không phải là nhà lập pháp, mà là người kiểm tra những lỗ hổng tiềm ẩn. Và qua con mắt của một người làm bảo mật, sự kiện này giống như việc trao cho hàng triệu người một chiếc két sắt mà không kèm theo bất kỳ lời hướng dẫn nào — rồi tuyên bố rằng tài sản của họ giờ đây đã an toàn tuyệt đối. Két sắt có thể tốt, nhưng nếu chủ nhân viết mật mã lên một mảnh giấy và dán lên màn hình máy tính, thì thứ ngăn cách giữa họ và thảm họa chỉ còn là thời gian.
Trong ba đến sáu tháng tới, khi dự thảo luật được thông qua và các quy định có hiệu lực, tôi dự đoán doanh số ví cứng ở Nga sẽ tiếp tục tăng. Nhưng những con số tăng trưởng đó có thể chứa đựng một câu chuyện buồn mà không ai có thể nhìn thấy ngay lập tức. Hàng trăm nghìn người sẽ chuyển tài sản của họ vào những thiết bị nhỏ bé, tin rằng họ đã giành được quyền kiểm soát. Một phần trong số họ sẽ mất tất cả — không phải vì một cuộc tấn công mạng hay một lệnh tịch thu, mà vì chính sự thiếu hiểu biết và sự hối hả của một thị trường được thúc đẩy bởi nỗi sợ. Tôi hy vọng rằng các tổ chức cộng đồng, các nhà phát triển và những người có kinh nghiệm trong lĩnh vực này sẽ hành động nhanh hơn, truyền tải kiến thức rõ ràng hơn, trước khi sự tự do tài chính trở thành một cái bẫy cho chính những người đang tin tưởng vào nó nhất.