KYC trên sàn tiền mã hóa: bạn giao nộp những gì và Revolut đã làm lộ ra sao

Tháng 9, công ty fintech Anh quốc Revolut đã gửi cho tội phạm bản quét hộ chiếu và bằng lái, ảnh selfie xác minh cùng toàn bộ lịch sử giao dịch bitcoin của 680 khách hàng. Không có vụ tấn công nào theo nghĩa thông thường. Các yêu cầu cung cấp dữ liệu đến từ một hòm thư thật trên tên miền chính phủ Ý, vượt qua mọi kiểm tra kỹ thuật về tính xác thực, và nhân viên đã coi đó là yêu cầu hợp pháp của cơ quan chức năng.

Câu chuyện cho thấy mặt còn lại của quy trình mà mọi khách hàng mới đều phải đi qua. Dưới đây chúng ta xem KYC trên sàn tiền mã hóa hoạt động thế nào, bạn bị yêu cầu những giấy tờ và dữ liệu gì, vì sao, và làm sao giảm khả năng thông tin của bạn rơi vào tay kẻ lừa đảo.

KYC là gì

KYC là viết tắt của Know Your Customer, nghĩa là «hiểu rõ khách hàng của bạn». Nói đơn giản, đây là quy định buộc công ty tài chính phải xác định ai đang mở tài khoản và bảo đảm người đó đúng là người họ tự nhận.

Với người dùng, KYC quy về việc xác minh. Bạn tải giấy tờ lên, chụp ảnh khuôn mặt, khai địa chỉ cư trú, còn dịch vụ đối chiếu tất cả những thứ đó với nhau và với các cơ sở dữ liệu bên ngoài. Nhận dạng là bước đầu tiên: trước hết bạn nói mình là ai, sau đó chứng minh bằng giấy tờ.

Bên cạnh KYC gần như luôn có AML, tức chống rửa tiền. Đó là nửa còn lại của cùng một hệ thống. Trước tiên sàn xác định bạn là ai, sau đó theo dõi tiền của bạn đến từ đâu và đi về đâu.

Vì sao sàn yêu cầu hộ chiếu

Yêu cầu này đến từ các cơ quan quản lý chứ không phải từ bản thân nền tảng. Ở hầu hết các khu vực pháp lý lớn, sàn tiền mã hóa được coi ngang với tổ chức tài chính và phải tuân thủ luật chống rửa tiền và chống tài trợ khủng bố. Công ty không xác minh khách hàng sẽ đánh cược giấy phép, ngân hàng đối tác và tiền phạt nặng.

Các quy tắc chung do FATF đặt ra, đây là tổ chức quốc tế soạn thảo chuẩn mực trong lĩnh vực này. Khuyến nghị của FATF yêu cầu dịch vụ tiền mã hóa phải nhận dạng khách hàng và chuyển kèm thông tin người gửi, người nhận khi chuyển tiền giữa các nền tảng. Quy tắc đó gọi là travel rule: thông tin về con người đi cùng giao dịch.

Việc xác minh có ba mục đích thực tế:

• bảo đảm phía sau tài khoản là người thật, không phải bot hay người đứng tên hộ;
• đối chiếu khách hàng với danh sách trừng phạt và danh sách những người dính đến rửa tiền;
• tạo căn cứ để sàn từ chối phục vụ nếu hoạt động tài chính trông đáng ngờ.

Người dùng cũng có lợi. Tài khoản đã xác minh dễ khôi phục hơn khi mất quyền truy cập, còn khi tranh chấp với nền tảng, bạn có bằng chứng rằng tài khoản và số tiền mã hóa trong đó là của mình.

Sàn yêu cầu những giấy tờ nào

Bộ giấy tờ khác nhau tùy nền tảng, nhưng danh sách cơ bản gần như ở đâu cũng giống nhau.

1. Giấy tờ tùy thân. Căn cước hoặc hộ chiếu trong nước, hộ chiếu quốc tế hay bằng lái xe. Trang giấy tờ được chụp trọn vẹn, không lóa sáng và không bị cắt mép.
2. Ảnh khuôn mặt. Đa số dịch vụ yêu cầu selfie trực tiếp: camera kiểm tra rằng trước ống kính là người sống chứ không phải ảnh in. Một số nền tảng muốn bạn chụp khi cầm giấy tờ trên tay.
3. Xác nhận địa chỉ cư trú. Thường là sao kê ngân hàng hoặc hóa đơn tiện ích không quá ba tháng.
4. Nguồn tiền. Ở các mức cao hơn, sàn hỏi tiền từ đâu ra: bảng lương, hợp đồng bán tài sản, sao kê tài khoản.

