Toàn cảnh hoạt động kiểm định token trên thị trường tài sản mã hóa quốc tế

Trên thị trường tài sản mã hóa, báo cáo kiểm định có vai trò tương tự hồ sơ thẩm định trong tài chính truyền thống. Dự án sử dụng báo cáo khi gọi vốn và xin niêm yết. Sàn giao dịch xem đây là một đầu vào trong quá trình xét duyệt. Nhà đầu tư và tổ chức bảo hiểm dựa vào báo cáo để đánh giá mức độ tin cậy. Quy mô của hoạt động này đáng kể. Theo trang tin The Defiant, tính đến giữa năm 2024, riêng CertiK, một trong những hãng lớn nhất, cho biết đã kiểm định hơn 5.000 hợp đồng thông minh và xác minh hình thức cho 685 dự án.

Huy hiệu Hợp đồng Đã Xác minh sẽ xuất hiện trên hồ sơ Bảng xếp hạng An ninh của dự án bởi Certik

Trong vài năm gần đây, vai trò của kiểm định được nâng lên từ cả phía quản lý lẫn phía doanh nghiệp. Liên minh châu Âu, Hoa Kỳ và Dubai lần lượt đưa nghĩa vụ kiểm định, kiểm toán vào khung pháp lý. Tháng 8/2026, Tether, đơn vị phát hành đồng tiền ổn định có quy mô lớn nhất thế giới, lần đầu công bố báo cáo tài chính được một hãng thuộc nhóm Big Four kiểm toán. Cùng thời gian, trí tuệ nhân tạo bắt đầu thay đổi cách thức rà soát mã nguồn. Bài viết dưới đây tổng hợp các khía cạnh chính của hoạt động kiểm định token, gồm loại hình dịch vụ, các tổ chức thực hiện, quy trình, chi phí, mối liên hệ giữa các bên và xu hướng phát triển.

Ba nhóm dịch vụ kiểm định chính

Kiểm định bảo mật hợp đồng thông minh là loại hình phổ biến nhất. Dịch vụ này thường được gọi tắt là “audit”. Các chuyên gia an ninh mạng rà soát mã nguồn của hợp đồng thông minh tại một phiên bản xác định nhằm phát hiện lỗ hổng trước khi dự án đưa lên mạng chính. Một báo cáo đạt chuẩn ghi rõ kho mã nguồn, mã phiên bản (commit hash), danh sách tệp, phiên bản trình biên dịch, các giả định tin cậy và những thành phần nằm ngoài phạm vi xem xét.

Xác nhận dự trữ phục vụ các đồng tiền ổn định và sàn giao dịch. Nhóm dịch vụ này gồm báo cáo xác nhận (attestation) và bằng chứng dự trữ (Proof of Reserves). Theo giải thích của Circle, đơn vị phát hành USDC, báo cáo xác nhận chỉ bảo đảm cho một tuyên bố cụ thể của ban điều hành, chẳng hạn tuyên bố rằng dự trữ không thấp hơn lượng token đang lưu hành. Công ty kế toán đối chiếu tài liệu do ban điều hành chuẩn bị với các tiêu chí đã công bố. Bên cạnh đó, nhiều sàn giao dịch tự công bố bằng chứng dự trữ dựa trên mật mã học, cho phép người dùng tự kiểm tra số dư của mình đã được tính vào tổng tài sản.

Kiểm toán báo cáo tài chính mang lại mức độ bảo đảm cao nhất. Kiểm toán viên xem xét toàn bộ bảng cân đối kế toán, kết quả kinh doanh, dòng tiền và hệ thống kiểm soát nội bộ theo chuẩn mực kiểm toán được thừa nhận. Circle cho biết đây là điểm khác biệt cơ bản so với báo cáo xác nhận, vốn chỉ áp dụng cho một tuyên bố riêng lẻ.

Một số dịch vụ bổ trợ thường đi kèm ba nhóm chính. Có thể kể đến dịch vụ xác minh danh tính đội ngũ phát triển, mà CertiK mô tả là quá trình kiểm tra lý lịch từng thành viên chủ chốt. Ngoài ra còn có thẩm định cơ chế phân bổ token, kiểm thử xâm nhập hạ tầng và giám sát an ninh liên tục sau khi dự án vận hành.

