SEC Thái Lan cáo buộc Bitkub che giấu vụ tấn công mạng gây thiệt hại 50 triệu USD

Ủy ban Chứng khoán và Giao dịch Thái Lan đã nộp đơn tố giác hình sự đối với Bitkub Online cùng hai cựu giám đốc, liên quan đến cách sàn giao dịch này báo cáo một vụ tấn công mạng xảy ra từ năm 2021. Sự cố được cho là đã khiến lượng tài sản số trị giá khoảng 1,7 tỷ baht, tương đương 50 triệu USD, bị rút khỏi nền tảng.

Điểm đáng chú ý của vụ việc không chỉ nằm ở quy mô tài sản bị đánh cắp, mà còn ở cáo buộc rằng Bitkub đã không phản ánh trung thực mức thiệt hại trong các báo cáo gửi cơ quan quản lý suốt nhiều tháng sau sự cố.

SEC Thái Lan nộp đơn tố giác Bitkub và hai cựu giám đốc

Ngày 23/7/2026, Ủy ban Chứng khoán và Giao dịch Thái Lan, gọi tắt là SEC Thái Lan, thông báo đã chuyển hồ sơ liên quan đến Bitkub Online cho Cục Phòng chống Tội phạm Kinh tế thuộc Cảnh sát Hoàng gia Thái Lan.

Ngoài pháp nhân Bitkub, hai cựu giám đốc bị nêu tên gồm Sakolkorn Sakavee và Thaweesap Rawan. SEC cáo buộc các bên đã cung cấp thông tin sai lệch cho cơ quan quản lý, đồng thời cho rằng hai cựu giám đốc đã ghi thông tin không đúng sự thật trong tài liệu của doanh nghiệp nhằm khiến SEC hiểu rằng tài sản khách hàng vẫn được lưu giữ bình thường và Bitkub không chịu thiệt hại đáng kể.

Các hành vi bị cáo buộc có thể liên quan đến Điều 76, Điều 88 và Điều 94 của Nghị định Khẩn cấp về Kinh doanh Tài sản Kỹ thuật số năm 2018 của Thái Lan.

Tuy nhiên, việc SEC nộp đơn tố giác mới chỉ là bước khởi đầu của quy trình hình sự. Hồ sơ sẽ tiếp tục được cảnh sát điều tra, sau đó công tố viên quyết định có truy tố hay không trước khi vụ án được đưa ra tòa.

Vụ tấn công mạng xảy ra từ tháng 5/2021

Theo kết quả điều tra được SEC công bố, Bitkub đã trở thành mục tiêu của một cuộc tấn công mạng vào tháng 5/2021.

Kẻ tấn công được cho là đã lấy đi 16 loại tài sản kỹ thuật số khác nhau, với tổng giá trị ước tính khoảng 1,7 tỷ baht. Một phần tài sản của khách hàng đã bị chuyển ra khỏi hệ thống của sàn trong sự cố này.

SEC cho biết Bitkub sau đó đã mua và bổ sung các tài sản kỹ thuật số để thay thế lượng tài sản bị đánh cắp, bắt đầu từ ngày 31/10/2021. Điều này có nghĩa tài sản bị thiếu cuối cùng đã được bù lại, nhưng quá trình khôi phục không xóa bỏ những vấn đề liên quan đến nghĩa vụ báo cáo trong giai đoạn trước đó.

Bitkub cũng cho biết các nhà đồng sáng lập của tập đoàn đã chấp nhận gánh khoản thiệt hại và mua lại đúng loại, đúng số lượng tài sản bị mất để bổ sung cho công ty. Sàn khẳng định khách hàng không phải trực tiếp chịu tổn thất từ sự cố.

Báo cáo của Bitkub không thể hiện tài sản bị thiếu

Trọng tâm trong cáo buộc của SEC không phải là việc Bitkub trở thành nạn nhân của tin tặc, mà là cách sàn phản ánh vụ việc trong báo cáo vốn thanh khoản ròng hằng ngày, còn được gọi là biểu mẫu DA 1.

Theo cơ quan quản lý, các báo cáo Bitkub gửi trong khoảng thời gian từ ngày 10/5 đến ngày 30/10/2021 không thể hiện rằng số dư tài sản của sàn đã thay đổi đáng kể sau vụ tấn công.