Với doanh nghiệp thì phải nộp nhiều hơn: giấy tờ thành lập, thông tin về chủ sở hữu hưởng lợi, dữ liệu về giám đốc. Ngoài ra còn bị hỏi về bản chất hoạt động kinh doanh và doanh thu dự kiến.

Các cấp xác minh và hạn mức

Phần lớn nền tảng chia quy trình thành nhiều cấp. Việc kiểm tra tăng dần, từ xác nhận email đơn giản đến phân tích nguồn tiền. Cấp càng cao, bạn giao nộp càng nhiều và tài khoản làm được càng nhiều việc. Với số tiền lớn hoặc giấy tờ gây nghi ngờ, một số nền tảng còn hẹn gọi video với nhân viên.

Hạn mức cụ thể do mỗi sàn tự đặt. Nên xem trước khi đăng ký, chứ không phải sau khoản nạp lớn đầu tiên, khi lệnh rút bất ngờ chạm trần.

Cách vượt qua xác minh trên sàn

Toàn bộ quá trình mất từ vài phút đến vài ngày. Trình tự ở đâu cũng tương tự:

1. Đăng ký và xác nhận email cùng số điện thoại.
2. Mở mục xác minh trong phần cài đặt hồ sơ.
3. Chọn quốc gia và loại giấy tờ.
4. Chụp cả hai mặt giấy tờ trong điều kiện đủ sáng.
5. Chụp ảnh khuôn mặt theo hướng dẫn trên màn hình.
6. Chờ kết quả. Kiểm tra tự động thường chỉ mất vài phút, xét duyệt thủ công mất một đến hai ngày.

Để qua được ngay lần đầu, hãy dùng bản gốc chứ không phải bản photocopy, và bảo đảm thông tin trên biểu mẫu khớp từng chữ với hộ chiếu, kể cả cách viết tên bằng chữ Latinh. Chỉ tải tệp lên qua ứng dụng hoặc website chính thức: đây là vấn đề an toàn, không phải tiện lợi.

Vì sao hồ sơ xác minh bị từ chối

Việc từ chối thường không phải vì nghi ngờ mà vì những chuyện nhỏ:

• ảnh bị mờ hoặc lóa sáng;
• hộ chiếu đã hết hạn;
• tên viết không khớp;
• quốc gia cư trú mà sàn không phục vụ;
• cố dùng giấy tờ của người khác như của mình.

Điểm cuối đáng nói riêng. Các dịch vụ xác thực danh tính so khuôn mặt trong ảnh selfie với ảnh trên giấy tờ và phát hiện việc mạo danh. Tài khoản mở bằng tên người khác có thể bị khóa bất cứ lúc nào cùng toàn bộ số tiền bên trong, và sẽ không thể khiếu nại được nữa.

Sau khi xác minh thì sao

Xác minh không phải sự kiện một lần. Sau đó sàn vẫn tiếp tục theo dõi hoạt động của bạn, và giai đoạn này thường bị đánh giá thấp.

Hệ thống AML chấm điểm mọi giao dịch nạp vào. Nếu tiền mã hóa đến từ địa chỉ liên quan đến lừa đảo, máy trộn hoặc dịch vụ bị trừng phạt, khoản chuyển sẽ nhận điểm rủi ro cao. Khi đó nền tảng có thể yêu cầu giải trình, đóng băng số tiền cho đến khi làm rõ hoặc đóng tài khoản. Kiểm tra trước địa chỉ người gửi có ích, nhưng bản thân việc kiểm tra AML cũng có những cạm bẫy riêng mà chúng tôi đã viết trong bài về kiểm tra AML ví tiền mã hóa.

Thay đổi đột ngột trong hành vi cũng kích hoạt đợt rà soát mới: số tiền lớn sau nhiều tháng im ắng, đăng nhập từ nước khác, chuyển tiền thường xuyên tới các địa chỉ mới. Đó là những tín hiệu kinh điển dùng để truy tìm rửa tiền. Với khách hàng, kết luận chỉ có một: hãy chuẩn bị sẵn bằng chứng về nguồn gốc số tiền từ trước, đừng đợi đến khi khoản tiền đã bị đóng băng mới đi thu thập.