Các tổ chức kiểm định tiêu biểu

OpenZeppelin vừa phát triển thư viện mã nguồn mở vừa cung cấp dịch vụ kiểm định. Theo một trang so sánh độc lập của Spark, vai trò kép này giúp hãng hiểu sâu các mẫu mã phổ biến cũng như những điểm có thể phát sinh lỗi. OpenZeppelin là một trong các đơn vị kiểm định Uniswap v4 và đã phát hiện một lỗ hổng nghiêm trọng trên chuỗi CELO liên quan đến cơ chế ghi nhận số dư. Ở quy mô nhỏ hơn, báo cáo cho cầu nối Fiamma vào tháng 5/2025 minh họa cách hãng xác định phạm vi. Đợt kiểm định kéo dài ba ngày, tập trung vào một tệp mã tại một phiên bản cụ thể, đồng thời liệt kê các thành phần được giả định là hoạt động đúng thay vì được kiểm tra trực tiếp.

Trail of Bits được biết đến với các báo cáo kỹ thuật chi tiết. Năm 2021, hãng thực hiện ba đợt rà soát giao thức Balancer V2, trong đó có đợt rà soát Linear Pools vào tháng 10. Báo cáo năm đó kèm một phụ lục hướng dẫn cách làm tròn số trong phép tính dấu phẩy cố định. Trail of Bits cũng nằm trong nhóm đơn vị kiểm định Uniswap v4 theo công bố của Uniswap Labs.

Certora theo đuổi phương pháp xác minh hình thức bằng công cụ toán học. Thay vì chỉ đọc mã, phương pháp này chứng minh hợp đồng luôn thỏa mãn những tính chất đã được xác định trước. Từ năm 2022, Certora là đơn vị bảo mật thường trực của Aave, giao thức cho vay lớn trên thị trường. Theo hồ sơ quản trị của Aave, sau giai đoạn xác minh hình thức, các đợt kiểm định thủ công do ChainSecurity và Sigma Prime thực hiện không ghi nhận lỗi lớn. Đề xuất gia hạn của Certora cho Aave v4 sau đó được cộng đồng thông qua với sự ủng hộ của nhiều đại biểu, trong đó có tổ chức kpk. Tại Uniswap v4, Certora áp dụng phương pháp này để phát hiện một lỗi ở mức trung bình.

CertiK là một trong những đơn vị có số lượng dự án được kiểm định lớn nhất. Ngoài kiểm định mã nguồn, hãng cung cấp huy hiệu xác minh đội ngũ hiển thị trên nền tảng Skynet và dịch vụ hỗ trợ tuân thủ quy định của Dubai. Giá trị thương hiệu của CertiK được phản ánh trên thị trường bảo hiểm phi tập trung. Ông Hugh Karp, nhà sáng lập Nexus Mutual, cho biết người góp vốn bảo hiểm trên nền tảng này thường định giá một giao thức cao hơn khi giao thức có báo cáo của CertiK. Mặt khác, chất lượng một số báo cáo của hãng cũng từng là chủ đề tranh luận trong giới nghiên cứu bảo mật, theo The Defiant.

Nhiều hãng chuyên sâu tập trung vào từng nền tảng chuỗi khối cụ thể. Zellic từng rà soát chương trình của Audius trên Solana khi mã đã hoạt động trên mạng chính và phát hiện một lỗi nghiêm trọng. Hãng thông báo cho dự án ngay sau khi xây dựng xong bằng chứng khai thác, và Audius đã khắc phục kịp thời. Trong khi đó, Sigma Prime, hãng có trụ sở tại Sydney, cung cấp dịch vụ đánh giá bảo mật cho Aave qua các phiên bản v2 và v3.

Các nền tảng Code4rena, Sherlock và Cantina phát triển mô hình kiểm định theo hình thức thi. Code4rena tiên phong mô hình này từ năm 2021. Dự án đặt một quỹ thưởng, sau đó hàng trăm nhà nghiên cứu độc lập cùng tìm lỗi trong khoảng một đến hai tuần. Tháng 9/2024, Uniswap Labs phối hợp với Uniswap Foundation và Cantina tổ chức cuộc thi cho Uniswap v4 với quỹ thưởng 2,35 triệu USD, được giới thiệu là lớn nhất trong lĩnh vực tài chính phi tập trung. Sherlock bổ sung thêm sản phẩm bảo hiểm lỗ hổng cho các dự án đã qua kiểm định của mình.

Các công ty kế toán đảm nhận mảng xác nhận dự trữ và kiểm toán tài chính. Grant Thornton xác nhận dự trữ hằng tháng cho USDC từ khi đồng tiền này ra mắt năm 2018. Vai trò này sau đó được chuyển sang Deloitte, và hãng xếp hạng S&P Global dẫn cơ chế xác nhận hằng tháng trong báo cáo đánh giá mức độ ổn định của USDC. Đối với Tether, BDO cung cấp báo cáo xác nhận hằng quý. Năm 2026, KPMG Mỹ trở thành hãng Big Four đầu tiên kiểm toán báo cáo tài chính của Tether.

