Thị trường dự đoán (Prediction Market) đã chuyển từ những thử nghiệm ban đầu trong lĩnh vực tiền điện tử sang trở thành các sản phẩm tài chính phổ biến trong giai đoạn từ năm 2024 đến năm 2026. Các nền tảng như Polymarket, Kalshi, Manifold và Limitless đã đạt khối lượng giao dịch lên đến hàng tỷ đô la trên các sự kiện nổi bật bao gồm bầu cử chính trị, thể thao, kinh tế vĩ mô và giá tiền điện tử. Với quy mô này, thị trường dự đoán cũng đã trở thành mục tiêu có giá trị cao cho các hành vi thao túng thị trường — tuy nhiên, chúng lại dễ bị thao túng hơn nhiều so với thị trường giao ngay hoặc thị trường hợp đồng tương lai vĩnh viễn.

Tại sao thị trường dự đoán lại dễ bị thao túng hơn? Có ba nguyên nhân cơ bản: 1) việc thanh toán là nhị phân, do đó lợi nhuận từ thao túng tăng theo cấp số nhân; 2) thanh khoản thấp (đặc biệt đối với các sự kiện có tần suất thấp), nơi một lệnh giao dịch trị giá 50.000 USD có thể đẩy giá từ 0,30 lên 0,70; 3) sự bất đối xứng thông tin là điều tự nhiên — một chính trị gia, thành viên gia đình của một người chơi hoặc giám đốc điều hành của một công ty đại chúng có thể xây dựng vị thế trong vài phút trước khi thông tin được công bố và thu về lợi nhuận nội gián gần như 100%. Sự kết hợp của ba đặc điểm này biến thị trường dự đoán thành điểm nóng cho giao dịch nội gián, giao dịch rửa, các cuộc tấn công Sybil và hành vi lợi dụng khoảng thời gian thanh toán.

Đối với một đội ngũ điều hành thị trường dự đoán, giám sát không còn là điều “tốt nếu có” — mà là điều kiện cơ bản để tồn tại. Một nền tảng bị cơ quan quản lý xác định là “dung túng cho hành vi thao túng” sẽ phải đối mặt với tiền phạt, thu hồi giấy phép và mất người dùng; một nền tảng bị thị trường coi là có “dữ liệu bị bóp méo” sẽ mất đi các nhà giao dịch thông tin và tự nhiên lụi tàn.

Bài viết này bắt đầu từ các lý do về cấu trúc tài chính khiến thị trường dự đoán dễ bị thao túng, phân tích bối cảnh các hình thức thao túng (giao dịch nội gián, giao dịch ảo, tấn công Sybil, spoofing, thao túng giá đóng cửa, tấn công oracle), và trình bày kiến trúc phát hiện nhiều lớp (hệ thống quy tắc + phát hiện bất thường thống kê + thuật toán đồ thị + học máy) kèm theo triển khai kỹ thuật đầy đủ. Bài viết bao quát các cấp độ cảnh báo, quy trình xem xét thủ công, các biện pháp xử lý (giới hạn vị thế, hủy lệnh, hủy giao dịch, trì hoãn thanh toán), giải quyết tranh chấp thông qua oracle lạc quan theo phong cách UMA, khả năng giải thích và chuỗi bằng chứng, báo cáo tuân thủ quy định tại Đông Nam Á (SC Malaysia, BAPPEBTI/OJK Indonesia, SEC Thái Lan, MAS Singapore), cũng như kiến trúc kỹ thuật sử dụng Flink/Kafka và cơ sở dữ liệu đồ thị, kết thúc bằng giải pháp thương mại hóa của SoonTech. Dù bạn là trưởng nhóm sản phẩm, giám đốc rủi ro, trưởng bộ phận tuân thủ hay kiến trúc sư CTO của một thị trường dự đoán, sau khi đọc bài viết này, bạn sẽ có một khung làm việc hoàn chỉnh có thể triển khai trực tiếp.

1. Tại sao thị trường dự đoán vốn dĩ dễ bị thao túng hơn

1.1 Ba nguyên nhân gốc rễ

Nguyên nhân 1: Thanh toán là nhị phân và lợi nhuận được khuếch đại phi tuyến tính. Trên thị trường giao ngay hoặc hợp đồng tương lai vĩnh viễn, việc đẩy giá lên 1% chỉ mang lại chênh lệch 1%. Trên hợp đồng "Có" nhị phân, việc đẩy giá từ 0,30 lên 0,90 có nghĩa là "chi phí vị thế 0,30, thanh toán tiềm năng 1,00, lợi nhuận 200% cộng với đòn bẩy 3x." Một kẻ thao túng sử dụng cùng một lượng vốn có thể kiếm được lợi nhuận gấp nhiều lần so với lợi nhuận mà một kẻ thao túng thị trường giao ngay có thể kiếm được.

Nguyên nhân 2: Thanh khoản thấp và một lệnh duy nhất có thể định giá. Các thị trường sự kiện đuôi dài phổ biến (ví dụ: "Liệu Đảng Dân chủ có giành lại khu vực bầu cử số 7 trong cuộc bầu cử Quốc hội Mỹ năm 2026 không?") có thể chỉ có độ sâu thị trường từ $20.000–$30.000. Một lệnh thị trường trị giá 10.000 USD có thể đẩy giá lên 30–50 điểm cơ bản. Các nền tảng nổi tiếng như Polymarket và Kalshi có thể đạt khối lượng giao dịch hàng ngày lên tới 50 triệu USD đối với các sự kiện nóng, nhưng đối với 95% các sự kiện, khối lượng giao dịch hàng ngày dưới 50.000 USD.

Nguyên nhân 3: Sự bất đối xứng thông tin là điều tự nhiên và khó loại bỏ. Kết quả của các sự kiện trên thị trường dự đoán thường chỉ được một số rất ít người biết trước — ý định bỏ phiếu của một nghị sĩ, đội hình xuất phát của một đội thể thao, một dữ liệu kinh tế bị rò rỉ. Những người này có thể xây dựng vị thế từ 5–10 phút trước khi thông tin được công bố và thu về lợi nhuận gần như 100% từ thông tin nội bộ. Trong tài chính truyền thống, các hoạt động “giao dịch có thông tin nội bộ” tương tự sẽ bị phát hiện và điều tra bởi hệ thống SMARTS của SEC và cơ chế giám sát của FINRA; trong thị trường dự đoán, lớp giao thức hầu như không thể phân biệt được nghiên cứu hợp pháp với giao dịch nội gián khi lợi thế thông tin “chặng cuối” là vấn đề cốt lõi.

1.2 So sánh với các sàn giao dịch giao ngay

Không tuyến tính, 0,30→0,90 = tỷ suất sinh lời 200%

Thanh khoản

Các cặp tiền tệ hàng đầu thường có độ sâu thị trường 24 giờ trên 50 triệu USD

95% các sự kiện có khối lượng giao dịch hàng ngày dưới $50K

Thanh toán

Định giá liên tục, có thể đóng bất cứ lúc nào

Kết quả nhị phân / rời rạc, thanh toán khi hết hạn

Nguồn thông tin

Dữ liệu công khai quy mô lớn + chỉ số trên chuỗi

Rất ít thông tin nội bộ + tin tức công khai

Kích thích tạo lập thị trường

Giao dịch tần suất cao (HFT), các nhà tạo lập thị trường (MM) cạnh tranh gay gắt

Không có chuyên gia nào trên các thị trường ngách

Theo dõi sau khi thao túng

Các cơ quan quản lý có kinh nghiệm, các đơn vị giám sát thị trường

Khung pháp lý vẫn đang được xây dựng

1.3 Chi phí thực tế và lợi nhuận tiềm năng từ hành vi thao túng

Một bộ số liệu để minh họa lý do tại sao thị trường dự đoán là mục tiêu tấn công “chi phí thấp, lợi nhuận cao”. Giả sử kẻ thao túng có thông tin không công khai, sự kiện sẽ được giải quyết trong 30 phút, giá "Có" hiện tại là 0,40 (thị trường chưa định giá kết quả thực tế là 0,95) và kẻ thao túng chi 50.000 USD để mua "Có". Khi thanh toán, họ nhận được $50.000 / 0,40 = 125.000 cổ phiếu "Yes", đổi lấy 1,00 = $125.000, lợi nhuận ròng $75.000, tỷ suất sinh lời trong 30 phút là 150%. Ngay cả khi trừ đi 5% chênh lệch giá, 2% phí giao dịch và 10% xác suất bị hệ thống giám sát chặn lại, lợi nhuận kỳ vọng vẫn vượt quá 50%.

