Theo Cointelegraph, vụ đánh cắp hơn 153 triệu giấy phép lái xe của Hoa Kỳ và Canada vào đầu tháng này đã khiến một điều trở nên rõ ràng: nơi an toàn nhất cho bản sao giấy phép lái xe của bạn là không nơi nào cả.
Những thông tin nhận dạng bị rò rỉ, dường như đến từ một nhà cung cấp xác minh danh tính, đã xuất hiện trên một dịch vụ danh tính trên web đen có tên Nexus, cùng với hàng triệu tài liệu nhận dạng và du lịch bị đánh cắp khác.
Nguy cơ này càng được nhấn mạnh trong tuần khi công ty fintech Revolut tiết lộ họ đã bị một hacker lừa để lấy đi hàng loạt dữ liệu khách hàng nhạy cảm, bao gồm bản sao hộ chiếu và ảnh selfie xác minh. Tin tặc hiện đang nhỏ giọt các tài liệu nhận dạng của 680 khách hàng lên mạng nhằm đòi khoản tiền chuộc 10.000 Bitcoin.
Sự trớ trêu thật khó bỏ qua: các quy trình “Biết Khách Hàng Của Bạn” (KYC) được thiết kế để làm cho các hệ thống tài chính an toàn hơn bằng cách thiết lập danh tính khách hàng và đảm bảo họ không thực hiện các hành vi bất chính.
Tuy nhiên, cách KYC thường được triển khai đòi hỏi các công ty phải lưu trữ một lượng lớn thông tin nhạy cảm, tạo ra những “hũ mật” béo bở cho tội phạm.
Và vấn đề này ngày càng khó bỏ qua. Chỉ trong nửa đầu năm 2026, các vụ rò rỉ dữ liệu tại Hoa Kỳ đã ảnh hưởng đến ít nhất 343 triệu người, theo Privacy Rights Clearinghouse. Điều đáng thất vọng hơn là việc xác minh danh tính cá nhân mà không cần lưu trữ tài liệu nhận dạng của họ đã có thể thực hiện được bằng cách sử dụng các bằng chứng không kiến thức (zero-knowledge proofs):
Efrat Fenigson, người dẫn chương trình podcast “You’re The Voice”, người thường xuyên viết và phát biểu về quyền riêng tư và KYC, chia sẻ với Cointelegraph Magazine:
“Khi các cơ quan quản lý tiếp tục yêu cầu một mô hình đảm bảo kết quả này – trong khi công nghệ xác minh mà không cần lưu trữ đã tồn tại – điều đó gióng lên một hồi chuông cảnh báo. Điều đó ngụ ý rằng có một sự thiếu tư duy lý trí và ý chí thực sự để giải quyết vấn đề.”
Vậy sẽ cần bao nhiêu vụ rò rỉ nữa trước khi ý chí đó bắt đầu thay đổi?
KYC được xây dựng để thu thập danh tính của bạn, không chỉ để xác minh
Các hệ thống KYC ngày nay đã phát triển dựa trên giả định rằng các tổ chức phải xem hộ chiếu hoặc giấy phép lái xe của khách hàng, ghi lại thông tin liên quan và sau đó lưu trữ bằng chứng kiểm tra.
343 triệu người đã bị ảnh hưởng bởi các vụ rò rỉ dữ liệu tại Hoa Kỳ trong năm 2026. Nguồn: Privacy Rights Clearinghouse.
Nhưng có một vấn đề rõ ràng với cách tiếp cận đó: nó đã tạo ra một hệ sinh thái rộng lớn gồm các nhà cung cấp danh tính, cơ sở dữ liệu, nhà cung cấp và hệ thống tuân thủ, tất cả đều lưu trữ những kho báu dữ liệu KYC riêng lẻ của bạn. Mỗi bản sao dữ liệu bổ sung tạo ra một điểm lỗi tiềm ẩn khác – và tin tặc ngày càng sáng tạo trong việc tìm cách truy cập chúng.
Trong trường hợp của Revolut, hacker đã gửi email yêu cầu dữ liệu KYC từ một địa chỉ thực thi pháp luật hợp pháp của Ý. Lyudmyla Kozlovska, chủ tịch Open Dialogue, cho biết trên X rằng luật EU có nghĩa là Revolut không còn lựa chọn nào khác ngoài việc tuân thủ.
“Luật AML của EU không áp đặt nghĩa vụ xác minh đối với ngân hàng và không cung cấp cơ chế có ý nghĩa nào để kiểm tra ai thực sự đứng sau một yêu cầu xác thực của nhà nước. Từ chối trả lời sẽ phải chịu mức phạt hàng triệu đô la. Trên thực tế, việc xác minh là không thể.”
