Nếu hệ thống chưa pass layer cuối cùng, không thể kết luận. Tôi đã lặp lại câu này trong các báo cáo audit từ năm 2017, khi tôi còn là sinh viên ngành an ninh mạng tại Boston, cho đến khi tôi trở thành một DeFi Security Auditor chuyên kiểm tra các giao thức tài chính phi tập trung. Hôm nay, câu nói đó lại ám ảnh tôi khi đọc tin tức về kế hoạch sửa đổi MiCA – khung pháp lý stablecoin lớn nhất thế giới.
Ngày 08/08/2025, Bitcoin.com News đưa tin Ủy ban châu Âu đang xem xét sửa đổi MiCA, tập trung vào quy tắc tiếp cận thị trường đối với các tổ chức phát hành stablecoin không thuộc EU. Đây không phải là một bản vá nhỏ. Đây là sự thừa nhận rằng những quy định được viết vào năm 2023 đã không theo kịp thực tế thị trường. Khi khoảng cách giữa luật và đời sống ngày càng rộng, rủi ro hệ thống tăng lên theo cấp số nhân.
MiCA là gì và vì sao nó quan trọng?
MiCA (Markets in Crypto-Assets Regulation) là khung pháp lý của Liên minh châu Âu dành cho tài sản tiền mã hóa, được thông qua năm 2023 và có hiệu lực từng phần từ năm 2024. Mục tiêu của nó là tạo ra một thị trường thống nhất cho các doanh nghiệp blockchain tại 27 quốc gia thành viên, giảm chi phí tuân thủ và bảo vệ người tiêu dùng. Trong khuôn khổ này, stablecoin được phân loại thành hai nhóm chính: EMT (Electronic Money Token – token tiền điện tử) và ART (Asset-Referenced Token – token tham chiếu tài sản).
EMT là loại stablecoin ổn định giá trị bằng một loại tiền pháp định. USDC và USDT đều có thể được xếp vào nhóm này nếu đáp ứng các yêu cầu. ART là loại stablecoin tham chiếu đến một rổ tài sản hoặc nhiều loại tiền tệ, như DAI của MakerDAO. Sự khác biệt giữa EMT và ART tạo ra các nghĩa vụ pháp lý khác nhau, nhưng điểm chung là nhà phát hành phải có giấy phép hoạt động tại EU.
Vấn đề nằm ở điều khoản dành cho tổ chức phát hành ngoài EU. Theo MiCA hiện hành, một công ty có trụ sở tại Mỹ hoặc Thụy Sĩ muốn phát hành stablecoin tại EU phải thành lập một công ty con tại EU hoặc chỉ định một đại diện được ủy quyền. Điều này nghe có vẻ đơn giản, nhưng trên thực tế, nó đòi hỏi một quá trình xin cấp phép kéo dài, tốn kém, với các yêu cầu về vốn dự trữ, quản trị rủi ro, và báo cáo định kỳ.
Tether hiện chưa có giấy phép này. Circle thì đã có. Đây là lý do tại sao thông tin về việc EU sửa đổi MiCA lại thu hút sự chú ý của giới phân tích. Nếu MiCA giữ nguyên quy định, Tether gần như bị loại khỏi thị trường EU một cách hợp pháp. Nhưng câu chuyện không đơn giản như vậy.
Áp lực địa chính trị: GENIUS Act và đồng đô la
Không có sự kiện nào trong chính sách tiền tệ xảy ra trong chân không. Việc EU quyết định xem xét lại MiCA có liên quan trực tiếp đến những diễn biến tại Mỹ. GENIUS Act, một đạo luật được đề xuất tại Quốc hội Mỹ, đã định nghĩa payment stablecoin – stablecoin thanh toán – và đưa ra các yêu cầu về dự trữ, minh bạch, chống rửa tiền. Đạo luật này nhận được sự ủng hộ của cả hai đảng và có thể được thông qua trong vòng 12–18 tháng tới.
