Hồi tháng 8 năm 2017, tôi 33 tuổi, ngồi trong một căn phòng nhỏ ở Chicago cùng nhóm sáng lập EquiChain. Chúng tôi viết whitepaper, tổ chức meetup, huy động được 2,8 triệu đô. Rồi dự án chết. Không vì hack, không vì thị trường gấu – mà vì sự mơ hồ về quy định. Đội ngũ không biết họ đang bán chứng khoán hay hàng hóa, và CFTC lúc đó cũng không rõ. Tám năm sau, tôi đọc bản hướng dẫn tự báo cáo mới nhất của CFTC và nhận ra: thế giới đã thay đổi. Không phải vì luật lệ nghiêm khắc hơn, mà vì giờ đây có một công thức rõ ràng để được giảm nhẹ hình phạt.
Context Tháng 10/2025, Phòng Thực thi của CFTC chính thức ban hành Enforcement Advisory 2025-1, một văn bản hướng dẫn chi tiết về việc giảm nhẹ hình phạt dân sự (CMP) khi các công ty tự nguyện báo cáo vi phạm. Khác với quá khứ mơ hồ – nơi việc tự báo cáo cũng chẳng khác gì “ném đá ao bèo” – lần này CFTC đưa ra bốn yếu tố định lượng: tính kịp thời, tính đầy đủ, hợp tác điều tra và biện pháp khắc phục. Nếu đáp ứng đủ, công ty có thể được giảm đến 100% phần CMP, chỉ còn phải nộp lại lợi nhuận thu được và bồi thường nạn nhân. Đây là sự thay đổi mang tính cấu trúc trong cách CFTC thực thi pháp luật, chuyển từ “đánh úp” sang “khuyến khích tự giác”.
Core Bản chất kỹ thuật của hướng dẫn này là một thuật toán thực thi: đầu vào là hành vi tự báo cáo, đầu ra là mức giảm phạt. Không còn là black box quyết định của thanh tra viên. Tôi đã kiểm tra lại các vụ án trước đây – vụ Bitfinex năm 2016 phạt 75.000 đô, vụ Tether phạt 41 triệu đô – không vụ nào có cơ chế giảm nhẹ minh bạch như bây giờ. Hướng dẫn này tạo ra động lực kinh tế rõ ràng: chi phí xây dựng hệ thống giám sát nội bộ (on-chain analytics, KYT, AML) thấp hơn nhiều so với rủi ro bị phạt tối đa khi phát hiện vi phạm. Tuy nhiên, có một điểm mù lớn: DeFi. Các giao thức phi tập trung không có “công ty” để tự báo cáo. Một DAO không thể ký biên bản hợp tác với CFTC. Nếu người dùng Mỹ dùng Aave để mở vị thế margin, ai là người chịu trách nhiệm báo cáo? Văn bản này hoàn toàn im lặng về điều đó, tạo ra khoảng trống pháp lý nguy hiểm. Một insight ẩn khác: hướng dẫn này gián tiếp yêu cầu các công ty crypto đầu tư mạnh vào năng lực phát hiện vi phạm nội bộ. Nếu bạn không có hệ thống để biết mình sai ở đâu, bạn sẽ không bao giờ đủ điều kiện tự báo cáo. Điều này biến “tuân thủ” thành một cuộc đua vũ trang tốn kém. Theo ước tính của tôi, các sàn giao dịch lớn như Coinbase Derivatives đã chi hơn 20 triệu đô cho hệ thống giám sát chỉ trong năm 2025 – và con số này sẽ còn tăng.
Contrarian Nhiều người sẽ nghĩ rằng đây là tin tốt cho toàn bộ ngành. Nhưng hãy nhìn từ góc độ ngược: hướng dẫn này thực chất là một cái bẫy cho những công ty lơ là tuân thủ. Nếu bạn không có hệ thống giám sát, bạn sẽ không thể tự báo cáo, và khi bị phát hiện (mà ai cũng sẽ bị phát hiện trong thời đại on-chain analytics), mức phạt sẽ là tối đa. Điều này tạo ra hiệu ứng “người giàu càng giàu”: những công ty đã đầu tư vào compliance sẽ được hưởng lợi; những kẻ chơi luật mờ sẽ bị dồn vào chân tường. Hơn nữa, sự mâu thuẫn giữa CFTC và SEC vẫn chưa được giải quyết. Một tài sản như ETH – nếu bị SEC coi là chứng khoán nhưng CFTC coi là hàng hóa – thì khi tự báo cáo vi phạm liên quan đến ETH với CFTC, bạn có thể vô tình khai ra vi phạm với SEC. Đó là một rủi ro kép cực kỳ nguy hiểm. Tôi đã chứng kiến nhiều startup crypto rơi vào tình trạng “báo cáo thì chết, không báo cáo cũng chết”.
Takeaway Hướng dẫn này không phải là một cái ôm ấm áp từ CFTC dành cho ngành crypto. Đó là một hợp đồng có điều kiện: “Nếu bạn chơi đúng luật và đầu tư vào compliance, chúng tôi sẽ giảm nhẹ. Nếu bạn cố tình mập mờ, chúng tôi sẽ tịch thu tất cả”. Câu hỏi còn lại: liệu các dự án DeFi có tìm ra cách tồn tại trong thế giới mà “tự báo cáo” trở thành chuẩn mực? Hay họ sẽ phải chứng minh rằng phi tập trung không phải là cái cớ để trốn tránh trách nhiệm? Tôi không có câu trả lời – nhưng tôi biết rằng hướng dẫn này là một trong những bước tiến quan trọng nhất trong lịch sử quản lý crypto Mỹ, và nó sẽ định hình cách chúng ta xây dựng trong thập kỷ tới.
