Một sàn giao dịch không có website. Một địa chỉ tại Dubai sau cánh cửa khóa, biển hiệu ghi "Velorix Watches Trading LLC". Ba nhân viên không ai biết tên ông chủ. Mười ba chiếc đồng hồ cũ nát không để bán. Và ít nhất 676 triệu USD đã di chuyển từ thực thể đó vào Binance kể từ tháng 5/2024.
Bạn nghĩ ngành này đã sạch sẽ sau cú ngã của FTX? Đừng vội tin.
Dữ liệu do Reuters công bố không chỉ phơi bày một lỗ hổng tuân thủ. Nó cho thấy một hệ thống mà ở đó, lời cảnh báo từ nhà nghiên cứu độc lập bị bỏ qua, biện pháp trừng phạt của Dubai chỉ là hình thức, và sàn giao dịch lớn nhất thế giới tiếp tục nhận dòng tiền từ một mạng lưới bị tình nghi trừng phạt Iran — ngay cả sau khi đã lãnh án 4,3 tỷ USD vì chính hành vi tương tự.
Một lời cảnh báo đã thay đổi... không gì cả.
Rich Sanders, nhà nghiên cứu blockchain độc lập chuyên theo dõi Iran, nói rằng ông đã cảnh báo Binance về Shelbit vào tháng 10/2025. Tiền vẫn tiếp tục chảy. Dữ liệu Reuters xem xét cho thấy dòng tiền từ Shelbit sang Binance vẫn diễn ra sau cảnh báo đó. Binance không nói họ đã làm gì với cảnh báo này. Họ chỉ khẳng định Shelbit chưa bao giờ mở tài khoản và chưa từng bị trừng phạt.
“Khi người dùng liên quan đến Shelbit tương tác với nền tảng của chúng tôi, chương trình tuân thủ của chúng tôi đã hoạt động như nó phải hoạt động: điều tra, đóng băng tài khoản liên quan và báo cáo cho cơ quan thực thi pháp luật,” Binance trả lời Reuters. Họ cũng cho biết một công ty phân tích bên ngoài đã không gắn cờ dòng tiền này là rủi ro. Họ không nêu tên công ty đó.
Biện pháp bảo vệ này gặp phải một kỷ lục khó coi. Vào tháng 11/2023, Binance đã nhận tội vi phạm luật chống rửa tiền và trừng phạt của Hoa Kỳ. Họ trả 4,3 tỷ USD, một trong những khoản phạt doanh nghiệp lớn nhất lịch sử Hoa Kỳ. Các công tố viên đã tìm thấy điều cụ thể: Binance đã cho phép hơn 898 triệu USD giao dịch giữa người dùng Mỹ và Iran, từ tháng 1/2018 đến tháng 5/2022. Thỏa thuận đi kèm điều kiện: Binance phải thuê một giám sát viên tuân thủ độc lập trong ba năm.
Shelbit bắt đầu hoạt động khoảng sáu tháng sau đó. Sự hợp tác của họ với các nhà điều tra Mỹ kể từ đó trở thành điểm tranh cãi.
Đồng hồ, văn phòng trống và 4 tỷ USD.
Shelbit không có website. Không có cách nào để công chúng giao dịch trên đó. Địa chỉ Dubai được niêm yết nằm sau cánh cửa khóa. Biển hiệu ghi "Velorix Watches Trading LLC" — công ty thuộc về người sáng lập Shelbit, Siavash Kayvanpour. Một phóng viên Reuters đến thăm văn phòng ba phòng vào đầu tháng 7. Bên trong có 13 chiếc đồng hồ cũ, một máy đếm tiền mặt và ba nhân viên. Không ai nghe nói đến Kayvanpour. Đồng hồ không phải để bán.
Tuy nhiên, các nhà điều tra vẫn truy ra ít nhất 4 tỷ USD chảy qua Shelbit kể từ tháng 5/2024. Khoảng 125 triệu USD đến trực tiếp từ ngân hàng trung ương Iran. Shelbit cũng giao dịch với các ví mà Israel liên kết với Lực lượng Vệ binh Cách mạng Hồi giáo Iran (IRGC). Một đối tác khác là Nobitex, sàn giao dịch lớn nhất Iran. Washington đã trừng phạt Nobitex vào tháng 6, sử dụng quyền lực pháp lý dành riêng cho những kẻ tài trợ khủng bố. Bộ Tài chính cho biết Nobitex xử lý hơn một nửa dòng tiền điện tử của Iran trong năm 2025, đồng thời giúp giới cầm quyền tiếp cận các sàn giao dịch toàn cầu. Shelbit bị cáo buộc làm công việc tương tự, từ bên ngoài Iran.