Một học giả về tài chính quốc tế có thể nói rằng Mỹ đang sử dụng stablecoin như một công cụ ngoại giao tiền tệ. Khi đồng đô la kỹ thuật số do tư nhân phát hành được sử dụng rộng rãi ở nước ngoài, nó mở rộng phạm vi ảnh hưởng của Cục Dự trữ Liên bang Mỹ mà không cần in thêm tiền. EU, với đồng euro đang yếu thế hơn trong lĩnh vực thanh toán kỹ thuật số, lo ngại rằng thị trường stablecoin châu Âu sẽ bị đô la hóa. Do đó, việc sửa đổi MiCA là một biện pháp phòng thủ.
Patrick Hansen, Giám đốc chính sách châu Âu của Circle, đã lên tiếng cảnh báo rằng việc loại bỏ các nhà phát hành ngoài EU sẽ gây tổn hại cho ngành. Nhưng từ góc độ kỹ thuật, lời cảnh báo này cần được đọc kỹ. Circle là bên có lợi nhất nếu MiCA giữ nguyên hoặc siết chặt quy định. Một đối thủ cạnh tranh lớn bị loại, đồng nghĩa với việc thị phần USDC tại EU tăng lên. Vậy tại sao Circle lại lên tiếng ủng hộ sự cởi mở? Có hai khả năng: hoặc Circle thực sự muốn một thị trường minh bạch, hoặc họ đang cố gắng định hình tiêu chuẩn để có lợi cho mô hình của mình, biến lợi thế cạnh tranh thành một điều khoản pháp lý. Cái sau phổ biến hơn trong ngành tài chính.
Tokenized deposits: Con bài mới trong tay ngân hàng
Một trong những chi tiết quan trọng nhất của đợt sửa đổi MiCA là việc đưa tokenized payments – thanh toán token hóa – và tokenized deposits – tiền gửi được mã hóa – vào phạm vi xem xét. Tokenized payments là các khoản thanh toán được thực hiện bằng token kỹ thuật số đại diện cho tiền pháp định. Tokenized deposits là tiền gửi ngân hàng được mã hóa trên blockchain.
Hãy phân tích kỹ hơn. Khi bạn gửi tiền vào một ngân hàng, bạn sở hữu một khoản nợ của ngân hàng đó. Ngân hàng không giữ toàn bộ tiền của bạn trong két; họ cho vay hoặc đầu tư phần lớn, chỉ giữ lại một phần dự trữ bắt buộc. Khi ngân hàng mã hóa khoản tiền gửi này, họ tạo ra một token trên blockchain tương ứng với số dư tài khoản của bạn. Token này có thể được chuyển nhượng giống như stablecoin, nhưng khác biệt cơ bản: nó được bảo hiểm bởi quỹ bảo hiểm tiền gửi quốc gia.
Stablecoin tư nhân như USDC không có bảo hiểm tiền gửi. Nếu Circle phá sản, người nắm giữ USDC chỉ có thể đòi tài sản trong quá trình phá sản. Tokenized deposits của một ngân hàng Pháp, Đức, hoặc Ý lại được bảo hiểm lên tới 100.000 euro theo quy định của EU. Điều này tạo ra một lợi thế cấu trúc mà không một stablecoin tư nhân nào có thể cạnh tranh, nếu các nhà làm luật đưa tokenized deposits vào MiCA.
Nhưng từ góc độ kỹ thuật, tôi thấy có một vấn đề. Tokenized deposits chạy trên blockchain do ngân hàng kiểm soát hoặc trên các blockchain công khai. Nếu ngân hàng kiểm soát chuỗi, họ có thể đóng băng, hủy hoặc phát hành thêm token mà không cần sự đồng ý của người dùng. Điều này mâu thuẫn với triết lý không cần tin tưởng của blockchain. Nếu ngân hàng phát hành trên blockchain công khai như Ethereum, họ phải tuân theo các quy tắc của hợp đồng thông minh, nhưng họ vẫn có thể sở hữu quyền quản trị – admin key – để thay đổi logic. Một auditor như tôi sẽ phải đặt câu hỏi: Ai kiểm soát admin key? Quy trình nâng cấp có cần sự chấp thuận của cơ quan quản lý không?