Đây là lý do tại sao, đối với một thị trường dự đoán trị giá $600M, những kẻ tấn công sẽ chi hàng trăm nghìn đô la cho nghiên cứu, giao dịch rửa và thao túng: miễn là họ thành công một lần, lợi nhuận thu được sẽ bù đắp chi phí của cả năm. Khi SoonTech xây dựng các giải pháp giám sát cho khách hàng Đông Nam Á, chúng tôi liên tục nhấn mạnh rằng “ROI của giám sát không phải là một trung tâm chi phí, mà là cơ sở để nền tảng tồn tại.”

2. Bối cảnh thao túng: Từ giao dịch nội gián đến “sniping” trong cửa sổ thanh toán

2.1 Phân loại các kỹ thuật thao túng

Các tài khoản liên kết thực hiện giao dịch qua lại

Cao

Hoàn toàn bất hợp pháp ở hầu hết các khu vực pháp lý

Giao dịch tự khớp

Cùng một tài khoản giao dịch với chính mình

Cao

Bị cấm rõ ràng theo quy tắc của nền tảng

Liên kết nhiều tài khoản / Sybil

Một cá nhân kiểm soát nhiều tài khoản

Cao

Vi phạm Điều khoản Dịch vụ (ToS) của nền tảng

Giả mạo

Các đơn hàng số lượng lớn được đặt và hủy để tạo độ sâu giả

Trung bình

Được định nghĩa rõ ràng bởi Ủy ban Giao dịch Hàng hóa Tương lai Hoa Kỳ (CFTC)

Thanh khoản giả / Tạo lớp

Các lệnh nhiều cấp để giả mạo độ sâu thị trường

Trung bình

Được CFTC / FCA giám sát

Đánh dấu giá đóng cửa

Hoạt động mua tập trung trong những phút trước khi thanh toán

Cực đoan

Thao túng thị trường cổ điển

Chênh lệch giá có động cơ / Airdrop farming

Khai thác phần thưởng từ nền tảng

Trung bình

Vi phạm Điều khoản Dịch vụ

Oracle / thao túng nguồn giải quyết

Tấn công hoặc mua chuộc nguồn dữ liệu

Cực đoan

Tội phạm

Thao túng tin đồn

Tin giả phù hợp với một lập trường

Mức độ cao

Bị coi là bất hợp pháp ở hầu hết các khu vực pháp lý

2.2 “5 phút vàng” của Cửa sổ thanh toán

Sự khác biệt lớn nhất giữa thị trường dự đoán và hợp đồng giao ngay/vĩnh viễn là "Cửa sổ giải quyết" — vài phút đến vài chục phút cuối cùng trước khi sự kiện hết hạn là khoảng thời gian có tần suất tấn công cao nhất. Có ba lý do:

1. Thanh khoản cạn kiệt nhanh chóng (các nhà giao dịch khác đã đóng vị thế hoặc đang chờ xem);
2. Thông tin công khai chưa được xử lý đầy đủ (các thông báo chính thức / dữ liệu được công bố chậm trễ);
3. Kẻ thao túng đã nắm giữ thông tin và chờ đến “thời điểm cuối cùng” để tối đa hóa lợi nhuận.

Trong môi trường sản xuất, SoonTech quan sát thấy rằng khoảng 68% các giao dịch rõ ràng bất thường tập trung trong 60 phút cuối cùng trước khi sự kiện hết hạn, và 42% tập trung trong 5 phút cuối cùng. Hệ thống giám sát phải chuyển sang “chế độ áp lực cao” trong khoảng thời gian giải quyết — ngưỡng nhạy cảm hơn, cảnh báo dày đặc hơn, can thiệp của con người được ưu tiên cao hơn.

2.3 Sự công nghiệp hóa của các đối tượng thao túng

Sau năm 2025, thao túng thị trường dự đoán không còn là cuộc tấn công kiểu “một người vận hành thủ công” nữa. Chúng tôi quan sát thấy ba xu hướng công nghiệp hóa:

• Đám bot: những kẻ tấn công sử dụng các tập lệnh để kiểm soát hàng chục đến hàng trăm tài khoản đồng thời, phối hợp vị thế và thời điểm;
• Định vị thông tin trước: tuyển dụng “người môi giới thông tin” trên Twitter, các nhóm Telegram và các kênh Discord, chia sẻ lợi nhuận theo kết quả;
• Đồng bộ hóa đa nền tảng: cùng một thông tin được sử dụng để xây dựng vị thế đồng bộ trên Polymarket, Kalshi, Limitless, Opinion, v.v., nhằm phân tán rủi ro.

Điều này đòi hỏi hệ thống giám sát phải thực hiện phân tích mối liên hệ trên cả hai khía cạnh “nhóm tài khoản” và “liên nền tảng” — cảnh báo ngưỡng tài khoản đơn lẻ là hoàn toàn không đủ.

3. Các mô hình phát hiện giao dịch nội gián

3.1 Ba đặc điểm của giao dịch nội gián

Sự khác biệt cốt lõi giữa giao dịch nội gián trên thị trường dự đoán và giao dịch nội gián trên thị trường giao ngay nằm ở “tốc độ hội tụ giá”. Sau khi thông tin công khai được công bố, giá trên thị trường dự đoán sẽ nhanh chóng hội tụ về 0 hoặc 1. Nếu trước khi thông tin công khai được công bố, giá đã cho thấy “xu hướng dịch chuyển” phù hợp với kết quả cuối cùng và các tài khoản đã xây dựng vị thế có “bằng chứng liên quan trước đó”, thì giao dịch nội gián rất có thể đã xảy ra.

Đặc điểm 1: Xu hướng trước sự kiện. Giá thể hiện một xu hướng vượt quá ngưỡng (ví dụ: 10 điểm cơ bản) trong vòng 60 phút trước khi thông tin công khai được công bố, và hướng đi này phù hợp với kết quả cuối cùng.

Đặc điểm 2: Tương quan về thời gian. Thời điểm diễn ra xu hướng này có tương quan cao với “thời điểm nguồn thông tin được công bố”. Ví dụ: đội hình xuất phát của một trận bóng rổ được công bố 30 phút trước khi trận đấu bắt đầu, nhưng một số tài khoản đã mở vị thế từ 60 phút trước khi trận đấu bắt đầu.

Đặc điểm 3: Phân cụm tài khoản. Nhiều tài khoản mở vị thế theo cùng một hướng vào những thời điểm tương tự, và có bằng chứng về mối liên hệ (thiết bị / IP / nguồn vốn / hành vi tương đồng) giữa chúng.

3.2 Kỹ thuật xử lý đặc trưng: Bảng tín hiệu giao dịch nội gián

account_count_cluster

Số lượng tài khoản đang xây dựng vị thế theo cùng một hướng

> 5

0,15

info_source_timing

Khoảng cách giữa thời điểm công bố thông tin và thời điểm xây dựng vị thế

< 30 phút

0,20

pnl_to_volume_ratio

Lợi nhuận ròng (PnL) / khối lượng

> 0,30

0,10

account_age

Số ngày kể từ khi đăng ký tài khoản

< 7 ngày

0,05

device_reuse_count

Số lượng tài khoản khác sử dụng cùng dấu vân tay thiết bị

> 1

0,10

cross_platform_match

Cùng một thiết bị/địa chỉ IP đã có hành vi tương tự trên các nền tảng khác

có

0,05

Tổng trọng số là 1,0. Điểm số cho mỗi tài khoản = Σ(giá trị đặc trưng chuẩn hóa × trọng số). Điểm số > 0,65 sẽ kích hoạt cảnh báo cấp cao.