Quy trình và các yếu tố được kiểm định

Một đợt kiểm định hợp đồng thông minh đi từ xác định phạm vi đến xác minh bản sửa lỗi. Bước đầu tiên là thống nhất kho mã, phiên bản, danh sách tệp và địa chỉ hợp đồng. Sau đó, chuyên gia kết hợp đọc mã thủ công với các công cụ tự động như phân tích tĩnh, kiểm thử mờ (fuzzing) và, đối với các dự án lớn, xác minh hình thức, theo mô tả của trang Eco. Kết quả được trình bày theo một cấu trúc tương đối thống nhất. Phần tóm tắt nêu khách hàng, phạm vi, thời gian thực hiện và các phát hiện chính. Mỗi phát hiện đi kèm mức độ nghiêm trọng, mô tả, bằng chứng khai thác, khuyến nghị và phản hồi của dự án, chẳng hạn đã sửa, ghi nhận, tranh luận hay chấp nhận rủi ro. Cuối cùng, báo cáo xác minh bản sửa lỗi cho thấy đơn vị kiểm định đã rà soát lại phần sửa chữa, theo hướng dẫn của Portals. Thời gian thực hiện phụ thuộc vào quy mô mã. Theo hướng dẫn của Sherlock, khoảng 500 dòng mã cần chừng ba ngày, còn khoảng 1.000 dòng mã cần chừng sáu ngày.

Bằng chứng dự trữ của sàn giao dịch dựa trên cấu trúc cây Merkle và bằng chứng không tiết lộ. Từ cuối năm 2022, các sàn lớn chuẩn hóa cách công bố dự trữ bằng cây Merkle. Sàn tổng hợp toàn bộ số dư khách hàng thành một giá trị gốc công khai, mỗi người dùng có thể tự kiểm tra số dư của mình đã nằm trong đó, còn sàn chứng minh riêng phần tài sản trên chuỗi. Tháng 2/2023, Binance bổ sung công nghệ zk-SNARK theo hướng từng được ông Vitalik Buterin, đồng sáng lập Ethereum, đề xuất. Công nghệ này cho phép chứng minh mọi số dư đều được cộng vào tổng và không có tài khoản âm mà không làm lộ dữ liệu cá nhân. Theo CryptoSlate, việc tạo bằng chứng cho toàn bộ tài khoản mất khoảng hai giờ với chi phí tính toán khoảng 1.000 USD.

Báo cáo xác nhận stablecoin ngày càng được lập theo bộ tiêu chí chung. Tháng 3/2025, Viện Kế toán Công chứng Hoa Kỳ (AICPA) ban hành bộ tiêu chí báo cáo stablecoin. Bà Ami Beers, giám đốc cấp cao của AICPA, cho biết đây là khung báo cáo đầu tiên dành riêng cho các đơn vị phát hành stablecoin. Bộ tiêu chí yêu cầu công bố số token lưu hành, cơ cấu dự trữ, điều khoản mua lại, cơ chế lưu ký và các rủi ro ảnh hưởng tới khả năng mua lại, theo Journal of Accountancy. Báo cáo xác nhận đầu tiên của USA₮, đồng tiền ổn định do Tether hậu thuẫn gắn với Anchorage Digital Bank, là một ví dụ áp dụng bộ tiêu chí này.

Kiểm toán báo cáo tài chính được thực hiện ở mức độ chi tiết cao. Đợt kiểm toán Tether năm 2026 là một ví dụ. Theo Tether, KPMG đã kiểm tra tài sản, nợ phải trả, thu nhập, dòng tiền, hệ thống nội bộ, đối tác và chứng từ. Hãng còn trực tiếp kiểm đếm từng thỏi vàng thay vì chỉ dựa vào báo cáo của đơn vị lưu ký. KPMG xác nhận đã kiểm toán theo chuẩn mực của AICPA cho năm tài chính kết thúc ngày 31/12/2025.