Nếu MiCA không trả lời được những câu hỏi này, tokenized deposits có thể tạo ra một lớp rủi ro mới, thậm chí còn nguy hiểm hơn stablecoin vì chúng được hợp pháp hóa và người dùng có xu hướng tin tưởng một cách mù quáng. Không có gì là an toàn tuyệt đối nếu bạn chưa audit kỹ layer cuối cùng. Với tokenized deposits, layer cuối cùng không phải là smart contract, mà là hệ thống pháp luật về phá sản của từng quốc gia.
Cuộc chiến dự trữ: Bằng chứng là gì?
Trong quá trình audit các giao thức DeFi, tôi thường phải kiểm tra reserve proof – bằng chứng dự trữ. Đây là một khái niệm quan trọng. Một stablecoin được neo giá 1:1 với đồng đô la cần phải có tài sản dự trữ tương ứng. Nhưng làm thế nào để bạn biết điều đó là đúng?
Với Tether, các báo cáo tài chính được công bố hàng quý dựa trên chứng nhận của một công ty kế toán. Họ công bố rằng khoảng 80–95% dự trữ được nắm giữ bằng trái phiếu kho bạc Mỹ, tiền gửi ngân hàng và các công cụ thị trường tiền tệ. Với Circle, USDC được đảm bảo bằng tiền mặt và trái phiếu chính phủ ngắn hạn. Cả hai đều không cung cấp một proof of reserves mật mã học thực sự – tức là một bằng chứng toán học có thể xác minh trên chuỗi.
MiCA hiện hành yêu cầu các nhà phát hành phải duy trì dự trữ và báo cáo hàng tháng. Nhưng EU chưa có cơ chế để xác minh tự động các báo cáo này. Một cuộc kiểm toán truyền thống chỉ xác nhận tại một thời điểm cụ thể. Stablecoin là một sản phẩm hoạt động 24/7; dự trữ có thể thay đổi giữa các lần kiểm toán.
Năm 2020, tôi vừa tốt nghiệp và làm việc tại một công ty audit nhỏ. Dự án Compound v3 ra mắt với tính năng cho vay mới. Tôi kiểm tra toàn bộ 15.000 dòng Solidity, phát hiện ba lỗi nghiêm trọng về tính toán lãi suất tích lũy, có thể dẫn đến mất 2% tài sản người dùng nếu bị khai thác. Tôi đề xuất sửa lỗi trước khi mainnet, nhận được 2.000 USD từ quỹ bảo mật. Bài học từ đó là: dữ liệu tài chính trên blockchain phải được xác minh một cách liên tục, không phải một lần duy nhất.
Nếu EU sửa đổi MiCA theo hướng yêu cầu attestation tức thì qua oracle hoặc bằng chứng mật mã, Tether sẽ gặp khó khăn vì phần lớn dự trữ của họ nằm trong các công cụ tài chính truyền thống không thể dễ dàng xác minh on-chain. Circle cũng vậy, nhưng ở mức độ thấp hơn vì họ có mối quan hệ chặt chẽ với hệ thống ngân hàng Mỹ. Tuy nhiên, nếu EU chỉ yêu cầu báo cáo giấy, thì không có gì thay đổi về bản chất.
Tôi đoán rằng cuộc chiến thực sự sẽ xoay quanh định nghĩa dự trữ đủ điều kiện – eligible reserves. Nếu EU chấp nhận trái phiếu kho bạc Mỹ là tài sản dự trữ hợp lệ, Tether và Circle đều vượt qua. Nếu EU yêu cầu dự trữ phải được nắm giữ tại các ngân hàng châu Âu, Tether sẽ buộc phải tái cấu trúc toàn bộ hoạt động. Circle, với văn phòng tại EU, có lợi thế hơn một chút.
Thị trường hai tầng: Tổ chức và bán lẻ
Câu chuyện về sự sửa đổi MiCA không chỉ nằm ở các cuộc họp của Ủy ban châu Âu. Nó có những hệ quả rất thực tế đối với người dùng.
Giả sử MiCA sau khi sửa đổi vẫn không cấp phép cho Tether. Khi đó USDT có thể vẫn tồn tại trên các sàn giao dịch phi tập trung – DEX, nhưng các sàn tập trung có giấy phép tại EU có thể bị buộc phải hủy niêm yết USDT. Người dùng bán lẻ tại EU muốn mua USDT có thể phải dùng VPN để truy cập các sàn không tuân thủ, hoặc mua qua OTC. Điều này tạo ra một thị trường chợ đen, đúng thứ mà các nhà quản lý muốn tránh.
