Pháp thông qua luật khai báo ví tiền tự lưu ký, cơ quan thuế cảnh báo có thể gây ra các cuộc tấn công của tin tặc

Hạ viện Pháp đã thông qua một sửa đổi trong đạo luật phòng chống lừa đảo, quy định rằng các tài sản mã hóa được lưu trữ trong ví ủy thác quản lý (self-custody) trên 5.000 euro (khoảng 5.847 USD) phải được khai báo bắt buộc với Cơ quan Thuế Quốc gia Pháp (DGFIP). Phạm vi áp dụng bao gồm các ví phi ủy thác phổ biến như Metamask, Phantom, Ledger. Tuy nhiên, DGFIP đã nêu rõ quan điểm phản đối, cho rằng hiện không có cách nào xác minh hiệu quả dữ liệu khai báo.

Điều khoản trọng tâm của quy định: Ngưỡng kích hoạt nghĩa vụ khai báo và đối tượng áp dụng

Điều khoản được thông qua lần này đưa các ví mã hóa tự quản lý khóa riêng vào khuôn khổ khai báo bắt buộc. Ví tự quản lý (self-custody) là ví cá nhân không được liên kết với bất kỳ tổ chức công nào; người nắm giữ hoàn toàn tự chủ trong việc kiểm soát khóa riêng, bao gồm các ví phần mềm như Metamask và Phantom, cũng như các ví phần cứng lạnh như Ledger.

Bất kỳ cư dân Pháp nào nắm giữ tài sản mã hóa trên 5.000 euro trong các loại ví này đều, theo quy định của pháp luật, phải nộp tờ khai cho DGFIP. Nghĩa vụ này được “đóng gói” trong khuôn khổ lập pháp nhằm chống gian lận thuế, nhằm thiết lập một cơ chế báo cáo cho các tài sản ngoài chuỗi trước đây khó theo dõi.

Mâu thuẫn cốt lõi: DGFIP phản đối chính mình phải thực thi quy định

Quá trình lập pháp lần này phơi bày một tình huống khó khăn hiếm gặp về thể chế: cơ quan chịu trách nhiệm thực thi công khai phản đối các quy định liên quan và chủ động cảnh báo về các nguy cơ tiềm ẩn của chúng.

Bốn lý do phản đối cốt lõi của DGFIP

Khoảng trống năng lực thực thi: DGFIP thừa nhận không thể xác minh dữ liệu khai báo về ví tự quản lý do người nộp thuế gửi; việc kiểm tra trên chuỗi để xác định quyền sở hữu tồn tại những hạn chế căn bản ở cấp độ kỹ thuật

Rủi ro tập trung hóa dữ liệu: Việc lưu trữ tập trung thông tin về danh tính người nắm giữ và quy mô tài sản sẽ tạo thành một cơ sở dữ liệu có tính nhạy cảm cao; trong bối cảnh các cuộc tấn công mạng diễn ra dồn dập hiện nay, loại cơ sở dữ liệu này sẽ trở thành mục tiêu số một của tin tặc

Đe dọa an toàn cá nhân người dùng: Trong tuyên bố bằng văn bản, DGFIP chỉ ra rằng việc tập trung thông tin sẽ cung cấp danh sách mục tiêu chính xác cho các cuộc tấn công cưỡng ép về mặt thể chất tiềm ẩn

Trái với khuyến nghị chính thức: Việc thông qua điều khoản thực chất đã đi ngược lại các khuyến nghị chính sách hiện có của DGFIP và chính phủ Pháp đối với chủ đề này

Nghị sĩ Daniel Labaronne phản đối điều khoản này trong phiên tranh luận tại nghị viện, bằng cách so sánh để chất vấn tính khả thi: “DGFIP lại có thể xác minh liệu ai đó ở nhà có một cây đàn piano không?” Dù vậy, đề xuất bãi bỏ vẫn bị bác bỏ.

Vùng “đánh bằng cờ-lê” chịu thiệt hại nặng: Danh sách khai báo có thể trở thành lộ trình cho các cuộc tấn công vật lý

Pháp là một trong những khu vực chịu ảnh hưởng nặng nề được biết đến ở châu Âu đối với “đánh bằng cờ-lê” (cưỡng ép bằng đe dọa thể chất để cướp khóa riêng) đối với những người nắm giữ tiền mã hóa. Nếu dữ liệu của người dùng Pháp nắm giữ tài sản mã hóa trên 5.000 euro được tập trung thiết lập, một khi dữ liệu bị rò rỉ, kẻ tấn công sẽ có được một danh sách chính xác những người nắm giữ tài sản giá trị cao, từ đó giảm đáng kể chi phí thu thập thông tin cần thiết cho các cuộc tấn công nhắm mục tiêu mang tính vật lý, khiến rủi ro đối với an toàn cá nhân của người dùng tiền mã hóa tại Pháp tăng lên rõ rệt.

Đồng sáng lập The Big Whale, Gregory Raymond, dự đoán rằng do thái độ thù địch của chính phủ đối với biện pháp này từ bên trong, cộng với những lỗ hổng căn bản trong cơ chế thực thi, quy định này cuối cùng rất có thể sẽ khó được triển khai.

Câu hỏi thường gặp

Ví tự quản lý khác gì với ví sàn giao dịch ủy thác, và vì sao trở thành trọng tâm giám sát?

Khóa riêng của ví tự quản lý do chính người nắm giữ tự kiểm soát; tài sản không được bên thứ ba như sàn giao dịch hoặc các tổ chức tài chính lưu giữ. Do các ví như vậy không nằm trong hệ thống báo cáo tài chính truyền thống, cơ quan quản lý khó nắm bắt quy mô tài sản của người nắm giữ; vì vậy, chúng trở thành đối tượng trọng tâm mà nhiều quốc gia ở châu Âu đang tăng cường theo dõi.

Yêu cầu khai báo này ở Pháp có thực sự được thực thi hiệu quả không?

Theo đánh giá của chính DGFIP, tính khả thi trong thực thi gặp phải thách thức mang tính căn bản. DGFIP thừa nhận không thể xác minh dữ liệu khai báo do người dùng gửi, và đặc tính phi tập trung của blockchain khiến việc kiểm tra trên chuỗi để xác định quyền sở hữu tài sản trở nên cực kỳ khó khăn về mặt kỹ thuật. Nhà phân tích Gregory Raymond cũng dự đoán rằng quy định sẽ khó thực sự đi vào hoạt động.

Người dùng tiền mã hóa tại Pháp hiện cần thực hiện những hành động nào?

Hiện quy định vẫn đang trong quy trình lập pháp, chưa chính thức có hiệu lực. Được khuyến nghị rằng người dùng tại Pháp nắm giữ tài sản tự quản lý trên 5.000 euro nên tiếp tục theo dõi các thông báo chính thức tiếp theo của DGFIP, đồng thời đánh giá xem có cần điều chỉnh cách lưu trữ tài sản hoặc cấu trúc nắm giữ hay không, và tham khảo ý kiến tư vấn thuế tại địa phương trước khi quy định được xác định cuối cùng.