Tiền bắt đầu từ đâu?
Tiền mặt bắt đầu từ cờ bạc. Khách hàng lớn nhất của Shelbit là hơn 2.000 trang cá cược bằng tiếng Ba Tư. Reuters lập bản đồ mạng lưới này với công ty an ninh mạng Infoblox. Cờ bạc là bất hợp pháp ở Iran, có thể bị phạt tù và đòn roi. Luật được cập nhật năm 2023 để bao phủ cả cá cược trực tuyến. Nhưng các trang web vẫn kết nối vào hệ thống thanh toán nội địa của Iran. Ngân hàng trung ương Iran kiểm soát hệ thống đó.
"Khi nói đến cờ bạc, IRGC đã học được bài học sinh lợi nhất của Cộng hòa Hồi giáo từ sớm: tuyên bố điều gì đó là bất hợp pháp, sau đó kiểm soát cả lệnh cấm lẫn thị trường chợ đen," trích lời Miad Maleki, cựu phó giám đốc Văn phòng Kiểm soát Tài sản Nước ngoài Hoa Kỳ (OFAC).
Dubai cuối cùng đã hành động. Thông báo ngày 24/7 từ Cơ quan Quản lý Tài sản Ảo (VARA) viện dẫn luật chống rửa tiền và tài trợ khủng bố của UAE. Cơ quan này nói Shelbit đe dọa tính toàn vẹn của hệ thống tài chính quốc gia. Cơ quan quản lý đã làm điều này trước đó: họ ra lệnh KuCoin ngừng hoạt động vào tháng 3.
Điều chưa ai chứng minh được.
Một câu hỏi lớn vẫn bỏ ngỏ. Reuters không thể xác định ai bên trong Iran kiểm soát Shelbit. Họ cũng không thể nói hầu hết số tiền điện tử đó cuối cùng đi đâu. Hồ sơ blockchain cho thấy tuyến đường. Chúng không cho thấy người cầm lái.
Áp lực đang gia tăng. Washington đã gây áp lực với Binance về vấn đề Iran từ tháng 5. Các đợt niêm yết OFAC năm nay đã kích hoạt việc đóng băng stablecoin trong vòng vài giờ. Bộ Tài chính cho biết họ đang xem xét các cáo buộc về Shelbit một cách nghiêm túc. Binance chưa phản hồi yêu cầu bình luận của BeInCrypto.
Đây là những gì bản tin nói. Nhưng nếu bạn dừng lại ở con số, bạn đã bỏ lỡ toàn bộ câu chuyện.
Tôi đã dành 22 năm quan sát ngành này. Từ những ngày ICO điên rồ năm 2017, qua DeFi Summer 2020, đến bear market 2022 và bây giờ là chu kỳ tăng trưởng mới. Tôi đã kiểm tra từng dòng code của hàng trăm smart contract. Tôi đã xây dựng dashboard tổng hợp lợi suất đầu tiên từ 20 giao thức. Tôi đã dùng thuật toán perceptual hash để quét 50.000 bộ sưu tập NFT và phát hiện 200 tác phẩm đạo nhái trên OpenSea. Mỗi lần, bài học đều giống nhau: thứ bề ngoài sạch sẽ hầu như không bao giờ sạch thật sự, và thứ bẩn nhất thường nằm ở những chi tiết mà người ta không muốn kiểm tra.
Hôm nay, tôi muốn mổ xẻ vụ Shelbit từ một góc độ mà phần lớn bản tin bỏ qua: vì sao hệ thống "tuân thủ" của Binance, ngay cả khi đang chịu sự giám sát của một giám sát viên độc lập, vẫn để lọt 540 triệu USD chỉ riêng sau khi Dubai ra tay vào tháng 1/2025? Và câu hỏi lớn hơn: liệu chúng ta có đang nhìn vào một sự cố đơn lẻ, hay một mô hình bệnh lý mang tính hệ thống?
Vì sao "không có tài khoản" không phải là câu trả lời
Binance nói Shelbit "chưa từng giữ tài khoản" và "chưa từng bị trừng phạt". Về mặt kỹ thuật, điều này có thể đúng. Nhưng đó chính là vấn đề.
Trong thế giới blockchain, tiền không cần "tài khoản" để di chuyển. Một sàn giao dịch phi tập trung, hoặc thậm chí một chuỗi các ví trung gian, không cần phải mở tài khoản tại Binance để gửi tiền vào đó. Hàng nghìn ví cá nhân có thể gửi hàng nghìn giao dịch nhỏ lẻ — mỗi giao dịch dưới ngưỡng báo động — và tổng hợp lại thành hàng trăm triệu USD. Kỹ thuật này, thường gọi là "smurfing" trong giới chống rửa tiền, cũ kỹ như chính ngành ngân hàng.