Sàn lưu dữ liệu của bạn bao lâu

Xóa tài khoản không xóa giấy tờ của bạn khỏi kho lưu trữ của nền tảng. Luật chống rửa tiền buộc các công ty tài chính giữ bản sao giấy tờ và dữ liệu giao dịch ít nhất năm năm sau khi chấm dứt quan hệ với khách hàng. Mốc này có trong cả luật 115-FZ của Nga lẫn các chỉ thị chống rửa tiền của EU.

Thành ra, dữ liệu cá nhân đã tải lên một lần sẽ nằm lại ở công ty nhiều năm, đôi khi ở vài công ty cùng lúc. Nhiều sàn tiền mã hóa không tự làm khâu kiểm tra mà giao cho nhà cung cấp KYC bên ngoài, khi đó bản sao còn được lưu ở đó nữa. Mỗi mắt xích thêm vào chuỗi này đều làm tăng rủi ro rò rỉ.

Trước khi đăng ký, nên mở chính sách quyền riêng tư và tìm ba điều: ai xử lý dữ liệu, dữ liệu lưu ở đâu và có thể được chuyển cho ai. Nếu nền tảng không trả lời những câu hỏi đó, đấy là lý do để cẩn trọng ngay trước khi tải lên tệp đầu tiên.

Chuyện gì đã xảy ra ở Revolut

Vụ Revolut đáng chú ý vì dữ liệu không rò rỉ qua lỗ hổng phần mềm mà qua chính quy trình mà cơ quan quản lý coi là biện pháp bảo vệ.

Theo Financial Times và các ấn phẩm chuyên ngành, chiến dịch này kéo dài nhiều tháng. Kẻ tấn công đã chiếm được quyền truy cập một hòm thư trong hệ thống thư điện tử chứng thực PEC của Ý, gắn với Bộ Nội vụ. Thư từ địa chỉ đó vượt qua mọi kiểm tra xác thực người gửi — SPF, DKIM và DMARC, nên với bộ phận tuân thủ chúng trông như yêu cầu thật của cơ quan chức năng. Đáp lại, nhân viên đã xuất hồ sơ khách hàng.

Kẻ tấn công lấy được những gì:

• bản quét hộ chiếu và bằng lái;
• ảnh selfie chụp khi xác minh;
• sao kê tài khoản, số IBAN và lịch sử rút tiền;
• toàn bộ lịch sử giao dịch bitcoin.

Ban đầu nhóm này đòi 10.000 BTC, khoảng 780 triệu USD, sau đó hạ xuống còn khoảng 3 triệu USD bằng Monero và dọa bán tệp dữ liệu cho các nhóm tội phạm khác. Revolut gọi sự việc là chiêu mạo danh tinh vi từ bên ngoài và cho biết hệ thống công ty cùng tiền của khách hàng không bị ảnh hưởng. Cơ quan bảo vệ dữ liệu của Anh đang xem xét báo cáo về vụ rò rỉ, cơ quan quản lý tài chính FCA đang làm việc với công ty, còn nhà chức trách Ý điều tra việc hòm thư chính phủ bị xâm phạm.

Vì sao giấy tờ bị đánh cắp lại nguy hiểm

Bản quét tự nó không lấy tiền. Nguy hiểm nằm ở chỗ hồ sơ rò rỉ đi thành bộ: tên, địa chỉ, số điện thoại, ảnh khuôn mặt, lịch sử giao dịch và ước lượng quy mô tài sản. Với kẻ lừa đảo, đó là hồ sơ nạn nhân dựng sẵn.

Có thể làm gì với bộ dữ liệu như vậy:

• mở tài khoản đứng tên bạn trên nền tảng kiểm tra lỏng lẻo và đẩy tiền của người khác qua đó;
• gọi điện nhân danh bộ phận an ninh và đọc đúng số tiền các giao dịch của bạn để tạo lòng tin;
• tìm đến tận nhà chủ nhân của danh mục tiền mã hóa lớn.

Điều cuối không còn là lý thuyết. Chỉ riêng ở Pháp, trong tám tháng đầu năm nay đã ghi nhận hơn 70 vụ bắt cóc và tấn công nhằm cưỡng đoạt tiền mã hóa, như chúng tôi đã viết trong bài về các vụ tấn công bằng cờ lê ở Pháp. Ảnh khuôn mặt cầm giấy tờ được định giá trên chợ đen cao hơn bản quét thường, vì chúng được dùng để vượt qua khâu xác minh của người khác ở các dịch vụ khác.