Mô hình dịch vụ và chi phí

Thuê hãng kiểm định theo tuần công vẫn là mô hình phổ biến nhất. Giá dịch vụ thường được tính theo số tuần làm việc của mỗi chuyên gia, phụ thuộc kinh nghiệm và mức độ khan hiếm của đội ngũ. Do chi phí hiếm khi được công bố, phần lớn số liệu hiện có đến từ chính các hãng và mang tính tham khảo. Sherlock ước tính một đợt kiểm định có giá từ khoảng 8.000 đến hơn 300.000 USD. Zealynx công bố mức 6.000 USD cho mỗi tuần làm việc của một chuyên gia. Ở phân khúc cao, trang so sánh Spark ước tính Trail of Bits tính khoảng 25.000 USD cho mỗi tuần làm việc của một kỹ sư, với hợp đồng điển hình từ 80.000 đến hơn 200.000 USD.

Mô hình thi kiểm định công khai chi phí dưới dạng quỹ thưởng. Ngoài cuộc thi 2,35 triệu USD của Uniswap v4, zkSync từng dành 1,1 triệu USD trong ngân sách bảo mật 5 triệu USD cho một cuộc thi trên Code4rena, còn Blast công bố quỹ thưởng 1,2 triệu USD, theo hãng Runtime Verification. Hãng này cũng lưu ý rằng khi nhiều người cùng phát hiện một lỗi, tiền thưởng sẽ được chia nhỏ, khiến việc đo lường hiệu quả chi phí trở nên khó khăn. Do đó, Runtime Verification khuyến nghị mô hình kết hợp, trong đó một hãng kiểm định rà soát thiết kế và chuẩn bị mã nguồn trước khi mở cuộc thi. ConsenSys Diligence cũng đã phân tích toàn bộ dữ liệu phát hiện và phân bổ tiền thưởng của Code4rena để đánh giá hiệu quả kinh tế của mô hình này.

Các giao thức lớn chuyển dần sang hợp đồng bảo mật thường trực. Hồ sơ quản trị công khai của Aave cho thấy rõ mức chi. Trong đề xuất năm 2022, Certora cho biết đợt hợp tác trước có giá 1,7 triệu USD cho sáu tháng, còn hợp đồng năm được điều chỉnh từ 3,4 triệu xuống 2,7 triệu USD. Trong đề xuất cho Aave v4, Certora công bố đơn giá 780.000 USD mỗi năm cho một nhà nghiên cứu chuyên trách, kèm mức chiết khấu khoảng 32% dành riêng cho Aave. Chương trình bảo mật cho Aave V4 có trần ngân sách 1,5 triệu USD, bao gồm nhà nghiên cứu độc lập, xác minh hình thức và một cuộc thi bảo mật.

Chương trình thưởng phát hiện lỗi và bảo hiểm bổ sung cho kiểm định sau khi dự án vận hành. Ngày 26/11/2024, Uniswap công bố chương trình thưởng phát hiện lỗi với mức tối đa 15,5 triệu USD cho Uniswap v4. Sherlock tích hợp bảo hiểm vào sản phẩm kiểm định, với điều kiện dự án đã hoàn tất rà soát bản sửa lỗi và không thay đổi mã sau đó. Năm 2023, Sherlock chi trả 4,5 triệu USD cho Euler Finance theo cơ chế này. Theo The Block, Sherlock cho biết đây là lần đầu tiên một hãng kiểm định trong lĩnh vực tiền mã hóa chi trả hàng triệu USD cho một lỗ hổng bị bỏ sót. Phí xác nhận dự trữ và phí kiểm toán mà các đơn vị phát hành stablecoin trả cho công ty kế toán hiện chưa được công bố trong các nguồn đã tra cứu.

Mối liên hệ giữa các bên trong hệ sinh thái với đơn vị kiểm định, kiểm toán

Dự án và tổ chức phát hành là bên thuê và chi trả cho dịch vụ kiểm định. Mô hình này tương tự kiểm toán trong tài chính truyền thống, khi doanh nghiệp được kiểm toán là bên trả phí. Dự án cùng đơn vị kiểm định thống nhất phạm vi, cung cấp mã nguồn và tài liệu, phản hồi các phát hiện và chịu trách nhiệm triển khai đúng phiên bản đã được rà soát. Vì bên được kiểm định cũng là bên trả phí, tính độc lập của đơn vị kiểm định là yêu cầu được các cơ quan quản lý đặc biệt quan tâm. Tháng 9/2024, Ủy ban Chứng khoán Mỹ (SEC) đã xử lý công ty kiểm toán Prager Metis, đơn vị từng kiểm toán sàn FTX, trong đó có hành vi đưa điều khoản bồi hoàn vào hơn 200 hợp đồng dịch vụ, trái với quy định về tính độc lập. Công ty chấp nhận nộp tổng cộng 1,95 triệu USD để dàn xếp, theo Thomson Reuters.