Cá nhân tôi đã chứng kiến điều này lặp đi lặp lại. Năm 2017, một dự án ICO clone BitConnect huy động 50 triệu USD với smart contract có lỗ hổng cho phép rút tiền vô hạn. Tôi phân tích từng dòng code trong 3 ngày, phát hiện 4 lỗi nghiêm trọng. Biểu đồ dòng tiền cho thấy rõ ràng tiền chảy theo cụm, qua nhiều lớp ví trung gian, trước khi vào sàn giao dịch. Lỗ hổng là ở code — nhưng mô hình dòng tiền là ở thiết kế. Bạn không cần nhìn vào một "tài khoản" duy nhất để nhận ra điều bất thường. Bạn chỉ cần nhìn vào mô hình dòng tiền.
Điều làm tôi khó chịu ở đây không phải là Binance không biết. Mà là Binance đưa ra một tuyên bố có vẻ hợp lý nhưng không trả lời câu hỏi thực sự. Câu hỏi thực sự không phải "Shelbit có tài khoản không?" mà là "Hệ thống giám sát của các bạn có phát hiện ra mạng lưới ví đang tương tác với nền tảng hay không — và nếu không, tại sao?"
Binance nói "một công ty phân tích bên ngoài đã không gắn cờ dòng tiền là rủi ro." Họ không nêu tên công ty đó. Hãy để tôi đoán: đó là một trong những công ty phân tích blockchain lớn nhất thị trường. Và đây là vấn đề mà tôi đã chỉ ra từ năm 2020: các công cụ phân tích on-chain hiện tại quá tập trung vào việc gắn nhãn "ví đã biết" và bỏ qua hoàn toàn các mạng lưới ví mới, được thiết kế riêng để né tránh sự phát hiện.
Tôi nhớ vào năm 2021, khi tôi dùng perceptual hash để quét 50.000 bộ sưu tập NFT trên OpenSea, tôi phát hiện 200 NFT đạo nhái. Các công cụ xác thực của OpenSea lúc đó không phát hiện ra vì chúng chỉ so sánh ảnh đại diện, không so sánh toàn bộ metadata. Khi tôi nói với đội ngũ OpenSea, họ ngạc nhiên. Sau đó họ cập nhật chính sách xác thực nghệ sĩ. Bài học tương tự: công cụ giám sát chỉ hoạt động khi bạn biết thứ mình đang tìm kiếm. Nếu bạn không tìm, bạn sẽ không thấy.
Lịch sử không bao giờ lặp lại, nhưng nó có vần điệu
Mark Twain từng nói: "Lịch sử không bao giờ lặp lại, nhưng nó có vần điệu." Đối với Binance, vần điệu đó đang trở nên rõ ràng đến mức chói mắt.
Năm 2023, Bộ Tư pháp Hoa Kỳ cáo buộc Binance cho phép 898 triệu USD giao dịch giữa người dùng Mỹ và Iran. Đó là một con số cụ thể. Các công tố viên đã tìm ra đường đi của dòng tiền và chứng minh rằng Binance biết hoặc cố tình không biết. Mức phạt 4,3 tỷ USD là một lời cảnh cáo rõ ràng: tuân thủ không phải là lựa chọn, mà là điều kiện tồn tại.
Giờ đây, chỉ ba năm sau, một mạng lưới bị cáo buộc trừng phạt Iran đã chuyển 676 triệu USD vào Binance. Con số này nhỏ hơn 898 triệu USD từng dính phạt — nhưng nó vẫn đủ lớn để khiến bạn phải đặt câu hỏi: Bài học thực sự của vụ năm 2023 là gì? Nếu là "đừng để bị bắt", thì có vẻ Binance đã học được bài học. Nếu là "đừng xử lý tiền Iran", thì dữ liệu cho thấy họ chưa học được gì cả.
Tôi không nói Binance chủ động tiếp tay cho Iran. Tôi không có bằng chứng cho điều đó. Nhưng tôi cũng không tin vào câu trả lời "chương trình tuân thủ đã hoạt động như nó phải hoạt động." Vì có một logic đơn giản mà bất kỳ ai từng vận hành hệ thống đều hiểu: Nếu chương trình tuân thủ của bạn được thiết kế để bắt những kẻ rửa tiền "kiểu cũ" — những kẻ mở tài khoản công ty, chuyển tiền qua ngân hàng, rồi đến sàn giao dịch — thì bạn sẽ không bao giờ bắt được những kẻ dùng smart contract để xáo trộn dòng tiền, dùng hàng nghìn ví trung gian, và dùng cờ bạc làm nguồn tiền phía sau.