SEC cho rằng cách báo cáo này không phù hợp với thực tế rằng một lượng lớn tài sản đã bị rút khỏi nền tảng. Việc không thể hiện khoản thiếu hụt có thể khiến cơ quan quản lý tin rằng hoạt động lưu ký tài sản khách hàng vẫn diễn ra bình thường và không có thiệt hại nào xảy ra.

Sakolkorn Sakavee và Thaweesap Rawan được xác định là những giám đốc chịu trách nhiệm nộp các báo cáo DA 1 trong giai đoạn xảy ra sự cố. Đây là cơ sở để SEC đưa cả hai cá nhân vào đơn tố giác cùng với Bitkub.

Bitkub nói việc không công bố nhằm tránh “bank run”

Trong thông báo phản hồi ngày 24/7, Bitkub cho biết sự việc liên quan đến một ví tài sản kỹ thuật số của công ty bị tin tặc xâm nhập vào đầu tháng 5/2021.

Theo cách giải thích của Bitkub, những người chịu trách nhiệm công bố thông tin khi đó đã quyết định không tiết lộ sự cố vì lo ngại thông tin có thể gây ra một đợt rút tiền đồng loạt, hay “bank run”.

Sàn lập luận rằng nếu khách hàng cùng lúc yêu cầu rút một lượng lớn tài sản trong khi Bitkub vẫn đang xử lý khoản thiếu hụt, công ty có thể không kịp mua đủ tài sản thay thế, từ đó khiến thiệt hại lan rộng hơn.

Đáng chú ý, phản hồi này không phủ nhận việc thông tin về vụ tấn công đã không được công bố trong thời gian xảy ra sự cố. Tuy nhiên, Bitkub cho rằng quyết định đó không xuất phát từ hành vi gian lận hoặc mục đích trục lợi cá nhân, mà nhằm hạn chế nguy cơ hoảng loạn và bảo vệ khách hàng. Đây hiện vẫn chỉ là lập luận từ phía doanh nghiệp và sẽ cần được cơ quan điều tra đánh giá trong quá trình xử lý hồ sơ.

Tài sản khách hàng hiện tại có bị ảnh hưởng không?

Bitkub khẳng định vụ việc từ năm 2021 không ảnh hưởng đến tình trạng tài sản khách hàng đang được lưu giữ trên nền tảng hiện nay.

Trước đó, vào tháng 9/2025, SEC Thái Lan từng tiến hành kiểm tra Bitkub sau khi thông tin về một vụ tấn công mạng xuất hiện trên mạng xã hội. Cơ quan quản lý xác nhận rằng tính đến ngày 8/9/2025, tài sản kỹ thuật số của khách hàng tại Bitkub vẫn đầy đủ và an toàn. Khi đó, SEC cho biết việc xác minh các tài liệu liên quan đến vụ tấn công vẫn đang được tiến hành.

Bitkub cũng cho biết nền tảng hiện áp dụng các tiêu chuẩn như ISO 27001, ISO 27701, SOC 2 Type I và hợp tác lưu ký tài sản với BitGo Trust cùng Coinbase Custody. Tuy nhiên, những biện pháp bảo mật hiện tại không trực tiếp giải quyết câu hỏi pháp lý về tính chính xác của các báo cáo được nộp trong năm 2021.

Bồi thường đầy đủ không đồng nghĩa nghĩa vụ báo cáo đã được đáp ứng

Vụ Bitkub cho thấy hai vấn đề có thể tồn tại song song sau một sự cố bảo mật.

Thứ nhất là trách nhiệm tài chính đối với khách hàng. Nếu sàn nhanh chóng bổ sung tài sản và bảo đảm người dùng có thể rút đầy đủ số dư, thiệt hại trực tiếp có thể được hạn chế.

Thứ hai là nghĩa vụ minh bạch với cơ quan quản lý. Báo cáo vốn và tài sản không chỉ được sử dụng để xác định người dùng có bị mất tiền hay không, mà còn giúp cơ quan quản lý đánh giá khả năng thanh khoản, mức độ an toàn và khả năng đáp ứng yêu cầu rút tiền của sàn tại từng thời điểm.

Do đó, việc tài sản sau này được bổ sung đầy đủ không nhất thiết khiến các báo cáo thiếu chính xác trước đó trở nên hợp lệ. Cơ quan điều tra sẽ phải xác định liệu Bitkub và những người có trách nhiệm đã cố tình cung cấp thông tin sai lệch hay chỉ đưa ra một quyết định quản trị sai trong thời điểm khủng hoảng.