Cộng đồng quản trị phi tập trung là bên đặt hàng và giám sát chi phí một cách công khai. Tại các giao thức do tổ chức tự trị phi tập trung (DAO) quản lý, việc thuê đơn vị kiểm định được thực hiện thông qua đề xuất và biểu quyết công khai. Các hợp đồng của Certora và Sigma Prime với Aave đều được công bố chi tiết về phạm vi, thời hạn và chi phí trước khi cộng đồng thông qua. Mối quan hệ giữa các bên cũng có thể đan xen. Cuộc thi bảo mật cho Uniswap v4 được tài trợ chung bởi Uniswap Labs, Uniswap Foundation và Certora, trong khi Certora đồng thời là một trong các đơn vị kiểm định của dự án.

Sàn giao dịch vừa sử dụng báo cáo kiểm định vừa là khách hàng của dịch vụ xác nhận dự trữ. Ở vai trò bên sử dụng, sàn đưa báo cáo kiểm định vào hồ sơ xét duyệt niêm yết. Theo hướng dẫn chính thức của Coinbase, mọi tài sản phải qua ba vòng thẩm định về pháp lý, tuân thủ và bảo mật kỹ thuật, trong đó vòng bảo mật xem xét mã hợp đồng, thiết kế và rủi ro vận hành. Hồ sơ đăng ký cần kèm kết quả kiểm định của bên thứ ba. Báo cáo do dự án nộp chỉ là điểm khởi đầu. Tại hội nghị DEF CON 29 năm 2021, chuyên gia bảo mật Peter Kacherginsky của Coinbase cho biết đội ngũ của ông tự tải mã nguồn để rà soát lại trước khi trình hội đồng niêm yết. Bộ khung đánh giá rủi ro tài sản số do Binance.US công bố cũng đưa kiểm định bảo mật vào tiêu chí xét duyệt, còn OKX duy trì đội bảo mật nội bộ để kiểm định token trước khi niêm yết, theo mô tả tuyển dụng của sàn. Ở vai trò khách hàng, các sàn thuê công ty kế toán xác nhận dự trữ. Tháng 12/2022, Mazars thực hiện báo cáo dự trữ cho Binance, Crypto.com và KuCoin, trước khi tạm dừng mảng dịch vụ này. Sau đó, Binance tập trung vào cơ chế tự công bố bằng chứng dự trữ dựa trên mật mã học.

Ngân hàng và đơn vị lưu ký là nguồn cung cấp bằng chứng cho kiểm toán viên. Khi xác nhận dự trữ, kiểm toán viên cần xác nhận số dư từ các ngân hàng, đơn vị lưu ký và quỹ quản lý tài sản nơi khối dự trữ được nắm giữ. Theo S&P Global, dự trữ của USDC được quản lý một phần thông qua Circle Reserve Fund, một quỹ đăng ký với SEC đặt tại BlackRock. Bộ tiêu chí của AICPA cũng yêu cầu tổ chức phát hành công bố cơ chế lưu ký. Trong một số trường hợp, kiểm toán viên kiểm tra trực tiếp thay vì chỉ dựa vào xác nhận của bên lưu ký, như việc KPMG kiểm đếm từng thỏi vàng của Tether.

Cơ quan quản lý là bên tiếp nhận kết quả và giám sát chất lượng kiểm toán. Theo quy định MiCA của Liên minh châu Âu, kết quả kiểm toán dự trữ phải được gửi cho cơ quan có thẩm quyền chậm nhất trong sáu tuần. Đối với token tiền điện tử ở quy mô đáng kể, kết quả còn phải được công bố trong vòng hai tuần sau khi thông báo cho Cơ quan Ngân hàng châu Âu (EBA). Tại Hoa Kỳ, Đạo luật GENIUS yêu cầu báo cáo dự trữ hằng tháng phải được một công ty kế toán đăng ký kiểm tra. Ranh giới giám sát cũng được xác định rõ. Ủy ban Giám sát Kế toán Công ty Đại chúng Mỹ (PCAOB) cho biết báo cáo bằng chứng dự trữ nằm ngoài phạm vi giám sát và thanh tra của cơ quan này.