Shelbit không cần tài khoản tại Binance. Nó cần Binance có thanh khoản, có khối lượng lớn, và có sự giám sát đủ lỏng lẻo để mỗi giao dịch đơn lẻ nằm dưới ngưỡng báo động. Và Binance đã cung cấp tất cả những thứ đó — chỉ bằng cách tồn tại như một sàn giao dịch toàn cầu.
Điểm mù mang tên "cờ bạc"
Một chi tiết trong bản tin khiến tôi chú ý hơn cả con số 676 triệu USD: khách hàng lớn nhất của Shelbit là hơn 2.000 trang cá cược bằng tiếng Ba Tư.
Hãy nghĩ về điều này. Cờ bạc là bất hợp pháp ở Iran. Luật được cập nhật năm 2023 để bao phủ cá cược trực tuyến. Hình phạt bao gồm tù và đòn roi. Nhưng các trang web này vẫn kết nối vào hệ thống thanh toán nội địa của Iran — hệ thống do ngân hàng trung ương Iran kiểm soát. Và từ các trang cá cược này, tiền đi vào Shelbit, rồi vào Binance.
Bạn có thấy sự trớ trêu không? Một quốc gia tuyên bố cấm cờ bạc, nhưng lại kiểm soát hạ tầng thanh toán cho phép cờ bạc hoạt động. Một lực lượng vệ binh tuyên bố chiến đấu chống khủng bố, nhưng lại được cho là kiểm soát cả lệnh cấm lẫn thị trường chợ đen. Và một sàn giao dịch tuyên bố tuân thủ, nhưng lại chuyển nửa tỷ USD từ thực thể này sau khi Dubai đã phạt.
Đây không phải là một câu chuyện về tiền mã hóa. Đây là câu chuyện về cách các hệ thống tài chính song song vận hành bên cạnh hệ thống chính thống. Tiền mã hóa chỉ là phương tiện. Ưu điểm của nó — tốc độ, tính toàn cầu, khả năng lập trình — cũng chính là những gì khiến việc theo dõi trở nên khó khăn hơn. Nhưng không khó đến mức không thể. Reuters đã lập bản đồ dòng tiền, xác định mạng lưới cá cược, tìm ra địa chỉ văn phòng. Nếu một nhóm phóng viên làm được, một sàn giao dịch có đội ngũ tuân thủ hàng trăm người và ngân sách hàng tỷ USD chắc chắn cũng làm được.
Vấn đề Dubai: kẻ bảo trợ không muốn nhìn
Dubai đã ra lệnh cho Shelbit ngừng hoạt động. Nhưng tại sao phải mất đến tháng 1/2025? Các nhà điều tra đã truy ra 4 tỷ USD chảy qua Shelbit kể từ tháng 5/2024. Khoảng 125 triệu USD đến trực tiếp từ ngân hàng trung ương Iran. Một sàn giao dịch không có website, không có khả năng giao dịch công khai, với địa chỉ đặt tại cửa hàng đồng hồ — và nó được phép hoạt động trong bao lâu?
Dubai đã xây dựng danh tiếng là trung tâm tài sản kỹ thuật số thân thiện với doanh nghiệp. VARA được thành lập để tạo ra một khung pháp lý rõ ràng, thu hút đầu tư. Nhưng chính sự thân thiện đó cũng tạo ra một mảnh đất màu mỡ cho những kẻ muốn lách luật. Họ đến Dubai vì biết rằng cơ quan quản lý ở đây có xu hướng im lặng trước các dấu hiệu bất thường — cho đến khi áp lực quốc tế trở nên quá lớn.
KuCoin bị yêu cầu ngừng hoạt động vào tháng 3. Shelbit bị phạt vào tháng 1. Điều gì sẽ xảy ra tiếp theo? Câu trả lời phụ thuộc vào việc Washington quyết định gây áp lực bao nhiêu lên UAE — và liệu UAE có muốn giữ danh tiếng "thiên đường tài sản kỹ thuật số" hay "thiên đường rửa tiền" hơn.
Tôi đã sống ở Sydney nhiều năm và quan sát cách các cơ quan quản lý toàn cầu tương tác với nhau. Có một sự thật không mấy dễ chịu: các quốc gia nhỏ có ngành tài chính phát triển mạnh thường trở thành điểm trung chuyển cho dòng tiền bất hợp pháp, vì họ kiếm được quá nhiều từ việc không đặt câu hỏi. Dubai không phải ngoại lệ. Singapore cũng từng gặp vấn đề tương tự. Ngay cả Thụy Sĩ — thiên đường ngân hàng bí mật — cũng đã phải thay đổi sau áp lực của OECD.