Liên quan: 200.000 ‘nạn nhân AI giả’ được triển khai để bẫy lừa đảo trực tuyến
Susie Violet Ward, giám đốc và đồng sáng lập Bitcoin Policy UK, cảnh báo rằng vấn đề thực sự nằm ở việc lưu trữ dữ liệu ID không cần thiết:
“Chúng ta cần ngừng coi việc xác minh danh tính và việc giao nộp danh tính là cùng một thứ.”
Nếu một công ty chỉ cần biết rằng một người trên 18 tuổi, cô ấy lập luận rằng họ không nên tự động cần thêm thông tin chi tiết như tên đầy đủ, địa chỉ, ngày sinh chính xác và một bản sao vĩnh viễn của các tài liệu nhận dạng liên quan:
“Điều trớ trêu là KYC được thiết kế để làm cho các hệ thống an toàn hơn, nhưng cách chúng ta hiện đang triển khai nó có thể tạo ra một vấn đề bảo mật hoàn toàn khác. Bạn có thể đặt lại mật khẩu sau một vụ vi phạm, nhưng bạn không thể đặt lại danh tính của mình theo cách tương tự.”
Công nghệ để ngừng tích trữ ID đã tồn tại
Đối với những người ủng hộ tiền mã hóa, giải pháp rõ ràng là sử dụng bằng chứng không kiến thức (zero-knowledge proofs). Đây là một bằng chứng toán học chứng minh một điều gì đó là đúng mà không tiết lộ chi tiết. Ví dụ, bạn có thể sử dụng một ứng dụng điện thoại để tạo bằng chứng xác nhận giấy phép lái xe của bạn cho biết bạn trên 18 tuổi, mà không cần gửi ngày sinh của bạn, hoặc một hình ảnh của chính giấy phép.
Người sáng lập Zcash, Zooko Wilcox, cung cấp một giải thích hữu ích về công nghệ ZK trong video này.
Giải thích hữu ích về công nghệ ZK. Nguồn: Crypto Fireside
Evin McMullen, giám đốc điều hành và đồng sáng lập của Billions Network, công ty phát triển các giải pháp danh tính kỹ thuật số bảo vệ quyền riêng tư và ZK, chia sẻ với Cointelegraph Magazine:
“Công nghệ này hoạt động và đang được triển khai ngày nay, trên hàng nghìn ứng dụng và tổ chức được quản lý. Điều cản trở nó là toàn bộ hệ thống tuân thủ được xây dựng xoay quanh việc thu thập và lưu trữ các bản sao tài liệu.”
McMullen cho biết rào cản “chưa bao giờ là công nghệ”, mà là các quy tắc, động lực và cơ sở hạ tầng được xây dựng xung quanh nó:
“Đây là một vấn đề quản trị và tiêu chuẩn đang đội lốt công nghệ.”
Nếu công nghệ hoạt động, điều gì đang cản trở nó?
Liên minh Châu Âu đã kết hợp công nghệ ZK vào thiết kế hệ thống xác minh danh tính và tuổi kỹ thuật số của mình, phát triển xác minh tuổi bảo vệ quyền riêng tư cho phép người dùng chứng minh tuổi của họ mà không tiết lộ danh tính đầy đủ hoặc ngày sinh chính xác.
Liên quan: Nỗi sợ hãi về dịch bệnh tấn công DeFi do AI điều khiển hiện đang bị thổi phồng – nhưng không lâu nữa
Ví kỹ thuật số của EU cũng hỗ trợ “tiết lộ chọn lọc”, vì vậy người dùng chỉ tiết lộ thông tin cần thiết cho một giao dịch cụ thể.
Vậy, tại sao điều này không được triển khai rộng rãi hơn cho KYC tài chính?
Theo McMullen, “quy định và sự hiểu biết” là những trở ngại lớn nhất cho việc áp dụng:
“Trở ngại phổ biến nhất là các nhóm tuân thủ nhầm lẫn giữa ‘chúng tôi đã thấy ID’ với ‘chúng tôi phải giữ ID’, vì vậy họ thu thập quá mức để đảm bảo an toàn.”
Cô cho biết khả năng tương tác là một vấn đề khác, vì các bằng chứng mật mã chỉ hữu ích “nếu bên dựa vào đó có thể kiểm tra mà không cần gọi lại cho người đã cấp nó”. Điều đó đòi hỏi phải thiết lập các tiêu chuẩn chung, điều này nói dễ hơn làm.
