Iran bán dầu bằng crypto: 110 tỷ USD “bay” khỏi radar – góc nhìn từ audit
Đặng Phúc
110 tỷ USD. Đó là con số dầu thô Iran được thanh toán bằng tiền mã hóa trong năm nay, theo một báo cáo chấn động từ Crypto Briefing. Nhưng bạn sẽ không tìm thấy giao dịch nào trên Etherscan, không có dòng lệnh nào trong block explorer. Tất cả diễn ra trong bóng tối của OTC và stablecoin, một vùng xám mà ngay cả những auditor như tôi cũng phải đặt câu hỏi: liệu chúng ta có đang đánh giá thấp rủi ro tuân thủ của toàn bộ ngành? Là một kỹ sư bảo mật DeFi, tôi đã audit hàng trăm hợp đồng, nhưng chưa bao giờ thấy một “hợp đồng” nào có giá trị lớn đến thế mà không có dòng code nào để kiểm tra.
Bối cảnh: Iran nằm dưới lệnh trừng phạt tài chính nghiêm ngặt của Mỹ (OFAC). Mọi giao dịch USD đều bị chặn. Nhưng dầu vẫn phải bán. Giải pháp: chấp nhận thanh toán bằng Bitcoin, USDT, hoặc các tài sản crypto dễ thanh khoản. Câu chuyện này không mới – Venezuela từng thử Petro. Nhưng con số 110 tỷ là một cột mốc, chứng minh rằng crypto không chỉ là công cụ đầu cơ, mà đã trở thành huyết mạch của nền kinh tế bị cô lập. Theo báo cáo, các giao dịch được thực hiện qua mạng lưới các sàn OTC, chủ yếu ở Trung Đông và Đông Nam Á, nơi mà KYC có thể dễ dàng bị bỏ qua.
Từ góc nhìn kỹ thuật, tôi muốn phân tích cơ chế giao dịch tiềm năng. Với khối lượng 110 tỷ USD trong một năm, trung bình khoảng 9 tỷ USD mỗi tháng – tương đương 300 triệu USD mỗi ngày. Con số này vượt xa khối lượng giao dịch trên bất kỳ DEX nào. Vậy họ làm thế nào? Rất có thể, họ dùng USDT trên TRON (phí thấp, xác nhận nhanh) hoặc Bitcoin qua OTC. USDT on TRON có lợi thế: phí gas vài cent, khả năng tùy chỉnh (Tether có thể đóng băng địa chỉ – nhưng đó lại là rủi ro cho Iran). Bitcoin thì chậm hơn, nhưng danh tính người dùng ẩn danh hơn. Từng dòng gas được tối ưu, từng bit được cân nhắc – nhưng ở đây, tôi không thấy dòng code nào, chỉ thấy rủi ro.
Tôi từng audit một nền tảng OTC vào năm 2022. Họ dùng smart contract escrow: người mua gửi USDT, người bán gửi dầu (hay token đại diện), hợp đồng giải phóng khi cả hai xác nhận. Tôi phát hiện một lỗi reentrancy trong hàm withdraw – kẻ tấn công có thể rút tiền nhiều lần trước khi số dư cập nhật. Nếu Iran dùng cơ chế tương tự, rủi ro mất tiền là rất thực. Nhưng thực tế, với các giao dịch liên chính phủ, họ thường dùng multisig đơn giản: 2/3 chữ ký từ các bên. Ít code hơn, ít lỗi hơn. Nhưng rủi ro chính không nằm ở lỗi logic, mà nằm ở giả định – giả định rằng bên thứ ba (ví dụ: một công ty Thụy Sĩ) sẽ không bị OFAC khóa tài sản. Năm ngoái, Tether đã đóng băng hơn 800 địa chỉ liên quan đến khủng bố và trừng phạt. Nếu một trong các địa chỉ của Iran bị khóa, giao dịch dầu sẽ đổ vỡ.
Lỗi không nằm ở logic, mà nằm ở giả định. Nhiều người cho rằng đây là chiến thắng của crypto – chứng minh tính phi tập trung và khả năng chống kiểm duyệt. Nhưng từ góc nhìn của một người làm audit, tôi thấy đây là con dao hai lưỡi. Một khi các chính phủ thấy crypto được dùng để phá vỡ lệnh trừng phạt, họ sẽ không ngần ngại siết chặt quy định, khiến không chỉ Iran mà toàn bộ hệ sinh thái DeFi phải gánh chịu. Các công cụ như Chainalysis sẽ trở nên mạnh mẽ hơn, và những ai nghĩ rằng mình ẩn danh sẽ bất ngờ. Thực tế, dữ liệu on-chain của USDT trên TRON hoàn toàn có thể bị theo dõi nếu bạn biết địa chỉ ví. Một công ty phân tích có thể dễ dàng xác định các cụm địa chỉ liên quan đến Iran thông qua mối quan hệ với các sàn OTC đã biết. Vậy “ẩn danh” chỉ là ảo tưởng.
Câu chuyện Iran 110 tỷ USD là một hồi chuông cảnh tỉnh. Thị trường đang đi ngang, nhưng dưới bề mặt là những dòng chảy ngầm định hình tương lai. Là một auditor, tôi khuyên các builder hãy xem xét kỹ mô hình kinh doanh của mình: liệu sản phẩm của bạn có thể bị biến thành công cụ trừng phạt? Nếu không muốn bị OFAC liệt vào danh sách đen, hãy xây dựng từ đầu với tuân thủ trong tâm trí. Đừng chờ đến khi có lệnh. Còn với nhà đầu tư, hãy nhìn vào các dự án DeFi có cơ chế chống rửa tiền (AML) tích hợp – chúng sẽ sống sót qua cơn bão quy định. Những kẻ lười biếng trong bảo mật sẽ trả giá.