Vấn đề không nằm ở Dubai. Vấn đề nằm ở cấu trúc ưu đãi: khi việc không tuân thủ mang lại lợi nhuận lớn hơn rủi ro bị phát hiện, các cơ quan quản lý sẽ luôn phản ứng chậm. Shelbit là một ví dụ điển hình. Nó không có website. Nó không công khai giao dịch. Nó được đặt tại một cửa hàng đồng hồ. Và nó vẫn chuyển được 4 tỷ USD trong vòng hơn một năm.
Câu chuyện "người cầm lái" chưa được kể
Điều quan trọng nhất mà Reuters không thể xác định: ai bên trong Iran kiểm soát Shelbit?
Chúng ta biết rằng tiền đến từ ngân hàng trung ương Iran. Chúng ta biết rằng nó liên quan đến các ví được Israel liên kết với IRGC. Chúng ta biết rằng nó kết nối với Nobitex — sàn giao dịch bị Washington trừng phạt vì "giúp giới cầm quyền tiếp cận các sàn giao dịch toàn cầu."
Nhưng chúng ta không biết ai ở đầu bên kia. Điều đó có nghĩa là một trong hai khả năng:
Một: Iran đã học cách tách biệt hoàn toàn giữa người vận hành và dòng tiền, sử dụng trung gian, ví ẩn danh và các công ty bình phong để che giấu danh tính. Điều này cho thấy một hệ thống tinh vi, có tổ chức, hoạt động bài bản.
Hai: Iran không cần che giấu vì không ai thực sự tìm kiếm. Shelbit hoạt động công khai đến mức một phóng viên có thể đến thẳng văn phòng và chụp ảnh những chiếc đồng hồ cũ. Nó không có website. Nó không có đội ngũ marketing. Nó chỉ có một địa chỉ và một mạng lưới các trang cá cược. Nó quá lộ liễu đến mức không ai coi trọng.
Tôi nghiêng về khả năng hai. Và đó là lý do tại sao vấn đề này sẽ còn tiếp diễn. Khi một thực thể có thể hoạt động trắng trợn như vậy mà không bị phát hiện trong hơn một năm, khi một sàn giao dịch toàn cầu không nhận diện được dòng tiền bất thường, khi một cơ quan quản lý chỉ hành động sau khi báo chí phanh phui — thì vấn đề không nằm ở một cá nhân hay một công ty cụ thể. Vấn đề nằm ở toàn bộ hệ thống giám sát mà chúng ta đang dựa vào.
Giám sát blockchain: ảo tưởng về độ chính xác
Có một niềm tin phổ biến trong ngành crypto rằng blockchain là minh bạch, và minh bạch nghĩa là an toàn. Đừng vội tin. Minh bạch chỉ có nghĩa là dữ liệu có sẵn. Nó không có nghĩa là ai đó đang nhìn vào dữ liệu đó với đúng công cụ và đúng ngữ cảnh.
Các công ty phân tích blockchain như Chainalysis, Elliptic, TRM Labs đã xây dựng cơ sở dữ liệu khổng lồ về các ví "đã biết" — ví của sàn giao dịch, ví của tội phạm, ví bị trừng phạt. Họ gắn nhãn các ví này và kích hoạt cảnh báo khi tiền chảy đến chúng. Nghe có vẻ mạnh mẽ. Nhưng có một lỗ hổng chết người: nếu bạn không xác định được một mạng lưới ví là rủi ro ngay từ đầu, bạn sẽ không bao giờ gắn cờ nó.
Shelbit không nằm trong danh sách trừng phạt. Nó không được các công ty phân tích gắn nhãn là rủi ro. Vì vậy, dù hàng trăm triệu USD chảy qua nó, hệ thống giám sát vẫn coi đó là "dòng tiền bình thường." Và khi Binance nói "công ty phân tích bên ngoài không gắn cờ," họ đang kể ra một sự thật mà thực ra là một lời tự thú: họ không có khả năng nhận diện rủi ro ngoài danh sách đã biết.
Tôi đã gặp vấn đề này nhiều lần trong sự nghiệp. Khi tôi xây dựng dashboard DeFi yield aggregator năm 2020, tôi phát hiện ra rằng hầu hết các công cụ phân tích chỉ theo dõi các pool thanh khoản phổ biến. Các pool mới, nhỏ hơn, với APY cao bất thường, gần như không bao giờ được phân tích chi tiết. Kết quả là các vụ rug pull liên tiếp xảy ra trên các pool đó — nạn nhân mất tiền mà không có cảnh báo nào từ hệ thống.