3.3 Phát hiện bất thường theo chuỗi thời gian

Trong việc xác định sự trôi dạt trước sự kiện, các cảnh báo ngưỡng điểm đơn lẻ dễ bỏ sót các thao tác "tích lũy chậm". Chúng tôi khuyến nghị sử dụng phát hiện dị thường chuỗi thời gian:

• CUSUM / Page-Hinkley: phát hiện sự thay đổi tích lũy trong giá trị trung bình / phương sai của giá, nhạy cảm với sự trôi dạt chậm;
• Prophet / STL: mô hình hóa sự dao động định kỳ “bình thường” của giá (trước trận đấu so với trong trận đấu, trước/sau khi công bố dữ liệu vĩ mô), phát hiện các dị thường còn lại;
• Điểm thay đổi Bayesian: phát hiện trực tuyến các điểm thay đổi trong phân phối giá, phù hợp với các tình huống có độ trễ thấp.

3.4 Căn chỉnh thời gian với các nguồn sự kiện

Hệ thống giám sát phải duy trì một "dòng thời gian nguồn sự kiện":

• Một trận đấu bóng rổ: tiếng còi khai cuộc, công bố đội hình, thời điểm ghi điểm;
• Một cuộc bầu cử chính trị: cuộc tranh luận, thời điểm kết thúc bỏ phiếu, công bố kết quả;
• Một điểm dữ liệu vĩ mô: thời gian công bố (theo múi giờ chính thức).

Mỗi sự kiện xây dựng vị thế được căn chỉnh theo dòng thời gian này, và "chênh lệch thời gian so với nguồn sự kiện gần nhất" được tính toán. Nếu nhiều tài khoản xây dựng vị thế hơn 30 phút trước khi một nguồn sự kiện có giá trị nội bộ cao (đội hình xuất phát, bỏ phiếu nội bộ, dữ liệu kinh tế) được công bố, xác suất giao dịch nội gián sẽ tăng lên đáng kể.

4. Phát hiện giao dịch rửa và tự khớp lệnh

4.1 Định nghĩa và tác hại của giao dịch rửa

Giao dịch rửa là khi các tài khoản giao dịch với nhau để tạo ra khối lượng và giá giả. Trong thị trường dự đoán, giao dịch rửa thường phục vụ hai mục đích:

1. Khai thác airdrop / chênh lệch giá khuyến khích: các nền tảng thưởng dựa trên khối lượng giao dịch, và giao dịch giả tạo có thể mô phỏng “hành vi người dùng thực” với chi phí bằng không (hoặc hơi âm sau khi trừ phí);
2. Thao túng nhận thức về giá / thanh khoản: giả mạo "thị trường sôi động" để thu hút các nhà giao dịch khác, hoặc đẩy báo giá của nhà tạo lập thị trường theo hướng mục tiêu của kẻ thao túng.

Giao dịch tự khớp là một hình thức đặc biệt của giao dịch rửa — các tài khoản thuộc cùng một người kiểm soát giao dịch với nhau, hoặc cùng một tài khoản tự khớp lệnh với chính mình (trong hệ thống khớp lệnh hỗ trợ vị thế hai chiều).

4.2 Các đặc điểm phát hiện

price_unchanged

Biến động giá trung bình trước và sau giao dịch

< 0,5%

volume_to_unique_accounts

Tổng khối lượng / số tài khoản đối tác duy nhất

> 10 lần

round_trip_count

Số lượng giao dịch khép kín của cùng một nhóm tài khoản trong 24 giờ

> 5

cross_market_correlation

Giao dịch rửa đồng bộ trên các thị trường

có độ tương quan cao

Tỷ lệ tự khớp = khối lượng của đối tác từ các tài khoản liên kết / tổng khối lượng của tài khoản. Khi tỷ lệ này vượt quá 30%, cảnh báo mức trung bình sẽ được kích hoạt.

4.3 Thuật toán phát hiện vòng lặp khép kín

Phát hiện vòng kín (Phát hiện vòng khép kín) theo dõi chuỗi "mua-giữ-bán" của từng tài khoản, xác định các chu kỳ "A bán cho B, B bán lại cho A" hoặc "A→B→C→A". Chúng tôi sử dụng các thuật toán đồ thị:

1. Xây dựng đồ thị có hướng của tài khoản × thời gian, mỗi cạnh là một hành động "bán";
2. Phát hiện tất cả các chu trình có độ dài ≤ 5 (số lượng chu trình ngắn nhiều hơn đáng kể so với chu trình dài = đáng ngờ);
3. Đối với mỗi chu trình, tính toán tổng PnL, độ lệch giá, thời gian kéo dài và đưa ra điểm số nghi ngờ.

Các tài khoản liên kết đã biết (cùng ID KYC, cùng dấu vân tay thiết bị, cùng cụm địa chỉ trên chuỗi) sẽ được đánh giá cao hơn. Đối với các tài khoản chưa được nhận diện nhưng có đặc điểm tương tự, phương pháp nhúng đồ thị (graph embedding) được sử dụng để phân cụm các tài khoản nghi vấn, sau đó là quá trình rà soát thủ công.

4.4 Các biến thể giao dịch rửa tiền chi phí thấp

Giao dịch rửa tiền công nghiệp hóa không để lại các mẫu "A→B→A" rõ ràng, mà sử dụng các cấu trúc phức tạp hơn:

• Giao dịch rửa trung gian: A→B→C→D→E, A nhận được 5% lợi nhuận chênh lệch, B–E mỗi bên nhận được 1%, nhưng vốn cuối cùng sẽ quay trở lại địa chỉ trên chuỗi do A kiểm soát;
• Chênh lệch thời gian: A bán cho B tại thời điểm T0, B bán cho C tại thời điểm T0+10, C bán cho A tại thời điểm T0+20, ba giao dịch này có giá gần như giống hệt nhau;
• Giao dịch rửa chéo thị trường: A bán outcome_1 cho B trên thị trường X, B bán outcome_1 cho C trên thị trường Y, C bán outcome_1 cho A trên thị trường X.

Các biến thể này đòi hỏi các thuật toán đồ thị phức tạp hơn (đồ thị không đồng nhất về tài khoản-thị trường-thời gian) và các mô hình chuỗi hành vi (Transformer) để phát hiện.

5. Liên kết nhiều tài khoản và phát hiện tấn công Sybil

5.1 Các chiều liên kết

Trong sản xuất, SoonTech sử dụng năm chiều để liên kết tài khoản, với các trọng số được điều chỉnh bởi các nhãn chuyên gia chống gian lận:

5 tài khoản sử dụng cùng một mạng Wi-Fi gia đình

Dòng tiền

Địa chỉ nạp tiền trên chuỗi, địa chỉ rút tiền trên chuỗi, biểu đồ hành vi trên chuỗi

0,25

Nhiều tài khoản được nạp tiền từ cùng một địa chỉ

Sự tương đồng về hành vi

Mô hình thời gian giao dịch, mô hình lệnh, mức độ chấp nhận trượt giá, nhịp độ thao tác giao diện người dùng

0,15

Các tài khoản được điều khiển bởi cùng một skript

KYC và siêu dữ liệu

Số ID, số điện thoại, email, thẻ ngân hàng, người giới thiệu

0,15

Cùng một số ID mở nhiều tài khoản

Điểm liên kết = Σ(giá trị chiều chuẩn hóa × trọng số). Điểm > 0,70 được đánh giá là có liên kết cao (một người có nhiều tài khoản), 0,50–0,70 được đánh giá là có liên kết đáng ngờ.

5.2 Chi tiết triển khai dấu vân tay thiết bị

Việc nhận dạng dấu vân tay thiết bị không thể chỉ dựa vào IP hoặc cookie; nó phải kết hợp các tín hiệu đa chiều:

• Lớp phần cứng: độ phân giải màn hình, tỷ lệ pixel, mẫu GPU, số nhân CPU, bộ nhớ, pin;
• Lớp phần mềm: UA, ngôn ngữ, múi giờ, phông chữ đã cài đặt, dấu vân tay hiển thị Canvas/WebGL, dấu vân tay AudioContext;
• Lớp hành vi: quỹ đạo chuột, nhịp gõ bàn phím, lực nhấn (thiết bị di động), con quay hồi chuyển (thiết bị di động);
• Lớp mạng: IP, ASN, BSSID Wi-Fi (thiết bị di động), phân đoạn IP, dấu vân tay TCP.