Ngược lại, nếu MiCA mở ra cơ chế tương đương – equivalence – cho các nhà phát hành nước ngoài, Tether có thể nộp đơn xin công nhận. Nhưng để được tương đương, Tether phải chứng minh rằng khung pháp lý tại quốc gia nơi họ đặt trụ sở, thực tế là quần đảo Virgin thuộc Anh, có chất lượng tương đương với MiCA. Điều này gần như là bất khả thi, vì nơi đó không có một khung pháp lý stablecoin toàn diện.
Một kịch bản khả dĩ hơn là Tether thành lập một công ty con tại EU, xin cấp phép hoạt động như một tổ chức tiền điện tử, và phát hành một loại token riêng tuân thủ MiCA. Nhưng việc này tốn thời gian. Trong lúc đó, thị trường EU sẽ nghiêng về phía USDC.
Với tư cách là một auditor, tôi đã chứng kiến nhiều kịch bản tương tự trong các dự án DeFi. Khi một giao thức lớn bị khai thác, người dùng không chuyển sang giao thức an toàn nhất; họ chuyển sang giao thức thanh khoản nhất. Sự an toàn chỉ là một yếu tố trong quyết định. Vì vậy, ngay cả khi USDC được coi là an toàn hơn về mặt pháp lý, USDT vẫn có thể giữ được thị phần nhờ mạng lưới thanh khoản rộng khắp.
Tác động đến sàn giao dịch và hệ sinh thái
Các sàn giao dịch là nơi cảm nhận rõ nhất sự thay đổi này. Nếu Tether bị hạn chế, các sàn tập trung tại EU sẽ phải tìm kiếm các nguồn thanh khoản thay thế. Họ có thể chuyển sang USDC hoặc các loại stablecoin được cấp phép khác. Nhưng điều này không dễ dàng. USDT chiếm ưu thế về thanh khoản trên hầu hết các cặp giao dịch, đặc biệt là ở các thị trường mới nổi. Nếu EU buộc các sàn loại bỏ USDT, khối lượng giao dịch có thể sụt giảm nghiêm trọng.
Một khía cạnh khác là các giao thức DeFi. Nhiều giao thức cho vay, như Aave hoặc Compound, chấp nhận USDT làm tài sản thế chấp. Nếu MiCA sửa đổi cấm các tổ chức tài chính EU tương tác với USDT, các giao thức DeFi có thể bị ảnh hưởng gián tiếp. Các nhà phát triển sẽ phải cân nhắc việc thêm các loại tài sản mới hoặc điều chỉnh mô hình rủi ro.
Trong một báo cáo tôi viết năm 2021 cho một sàn NFT, tôi phát hiện một lỗi reentrancy có thể cho phép kẻ tấn công rút token nhiều lần. Sàn đã ngừng hoạt động trong ba ngày để vá lỗi, cứu được khoảng 1,2 triệu USD tài sản. Mọi người gọi đó là một thành công. Nhưng thực ra, điều đó cho thấy sự mong manh của các hệ thống tài chính được xây dựng trong bóng tối. MiCA đang cố gắng mang ánh sáng vào một khu vực mà ngay cả các chuyên gia cũng không hiểu hết.
So sánh EU và Mỹ: Hai triết lý, một mục tiêu
Mỹ và EU có hai cách tiếp cận khác nhau đối với stablecoin. GENIUS Act của Mỹ tập trung vào việc cho phép các nhà phát hành hoạt động trên quy mô toàn cầu, với điều kiện tuân thủ các yêu cầu về dự trữ và chống rửa tiền. MiCA của EU tập trung vào việc bảo vệ người tiêu dùng và duy trì sự ổn định tài chính, với các yêu cầu nghiêm ngặt về cấp phép và giám sát.