Tổ chức nghề nghiệp và hiệp hội ngành xây dựng chuẩn mực cho hoạt động kiểm định. AICPA ban hành bộ tiêu chí báo cáo stablecoin và đề nghị cơ quan quản lý sử dụng bộ tiêu chí này trong quá trình xây dựng quy định. Ở mảng hợp đồng thông minh, Liên minh Ethereum Doanh nghiệp (EEA) công bố bộ tiêu chí EthTrust, còn tổ chức OWASP ban hành chuẩn kiểm chứng bảo mật SCSVS. Các chuẩn mực này tạo cơ sở chung để đơn vị kiểm định, dự án và người sử dụng báo cáo đối chiếu với nhau.

Tổ chức bảo hiểm và tổ chức xếp hạng sử dụng kết quả kiểm định để định giá rủi ro. Trên Nexus Mutual, báo cáo kiểm định của hãng uy tín là một yếu tố được người góp vốn bảo hiểm cân nhắc khi định giá. Sherlock kết hợp cả hai vai trò, vừa kiểm định vừa bảo hiểm cho chính dự án mình đã kiểm định. Ở mảng stablecoin, S&P Global dẫn cơ chế xác nhận hằng tháng của USDC trong báo cáo đánh giá mức độ ổn định.

Cộng đồng nghiên cứu độc lập bổ sung cho các hãng kiểm định chuyên nghiệp. Thông qua các nền tảng như Code4rena, Sherlock và Cantina, hàng trăm nhà nghiên cứu độc lập tham gia tìm lỗi trong các cuộc thi và chương trình thưởng phát hiện lỗi. Chương trình thưởng 15,5 triệu USD của Uniswap v4 được vận hành trên nền tảng Cantina, tiếp nối chín đợt kiểm định chuyên nghiệp và một cuộc thi công khai.

Nhà đầu tư là bên sử dụng cuối cùng nhưng có mức độ tiếp cận thông tin khác nhau. Báo cáo kiểm định hợp đồng thông minh thường được công bố công khai. Trong khi đó, báo cáo tài chính đã kiểm toán không phải lúc nào cũng được công bố. Theo The Block, Tether cung cấp báo cáo tài chính cho cơ quan quản lý và ngân hàng khi được yêu cầu, nhưng chưa công bố rộng rãi với lý do là công ty tư nhân. Sự khác biệt này cho thấy mỗi nhóm trong hệ sinh thái có mức độ tiếp cận thông tin kiểm định khác nhau.

Đơn vị kiểm định còn tham gia điều tra và khắc phục khi xảy ra sự cố. Sau sự cố tại sàn Bybit vào tháng 2/2025, hai hãng Sygnia và Verichains được mời thực hiện điều tra pháp chứng độc lập. Trong quá trình khắc phục sự cố của sàn phi tập trung Cetus vào tháng 5/2025, hãng kiểm định OtterSec là một trong ba bên giữ khóa của ví đa chữ ký dùng để quản lý tài sản thu hồi, cùng Cetus và Sui Foundation. Khi Balancer gặp sự cố vào tháng 11/2025, Trail of Bits đã phối hợp với đội ngũ dự án để phân tích nguyên nhân và xác nhận phiên bản v3 không bị ảnh hưởng.

Khung pháp lý và chuẩn mực

Quy định MiCA của Liên minh châu Âu đặt ra nghĩa vụ kiểm toán dự trữ định kỳ. Theo Điều 36, tổ chức phát hành token tham chiếu tài sản phải thuê kiểm toán độc lập đối với khối dự trữ sáu tháng một lần và báo cáo kết quả cho cơ quan quản lý chậm nhất trong sáu tuần. Điều 58 áp dụng chu kỳ tương tự cho token tiền điện tử khi được xếp vào nhóm có quy mô đáng kể. Ở lĩnh vực liên quan, gói đề xuất Digital Omnibus của Ủy ban châu Âu công bố ngày 19/11/2025 kiến nghị bãi bỏ các yêu cầu thiết yếu đối với hợp đồng thông minh trong Đạo luật Dữ liệu, với lý do phạm vi điều chỉnh chưa rõ ràng, theo hãng luật Simmons & Simmons. Đề xuất này vẫn đang được thảo luận. Một dự thảo ý kiến tại Ủy ban Pháp chế của Nghị viện châu Âu cho rằng cần duy trì các biện pháp bảo vệ tối thiểu đối với thỏa thuận chia sẻ dữ liệu tự động.