SDK dấu vân tay thiết bị của SoonTech đạt độ ổn định nhận dạng cùng thiết bị 99,5% trên thiết bị di động (cùng một điện thoại, mở nhiều ứng dụng vẫn ổn định), và nhận dạng chéo thiết bị (một người, nhiều thiết bị) được bổ sung bằng độ tương đồng hành vi.

5.3 Phân cụm địa chỉ trên chuỗi

Các phiên bản thị trường dự đoán trên chuỗi (đặc biệt là những phiên bản dựa trên Polygon, Base, Arbitrum) có một số lượng lớn địa chỉ gửi/rút tiền, và việc phân cụm địa chỉ là một “mỏ vàng” cho việc liên kết tài khoản:

• Chi tiêu chung: nhiều địa chỉ là đầu vào của cùng một giao dịch, có khả năng thuộc cùng một quyền kiểm soát;
• Địa chỉ thối tiền: nhận diện mẫu thối tiền (một đầu ra của giao dịch nhỏ hơn nhiều so với các đầu ra khác và chưa được chi tiêu);
• Địa chỉ nóng trên sàn giao dịch: rút tiền từ cùng một sàn giao dịch sang nhiều địa chỉ trên các nền tảng khác nhau;
• Nhãn trộn (Mixer): các địa chỉ sử dụng giao thức bảo mật (Tornado Cash, Railgun) có nhãn đặc biệt;
• NFT / đồ thị xã hội: số lượng NFT trong ví, các mối quan hệ xã hội trên chuỗi làm tín hiệu phụ trợ.

SoonTech hợp tác với Chainalysis, Elliptic, TRM Labs và các nhà cung cấp phân tích trên chuỗi khác, đồng thời đã xây dựng các mô hình phân cụm địa chỉ nội bộ bao gồm hơn 30 chuỗi chính và L2.

5.4 Tính tương đồng về hành vi

Tính tương đồng về hành vi được sử dụng để xác định các tài khoản được kiểm soát bởi "cùng một kịch bản / cùng một băng nhóm". Các đặc điểm chung:

• Mô hình thời gian: phân phối giờ giao dịch, thống kê thời gian hoạt động (cùng một kịch bản thường hoạt động trong các khung thời gian cố định);
• Mô hình lệnh: phân phối độ lệch giá lệnh so với giá trung bình, tỷ lệ hủy lệnh, thời gian từ khi hủy đến khi khớp lệnh;
• Nhịp điệu giao dịch: phân phối khoảng thời gian giữa các giao dịch liền kề, phân phối quy mô lệnh;
• Khôi phục lỗi: mẫu thử lại sau sự cố mạng, chữ ký cuộc gọi API.

Chúng tôi sử dụng bộ mã hóa tự động để nhúng hành vi; các tài khoản tương tự có khoảng cách nhỏ hơn đáng kể trong không gian nhúng so với các tài khoản không liên quan.

5.5 Chuỗi công nghiệp của các cuộc tấn công Sybil

Kể từ năm 2025, các cuộc tấn công Sybil vào thị trường dự đoán đã hình thành một chuỗi công nghiệp:

• Trang trại tài khoản: đăng ký tài khoản hàng loạt, liên kết số điện thoại, vượt qua nhận diện khuôn mặt (một số nền tảng), nuôi dưỡng tài khoản;
• Trang trại thiết bị: điện thoại/máy tính bảng do nhóm kiểm soát, trình giả lập, công cụ biến đổi thiết bị;
• Kênh tài trợ: nạp tiền vào nhiều tài khoản thông qua các bàn giao dịch OTC, OTC, PayPal/tài khoản ngân hàng;
• Vượt qua quy trình KYC: sử dụng "white hats" tại Đông Nam Á, Châu Phi, Nam Mỹ để vượt qua xác thực khuôn mặt thay mặt;
• Phối hợp quyết định: phối hợp thời điểm đặt lệnh, vị thế, nhịp độ hủy lệnh thông qua các nhóm Telegram, trò chuyện được mã hóa.

Mô hình nhận diện Sybil của SoonTech, sau khi được triển khai tại một khách hàng ở Đông Nam Á vào năm 2025, đã xác định và cấm 4.200 nhóm tài khoản Sybil trong vòng 3 tháng, thu hồi khoảng 1,2 triệu USD tổn thất tiềm ẩn.

6. Giả mạo, thanh khoản giả và thao túng sổ lệnh

6.1 Định nghĩa về Spoofing

Spoofing là hành vi thao túng thị trường được định nghĩa rõ ràng trong Đạo luật Dodd-Frank của Hoa Kỳ năm 2010: một nhà giao dịch đặt một lệnh lớn mà không có ý định thực hiện, nhằm giả mạo cung/cầu, sau đó hủy lệnh sau khi các nhà giao dịch khác theo lệnh đó và giao dịch theo hướng ngược lại để kiếm lợi nhuận.

Trong sổ lệnh của thị trường dự đoán, một kịch bản điển hình là:

1. Kẻ tấn công đặt lệnh mua 500.000 USD cho Yes ở mức 0,40, giả mạo "lực mua mạnh";
2. Nhà đầu tư nhỏ lẻ nhìn thấy lệnh mua này và theo sau, đẩy giá "Yes" lên mức 0,45;
3. Kẻ tấn công hủy lệnh và bán vị thế "Yes" đã chuẩn bị sẵn ở mức 0,45;
4. Giá quay trở lại mức 0,41, kẻ tấn công thu lợi nhuận 5% × vị thế.

6.2 Layering

Tạo lớp là phiên bản nâng cấp của spoofing: kẻ tấn công đặt lệnh ở nhiều mức giá khác nhau để giả mạo "độ sâu" nhưng không có ý định thực hiện bất kỳ lệnh nào trong số đó. Ví dụ:

• Đặt ba lệnh mua 100.000 USD ở mức 0,40/0,41/0,42;
• Đặt ba lệnh bán 100.000 USD ở mức 0,44/0,45/0,46;
• Tạo ra ảo giác về "chênh lệch 4 điểm cơ bản, độ sâu thị trường $300,000" ở vùng giá giữa;
• Sau khi các nhà đầu tư nhỏ lẻ thực hiện giao dịch ở mức giá giữa, kẻ tấn công hủy một bên và đảo chiều.

6.3 Các đặc điểm phát hiện

> 2 điểm cơ bản

cancel_after_other_trade

Việc hủy lệnh có tuân theo việc lấp đầy lệnh của người khác trên cùng một phía hay không

Có

inventory_imbalance

Hướng vị thế tài khoản sau khi hủy lệnh

Ngược lại với hướng hủy lệnh

layer_count

Số mức giá cùng phía

> 3

Tỷ lệ lệnh so với giao dịch = khối lượng lệnh / khối lượng khớp lệnh. Khi tỷ lệ này vượt quá 20 lần, cảnh báo mức trung bình sẽ được kích hoạt; tỷ lệ hủy lệnh trên 80% và độ trễ hủy lệnh < 10 giây là bằng chứng rõ ràng về hành vi giả mạo.

6.4 Thanh khoản thực so với thanh khoản giả

Việc phân biệt thanh khoản thực và thanh khoản giả là một thách thức phổ biến đối với các nhà tạo lập thị trường dự đoán và các cơ quan quản lý. Cách tiếp cận của SoonTech giới thiệu "Điểm tin cậy thanh khoản":

• Thanh khoản của mỗi cấp được tính trọng số theo "khối lượng trong 1 giờ qua / khối lượng lệnh";
• Các lệnh tồn tại lâu mà hiếm khi được khớp (lệnh ma) sẽ bị giảm trọng số;
• Trong các đợt biến động giá nhanh, phía lệnh không theo sát giá = độ tin cậy cao (nhà tạo lập thị trường), phía lệnh theo sát hoặc hủy lệnh = độ tin cậy thấp (có thể là hành vi giả mạo);

Chỉ số này được hiển thị trên giao diện người dùng (thang màu hoặc biểu tượng), giúp người dùng có thể trực quan nhận biết “thanh khoản nào là thật”.

