Cơ quan Thuế Quốc gia Hàn Quốc (NTS) sẽ chuyển sang thuê đơn vị lưu ký tư nhân chuyên nghiệp để bảo quản tài sản tiền điện tử bị tịch thu, nhằm giảm rủi ro từ các sự cố an ninh khi tự lưu trữ.
Động thái này xuất phát từ các vụ rò rỉ và tấn công khiến cơ quan nhà nước thiệt hại cả về tài chính lẫn uy tín, làm nổi bật yêu cầu cần quy trình quản trị ví, kiểm soát truy cập và bảo hiểm ở chuẩn cao hơn.
- NTS Hàn Quốc sẽ ngừng tự lưu trữ và chuyển sang thuê lưu ký tư nhân chuyên nghiệp trong nửa đầu năm.
- Các sự cố như lộ seed phrase và tấn công phishing đã thúc đẩy việc thay đổi chính sách quản lý tài sản bị tịch thu.
- Mô hình lưu ký tư nhân vẫn có rủi ro, và có đề xuất mô hình lưu ký công do nhà nước dẫn dắt.
Hàn Quốc đổi chính sách lưu trữ tiền điện tử vì các sự cố an ninh nghiêm trọng
NTS xác nhận sẽ chuyển từ tự lưu trữ sang thuê đơn vị lưu ký tư nhân chuyên nghiệp trong nửa đầu năm để hạn chế rủi ro từ sai sót vận hành và tấn công mạng liên quan đến tài sản tiền điện tử bị tịch thu.
Trước đây, cơ quan chức năng Hàn Quốc thường tịch thu Bitcoin và các token khác, rồi lưu bằng ví phần cứng đặt trong phòng lưu giữ vật chứng. Cách làm này phụ thuộc nhiều vào quy trình nội bộ và kỷ luật vận hành, nên khi xảy ra sai sót, hậu quả có thể rất lớn.
Một sự cố được nêu là NTS vô tình đăng thông cáo báo chí kèm ảnh độ phân giải cao của ví phần cứng. Trong ảnh lộ rõ cụm từ khôi phục (seed phrase) 24 từ, và chỉ sau vài phút, một người quan sát ẩn danh đã dùng các từ này để rút khoảng 4,8 triệu USD (8,1 tỷ won) token bị thu giữ.
Năm 2025, các công tố viên tại Gwangju cũng mất quyền kiểm soát 320 Bitcoin do một cuộc tấn công phishing thông qua máy tính của cơ quan nhà nước. Số tiền sau đó đã được thu hồi, nhưng vụ việc cho thấy rủi ro an ninh không chỉ đến từ lưu trữ vật lý mà còn từ hệ thống CNTT và quản trị truy cập.
NTS lập tổ công tác để thẩm định và chọn nhà lưu ký đáp ứng tiêu chuẩn
NTS sẽ thành lập Tổ công tác nâng cấp Hệ thống quản lý tài sản ảo để thẩm định doanh nghiệp lưu ký, ưu tiên yêu cầu bảo mật, quy mô công ty và phạm vi bảo hiểm trước khi ký hợp tác.
Theo kế hoạch, NTS triển khai một “Virtual Asset Management System Advancement Task Force (TF)” nhằm đánh giá các công ty tư nhân, thay vì lựa chọn theo tiêu chí đơn lẻ. Mục tiêu là thiết lập cơ chế chọn đối tác đủ năng lực vận hành lưu ký ở cấp tổ chức, phù hợp tính chất tài sản bị tịch thu.
Ông Ko Young-il, Giám đốc hệ thống quản lý tài sản ảo nâng cao của NTS, cho biết cơ quan sẽ đặt trọng tâm vào các yêu cầu an ninh, quy mô doanh nghiệp và mức độ bảo hiểm. Các tiêu chí này nhằm giảm rủi ro thất thoát do lỗi con người, sự cố kỹ thuật hoặc hành vi gian lận.
Một đơn vị chuyên trách mới sẽ quản lý toàn bộ vòng đời tài sản bị tịch thu
NTS phối hợp với Bộ Nội vụ và An toàn để lập bộ phận chuyên trách, chịu trách nhiệm từ khâu tiếp nhận, bảo quản đến bán và nộp ngân khố đối với tài sản tiền điện tử bị tịch thu.
Theo nội dung công bố, NTS đang làm việc với Bộ Nội vụ và An toàn để thành lập “Digital Asset General Division”. Bộ phận này dự kiến giám sát toàn bộ vòng đời của tài sản bị thu giữ, từ lúc tiếp nhận ban đầu, lưu trữ an toàn, cho đến khi bán/đấu giá và chuyển đổi thành tiền nộp vào ngân khố nhà nước.
Tiền điện tử “dark coins” tạo bài toán kỹ thuật cho mô hình lưu trữ
Các hướng dẫn mới của cơ quan cảnh sát cho thấy “dark coins” có thể không lưu được trên ví lạnh tiêu chuẩn, buộc phải dùng ví nóng trên máy chủ chuyên dụng, làm tăng yêu cầu an ninh vận hành.
