Đúng tuần này một năm trước, FTX đã đi từ một trong những sàn giao dịch crypto lớn nhất thế giới đến tòa án phá sản chỉ trong khoảng mười ngày. Việc rút tiền bị đóng băng vào đầu tháng 11/2022; đơn xin bảo hộ phá sản theo Chương 11 được nộp vào ngày 11 tháng 11; và các ước tính được đưa tin rộng rãi nhanh chóng cho thấy khoản thiếu hụt trong tài sản khách hàng vào khoảng 8 tỷ USD. Tuần trước, vào ngày 2 tháng 11, Sam Bankman-Fried bị kết tội gian lận. Bản án đã khép lại câu hỏi về trách nhiệm. Nhưng nó chẳng làm được gì cho các khách hàng, những người vẫn là chủ nợ trong một vụ phá sản chứ không phải chủ sở hữu số coin của chính mình.
“Not your keys, not your coins” thường bị gạt đi như một khẩu hiệu, nhưng nó là một phát biểu chính xác về cách quyền sở hữu crypto vận hành: ai kiểm soát khóa riêng của một ví thì kiểm soát số tiền trong đó, và số dư trên một sàn giao dịch là một khoản đòi nợ đối với một công ty, chứ không phải coin trên blockchain. Một năm sau khi FTX biến sự khác biệt đó thành hiện thực một cách tàn nhẫn, thật đáng để nói rõ câu nói ấy có nghĩa gì trong thực tế — và thành thật về những gì self-custody đòi hỏi ở bạn để đổi lại.
Một năm phá sản thực sự đã dạy điều gì
FTX không phải là một sự kiện đơn lẻ. Celsius và Voyager nộp đơn phá sản vào giữa năm 2022; BlockFi nối gót chỉ vài tuần sau FTX. Mỗi vụ sụp đổ trong số đó đều diễn ra theo cùng một trình tự: tin đồn, một làn sóng yêu cầu rút tiền dâng cao, một lệnh đóng băng, rồi đến đơn xin phá sản. Đến khi khách hàng hiểu ra là có vấn đề, cánh cửa đã đóng lại từ trước.
Bài học khó chịu này mang tính cấu trúc, không phải đạo đức. Khi bạn gửi coin vào một nền tảng lưu ký, số coin sẽ chuyển đến các địa chỉ do nền tảng kiểm soát, và trên thực tế khoản gửi của bạn trở thành một phần tài sản vận hành của công ty. Nếu công ty đem những tài sản đó cho vay, đi stake, hay đơn giản là làm mất, thì thứ bạn có thể trông cậy là một quy trình pháp lý, chứ không phải một quy trình mật mã. Trong phá sản, khách hàng của sàn giao dịch thường bị xếp vào diện chủ nợ không có bảo đảm — gần cuối hàng chờ, và thường phải đợi nhiều năm. Mt. Gox sụp đổ năm 2014, và gần một thập kỷ sau các chủ nợ của nó vẫn đang chờ được chia tài sản. Tính đến thời điểm viết bài này, khách hàng của FTX đã chờ một năm, không có ngày khôi phục cố định và không có gì chắc chắn về số tiền sẽ được trả lại.
Không điều nào trong số này đòi hỏi phải giả định rằng mọi đơn vị vận hành sàn giao dịch đều không trung thực. Phần lớn không như vậy. Nó chỉ đòi hỏi bạn nhận ra rằng kiểu thất bại này có tồn tại, rằng nó đã lặp đi lặp lại, và rằng từ bên ngoài không thể nhìn thấy nó cho đến khi đã quá muộn để hành động.
Ý nghĩa chính xác của “not your keys, not your coins”
Trên một blockchain, quyền sở hữu không phải là một cái tên trong sổ đăng ký; nó là khả năng ký các giao dịch. Số dư trên sàn giao dịch là một giấy ghi nợ (IOU): một bản ghi trong cơ sở dữ liệu ghi lại rằng công ty nợ bạn số coin mà nó đang giữ — hoặc đáng lẽ phải giữ — thay mặt bạn. Bản thân blockchain không hề có bản ghi nào cho thấy bạn tồn tại. Khi bạn nhấn “rút tiền,” bạn không hề chuyển coin của mình; bạn đang yêu cầu công ty gửi một phần số coin của nó cho bạn, và nó có thể từ chối.
Self-custody đảo ngược điều này. Self-custody nghĩa là tự bạn nắm giữ khóa riêng của tài sản mình, để không một vụ sụp đổ sàn giao dịch, đóng băng rút tiền hay gian lận nào có thể chạm tới chúng. Sự đánh đổi rất rõ ràng: với một bên lưu ký, bạn gánh rủi ro đối tác, còn với khóa của chính mình, bạn gánh rủi ro vận hành — rủi ro làm mất, làm lộ, hay xử lý sai các khóa. “Not your keys, not your coins” không tuyên bố rằng self-custody là không tốn sức. Nó khẳng định rằng hai loại rủi ro này khác nhau về bản chất, và rằng bạn nên chọn một cách có chủ đích thay vì mặc định rơi vào phía lưu ký chỉ vì một ứng dụng giao dịch tình cờ là thứ đầu tiên bạn cài đặt.