6.5 Xác định giá đóng cửa

"Giá đóng cửa" của thị trường dự đoán tương ứng với giá ngụ ý hoặc mức giá thực hiện cuối cùng tại thời điểm thanh toán. Kẻ tấn công có thể tập trung mua trong 5–10 phút cuối cùng trước khi thanh toán, đẩy giá đóng cửa lên gần 1,00, gây ra hiệu ứng domino trong các hệ thống khác: thanh toán tự động, định giá NAV của quỹ chỉ số, đối chiếu nhà tạo lập thị trường.

Các điểm phát hiện:

• Sự gia tăng đột biến bất thường về khối lượng giao dịch trong N phút gần đây nhất (N thường là 5–15 phút);
• Vị thế tập trung theo một hướng duy nhất trong các tài khoản trước khi thanh toán, đặc biệt là các tài khoản mới đăng ký hoặc đã không hoạt động trong thời gian dài;
• Hoạt động đồng bộ của nhiều tài khoản dưới sự điều khiển của cùng một người.

SoonTech khuyến nghị chuyển sang "chế độ áp lực cao" 30 phút trước khi thanh toán: tất cả các lệnh mới bị giới hạn ở mức 0,5 lần giới hạn, các vị thế mới của tài khoản bất thường bị đóng băng và các sự kiện quan trọng phải được xác nhận thủ công.

7. Phòng thủ chống thao túng nguồn Oracle và thanh toán

7.1 Mức độ nghiêm trọng của các cuộc tấn công vào Oracle

Oracle là "mỏ neo tin cậy" của thị trường dự đoán; một khi bị xâm phạm, tất cả các vị thế trong toàn bộ chuỗi sự kiện có thể được thanh toán không chính xác. Năm 2023, một nền tảng dự đoán lớn từng thanh toán một trận đấu bị hủy với kết quả là “đội chủ nhà thắng” do lỗi nguồn dữ liệu, gây ra khoản thanh toán sai trị giá 2,8 triệu USD; năm 2024, một nền tảng khác đã thanh toán sai một sự kiện dữ liệu vĩ mô vì một công cụ tổng hợp trả về phản hồi API bị ô nhiễm.

7.2 Các bề mặt tấn công

Xử lý múi giờ và dấu thời gian

Dấu thời gian từ nguồn dữ liệu bị tấn công

Ít nhất 3 nguồn thời gian độc lập

Sự mơ hồ chủ quan về sự kiện

Mô tả mơ hồ, kẻ tấn công chọn cách giải thích có lợi cho mình

Kiểm tra nghiêm ngặt việc tạo thị trường

Giả mạo bằng chứng ZK

Kẻ tấn công làm giả bằng chứng ZK

Nhiều bên xác minh, mạch giảm thiểu sự tin cậy

7.3 Tổng hợp đa nguồn và giá trị trung vị

Đối với các sự kiện có thể định lượng (kết quả thể thao, giá tiền điện tử, dữ liệu vĩ mô), SoonTech yêu cầu phải có ít nhất 3 nguồn dữ liệu độc lập:

• Ít nhất hai trong số Chainlink, API3, UMA, cộng với việc thu thập dữ liệu nội bộ;
• Ít nhất 2 nguồn phải trả về kết quả nhất quán để tiến tới giai đoạn đề xuất;
• Trong trường hợp không thống nhất, kích hoạt quy trình "thanh toán chậm trễ" hoặc "xem xét thủ công".

Đối với các sự kiện mang tính chủ quan (chính trị, giải trí), cần có mô tả sự kiện chi tiết cùng ít nhất 3 nguồn độc lập có thể xác minh được; người đề xuất phải đính kèm các liên kết và văn bản gốc khi đề xuất.

7.4 Oracle Tích cực và Giai đoạn Thách thức

Dựa trên thiết kế Oracle lạc quan của UMA:

• Giai đoạn đề xuất: người đề xuất gửi kết quả + liên kết bằng chứng, đặt cọc;
• Giai đoạn thách thức (2–24 giờ): bất kỳ ai cũng có thể thách thức, người thách thức phải đặt cọc một khoản tiền cao hơn;
• Tự động thông qua nếu không có khiếu nại: nếu không có khiếu nại trong khoảng thời gian quy định, kết quả sẽ tự động có hiệu lực;
• Nâng cấp tranh chấp: tranh chấp được chuyển lên cấp giải quyết cao hơn (hội đồng, bỏ phiếu DAO, tòa án ngoài chuỗi).

Thời gian thách thức nên được điều chỉnh linh hoạt theo giá trị sự kiện — 2 giờ đối với giá trị thấp, 24 giờ đối với giá trị cao, 72 giờ đối với các cuộc bầu cử chính trị. Việc triển khai của SoonTech cho phép tùy chỉnh thời gian thách thức khi tạo thị trường.

7.5 Chữ ký dữ liệu và bằng chứng có thể xác minh

Các oracle thế hệ mới yêu cầu các nguồn dữ liệu cung cấp bằng chứng có thể xác minh:

• Chữ ký API: Nguồn dữ liệu ký vào phản hồi bằng khóa riêng Ed25519, Oracle xác minh chữ ký;
• TLS Notary / DECO: chứng minh dữ liệu thực sự đến từ một điểm cuối HTTPS cụ thể;
• Ảnh chụp màn hình trang chính thức: cố định trang chính thức tại một thời điểm cụ thể bằng OpenTimestamps hoặc IPA (Inheritance Proof of Authority);
• Chữ ký số của các hãng tin: Reuters, AP ký các thông báo chính thức.

Oracle Hub của SoonTech tích hợp Chainlink Functions, API3 QRNG, UMA Optimistic Oracle và bộ lưu trữ bằng chứng có thể xác minh nội bộ.

8. Kiến trúc phát hiện nhiều lớp: Quy tắc, Thống kê, Thuật toán đồ thị và Học máy

8.1 Tại sao cần có các lớp

Bất kỳ phương pháp phát hiện đơn lẻ nào cũng có những hạn chế:

• Chỉ sử dụng quy tắc: độ chính xác cao, nhưng độ nhạy thấp, khó phát hiện các mẫu "chưa từng thấy";
• Chỉ sử dụng học máy: độ thu hồi cao, nhưng là "hộp đen", khó giải thích, dễ bị vượt qua bằng các mẫu đối kháng;
• Chỉ sử dụng đồ thị: mạnh về mối liên hệ có cấu trúc, nhưng yếu về tín hiệu chuỗi thời gian và văn bản;
• Thống kê thuần túy: nhạy cảm với các bất thường, nhưng ngưỡng khó điều chỉnh, tỷ lệ dương tính giả cao.

Trong sản xuất, SoonTech sử dụng kiến trúc bốn lớp, mỗi lớp có trách nhiệm rõ ràng và có thể nâng cấp độc lập:

100 ms–1 giây

thấp

Thuật toán đồ thị L3

Neo4j / TigerGraph / GraphX

Liên kết tài khoản, vòng lặp kín, nhóm

1–10 giây

trung bình

L4 Học máy

XGBoost / Mạng thần kinh đồ thị (GNN) / Transformer

Các mẫu phức tạp, các mối đe dọa chưa từng thấy

10 giây–vài phút

trung bình-cao

Mỗi lớp đưa ra kết quả là "điểm nghi ngờ + bằng chứng", và một "bộ tổng hợp cảnh báo" sẽ chấm điểm và đẩy vào hàng đợi cảnh báo.

8.2 Hệ thống quy tắc L1

Bộ máy quy tắc là cơ sở tuân thủ, với ba trách nhiệm:

1. Quy tắc tuân thủ cứng: hạn chế về địa lý, giới hạn độ tuổi, trạng thái KYC, giới hạn giao dịch đơn lẻ, giới hạn tích lũy;
2. Các mẫu vi phạm đã biết: phát hiện tự khớp, các mẫu giả mạo rõ ràng, các địa chỉ Sybil đã biết;
3. Các yếu tố kích hoạt báo cáo theo quy định: trực tiếp tạo bản nháp SAR/STR khi đạt đến các ngưỡng cụ thể (khối lượng tích lũy, quy mô giao dịch đơn lẻ).

