Chữ ký cho phép: hạn mức 78 chữ số, toàn bộ USDT chỉ có 18
Hôm qua tôi đi theo đường đi của một đồng coin khi bạn bấm nút gửi, và dừng ở 4 chặng. Bài hôm nay quay lại đúng chặng thứ 2 — chặng ngắn nhất, ít ai để ý nhất, và là chặng duy nhất mà bạn tự tay trao đi một quyền.
Cảnh quen thuộc: bạn bấm nút, ví bật lên một hộp thoại, có chữ, có một nút màu. Bạn bấm nút màu. Hộp thoại tắt. Rồi ví bật lên hộp thoại thứ hai, bạn bấm tiếp.
Hai hộp thoại ấy trông giống nhau. Chúng không giống nhau chút nào.
Cái hộp thoại bạn bấm qua mỗi ngày
Trên chuỗi, có 2 lệnh khác hẳn nhau nhưng đều hiện ra dưới dạng một hộp thoại chờ bạn ký.
Lệnh chuyển làm đúng điều tên nó nói: lấy một số coin từ địa chỉ của bạn, đưa sang địa chỉ khác. Sau khi ký, số dư của bạn giảm đi. Bạn thấy ngay.
Lệnh cho phép không chuyển đồng nào. Nó ghi vào sổ một dòng có 3 phần: ví này, cho địa chỉ kia, rút tối đa từng này. Sau khi ký, số dư của bạn không đổi một xu. Đó chính là lý do người ta ký nó nhẹ tay.
Nhưng dòng ấy nằm lại trong sổ. Nó không hết hạn theo thời gian. Nó không tự xoá khi bạn rút tiền về. Nó không biến mất khi bạn đóng trình duyệt, đổi máy, hay quên hẳn cái giao thức mình từng thử một lần cách đây 2 năm.
Nó nằm đó tới khi chính bạn ký thêm một lệnh nữa để hạ nó xuống.
Tôi đếm số chữ số của cái hạn mức mặc định
Phần rút tối đa từng này mới là chỗ đáng đo. Vì nó là một con số, mà con số thì đếm được.
Chuẩn kỹ thuật của các token trên Ethereum — bản chuẩn tên ERC-20, thứ mà USDT, USDC và gần như mọi token bạn từng cầm đều tuân theo — lưu hạn mức ấy trong một ô nhớ 256 bit. Số lớn nhất ô ấy chứa được là 2 mũ 256 trừ 1.
Tôi bấm ra và đếm chữ số.
Vì sao chuẩn kỹ thuật lại để mặc định như thế
Chỗ này cần nói sòng phẳng, vì không có ai cài bẫy ở đây.
Mỗi lần đặt hạn mức là một giao dịch, mà mỗi giao dịch tốn phí mạng. Nếu ví đặt hạn mức đúng bằng số tiền bạn định gửi, thì lần sau gửi thêm, bạn lại phải ký thêm một lệnh cho phép nữa, lại tốn phí nữa. Với người giao dịch nhiều lần trong tuần, đó là một khoản phí lặp lại vô lý.
Nên cách làm phổ biến là: ký một lần thật rộng, dùng mãi. Tiện, rẻ, và trong đại đa số trường hợp không có chuyện gì xảy ra.
Cái giá của sự tiện ấy chỉ hiện ra ở đúng một tình huống: khi cái địa chỉ được bạn cho phép làm điều nó không nên làm. Có thể vì nó bị lỗi. Có thể vì nó bị đổi ruột. Có thể vì ngay từ đầu nó không phải cái bạn tưởng.
Lúc ấy, hạn mức 78 chữ số không còn là con số kỹ thuật. Nó là mức trần của thiệt hại, và bạn đã tự tay đặt nó lên cao nhất có thể.
Quyền cho phép là chỗ vỡ nhiều nhất
Tôi tải bảng thống kê 1.255 vụ mất tiền của ngành về, rồi tách theo nhóm nguyên nhân. Bảng chia thành 13 nhóm. Xếp theo số vụ, nhóm đứng đầu là nhóm liên quan tới câu hỏi ai được phép làm gì.