Lập luận trung thực dành cho các bên lưu ký
Một phiên bản nghiêm túc của lập luận này phải thừa nhận các bên lưu ký giỏi ở điểm nào. Nếu bạn giao dịch tích cực, bạn cần một sổ lệnh, và bạn sẽ giữ một số dư trên sàn giao dịch. Các cổng nạp và rút tiền pháp định gần như theo định nghĩa đều đi qua các công ty được quản lý. Các tổ chức thường có nghĩa vụ tuân thủ đòi hỏi một đơn vị lưu ký đủ điều kiện. Và một số người nắm giữ — vì tuổi tác, hoàn cảnh, hay sở thích — thực sự không nên phải chịu trách nhiệm với một seed phrase.
Quy tắc thực dụng mà hầu hết mọi người cuối cùng chọn là sự phân tách giữa quỹ giao dịch và kho cất giữ: chỉ để trên sàn giao dịch phần bạn đang tích cực giao dịch, giống như một cửa hàng chỉ để một ít tiền lẻ trong ngăn kéo thu ngân, và giữ các vị thế dài hạn ở nơi mà một vụ sụp đổ công ty không thể với tới. Khách hàng của FTX không sai khi dùng một sàn giao dịch; nhiều người chỉ đơn giản là đang dùng một nơi giao dịch như một tài khoản tiết kiệm mà chưa bao giờ đưa ra quyết định đó một cách có ý thức.
Self-custody thực sự đòi hỏi gì ở bạn
Nắm lấy khóa của mình nghĩa là chấp nhận rằng từ nay bạn chính là bộ phận an ninh. Phần lớn các tổn thất trong self-custody chẳng liên quan gì đến những kẻ tấn công tinh vi: đó là những bản sao lưu chưa bao giờ tồn tại, những seed phrase bị chụp ảnh rồi đồng bộ lên một tài khoản đám mây, những mảnh giấy ghi chú thất lạc khi chuyển nhà, hay số tài sản mà không người thân nào trong gia đình tìm ra được sau một tai nạn. Một seed phrase duy nhất là một điểm lỗi duy nhất — một chuỗi từ mà một kẻ tấn công, một đám cháy, hay chỉ là sự đãng trí có thể lấy đi khỏi tay bạn — và chúng tôi đã từng viết về vì sao điểm lỗi duy nhất đó mới là điểm yếu thực sự của hầu hết các thiết lập self-custody.
Nó cũng nghĩa là quyết định một cách có ý thức xem bạn tin tưởng vào điều gì. Làn sóng phản đối dịch vụ Recover của Ledger hồi đầu năm nay cho thấy rằng ngay cả những sản phẩm chuyên về self-custody cũng có thể khiến người dùng bất ngờ về những gì mà nhà cung cấp về mặt kỹ thuật có thể làm; bài học mà chúng tôi rút ra từ sự việc đó là hãy ưu tiên những thiết kế mà bạn có thể xác minh thay vì những danh tiếng mà bạn buộc phải tin. Khóa nên tuân theo các tiêu chuẩn mở, việc khôi phục không nên phụ thuộc vào bất kỳ một công ty đơn lẻ nào phải còn tồn tại, và phần logic quan trọng nên có thể kiểm tra được.
MultiSig: self-custody không có điểm lỗi duy nhất
Câu trả lời mạnh nhất cho rủi ro vận hành của self-custody là loại bỏ hoàn toàn điểm lỗi duy nhất. Một ví MultiSig yêu cầu chữ ký từ nhiều khóa độc lập — chẳng hạn hai trong ba — trước khi bất kỳ khoản tiền nào có thể được chuyển đi. Mất một khóa là một sự bất tiện, không phải một thảm họa: các khóa còn lại vẫn có thể chi tiêu. Bị đánh cắp một khóa là một cuộc tấn công thất bại, không phải một vụ trộm: kẻ trộm không thể một mình đạt tới ngưỡng.
Đây chính là mô hình mà Ownbit MultiSig đã vận hành kể từ năm 2017. Mỗi người tham gia trong một multisig của Ownbit đều nắm giữ một seed phrase chuẩn BIP39, các hợp đồng multisig là mã nguồn mở, và máy chủ của Ownbit chỉ điều phối việc ký mà không bao giờ giữ một khóa nào — việc khôi phục vẫn khả thi hoàn toàn không cần đến Ownbit, bằng cách dùng các hướng dẫn tự khôi phục đã được công bố. Đối với lớp lưu trữ lạnh, một chiếc điện thoại dư có thể đóng vai trò một thiết bị ký air-gapped: nó ở trạng thái offline vĩnh viễn, nhận các giao dịch chưa ký dưới dạng mã QR, và trả về chữ ký theo đúng cách đó, nên không một khóa nào chạm tới một thiết bị có kết nối internet.