Các quy tắc được viết bằng DSL (DSL của SoonTech tương tự như WHEN account.age < 7d AND trade.size > 10000 THEN alert("new_account_large_trade")), hỗ trợ tính năng tải lại nóng, kiểm soát phiên bản và thử nghiệm A/B.

8.3 Dữ liệu bất thường thống kê cấp 2

Quản lý chuỗi thời gian cho từng tài khoản và từng thị trường:

• Khối lượng, quy mô lệnh, tỷ lệ hủy lệnh, trung bình trượt và phương sai;
• z-score và IQR của biến động giá;
• Độ lệch tích lũy CUSUM / Page-Hinkley.

Khi một chỉ số lệch khỏi phân phối lịch sử vượt quá ngưỡng (ví dụ: 3σ hoặc phần trăm thứ 99,5), kích hoạt cảnh báo. Lớp này chủ yếu phát hiện "các dị thường thống kê theo các mẫu đã biết", ví dụ: "khối lượng giao dịch của một tài khoản trong 1 giờ gấp 10 lần so với 30 ngày qua".

8.4 Thuật toán đồ thị L3

Thị trường dự đoán có cấu trúc đồ thị phong phú:

• Đồ thị tài khoản-tài khoản: các cạnh thông qua thiết bị chung, IP, liên kết quỹ;
• Đồ thị tài khoản-thị trường: đồ thị hai phần thông qua hành vi giao dịch;
• Đồ thị quỹ-địa chỉ trên chuỗi: đồ thị có hướng thể hiện các giao dịch nạp/rút;
• Đồ thị sự kiện - nguồn thông tin: mối tương quan về thời gian giữa các sự kiện và các nguồn thông tin có thể truy cập.

Chúng tôi chạy ba loại thuật toán trên Neo4j / TigerGraph:

• Phát hiện cộng đồng (Louvain / Leiden): xác định các nhóm tài khoản có mức độ liên kết cao;
• Các nút bất thường (oddball / Ego-splitting): các nút có độ kết nối cao nhưng có đặc điểm bất thường;
• So khớp đồ thị con: tìm kiếm các mẫu cụ thể (ví dụ: "5 tài khoản thực hiện giao dịch rửa tiền đồng bộ trên 3 thị trường").

Ưu điểm của các thuật toán đồ thị là “khả năng giải thích” — mỗi nhóm đáng ngờ đều có thể được trực quan hóa cho nhân viên tuân thủ.

8.5 Học máy L4

ML phát hiện các mẫu phức tạp, chưa từng thấy:

• XGBoost / LightGBM: cơ sở mạnh mẽ trên các đặc điểm có cấu trúc, phân loại nhị phân "tài khoản có đáng ngờ hay không";
• GNN (Mạng thần kinh đồ thị): nhúng đồ thị tài khoản-thị trường-địa chỉ, được sử dụng để xác định “liệu các tài khoản có đang hợp tác với nhau hay không”;
• Transformer / LSTM: mô hình hóa chuỗi giao dịch, "mô hình hành vi có bất thường không";
• Autoencoder / Isolation Forest: phát hiện bất thường không giám sát cho "các mẫu mới chưa biết".

Mô hình đưa ra kết quả là xác suất + đóng góp của các đặc trưng chính (giá trị SHAP) để con người xem xét.

8.6 Tổng hợp và loại trừ trùng lặp cảnh báo

Cùng một hành vi bất thường có thể được kích hoạt bởi nhiều lớp cùng lúc (ví dụ: quy tắc, thống kê, ML đều kích hoạt), do đó cần thực hiện tổng hợp và loại trừ trùng lặp:

• Sử dụng ID sự kiện (tài khoản + thị trường + khoảng thời gian) làm khóa loại trừ trùng lặp;
• Hợp nhất các cảnh báo có cùng nguyên nhân gốc trong khoảng thời gian 5 phút;
• Trả về "nghi ngờ tổng hợp" và "lớp đóng góp chính", giúp việc xem xét thủ công trở nên trực quan.

9. Phân cấp cảnh báo, xem xét thủ công và các hành động thực thi

9.1 Các cấp độ cảnh báo

SoonTech sử dụng bốn cấp độ cảnh báo, tương ứng với các SLA và lộ trình thực thi khác nhau:

Giám đốc điều hành + Giám đốc Tuân thủ

P1 Cao

Có bằng chứng rõ ràng về thao túng, phải đóng băng ngay lập tức

Hơn 5 tài khoản thực hiện giao dịch nội gián đồng bộ

30 phút

Giám đốc Tuân thủ + Quản lý Rủi ro

P2 Trung bình

Rất đáng ngờ, cần kiểm tra thủ công

Tài khoản có tỷ lệ tự khớp > 50%

4 giờ

Quản lý rủi ro + Tuân thủ trực ca

P3 Thấp

Tín hiệu yếu, xử lý theo lô

Khối lượng lệch 2σ

24 giờ

Tuân thủ chế độ trực

9.2 Quy trình kiểm tra thủ công

Việc xem xét thủ công không phải là "liếc qua rồi bỏ qua" — nó đòi hỏi một quy trình tiêu chuẩn hóa:

1. Nhận cảnh báo: hệ thống gửi thông báo đến hệ thống vé của nhân viên tuân thủ kèm theo gói bằng chứng (giao dịch đáng ngờ, đồ thị liên kết, mô hình SHAP, hồ sơ tài khoản);
2. Phân loại nhanh chóng: trong vòng 5 phút quyết định “báo động giả”, “tiếp tục theo dõi”, “báo cáo lên cấp trên”;
3. Khóa bằng chứng: lưu trữ trạng thái tài khoản, hồ sơ giao dịch, dấu vân tay thiết bị, địa chỉ trên chuỗi vào kho lưu trữ bằng chứng (ghi vào nhật ký chỉ đọc + neo trên chuỗi);
4. Ra quyết định và thực thi: chọn biện pháp xử lý (xem phần tiếp theo), gửi phê duyệt bằng chữ ký kép;
5. Theo dõi và lưu trữ: sau khi thực thi, theo dõi trong 7/30/90 ngày, xác nhận không tái diễn, ghi vào thư viện trường hợp để đào tạo mô hình.

Các nhân viên tuân thủ làm việc 24/7 theo ca, với ít nhất 2 người mỗi ca để tránh sơ suất tại một điểm duy nhất. Hệ thống phiếu yêu cầu của SoonTech có cơ chế “xem xét kép” tích hợp sẵn — bất kỳ biện pháp thực thi P0/P1 nào cũng cần hai sự phê duyệt độc lập để thực hiện.

9.3 Các hành động thi hành

Trải nghiệm người dùng giảm sút

Trung bình

Khóa tài khoản

Vi phạm rõ ràng, cần điều tra

Phàn nàn của người dùng

Trung bình

Hủy đơn hàng / giao dịch

Giao dịch tự khớp, lỗi rõ ràng

Ảnh hưởng đến thị trường

Trung bình (yêu cầu công bố Điều khoản Dịch vụ)

Giao dịch bị hủy

Thị trường bị thao túng, sự kiện không hợp lệ

Uy tín nền tảng

Trung bình (cần có các quy tắc rõ ràng)

Sự chậm trễ trong việc giải quyết

Có tranh chấp, cần xem xét

Trải nghiệm người dùng giảm sút

Trung bình

Cắt giảm quỹ

Vi phạm nghiêm trọng, có quy định trong giao thức

Người dùng khởi kiện

Trung bình (cần làm rõ Điều khoản Dịch vụ)

Chuyển sang cơ quan tư pháp

Liên quan đến hành vi phạm tội hình sự, xuyên biên giới

Thời gian giải quyết vụ kiện kéo dài

Mức độ cao

Nền tảng phải quy định rõ ràng trong Điều khoản Dịch vụ (ToS) và quy tắc thị trường về các điều kiện kích hoạt, quy trình phê duyệt và lộ trình khiếu nại cho từng hành động. Đây không chỉ là yêu cầu tuân thủ pháp luật mà còn là "thông báo trước" cho người dùng.