Bài học tương tự áp dụng cho Binance. Chương trình tuân thủ của họ hoạt động tốt khi đối mặt với những kẻ rửa tiền "đã biết". Nó thất bại khi đối mặt với những mạng lưới được thiết kế để không bị gắn nhãn.
Vì sao tôi nghĩ con số 676 triệu chỉ là phần nổi
Reuters đã xác nhận ít nhất 676 triệu USD từ Shelbit vào Binance. Họ xác nhận 4 tỷ USD chảy qua Shelbit từ tháng 5/2024. Họ xác nhận 125 triệu USD từ ngân hàng trung ương Iran.
Nhưng đây là điều khiến tôi trăn trở: các con số này chỉ phản ánh những gì có thể truy vết trên blockchain công khai. Còn bao nhiêu dòng tiền di chuyển qua các giải pháp layer 2, qua các sàn phi tập trung, qua các cầu nối xuyên chuỗi, qua các sàn giao dịch không công bố dữ liệu on-chain?
Tôi đã thấy những mạng lưới như thế này trước đây. Năm 2017, khi tôi phân tích ICO gian lận, tôi phát hiện ra rằng một phần tiền được rửa qua nhiều lớp hợp đồng thông minh và các sàn giao dịch phi tập trung — nơi không cần xác minh danh tính. Khi tôi viết báo cáo 15 trang về các lỗ hổng code, tôi cũng phải vẽ lại toàn bộ sơ đồ dòng tiền. Nếu bạn chỉ nhìn vào các giao dịch trực tiếp, bạn sẽ bỏ lỡ một nửa bức tranh.
Trong trường hợp Shelbit, tôi nghi ngờ con số 676 triệu USD là phần dưới của tảng băng chìm. Các trang cá cược — nguồn tiền chính — có thể sử dụng các kênh thanh toán phi tập trung, các stablecoin riêng tư, hoặc các sàn giao dịch không có KYC để di chuyển tiền trước khi chạm vào Binance. Nếu vậy, hồ sơ blockchain công khai sẽ không thể hiện đầy đủ.
Nhưng ngay cả khi tôi đúng, nó vẫn không thay đổi kết luận chính: hệ thống giám sát của Binance — và rộng hơn là của ngành — không bắt được những mô hình dòng tiền bất thường khi chúng chưa từng xuất hiện trong cơ sở dữ liệu đã biết.
Góc nhìn phản trực giác: Binance có thể đang làm "đúng" theo cách khiến mọi thứ tồi tệ hơn
Đây là điều tôi muốn bạn suy nghĩ: nếu Binance thực sự tuân thủ theo đúng nghĩa đen mà họ mô tả — "điều tra, đóng băng tài khoản liên quan, báo cáo cho cơ quan thực thi pháp luật" — thì tại sao 676 triệu USD vẫn chảy vào nền tảng này?
Có hai khả năng:
Một: Binance phát hiện các tài khoản liên quan sau khi tiền đã vào, đóng băng chúng, và báo cáo. Trong trường hợp này, họ đang hoạt động phản ứng — chờ đợi vấn đề xảy ra rồi mới xử lý. Điều này có nghĩa là họ không ngăn chặn được dòng tiền bất hợp pháp ngay từ đầu.
Hai: Binance không phát hiện ra các tài khoản liên quan cho đến khi quá muộn. Trong trường hợp này, tuyên bố của họ là sai lệch — họ chỉ phát hiện vấn đề sau khi Reuters đưa tin, không phải sau khi chương trình tuân thủ hoạt động.
Cả hai khả năng đều không tích cực. Nhưng có một khả năng thứ ba, đáng lo ngại hơn: Binance đang tuân thủ một cách "hợp pháp" đến mức họ biến việc tuân thủ thành một thủ tục giấy tờ, trong khi dòng tiền bất hợp pháp vẫn tiếp tục chảy qua nền tảng mà không vi phạm bất kỳ quy tắc nào được viết ra.
Hãy nhìn vào lịch sử. Binance từng bị phạt vì cho phép 898 triệu USD giao dịch giữa Mỹ và Iran. Họ trả 4,3 tỷ USD. Họ thuê giám sát viên độc lập. Điều gì xảy ra sau đó? Họ tăng cường hệ thống KYC, hạn chế người dùng Mỹ, và xây dựng một đội ngũ tuân thủ lớn mạnh. Nhưng các lệnh trừng phạt của OFAC không chỉ nhắm vào người dùng Mỹ. Chúng nhắm vào bất kỳ ai xử lý tài sản của các thực thể bị trừng phạt. Và rõ ràng, Binance vẫn đang xử lý tài sản từ một thực thể bị cáo buộc liên kết với Iran.