Điều đáng nói không phải nhóm nào mất nhiều tiền hơn. Điều đáng nói là nhóm đông nhất không phải nhóm lỗi kỹ thuật khó nhằn — nó là nhóm phân quyền. Cùng loại câu hỏi mà bạn trả lời mỗi lần bấm nút ký lệnh cho phép.
Luật Việt Nam chưa có tên cho hành vi này
Điều 46 Luật 71/2025/QH15 định nghĩa tài sản số qua một dãy thao tác: tạo lập, phát hành, lưu trữ, chuyển giao. 4 động từ ấy vẽ ra vòng đời của một tài sản.
Lệnh cho phép không nằm trong 4 động từ đó. Nó không tạo lập gì, không phát hành gì, không lưu trữ gì, và quan trọng nhất: nó không chuyển giao gì cả.
Hệ quả rất cụ thể. Khi tranh chấp xảy ra và người ta đi tìm bằng chứng, thứ dễ trưng ra là các lần chuyển: ngày nào, từ địa chỉ nào, sang địa chỉ nào, bao nhiêu. Còn cái lệnh cho phép ký từ 2 năm trước thì không xuất hiện trong bất kỳ bảng kê chuyển tiền nào, dù nó chính là cánh cửa đã mở sẵn.
Nghị quyết 05/2025/NQ-CP có đặt ra trách nhiệm cho tổ chức được cấp phép, trong đó Điều 15 khoản 2 điểm a buộc quản lý tách biệt và bảo vệ tài sản của khách hàng. Nhưng đó là ràng buộc đặt lên một pháp nhân có giấy phép. Cái lệnh bạn ký thẳng từ ví của mình tới một hợp đồng nằm ngoài lãnh thổ thì không có pháp nhân nào đứng giữa để bị buộc.
Đây không phải chỗ để trách luật. Luật đang xử lý phần có thể xử lý được: nơi có người đứng tên. Nhưng người giữ coin thì nên biết rõ mình đang ở phần nào.
3 việc làm được trong 10 phút
Kim đồng hồ đang ở đâu
Chuẩn ERC-20 ra đời từ 2015 và tới nay chưa đổi phần hạn mức. Đã có nhiều đề xuất kỹ thuật nhằm gắn hạn dùng cho lệnh cho phép, nhưng cái mặc định 78 chữ số thì vẫn là thứ hàng chục triệu ví đang chạy.
Về phía luật Việt Nam: Luật 71/2025/QH15 hiệu lực từ 01/01/2026, Nghị quyết 05/2025/NQ-CP hiệu lực từ 09/09/2025 với thời gian thí điểm 5 năm, Nghị định 284/2026/NĐ-CP hiệu lực từ 01/09/2026. Không văn bản nào trong số đó nhắc tới hành vi trao quyền chi từ ví cá nhân.
Số tổ chức cung cấp dịch vụ được cấp phép tới ngày tôi viết: 0. Nên trong lúc chờ, cái hộp thoại kia vẫn là ranh giới do chính bạn canh.
Đọc xong rồi thì đi tiếp đâu
Bài hôm qua đi trọn 4 chặng của đồng coin khi rời ví, và giải thích vì sao sau chặng thứ 3 thì sổ cái không còn ghi tên bạn cạnh đồng coin nữa: Gửi coin vào hợp đồng: 88,4 tỷ đô đang không đứng tên ai.
Còn chuyện chìa riêng là gì và vì sao mất chìa là mất hẳn, đã kể ở bài Không có coin nào nằm trong ví của bạn. Bài này là mặt kia của cùng đồng xu: giữ chìa mà vẫn mất, vì đã cho người khác một chìa phụ.
Nếu bạn quan tâm tới việc ghi chép cho đúng, bài Lỗ vẫn phải nộp thuế 0,1% cho thấy vì sao mỗi dòng trong sổ tay giao dịch đều có thể thành tiền thật.
Ngày mai: khi tiền đã mất rồi thì gửi đơn cho ai — tôi đặt cạnh nhau 2 con số 27,3% và 7,1%, và đọc điều khoản mà luật viết sẵn cho ngày một sàn chết.
Chúc bạn khai ngộ
Master Xuân Hùng
P.s: Sống trong mục tiêu.
Từ mục tiêu, con đường sẽ hiện dần ra.