Một tuần đầu tiên thực tế với self-custody
Nếu dịp kỷ niệm này là động lực thúc đẩy bạn hành động, thì một tuần đầu tiên được cân nhắc kỹ sẽ trông như thế này:
- Bắt đầu bằng một lần thử. Tạo một ví, ghi lại seed phrase ra giấy — tuyệt đối không phải trong một ảnh chụp màn hình hay một ghi chú trên đám mây — rồi rút một khoản nhỏ từ sàn giao dịch của bạn về ví đó. Kiểm tra xem nó có đến nơi không.
- Diễn tập việc khôi phục. Xóa sạch ví thử và khôi phục nó từ bản sao lưu trên giấy trước khi tiền thật phụ thuộc vào nó. Một bản sao lưu mà bạn chưa bao giờ thử là một niềm hy vọng, không phải một bản sao lưu.
- Nâng cấp lên multisig cho những khoản đáng kể. Thiết lập một ví 2-of-3 với các khóa nằm trên những thiết bị riêng biệt ở những nơi riêng biệt, để không một thiết bị, địa điểm, hay con người đơn lẻ nào có thể nhấn chìm bạn.
- Chỉ để lại phần quỹ giao dịch của bạn. Bất cứ thứ gì còn lại trên một sàn giao dịch nên là một khoản mà nếu mất trắng bạn cũng có thể nhún vai bỏ qua.
- Ghi lại cho người khác. Ghi chép lại những gì đang tồn tại và cách khôi phục chúng, để số tài sản của bạn không chết đi cùng với trí nhớ của bạn.
Không bước nào trong số này khó về mặt kỹ thuật. Thứ chúng đòi hỏi là cái quyết định mà khách hàng của FTX không bao giờ kịp đưa ra: chọn, khi mọi thứ vẫn còn yên ả, ai thực sự kiểm soát số coin của bạn.
Câu hỏi thường gặp
“Not your keys, not your coins” nghĩa là gì?
Nó nghĩa là ai kiểm soát khóa riêng của một ví thì kiểm soát số tiền trong đó. Coin gửi trên một sàn giao dịch nằm trong các địa chỉ do sàn kiểm soát; số dư tài khoản của bạn là một bản ghi cơ sở dữ liệu — một khoản đòi nợ đối với công ty — chứ không phải coin trên blockchain. Nếu công ty đóng băng việc rút tiền hoặc sụp đổ, khoản đòi nợ đó là tất cả những gì bạn có.
Giữ crypto trên một sàn giao dịch có an toàn không?
Đó là một rủi ro đối tác, không phải một khoản mất mát chắc chắn. Các sàn giao dịch có uy tín phục vụ tốt những người giao dịch tích cực, nhưng FTX, Celsius, Voyager và BlockFi đều đã đóng băng việc rút tiền gần như không báo trước chỉ trong vòng một năm. Một quy tắc phổ biến là chỉ giữ trên sàn giao dịch phần bạn đang tích cực giao dịch, và giữ các vị thế dài hạn trong self-custody.
Khách hàng của FTX có lấy lại được tiền không?
Tính đến thời điểm viết bài này, quá trình phá sản vẫn đang diễn ra và chưa có ngày chia tài sản cố định. Khách hàng là chủ nợ không có bảo đảm, và những vụ tương tự đã kéo dài nhiều năm — các chủ nợ của Mt. Gox vẫn còn chờ đợi gần một thập kỷ sau vụ sụp đổ năm 2014 của nó. Cuối cùng sẽ trả lại được bao nhiêu thì vẫn chưa chắc chắn.
Self-custody có rủi ro hơn việc để coin trên một sàn giao dịch không?
Nó mang một loại rủi ro khác, không nhất thiết là nhiều hơn. Một bên lưu ký khiến bạn phải đối mặt với nguy cơ công ty sụp đổ; self-custody khiến bạn phải đối mặt với chính những sai lầm của mình, chẳng hạn làm mất một seed phrase. Multisig cùng với các bản sao lưu đã được kiểm thử loại bỏ phần lớn rủi ro vận hành đó, bởi không một khóa đơn lẻ nào bị mất hay bị đánh cắp có thể khiến bạn mất số tiền.
Nếu bạn đã có ý định tự nắm lấy quyền quản lý khóa của mình kể từ tháng 11 năm ngoái, thì cách thức thực hiện đơn giản hơn những gì một năm tin tức giật gân khiến người ta tưởng. Thiết lập tự lưu ký an toàn của Ownbit biến một chiếc điện thoại dư thành một thiết bị ký offline mà không cần mua thêm bất cứ thứ gì, còn Ownbit MultiSig cho phép bạn giữ kết quả đó phía sau nhiều khóa thay vì chỉ một — với 7 ngày dùng thử miễn phí, và khóa của bạn vẫn thuộc về bạn bất kể tình trạng thành viên.