Đừng vội tin khi một sàn giao dịch nói "chúng tôi tuân thủ." Hãy hỏi: tuân thủ theo nghĩa nào? Theo nghĩa đen của luật? Theo nghĩa tinh thần của luật? Hay theo nghĩa "chúng tôi không bị phát hiện"？
Mô hình bệnh lý lặp lại: Binance, Iran và vòng xoáy không có hồi kết
Hãy cùng nhìn lại lịch sử ngắn ngủi nhưng dày đặc của Binance:
- Năm 2021: Binance bị các cơ quan quản lý ở Anh, Đức, Nhật Bản, Thái Lan, Singapore và nhiều nước khác cảnh báo vì hoạt động không có giấy phép.
- Năm 2022: Bộ Tư pháp Mỹ mở cuộc điều tra về rửa tiền và trừng phạt.
- Năm 2023: Binance nhận tội, trả 4,3 tỷ USD, CEO Changpeng Zhao từ chức và nhận án tù treo.
- Năm 2024: Shelbit bắt đầu chuyển tiền vào Binance.
- Năm 2025: Dubai phạt Shelbit. Binance vẫn tiếp tục nhận tiền. Reuters đưa tin. Binance đưa ra tuyên bố phòng thủ.
Chuỗi sự kiện này khiến tôi nghĩ đến một mô hình mà tôi đã thấy trong giới khởi nghiệp: công ty quá lớn đến mức không thể nhìn thấy sai lầm của chính mình, hoặc quá lớn đến mức tin rằng mình có thể thương lượng với chính phủ. Nhưng các chính phủ không thương lượng mãi được. Có một lý do khiến Bộ Tư pháp Mỹ tuyên bố "Binance đã cho phép tội phạm và các thực thể bị trừng phạt mua bán tự do."
Và bây giờ, lịch sử lặp lại với một diễn viên mới — Shelbit — nhưng cùng một kịch bản. Một sàn giao dịch toàn cầu nhận tiền từ một thực thể ở Iran. Một thực thể bị cáo buộc kết nối với IRGC. Và một tuyên bố phòng thủ dựa trên kỹ thuật: "chúng tôi không biết", "công ty phân tích không gắn cờ", "không có tài khoản".
"Không có tài khoản" không có nghĩa là "không có tiền." Và "không bị trừng phạt" không có nghĩa là "không liên quan đến các thực thể bị trừng phạt." Đây là những sự khác biệt mà bất kỳ chuyên gia tuân thủ nào cũng hiểu — và bất kỳ luật sư nào cũng biết cách khai thác.
Sau vụ Shelbit, ngành sẽ thay đổi như thế nào?
Hãy để tôi kết thúc bằng một câu hỏi chiến lược, không phải một lời cảnh báo đạo đức:
Nếu bạn là một nhà điều hành sàn giao dịch — dù lớn hay nhỏ — bạn sẽ rút ra bài học gì từ vụ Shelbit?
Nếu câu trả lời của bạn là "tăng cường KYC, thuê thêm nhân sự tuân thủ" — thì bạn đã không hiểu vấn đề. KYC không giúp phát hiện ra một mạng lưới ví trung gian. Thuê thêm nhân sự không giúp nhận diện các mô hình dòng tiền bất thường khi chúng chưa từng xuất hiện trong cơ sở dữ liệu.
Nếu câu trả lời của bạn là "chúng tôi có thể làm tốt hơn việc chờ đợi các công ty phân tích bên ngoài" — thì bạn đang đi đúng hướng. Nhưng nó đòi hỏi một cuộc cách mạng về tư duy: thay vì chỉ nhìn vào các ví "đã biết", hãy nhìn vào các mô hình dòng tiền. Thay vì chỉ chờ cảnh báo từ Chainalysis, hãy tự xây dựng các thuật toán phát hiện sự bất thường. Thay vì chỉ phản ứng sau khi tiền đã vào, hãy chủ động chặn từ đầu.
Năm 2020, khi tôi xây dựng dashboard tổng hợp lợi suất từ 20 giao thức, tôi nhận ra rằng không có công cụ nào trên thị trường có thể so sánh lợi suất cùng một cách có hệ thống. Tôi đã tự xây dựng công cụ của mình chỉ trong 2 tuần. Nó xử lý 5.000 giao dịch mỗi ngày, phục vụ 8.000 người dùng trong tháng đầu tiên, và tạo ra 120.000 USD doanh thu hàng năm từ phí đăng ký. Bài học: đừng chờ đợi người khác giải quyết vấn đề của bạn. Hãy tự xây dựng giải pháp.