Sàn tiền mã hóa không cần xác minh: có đáng không

Các nền tảng và điểm đổi không đòi giấy tờ là có thật, và nhu cầu mua ẩn danh cũng dễ hiểu. Nhưng lựa chọn đó có rủi ro riêng:

• hạn mức rút, vượt qua rồi dịch vụ vẫn sẽ đòi giấy tờ, đúng vào lúc tiền của bạn đã nằm ở chỗ họ;
• tiền bị đóng băng theo tín hiệu của hệ thống AML mà không có cách khiếu nại;
• không có pháp nhân nào để bạn đòi trách nhiệm;
• tỷ lệ bản sao lừa đảo trong nhóm dịch vụ này rất cao.

Một rủi ro riêng xuất hiện khi bạn bán tiền mã hóa cho cá nhân bên ngoài nền tảng. Nếu người mua trả bằng tiền có được do lừa đảo, ngân hàng có thể khóa thẻ của bạn với tư cách người nhận, và việc chứng minh mình ngay tình sẽ thuộc về bạn. Vì vậy hãy lưu thông tin đối tác và lịch sử trao đổi ngay cả với một giao dịch duy nhất.

Nói thẳng ra: từ chối xác minh không bảo vệ dữ liệu của bạn mà chỉ dời rủi ro sang chỗ khác. Thay vì rò rỉ giấy tờ, bạn nhận lấy khả năng mất chính số tiền.

Cách bảo vệ dữ liệu khi xác minh

Không thể loại trừ hoàn toàn rò rỉ, nhưng có thể giảm thiệt hại. Các quy tắc an toàn cơ bản ở đây giống như với mọi dịch vụ tài chính.

1. Kiểm tra địa chỉ website. Bản sao giả mạo của sàn thu thập giấy tờ y hệt bản gốc. Chúng tôi đã viết về các chiêu này trong bài về lừa đảo giả mạo trong tiền mã hóa.
2. Đừng gửi giấy tờ qua ứng dụng nhắn tin. Không nền tảng nào yêu cầu bạn gửi ảnh giấy tờ tùy thân qua Telegram hay bằng thư trả lời.
3. Đánh dấu các bản sao gửi qua email. Dòng chữ «chỉ dùng để xác minh trên nền tảng X» kèm ngày tháng khiến bản sao khó bị dùng lại. Cách này không áp dụng cho kiểm tra tự động qua camera: hệ thống sẽ từ chối ảnh đã chỉnh sửa.
4. Bật xác thực hai yếu tố. Bản sao bị đánh cắp cũng không giúp ai vào được tài khoản nếu mỗi lần đăng nhập đều phải xác nhận trong ứng dụng xác thực. Đây là thiết lập an toàn quan trọng nhất nên bật ngay từ ngày đầu.
5. Đừng kể công khai về danh mục của bạn. Khoe khoang trên mạng xã hội vẫn là nguồn chính để tội phạm chọn mục tiêu.

Cũng nên nhớ tới dữ liệu cá nhân bạn để lại bên ngoài sàn. Số điện thoại gắn với ví tiền mã hóa và email trên hồ sơ công khai cho kẻ tấn công đúng sợi dây dẫn như một bản quét bị rò rỉ. Càng ít dấu vết như vậy, mức an toàn chung càng cao, và không lượng xác minh nào thay đổi được điều đó.

KYC với người dùng ở Nga

Người dùng ở Nga có những đặc thù riêng. Từ ngày 1 tháng 9 năm 2026, các giao dịch tiền mã hóa trong nước phải đi qua trung gian có giấy phép, còn Rosfinmonitoring tuyên bố mã số thuế (INN) sẽ thành bắt buộc với tài khoản tại kho lưu ký số. Các kho lưu ký báo cáo cho cơ quan quản lý những giao dịch trên 60.000 rúp, khoảng 700 USD. Chúng tôi giải thích chi tiết các quy định này trong hướng dẫn về cách mở tài khoản tiền mã hóa ở Nga.

Với nền tảng nước ngoài thì khác. Một số không chấp nhận giấy tờ Nga hoặc hạn chế tính năng với người cư trú, nên hãy kiểm tra điều khoản áp dụng cho quốc gia của bạn trước khi đăng ký.

Còn một điểm nữa. Sàn có thể chuyển giao dữ liệu khách hàng theo yêu cầu hợp pháp, còn thực tế nó diễn ra thế nào thì bài viết về những gì các sàn giao nộp khi có yêu cầu dữ liệu của chúng tôi đã cho thấy. Vụ Revolut thêm vào đó một chi tiết khó chịu: một yêu cầu không thể phân biệt với yêu cầu hợp pháp lại có thể là giả mạo.