Đạo luật GENIUS của Hoa Kỳ yêu cầu kiểm tra dự trữ stablecoin hằng tháng. Đạo luật được ký ban hành ngày 18/7/2025. Theo đó, tổ chức phát hành phải công bố báo cáo dự trữ hằng tháng có xác nhận của giám đốc điều hành và giám đốc tài chính, đồng thời báo cáo phải được một công ty kế toán đăng ký kiểm tra. Đơn vị có trên 50 tỷ USD stablecoin lưu hành còn phải có báo cáo tài chính năm được kiểm toán, theo tạp chí Bank Director. Ngày 5/5/2026, AICPA gửi thư tới Cơ quan Quản lý Tiền tệ Hoa Kỳ (OCC), đề nghị sử dụng bộ tiêu chí stablecoin của tổ chức này làm căn cứ cho việc kiểm tra dự trữ hằng tháng và kiểm tra hệ thống kiểm soát hằng năm. Công ty kế toán Forvis Mazars nhận định bộ tiêu chí mang lại một khung chuẩn hóa cho cả tổ chức phát hành lẫn kiểm toán viên.

Dubai đặt yêu cầu kiểm định hợp đồng thông minh định kỳ đối với doanh nghiệp được cấp phép. Theo tài liệu của CertiK, Cơ quan Quản lý Tài sản Ảo Dubai (VARA) yêu cầu kiểm định hợp đồng thông minh độc lập hằng năm và trước mỗi lần triển khai mới, kèm kiểm thử xâm nhập hằng năm. Thông tin này cần được đối chiếu thêm với bộ quy tắc gốc của VARA.

Ngành công nghiệp đang từng bước chuẩn hóa hoạt động kiểm định hợp đồng thông minh. Liên minh Ethereum Doanh nghiệp (EEA) công bố bộ tiêu chí EthTrust, quy định các yêu cầu tối thiểu đối với một đợt kiểm định. Ông Chaals Nevile, giám đốc chương trình kỹ thuật của EEA, cho biết các hãng kiểm định có thể dựa vào bộ tiêu chí để chứng minh năng lực cơ bản, dù bộ tiêu chí không phải là sự bảo đảm an toàn tuyệt đối. Tổ chức OWASP ban hành chuẩn kiểm chứng bảo mật hợp đồng thông minh (SCSVS) nhưng không cấp chứng nhận cho đơn vị nào. Ở góc độ học thuật, một nghiên cứu công bố tại hội nghị MSR 2026 đã phân tích 160 báo cáo của 26 hãng và đề xuất một khung tối thiểu cho báo cáo kiểm định, nhằm tăng tính nhất quán khi so sánh giữa các đơn vị.

Phạm vi và giới hạn của kiểm định

Giá trị của báo cáo kiểm định gắn với phiên bản mã và phạm vi đã được xem xét. Theo báo cáo an ninh năm 2026 của CoinGecko được trang BeInCrypto dẫn lại, khoảng 11% số vụ tấn công kể từ đầu năm 2025 xuất phát từ lỗi nằm trong phạm vi đã kiểm định. Phần lớn các trường hợp còn lại liên quan đến hạ tầng, khóa quản trị hoặc mã được bổ sung sau khi kiểm định kết thúc. Trường hợp Balancer vào tháng 11/2025 là một ví dụ. Dù giao thức đã trải qua 11 đợt kiểm định, OpenZeppelin cho biết lỗ hổng nằm trong phần mã được thêm vào sau khi hãng hoàn tất công việc của mình, theo Cointelegraph. Ông Ronghui Gu, Giám đốc điều hành CertiK, trao đổi với Forbes rằng nhiều dự án chỉ kiểm định một lần trước khi ra mắt mà không rà soát lại sau đó.

Bằng chứng dự trữ có phạm vi bảo đảm hẹp hơn kiểm toán báo cáo tài chính. Tháng 3/2023, Văn phòng Bảo vệ Nhà đầu tư thuộc PCAOB lưu ý rằng báo cáo bằng chứng dự trữ chỉ xác minh tài sản tại một thời điểm, không tuân theo chuẩn mực kiểm toán của cơ quan này và không bảo đảm mức dự trữ trong tương lai. Diễn biến này góp phần thúc đẩy xu hướng chuyển từ báo cáo xác nhận sang kiểm toán đầy đủ ở các tổ chức phát hành lớn.