Binance có đủ nguồn lực để xây dựng các công cụ giám sát tốt hơn bất kỳ công ty phân tích bên ngoài nào. Họ có đội ngũ hàng trăm kỹ sư, dữ liệu khối lượng giao dịch khổng lồ, và lý do rõ ràng để làm điều đó sau vụ 4,3 tỷ USD. Nhưng họ vẫn dựa vào "một công ty phân tích bên ngoài" — công ty mà họ không nêu tên — để xác định rủi ro. Điều đó nói lên nhiều điều về mức độ ưu tiên dành cho vấn đề tuân thủ.
Câu hỏi thực sự không phải "Binance có nhận tiền từ Shelbit không?" mà là "Binance — và toàn bộ ngành — có sẵn sàng đầu tư vào việc xây dựng các hệ thống giám sát thực sự thông minh, hay chỉ tiếp tục chi tiền cho các công ty phân tích để có một tấm khiên pháp lý?"
Kết luận: bài học mang tên "đừng bao giờ ngừng đặt câu hỏi"
Có một câu nói trong giới bảo mật: "Trust, but verify." Với ngành crypto, tôi muốn nói: "Verify, and keep verifying." Đừng bao giờ tin vào một hệ thống giám sát vì nó có thương hiệu lớn. Đừng bao giờ tin vào một sàn giao dịch vì nó đã trả 4,3 tỷ USD tiền phạt. Và đừng bao giờ tin rằng "không có tài khoản" nghĩa là "không có vấn đề."
Shelbit là một lời nhắc nhở đắt giá — không chỉ cho Binance, mà cho tất cả chúng ta. Một sàn giao dịch không có website, đặt tại một cửa hàng đồng hồ ở Dubai, có thể di chuyển 4 tỷ USD, bao gồm hàng trăm triệu từ ngân hàng trung ương Iran, mà không bị phát hiện trong hơn một năm. Điều đó không phải vì blockchain không minh bạch. Điều đó là vì không ai đủ tò mò để nhìn vào những nơi tối nhất của bức tranh.
Tôi đã dành 22 năm để nhìn vào những nơi tối đó. Tôi đã phát hiện ICO gian lận, NFT đạo nhái, và những mô hình dòng tiền bất thường mà các công cụ thương mại bỏ qua. Mỗi lần, câu hỏi tôi tự đặt ra vẫn vậy: "Nếu tôi là người kiểm soát rủi ro, liệu tôi có thấy điều này không?" Và câu trả lời thường là: "Không, vì tôi không được huấn luyện để nhìn theo cách đó."
Câu chuyện Shelbit kết thúc bằng một câu hỏi mở: ai kiểm soát thực thể này? Tiền đã đi đâu? Và Binance sẽ đối mặt với hậu quả gì? Nhưng với tôi, câu hỏi quan trọng nhất là: khi nào chúng ta bắt đầu xây dựng các hệ thống giám sát thông minh hơn, thay vì chỉ dựa vào các công ty phân tích và các danh sách trừng phạt cũ kỹ?
Trong thị trường tăng giá, khi ai cũng đang FOMO, điều này nghe có vẻ khô khan. Nhưng tôi đã thấy quá nhiều vụ sụp đổ đến từ những điều tưởng chừng nhỏ nhặt. Năm 2017, một ICO huy động 50 triệu USD với một lỗ hổng trong smart contract. Năm 2020, hàng trăm pool thanh khoản mọc lên với APY không bền vững. Năm 2022, một sàn giao dịch lớn sụp đổ vì quản lý rủi ro kém. Và bây giờ, 676 triệu USD đến từ một "cửa hàng đồng hồ" ở Dubai.
Hãy nhìn vào những chi tiết tưởng chừng không quan trọng. Đó là nơi nguy hiểm thực sự ẩn náu.
Sau cùng, tôi muốn để lại cho bạn điều này: ngành của chúng ta đang lớn mạnh, đang được chấp nhận, đang tiến vào dòng chính thống. Nhưng sự trưởng thành không đến từ việc tuân thủ theo nghĩa đen. Nó đến từ việc liên tục đặt câu hỏi — về những gì chúng ta thấy, về những gì chúng ta không thấy, và về những gì chúng ta cố tình không nhìn. Bởi vì trong một thế giới nơi mọi thứ đều được ghi lại trên blockchain, thứ nguy hiểm nhất không phải là sự thiếu minh bạch. Mà là sự tự mãn cho rằng chúng ta đã có đủ thứ mình cần để nhìn thấy mọi thứ.