Cơ quan Cảnh sát Quốc gia (NPA) đã soạn thảo dự thảo hướng dẫn đầu tiên về quản lý “dark coins”, theo thông tin từ bản dự thảo hướng dẫn. Điểm đáng chú ý là nhóm tài sản này có thể không tương thích với ví phần cứng (cold wallet) thông dụng, khiến lực lượng chức năng phải sử dụng ví phần mềm (hot wallet) cài trên máy chủ riêng.
Việc buộc dùng ví nóng làm gia tăng diện tấn công, đòi hỏi kiểm soát truy cập chặt chẽ, phân tách nhiệm vụ, giám sát log, cũng như kế hoạch ứng phó sự cố. Điều này ảnh hưởng trực tiếp đến thiết kế hệ thống lưu ký, dù là tự quản trị hay thuê ngoài.
Ngân sách và năng lực triển khai là rào cản khi đưa lưu ký chuyên nghiệp vào khu vực công
NPA nắm khoảng 54,5 tỷ won tài sản bị tịch thu, hơn 90% là Bitcoin, nhưng các lần mời thầu thất bại do ngân sách dự án chỉ 83 triệu won.
NPA hiện giữ khoảng 54,5 tỷ won (xấp xỉ 39,5 triệu USD) tài sản bị thu giữ, trong đó Bitcoin chiếm hơn 90% giá trị. Tuy vậy, năm ngoái có ba lần đấu thầu không thành, được cho là vì ngân sách dành cho dự án chỉ 83 triệu won, khó đáp ứng chi phí triển khai, vận hành và yêu cầu kiểm soát rủi ro.
Chênh lệch giữa quy mô tài sản đang quản lý và kinh phí triển khai hệ thống lưu ký/đấu thầu cho thấy rủi ro “điểm nghẽn” vận hành. Nếu thiếu nguồn lực, hệ thống dễ dựa vào quy trình thủ công, tạo kẽ hở cho sai sót hoặc tấn công.
Lưu ký tư nhân không đồng nghĩa an toàn tuyệt đối với tài sản nhà nước
Dù chuyên nghiệp hơn, nhà lưu ký tư nhân vẫn có thể bị nhắm đến; tiền lệ tại Mỹ cho thấy việc thuê công ty bên ngoài không tự động loại bỏ nguy cơ thất thoát do gian lận nội bộ.
Bài viết nêu trường hợp tại Mỹ: U.S. Marshals Service (USMS) từng sử dụng một công ty tư nhân tên CMDSS để quản lý Bitcoin bị tịch thu. Dù vậy, vẫn xuất hiện cáo buộc John “Lick” Daghita, con trai chủ sở hữu công ty, đã lấy cắp 46 triệu USD BTC.
Trường hợp này nhấn mạnh rằng rủi ro không chỉ nằm ở công nghệ lưu trữ, mà còn ở quản trị doanh nghiệp, kiểm soát nội bộ, phân quyền ký giao dịch, và cơ chế giám sát độc lập. Vì vậy, tiêu chí lựa chọn đối tác và điều khoản trách nhiệm/bảo hiểm trở thành yếu tố then chốt.
Mô hình lưu ký công được đề xuất như một phương án thay thế
Một số ý kiến đề xuất mô hình lưu ký công, trong đó cơ quan nhà nước dẫn dắt một đơn vị ủy thác chuyên nghiệp, thay vì phụ thuộc hoàn toàn vào nhà thầu tư nhân.
Đề xuất “public custody model” hướng tới việc xây dựng năng lực lưu ký chuyên nghiệp do nhà nước điều phối, giảm rủi ro phụ thuộc vào bên thứ ba. Cách tiếp cận này có thể kết hợp ưu điểm của chuẩn vận hành cấp tổ chức với cơ chế giám sát của khu vực công, tùy vào khung pháp lý và nguồn lực triển khai.
Những câu hỏi thường gặp
Vì sao NTS Hàn Quốc không tiếp tục tự lưu trữ tiền điện tử bị tịch thu?
Vì các sự cố an ninh và sai sót vận hành khi tự quản lý ví đã gây thiệt hại tài chính và uy tín, điển hình là việc lộ seed phrase dẫn đến bị rút khoảng 4,8 triệu USD tài sản bị thu giữ.
NTS sẽ dựa trên tiêu chí nào để chọn đơn vị lưu ký tư nhân?
NTS cho biết sẽ ưu tiên các yêu cầu bảo mật, quy mô doanh nghiệp và phạm vi bảo hiểm khi thẩm định đối tác lưu ký.
“Dark coins” gây khó khăn gì cho việc lưu trữ của cơ quan chức năng?
Chúng có thể không lưu được trên ví lạnh tiêu chuẩn, buộc cơ quan chức năng phải dùng ví nóng trên máy chủ chuyên dụng, từ đó tăng yêu cầu bảo mật và giám sát hệ thống.
Lưu ký tư nhân có đảm bảo an toàn tuyệt đối cho tài sản nhà nước không?
Không. Dù có thể chuyên nghiệp hơn, nhà lưu ký tư nhân vẫn có thể bị tấn công hoặc gặp rủi ro gian lận nội bộ, như ví dụ cáo buộc thất thoát 46 triệu USD BTC trong trường hợp liên quan CMDSS tại Mỹ.