9.4 Hủy bỏ giao dịch trên thị trường

Việc hủy bỏ giao dịch là một trong những biện pháp xử lý nghiêm khắc nhất, thường được áp dụng trong các trường hợp sau:

• Mô tả sự kiện có sự mơ hồ không thể giải quyết;
• Có bằng chứng đáng kể cho thấy kết quả đã bị thao túng;
• Oracle bị vi phạm và không thể giải quyết trong thời hạn khiếu nại;
• Cơ quan quản lý yêu cầu rõ ràng.

Xử lý vốn sau khi hủy bỏ:

• Mua lại theo tỷ lệ bằng nhau: tất cả cổ phần được mua lại với tỷ lệ 1/N, người thao túng và người dùng khác được đối xử bình đẳng;
• Quỹ bồi thường: sử dụng "quỹ bảo hiểm thị trường không hợp lệ" để mua lại các vị thế của người dùng không vi phạm theo giá bình thường cuối cùng;
• Hủy bỏ một phần: chỉ hủy bỏ kết quả phụ bị thao túng, các kết quả khác được thanh toán bình thường.

SoonTech khuyến nghị các quyết định hủy giao dịch nên được xem xét chung bởi bộ phận tuân thủ + pháp lý + kinh doanh, đồng thời ghi lại lý do quyết định và chuỗi bằng chứng.

10. Giải quyết tranh chấp, chuỗi bằng chứng và khả năng giải thích

10.1 Kiến trúc giải quyết tranh chấp ba tầng

Dựa trên cơ chế "Optimistic Oracle" của UMA và cơ chế "fork" của Augur, SoonTech triển khai ba lớp giải quyết tranh chấp:

1. Lớp 1: Đề xuất – Thách thức (2–24 giờ)

• Người đề xuất nộp kết quả + bằng chứng, đặt cọc một khoản tiền;
• Bất kỳ ai cũng có thể thách thức, người thách thức phải đặt cọc một khoản tiền cao hơn;
• Tự động thông qua nếu không có ai thách thức.

1. Tầng 2: Bầu cử Hội đồng (3–7 ngày)

• Khi có phản đối, hội đồng gồm 9–15 thành viên sẽ bỏ phiếu (khách hàng của SoonTech có thể tùy chỉnh thành viên);
• Đa số đơn giản là đủ để thông qua, người đề xuất và người phản đối chia tiền đặt cọc theo kết quả;
• Chi tiết bỏ phiếu được ghi trên chuỗi, lý do của từng thành viên có thể được công khai.

1. Lớp 3: DAO hoặc Cơ quan có thẩm quyền (7–30 ngày)

• Các tranh chấp nghiêm trọng (liên quan đến hàng triệu đô la hoặc các vấn đề hiến pháp) sẽ được chuyển lên bỏ phiếu DAO hoặc trọng tài tại cơ quan tài phán cụ thể;
• Đây là “nút hạt nhân”, hiếm khi được kích hoạt.

10.2 Lưu trữ Chuỗi Bằng chứng

Bất kỳ hành động thi hành nào (hủy lệnh, đóng băng, vô hiệu hóa) đều phải có chuỗi bằng chứng có thể kiểm toán:

• Ảnh chụp nhanh trạng thái tài khoản: tình trạng KYC, vị thế, số dư, điểm rủi ro tại thời điểm thực hiện hành động;
• Chi tiết giao dịch: lịch sử giao dịch đầy đủ của các tài khoản liên quan, đối tác, địa chỉ IP, dấu vân tay thiết bị, dấu thời gian;
• Kết quả mô hình: điểm nghi ngờ, đóng góp của các đặc trưng chính (SHAP), các cảnh báo liên quan;
• Bản ghi quyết định: người ra quyết định, thời gian ra quyết định, lý do ra quyết định, người xem xét;
• Theo dõi: những thay đổi trong hành vi tài khoản sau 7/30/90 ngày.

Hệ thống tuân thủ của SoonTech ghi gói bằng chứng vào nhật ký chỉ đọc (PostgreSQL + S3) + neo trên chuỗi (băm nhật ký hàng giờ được ghi vào Ethereum/Polygon), đảm bảo tính bất biến và khả năng truy vấn lâu dài.

10.3 Khả năng giải thích

Các cơ quan quản lý và tòa án ngày càng yêu cầu các quyết định của AI phải có thể giải thích được. Thực tiễn của SoonTech:

• Cảnh báo quy tắc: mỗi quy tắc có một mô tả bằng ngôn ngữ tự nhiên ("tài khoản liên quan đến 3 địa chỉ IP trong 24 giờ");
• Cảnh báo thống kê: hiển thị biểu đồ chuỗi thời gian, đường ngưỡng, giá trị thống kê;
• Cảnh báo ML: đính kèm biểu đồ đóng góp tính năng SHAP, đánh dấu "lý do tài khoản này bị gắn cờ";
• Cảnh báo đồ thị: trực quan hóa đồ thị liên kết, ghi chú "tại sao các tài khoản này được liên kết".

Các nhân viên tuân thủ có thể sử dụng ngôn ngữ tự nhiên để giải thích cho cơ quan quản lý hoặc người dùng: "Tài khoản này bị gắn cờ vì đã sử dụng cùng một BSSID Wi-Fi với 4 tài khoản Sybil đã biết trong vòng 30 phút trước sự kiện, và được nạp tiền từ địa chỉ trên chuỗi 0xab12..."

11. Báo cáo theo quy định và tích hợp tuân thủ

11.1 Các khu vực pháp lý chính ở Đông Nam Á

Báo cáo thương mại hàng quý, báo cáo STR tức thì

Indonesia

BAPPEBTI (hợp đồng tương lai) / OJK (chứng khoán)

Giám sát giao dịch hợp đồng tương lai, phòng chống rửa tiền (AML)

Giám sát thời gian thực, báo cáo tuân thủ hàng tháng

Thái Lan

Ủy ban Chứng khoán Thái Lan (SEC Thailand)

Tài sản kỹ thuật số, phòng chống rửa tiền (AML)

Báo cáo sự cố bất thường theo thời gian thực, kiểm toán tuân thủ hàng năm

Singapore

MAS (Cơ quan Quản lý Tiền tệ Singapore)

DPT (Token thanh toán kỹ thuật số), AML/CFT

STR/CTR theo thời gian thực, báo cáo tuân thủ hàng năm

Việt Nam

Ngân hàng Trung ương + Bộ Thông tin và Truyền thông

Tài sản kỹ thuật số, Chống rửa tiền (AML)

Giai đoạn thử nghiệm, cần tích hợp dần dần

Philippines

BSP (Ngân hàng Trung ương) + SEC

Tài sản kỹ thuật số, phòng chống rửa tiền (AML)

Báo cáo hàng quý + Báo cáo giao dịch đáng ngờ (STR) theo thời gian thực

11.2 Nội dung báo cáo

Ngay lập tức

Báo cáo giao dịch tiền tệ (CTR)

Giao dịch đơn lẻ hoặc tích lũy vượt ngưỡng

Chi tiết giao dịch, đối tác, KYC

Hàng ngày/hàng tuần

Báo cáo thao túng thị trường

Vi phạm các quy tắc thao túng

Kỹ thuật thao túng, các tài khoản liên quan, ước tính thiệt hại

Ngay lập tức + hàng tháng

Sự cố an ninh hệ thống

Tấn công mạng, sự cố Oracle

Dòng thời gian sự kiện, phạm vi ảnh hưởng, tiến độ khắc phục

Ngay lập tức

Báo cáo tuân thủ hàng năm

Hàng năm

Tình trạng rủi ro tổng thể, các sự kiện chính, kế hoạch cải thiện

Hàng năm

Phản hồi yêu cầu của cơ quan quản lý

Cơ quan quản lý chủ động yêu cầu

Dữ liệu chi tiết về các tài khoản/thị trường cụ thể

Theo yêu cầu

11.3 Phối hợp quản lý xuyên biên giới

Thị trường dự đoán vốn dĩ mang tính chất xuyên biên giới — người dùng có thể nạp tiền tại Philippines, giao dịch tại Malaysia và rút tiền tại Indonesia. Hệ thống tuân thủ của SoonTech hỗ trợ:

• Thư viện quy tắc tuân thủ xuyên khu vực pháp lý (mỗi quy tắc có thể chỉ định khu vực áp dụng);
• Tự động báo cáo các giao dịch đáng ngờ xuyên biên giới (tài khoản tại Philippines + thị trường tại Malaysia + rút tiền tại Indonesia → đồng thời báo cáo cho ba cơ quan quản lý);
• Tích hợp API với các cơ quan quản lý (MAS, SC, SEC Thái Lan đều có các thông số kỹ thuật API chuyên dụng);
• Chế độ thử nghiệm quy định (ẩn danh hoặc hạn chế các tính năng cụ thể theo yêu cầu).