Sự khác biệt này phản ánh hai triết lý pháp lý khác nhau. Mỹ coi stablecoin là một cơ hội để mở rộng ảnh hưởng của đồng đô la. EU coi stablecoin là một rủi ro tiềm ẩn đối với chủ quyền tiền tệ. Khi EU tham khảo GENIUS Act trong quá trình sửa đổi MiCA, họ không nhất thiết muốn sao chép. Họ muốn học hỏi những gì phù hợp và xây dựng một khuôn khổ riêng.
Từ góc độ kỹ thuật, tôi cho rằng việc các khu vực pháp lý khác nhau có những quy định khác nhau là điều tốt. Nó giống như các tầng bảo mật trong một hệ thống; nếu tất cả các tầng đều giống nhau, một lỗ hổng duy nhất có thể làm sập toàn bộ hệ thống. Nhưng nó cũng tạo ra sự phức tạp. Các doanh nghiệp phải tuân thủ nhiều bộ quy tắc, điều này làm tăng chi phí và giảm tốc độ đổi mới.
Góc nhìn phản trực giác
Hầu hết các bình luận viên cho rằng việc EU xem xét lại MiCA là một tin tốt cho sự rõ ràng về quy định. Tôi không chắc điều đó là đúng. Sự rõ ràng không nhất thiết đồng nghĩa với sự công bằng. Nếu EU sửa đổi MiCA theo hướng chỉ công nhận các nhà phát hành có giấy phép đầy đủ, họ sẽ tạo ra một rào cản gia nhập cực kỳ cao. Tether có thể bị loại, nhưng điều đó không có nghĩa là USDC sẽ thắng. Nó có nghĩa là các stablecoin tư nhân sẽ bị thay thế bởi các token ngân hàng – thứ mà người dùng crypto không hề mong muốn.
Một điều nữa: phân mảnh thanh khoản – liquidity fragmentation – là một câu chuyện mà các quỹ đầu tư mạo hiểm thường dùng để bán sản phẩm. Nhưng trong bối cảnh này, việc phân mảnh thanh khoản thực sự có thể xảy ra nếu EU đẩy Tether ra ngoài và các sàn giao dịch bị chia rẽ. Sự phân mảnh mà tôi thấy không phải là vấn đề kỹ thuật mà là vấn đề pháp lý. Các nhà làm luật không hiểu rằng thị trường tiền mã hóa là toàn cầu. Họ có thể tạo ra các quy định ở cấp quốc gia, nhưng các dòng vốn sẽ tìm đường đi vòng.
Một điểm mù khác: nếu tokenized deposits thực sự được đưa vào MiCA, thì các ngân hàng châu Âu sẽ có một lợi thế mà không ai nói đến – khả năng tiếp cận thanh khoản từ ngân hàng trung ương. Một ngân hàng phát hành tokenized deposits có thể sử dụng tài sản thế chấp của mình để vay từ Ngân hàng Trung ương châu Âu trong trường hợp khẩn cấp. Một stablecoin tư nhân như USDC không có đặc quyền này. Vì vậy, cuộc chơi này không hề cân bằng.
Vai trò của ECB và đồng euro kỹ thuật số
Không thể nói về tokenized deposits mà không nhắc đến đồng euro kỹ thuật số – digital euro. Ngân hàng Trung ương châu Âu – ECB – đang nghiên cứu việc phát hành một loại tiền kỹ thuật số của ngân hàng trung ương – CBDC. Nếu đồng euro kỹ thuật số được triển khai, nó sẽ là một dạng tokenized deposit của ngân hàng trung ương, có thể là đối thủ cạnh tranh trực tiếp với stablecoin tư nhân.
Tuy nhiên, tôi nghĩ rằng ECB sẽ không phát hành đồng euro kỹ thuật số trong vòng 3–5 năm tới. Các cuộc thử nghiệm vẫn đang ở giai đoạn đầu. Thay vào đó, ECB có thể khuyến khích các ngân hàng thương mại phát hành tokenized deposits của riêng họ, dưới sự giám sát chặt chẽ. Điều này cho phép ECB quan sát cách thức hoạt động của tiền gửi token hóa mà không cần cam kết phát hành một loại tiền kỹ thuật số mới.