Vụ việc có thể ảnh hưởng lớn đến uy tín của Bitkub

Bitkub là một trong những sàn giao dịch tiền mã hóa lớn và có ảnh hưởng nhất tại Thái Lan. Vì vậy, vụ việc có thể trở thành phép thử quan trọng đối với cả uy tín của doanh nghiệp lẫn cách Thái Lan giám sát hoạt động lưu ký tài sản số.

Rủi ro lớn nhất đối với Bitkub ở thời điểm hiện tại không nhất thiết đến từ khoản tài sản đã bị đánh cắp từ năm 2021, bởi lượng tài sản này được cho là đã được thay thế. Vấn đề nhạy cảm hơn là liệu người dùng và cơ quan quản lý có thể tin tưởng những báo cáo nội bộ của sàn khi một sự cố nghiêm trọng xảy ra hay không.

Dù vậy, cần nhấn mạnh rằng SEC mới chỉ nộp đơn tố giác hình sự. Bitkub và hai cựu giám đốc chưa bị tòa án tuyên có tội. Kết quả cuối cùng sẽ phụ thuộc vào cuộc điều tra của cảnh sát, quyết định của công tố viên và quá trình xét xử nếu vụ án được đưa ra tòa.

Trong thời gian đó, sự khác biệt giữa “tài sản hiện vẫn đầy đủ” và “thông tin trong quá khứ có được báo cáo trung thực hay không” sẽ tiếp tục là trọng tâm của vụ việc.

Vì sao một sàn có thể mất tài sản suốt nhiều tháng mà người dùng không nhận ra?

Khi giữ tài sản trên một sàn tập trung, số dư người dùng nhìn thấy trên ứng dụng không phải là số coin được tách riêng trong một ví mang tên họ. Đó chủ yếu là con số được ghi nhận trên sổ cái nội bộ của sàn.

Ví dụ, khi người dùng mua 1 BTC, hệ thống chỉ cập nhật rằng tài khoản của họ có quyền sở hữu 1 BTC. Sàn không nhất thiết phải lập tức chuyển đúng 1 BTC vào một địa chỉ ví riêng. Tài sản của hàng triệu tài khoản thường được gộp lại trong các ví nóng, ví lạnh và hệ thống lưu ký chung.

Vì vậy, ngay cả khi một phần tài sản thật bị đánh cắp, số dư hiển thị trên tài khoản người dùng vẫn có thể không thay đổi. Người dùng vẫn thấy coin trong ví, vẫn có thể mua bán và chuyển tài sản giữa các tài khoản nội bộ vì các thao tác này phần lớn chỉ làm thay đổi dữ liệu trong cơ sở dữ liệu của sàn.

Vấn đề chỉ trở nên rõ ràng khi nhiều người đồng loạt yêu cầu rút tài sản ra blockchain.

Nếu lượng tiền rút mỗi ngày vẫn thấp hơn phần tài sản còn lại trong ví nóng hoặc số tài sản sàn có thể huy động, hoạt động có thể tiếp tục diễn ra bình thường. Sàn có thêm thời gian sử dụng doanh thu, vốn cổ đông hoặc nguồn tiền khác để mua lại lượng tài sản bị thiếu.

Trong trường hợp Bitkub, tài sản được cho là đã bị đánh cắp từ tháng 5/2021 nhưng chỉ được mua bổ sung đầy đủ vào cuối tháng 10 cùng năm. Trong khoảng thời gian đó, người dùng khó có thể nhận biết khoản thiếu hụt chỉ bằng cách quan sát số dư trên ứng dụng.

Điều này tạo ra sự khác biệt lớn giữa hai khái niệm:

• Số dư tài khoản: số tài sản sàn ghi nhận rằng họ đang nợ người dùng.
• Tài sản dự trữ: số coin và tiền thực tế mà sàn đang kiểm soát để đáp ứng nghĩa vụ đó.

Một sàn có thể tiếp tục hoạt động trong thời gian ngắn dù hai con số không còn bằng nhau, miễn là số yêu cầu rút tiền chưa vượt quá thanh khoản hiện có.

Đây cũng là lý do một cuộc “bank run” đặc biệt nguy hiểm với sàn giao dịch tập trung. Những người rút sớm có thể nhận đủ tài sản, trong khi những người rút sau có nguy cơ gặp tình trạng trì hoãn, đóng cổng rút hoặc giới hạn số tiền được chuyển đi.