Xu hướng phát triển

Trí tuệ nhân tạo đang được đưa vào quy trình kiểm định. Tháng 2/2026, quỹ đầu tư Paradigm phối hợp với OpenAI ra mắt EVMbench, bộ đánh giá năng lực của tác tử AI trong việc phát hiện, vá và khai thác lỗ hổng hợp đồng thông minh. Theo Paradigm, khi dự án bắt đầu, các mô hình hàng đầu khai thác được dưới 20% số lỗ hổng nghiêm trọng trong bộ dữ liệu. Đến thời điểm công bố, tỷ lệ này đã vượt 70%. Paradigm dự báo ngày càng nhiều phần việc kiểm định sẽ do tác tử AI đảm nhận. Một nghiên cứu đánh giá lại đăng trên arXiv vào tháng 3/2026 đưa ra nhận định thận trọng hơn. Theo nhóm tác giả, AI phù hợp nhất ở vai trò sàng lọc ban đầu, giúp chuyên gia tập trung vào các vấn đề phức tạp. Nghiên cứu của Anthropic cũng ghi nhận tác tử AI có khả năng phát hiện những lỗ hổng chưa từng được biết đến trong các hợp đồng vừa triển khai.

Kiểm định đang chuyển từ dịch vụ một lần sang an ninh liên tục. Mô hình hợp đồng bảo mật thường trực của Aave đang được nhiều giao thức lớn tham khảo. Sau sự cố vào tháng 5/2025, sàn phi tập trung Cetus trên chuỗi Sui cam kết kiểm định theo từng mốc phát triển, tăng cường giám sát thời gian thực và công khai tỷ lệ bao phủ kiểm thử, theo The Block. Trong báo cáo quý III/2026 được CoinDesk dẫn lại, hãng Hacken khuyến nghị nhà đầu tư xem xét thêm các yếu tố như khóa ký và hạ tầng bên ngoài, bên cạnh kết quả kiểm định mã nguồn.

Các hãng kiểm toán lớn đang tham gia sâu hơn vào lĩnh vực tài sản mã hóa. Việc KPMG kiểm toán Tether đánh dấu một bước chuyển sau thời gian dài các hãng lớn giữ khoảng cách với lĩnh vực này. Theo Investing.com, Tether từng giải thích rằng trước đây các hãng lớn e ngại rủi ro uy tín và ngành chưa có quy chuẩn thống nhất. Ông Paolo Ardoino, Giám đốc điều hành Tether, cho biết công ty sẽ kiểm toán đầy đủ hằng năm và tiếp tục công bố báo cáo xác nhận hằng quý, theo The Block. Trang Forkast nhận định sự kiện này đã trả lời câu hỏi liệu một hãng Big Four có nhận kiểm toán Tether hay không, đồng thời đặt ra câu hỏi về cách thị trường đánh giá ý kiến kiểm toán khi toàn văn báo cáo tài chính chưa được công bố. Cùng với Đạo luật GENIUS và bộ tiêu chí của AICPA, diễn biến này cho thấy mảng xác nhận dự trữ đang tiến gần hơn tới chuẩn mực của tài chính truyền thống.

Kết luận

Kiểm định token đã phát triển từ một dịch vụ rà soát mã nguồn mang tính tự nguyện thành một hạ tầng nhiều tầng của thị trường tài sản mã hóa. Hệ sinh thái này gồm các hãng an ninh mạng chuyên sâu, nền tảng thi kiểm định với hàng trăm nhà nghiên cứu độc lập, các công ty kế toán hàng đầu và hệ thống chuẩn mực do cả ngành lẫn cơ quan quản lý xây dựng. Mỗi bên tham gia, từ dự án, cộng đồng quản trị, sàn giao dịch, đơn vị lưu ký, tổ chức bảo hiểm đến cơ quan quản lý, đều có mối liên hệ riêng với đơn vị kiểm định.

Giai đoạn tới nhiều khả năng sẽ được định hình bởi ba chuyển dịch. Thứ nhất là chuyển từ kiểm định một lần sang an ninh liên tục, với hợp đồng bảo mật dài hạn kết hợp chương trình thưởng phát hiện lỗi, giám sát và bảo hiểm. Thứ hai là chuyển từ báo cáo xác nhận sang kiểm toán đầy đủ ở mảng stablecoin, dưới tác động của MiCA, Đạo luật GENIUS và bộ tiêu chí AICPA. Thứ ba là chuyển từ lao động thủ công sang mô hình kết hợp giữa chuyên gia và trí tuệ nhân tạo.

Đối với các bên sử dụng báo cáo, giá trị của kiểm định phụ thuộc vào việc hiểu đúng bản chất của từng loại báo cáo. Đó là báo cáo thuộc loại hình nào, bao phủ phiên bản mã nào, các phát hiện đã được xử lý ra sao và có được cập nhật sau mỗi lần nâng cấp hay không. Khi được sử dụng đúng cách, báo cáo kiểm định là một trong những công cụ minh bạch quan trọng của thị trường tài sản mã hóa.