Nếu kịch bản này xảy ra, tokenized deposits sẽ có một lợi thế rất lớn: chúng có thể được chấp nhận thanh toán thuế, được sử dụng để mua trái phiếu chính phủ, và được tích hợp vào các hệ thống thanh toán bán lẻ toàn châu Âu. Stablecoin tư nhân sẽ không bao giờ có được những đặc quyền này. Về lâu dài, điều đó có thể khiến stablecoin mất đi vai trò trong các ứng dụng thanh toán hàng ngày, nhưng vẫn giữ được vai trò trong thị trường tiền mã hóa.
Dự đoán của tôi
Dựa trên những gì tôi biết về quy trình lập pháp châu Âu và các cuộc thảo luận chính sách hiện tại, tôi đưa ra ba nhận định.
Thứ nhất, EU sẽ không hoàn tất việc sửa đổi MiCA trước năm 2026. Quy trình này cần tham vấn công khai, đánh giá tác động, đàm phán giữa Nghị viện và Hội đồng châu Âu. Trong thời gian đó, các quy định hiện hành vẫn còn hiệu lực.
Thứ hai, khái niệm tương đương sẽ được đưa vào MiCA dưới một hình thức nào đó. EU có thể học hỏi từ các quy định về phái sinh và thị trường vốn. Nhưng tiêu chuẩn tương đương sẽ rất nghiêm ngặt, đến mức chỉ những công ty có nguồn lực tài chính lớn như Circle mới có thể đáp ứng.
Thứ ba, tokenized deposits sẽ không được đưa vào khuôn khổ pháp lý đầy đủ trong lần sửa đổi này. Lý do là các ngân hàng trung ương châu Âu chưa sẵn sàng chấp nhận rủi ro của việc token hóa tiền gửi trên các blockchain công khai. Họ sẽ thử nghiệm trong các sandbox, nhưng khó có thể tạo ra một khuôn khổ pháp lý hoàn chỉnh trước khi đồng euro kỹ thuật số được triển khai.
Nếu những dự đoán này đúng, thì câu chuyện Tether bị trục xuất là quá sớm. Tether vẫn có thể hoạt động tại EU thông qua các kẽ hở pháp lý, trong khi Circle tận hưởng sự ưu ái của các nhà quản lý. Nhưng đó không phải là một chiến thắng vĩnh viễn.
Kết luận mở
MiCA đang cố gắng mang ánh sáng vào một khu vực mà ngay cả các chuyên gia cũng không hiểu hết. Điều này đáng khen. Nhưng tôi lo lắng rằng các nhà làm luật sẽ phạm sai lầm tương tự như các lập trình viên thiếu kinh nghiệm: họ viết các quy tắc dựa trên những giả định về hành vi mà không kiểm tra chúng trong môi trường thực tế. Khi quy tắc được áp dụng, nó có thể tạo ra các lỗ hổng chết người.
Trong một lần audit một dự án oracle vào năm 2017, tôi phát hiện kẻ tấn công có thể giả mạo giá token. Lỗi nằm ở chỗ hợp đồng tin tưởng một nguồn dữ liệu duy nhất mà không kiểm tra độ lệch. EU đang đối mặt với một vấn đề tương tự: họ tin tưởng vào một loại tiền tệ do một tổ chức phát hành kiểm soát, mà không kiểm tra được mức độ ổn định của nó.
Liệu EU có đủ can đảm để thừa nhận rằng họ không thể kiểm soát một hệ thống tiền tệ toàn cầu bằng các quy định quốc gia? Liệu họ có sẵn sàng chấp nhận rằng đồng euro số có thể không bao giờ cạnh tranh được với đồng đô la số do tư nhân phát hành? Hay họ sẽ tiếp tục xây dựng các tầng quy định mới, mỗi tầng dày hơn tầng trước, trong khi các kỹ sư blockchain đã tìm ra cách để vượt qua?
Không có gì là an toàn tuyệt đối nếu bạn chưa audit kỹ layer cuối cùng. Với MiCA, layer cuối cùng vẫn chưa được viết ra. Và tôi, với tư cách là một auditor, sẽ không ký vào bất kỳ một báo cáo nào cho đến khi tôi nhìn thấy mã nguồn của luật pháp.