ZK không tự động giải quyết KYC
Có một cảnh báo quan trọng khác: thay thế tài liệu ID bằng bằng chứng không kiến thức không tự động loại bỏ mọi vấn đề về quyền riêng tư hoặc bảo mật.
Fenigson chỉ ra rằng điều mà thông tin xác thực ZK vẫn gắn liền cũng quan trọng không kém:
“Các động lực chỉ ra sự kiểm soát, không phải quyền riêng tư. Bằng chứng không kiến thức cho phép ai đó chứng minh một sự thật, như việc trên 18 tuổi hoặc không nằm trong danh sách trừng phạt […] Điều còn thiếu là bằng chứng đó được gắn với cái gì. Ngay bây giờ, nó thường được gắn với một tài khoản trong cơ sở dữ liệu của người khác.”
Ví kỹ thuật số của EU hỗ trợ tiết lộ chọn lọc. Nguồn: Ủy ban Châu Âu
Vì vậy, vấn đề cốt lõi là ai là người kiểm soát thông tin xác thực cuối cùng. Nếu một người tạo ra một bằng chứng bảo vệ quyền riêng tư nhưng bằng chứng đó lại gắn liền với một tài khoản trong cơ sở dữ liệu của người khác, họ vẫn phụ thuộc vào một bên trung gian tập trung.
Các quy tắc không rõ ràng như bạn nghĩ
Trong nhiều trường hợp, các quy tắc thực sự không yêu cầu lưu trữ dữ liệu ID – đây chỉ là một quy ước, vì đó là cách mọi thứ vẫn được thực hiện.
Hướng dẫn của Lực lượng Đặc nhiệm Hành động Tài chính (FATF) cân nhắc rõ ràng cách các hệ thống ID kỹ thuật số có thể được sử dụng để thực hiện thẩm định khách hàng, thay vì yêu cầu các tổ chức phải dựa vào các tài liệu nhận dạng vật lý.
Các khuyến nghị của FATF cũng hoạt động như một khuôn khổ dựa trên rủi ro, cho phép từng quốc gia thực hiện các tiêu chuẩn thông qua hệ thống pháp luật và quy định riêng của họ.
“Trong nhiều chế độ, quy tắc là bạn phải xác minh danh tính và lưu giữ hồ sơ xác minh đó, chứ không phải bạn phải giữ hình ảnh tài liệu gốc vĩnh viễn,” McMullen nói.
Điều đó có nghĩa là một chứng thực có thể xác minh bằng mật mã với hồ sơ cho thấy kiểm tra liên quan đã được thực hiện có thể đủ để tuân thủ mà không tạo ra một bản sao vĩnh viễn khác của ID.
Nhưng vì hướng dẫn “mơ hồ”, McMullen nói rằng các tổ chức chỉ mặc định giữ mọi thứ vì các nhóm tuân thủ của họ biết rằng các kiểm toán viên và người kiểm tra sẽ chấp nhận điều đó.
Nói cách khác, ngay cả khi các quy tắc về mặt kỹ thuật cho phép một cách tiếp cận khác, không ai sẵn sàng là người đầu tiên mạo hiểm, như Ward giải thích:
“Có một bản năng trong quy định rằng càng nhiều thông tin có nghĩa là càng nhiều kiểm soát và do đó càng nhiều an toàn.”
Thật khó để thấy điều đó thay đổi trừ khi các quy tắc được sửa đổi để cho phép rõ ràng các bằng chứng không kiến thức. Và mặc dù không có hệ thống nào hoàn hảo, nhưng ít nhất công nghệ ZK ngăn chặn nhu cầu thu thập và giữ lại quá nhiều thông tin nhạy cảm. Như McMullen nói:
“Bạn không thể mất những gì bạn chưa bao giờ có.”
Magazine: 10 bí ẩn lớn nhất chưa được giải đáp trong tiền mã hóa
Nguồn: Cointelegraph – Revolut ID thefts highlight KYC’s dangers: Here’s how to fix it
Bài viết do tienso.org biên dịch và biên soạn lại từ nguồn dẫn phía trên nhằm phục vụ độc giả Việt Nam; nội dung có thể được rút gọn hoặc diễn giải lại so với bản gốc. Bản quyền nội dung gốc thuộc về tác giả và đơn vị xuất bản ban đầu. Bài viết chỉ mang tính thông tin tham khảo, không phải lời khuyên đầu tư — độc giả nên đối chiếu bản gốc và tự xác minh trước khi ra quyết định. Nếu bạn là chủ sở hữu nội dung và muốn chúng tôi hiệu chỉnh hoặc gỡ bài, vui lòng gửi yêu cầu tại trang Liên hệ của tienso.org.