Do đó, giao diện hoạt động bình thường không chứng minh rằng sàn vẫn có đủ tài sản. Tốc độ xử lý lệnh, khối lượng giao dịch hay số dư hiển thị trên ứng dụng cũng không thể thay thế việc xác minh dự trữ và nghĩa vụ tài chính thực tế.

Proof of Reserves có phát hiện được tình trạng của Bitkub năm 2021 không?

Về lý thuyết, một hệ thống Proof of Reserves được triển khai đúng cách có thể giúp phát hiện khoản thiếu hụt tài sản của Bitkub sớm hơn. Tuy nhiên, việc chỉ công bố một số địa chỉ ví chưa chắc đã đủ để xác định sàn có mất khả năng thanh toán hay không.

Proof of Reserves thường cho thấy lượng tài sản on-chain mà một sàn kiểm soát tại một thời điểm nhất định. Nếu Bitkub công khai đầy đủ ví dự trữ trước và sau vụ tấn công, người theo dõi blockchain có thể nhận thấy một lượng lớn tài sản đã bị chuyển khỏi các địa chỉ liên quan.

Nhưng việc nhìn thấy tài sản giảm vẫn chưa trả lời được câu hỏi quan trọng nhất: Bitkub đang nợ khách hàng bao nhiêu?

Một sàn có thể nắm giữ tài sản trị giá 1 tỷ USD và tạo cảm giác sở hữu nguồn dự trữ lớn. Tuy nhiên, nếu tổng nghĩa vụ với người dùng là 1,2 tỷ USD, sàn vẫn thiếu 200 triệu USD. Ngược lại, tài sản giảm mạnh sau một vụ hack chưa chắc đồng nghĩa mất khả năng thanh toán nếu sàn còn vốn dự phòng hoặc tài sản hợp lệ ở những địa chỉ khác.

Do đó, để phát hiện tình trạng tương tự vụ Bitkub, Proof of Reserves phải đi kèm ít nhất ba thành phần.

Thứ nhất là Proof of Liabilities, cho thấy tổng số tài sản sàn có nghĩa vụ hoàn trả cho khách hàng. Người dùng cần được phép kiểm tra số dư của mình đã được đưa vào phép tính mà không làm lộ dữ liệu cá nhân của những người khác.

Thứ hai là bằng chứng quyền sở hữu ví. Sàn phải chứng minh thực sự kiểm soát khóa riêng của các địa chỉ được công bố, thay vì chỉ liệt kê ví của bên thứ ba hoặc tài sản không thuộc quyền sử dụng của mình.

Thứ ba là xác minh tài sản không bị vay tạm hoặc thế chấp. Một sàn có thể vay tài sản ngay trước thời điểm chụp dữ liệu, chuyển vào ví để làm đẹp báo cáo rồi hoàn trả sau đó. Ảnh chụp dự trữ tại một thời điểm duy nhất khó phát hiện kiểu thao túng này.

Nếu Bitkub năm 2021 chỉ công bố danh sách ví, cộng đồng có thể nhìn thấy dòng tiền bất thường nhưng chưa chắc xác định được quy mô thiếu hụt. Nếu sàn công bố đồng thời dự trữ, nghĩa vụ với khách hàng và có một bên độc lập kiểm tra thường xuyên, khoảng trống 1,7 tỷ baht sẽ khó bị che giấu trong nhiều tháng.

Dù vậy, Proof of Reserves cũng không thể thay thế một cuộc kiểm toán tài chính hoàn chỉnh. Công cụ này thường không phản ánh đầy đủ các khoản vay, nghĩa vụ ngoài chuỗi, tài sản thế chấp, chi phí vận hành hoặc các khoản nợ đối với bên thứ ba.

Vì thế, mô hình minh bạch đáng tin cậy hơn không chỉ là “sàn có bao nhiêu coin trong ví”, mà phải trả lời đồng thời bốn câu hỏi:

• Sàn đang kiểm soát bao nhiêu tài sản?
• Sàn đang nợ khách hàng bao nhiêu?
• Các tài sản đó có bị thế chấp hoặc vay tạm không?
• Dữ liệu có được kiểm tra liên tục bởi một bên độc lập không?

Vụ Bitkub cho thấy Proof of Reserves có thể là một lớp cảnh báo hữu ích, nhưng chỉ thực sự có giá trị khi người dùng nhìn thấy cả hai phía của bảng cân đối kế toán. Dự trữ lớn không có nhiều ý nghĩa nếu nghĩa vụ phải trả còn lớn hơn hoặc dữ liệu chỉ được công bố tại thời điểm có lợi cho sàn.