12. Kiến trúc kỹ thuật và thiết kế hiệu suất

12.1 Kiến trúc tổng thể

Quy trình giám sát toàn diện diễn ra từ điểm vào giao dịch cho đến khi có sự can thiệp của con người, và được chia thành bảy lớp dọc theo luồng dữ liệu:

1. Lớp đầu vào: Các yêu cầu từ khách hàng và thiết bị di động đi qua Cổng API vào công cụ khớp lệnh hoặc AMM. Cổng này đồng thời thu thập các tín hiệu thô liên quan đến danh tính như dấu vân tay thiết bị, IP và trình duyệt người dùng.
2. Bus sự kiện: Công cụ khớp lệnh ghi lại mọi giao dịch thành công, việc đặt/hủy lệnh và thay đổi vị thế vào các chủ đề Kafka như trade-event-stream và order-event-stream, đóng vai trò là nguồn dữ liệu duy nhất đáng tin cậy cho tất cả các mô-đun phát hiện ở các tầng phía dưới.
3. Lớp tính toán thời gian thực: Các tác vụ Flink tiêu thụ các luồng sự kiện và tổng hợp các đặc trưng thời gian thực theo tài khoản, thị trường và khung thời gian — tỷ lệ tự khớp, tỷ lệ đặt lệnh so với hủy lệnh, tỷ trọng khối lượng trong khung thời gian thanh toán, v.v.
4. Lớp lưu trữ đặc trưng: Các đặc trưng thời gian thực được ghi vào Redis hoặc kho lưu trữ đặc trưng để thực hiện suy luận trực tuyến với độ trễ thấp, đồng thời một bản sao song song được lưu trữ trong hồ dữ liệu để đào tạo ngoại tuyến và kiểm tra ngược.
5. Lớp suy luận và tổng hợp: Công cụ quy tắc, mô hình thống kê và mô hình học máy đánh giá điểm song song; dịch vụ tổng hợp cảnh báo loại bỏ trùng lặp, hợp nhất các tín hiệu cùng nguồn gốc và tính toán điểm rủi ro cuối cùng.
6. Lớp phân tích đồ thị: Một cơ sở dữ liệu đồ thị như Neo4j lưu trữ mạng liên kết tài khoản–thiết bị–nguồn vốn–địa chỉ trên chuỗi. Các tác vụ ngoại tuyến định kỳ tính toán lại việc phát hiện cộng đồng và độ mạnh liên kết, cung cấp kết quả trở lại dưới dạng các tính năng cấp tài khoản.
7. Lớp thực thi: Các cảnh báo vượt ngưỡng sẽ được đưa vào hàng đợi cảnh báo và hệ thống tạo phiếu, được chuyển tiếp theo mức độ nghiêm trọng đến nhân viên rủi ro trực ca, bộ phận kiểm tra tuân thủ hoặc các hành động thực thi tự động.

12.2 Lõi xử lý luồng: Flink + Kafka

• Kafka xử lý tất cả các sự kiện giao dịch, hành vi người dùng, sự kiện trên chuỗi và sự kiện oracle;
• Flink chịu trách nhiệm tính toán các đặc trưng thời gian thực (cửa sổ trượt, xử lý sự kiện phức tạp CEP), suy luận mô hình thời gian thực và tạo cảnh báo thời gian thực;
• Flink CEP đặc biệt phù hợp để phát hiện "mô hình chuỗi thời gian" (ví dụ: "A đặt 3 đơn hàng trong 5 phút, cách nhau 30 giây");
• Ngữ nghĩa "Chỉ một lần" đảm bảo các cảnh báo không bị trùng lặp hoặc bỏ sót (yêu cầu tuân thủ quan trọng).

12.3 Kho tính năng

SoonTech khuyến nghị sử dụng kho tính năng theo từng tầng:

• Tính năng thời gian thực (Redis / Aerospike): độ trễ < 1 ms, dành cho tính toán thời gian thực của Flink;
• Tính năng ngoại tuyến (Parquet trên S3 / Hudi): T+1, dành cho việc huấn luyện mô hình ngoại tuyến;
• Nền tảng tính năng (Feast / Tecton): định nghĩa tính năng thống nhất, quản lý phiên bản, chia sẻ giữa các nhóm;
• Suy luận trực tuyến (< 100 ms) và huấn luyện ngoại tuyến chia sẻ cùng một định nghĩa tính năng, tránh sự chênh lệch giữa huấn luyện và phục vụ.

12.4 Cơ sở dữ liệu đồ thị

• Neo4j dành cho phân tích mối liên hệ quy mô nhỏ đến trung bình (< 100 triệu nút);
• TigerGraph dành cho các thuật toán đồ thị quy mô lớn (hàng tỷ nút);
• GraphX / NetworkX dành cho phân tích ngoại tuyến một lần (phát hiện cộng đồng, khớp đồ thị con);
• Amazon Neptune / Alibaba GraphScope dành cho triển khai trên nền tảng đám mây.

Các truy vấn đồ thị phổ biến:

• "Các tài khoản chia sẻ địa chỉ IP phân đoạn C với các tài khoản Sybil đã biết trong 24 giờ qua";
• "Các địa chỉ nạp tiền trên chuỗi của tài khoản X trong 7 ngày qua, đồ thị sau khi phân cụm theo phương pháp Common Spending";
• "Khoảng thời gian ngắn nhất mà 5 tài khoản thực hiện giao dịch rửa tiền đồng bộ trên 3 thị trường".

12.5 Hiệu suất và tính sẵn sàng

Tính toán trước + chỉ mục + bộ nhớ đệm đồ thị con

Tính sẵn sàng của hệ thống

99,95%

Triển khai đa hoạt động, cơ chế ngắt mạch, giảm hiệu suất

Thông lượng

100.000 TPS sự kiện giao dịch

Các phân vùng Kafka + tính song song của Flink

Lưu trữ

Lưu trữ tuân thủ trong 5 năm

Lưu trữ phân tầng nóng/lạnh + lưu trữ đối tượng

13. Giải pháp giám sát thị trường của SoonTech

13.1 Tổng quan về giải pháp

Bộ giải pháp Giám sát Thị trường của SoonTech là một thành phần cơ sở hạ tầng quan trọng cho các nền tảng thị trường dự đoán, cùng với AMM, sổ lệnh và oracle. Cấu trúc mô-đun:

1. Lớp thu thập dữ liệu: sự kiện giao dịch, hành vi người dùng, sự kiện trên chuỗi, sự kiện oracle, dấu vân tay thiết bị;
2. Lớp xử lý thời gian thực: các tính năng thời gian thực của Kafka + Flink và CEP;
3. Lớp phát hiện: công cụ quy tắc (L1) + dị thường thống kê (L2) + thuật toán đồ thị (L3) + học máy (L4);
4. Cảnh báo và phiếu yêu cầu: cảnh báo theo cấp độ, xem xét kép, chuỗi bằng chứng;
5. Thực thi và xử lý: giới hạn vị thế, hủy lệnh, đóng băng, vô hiệu hóa, trì hoãn thanh toán;
6. Báo cáo tuân thủ: STR/CTR, tích hợp API cơ quan quản lý, phối hợp xuyên biên giới;
7. Khả năng giải thích và kiểm toán: SHAP, chuỗi bằng chứng, neo trên chuỗi;
8. Bảng điều khiển quản trị: bàn làm việc của nhân viên tuân thủ, thư viện trường hợp, giám sát mô hình, quản lý quy tắc.

13.2 Ba kịch bản triển khai điển hình

Kịch bản 1: Thị trường dự đoán được tích hợp vào một sàn giao dịch tập trung (CEX) hàng đầu ở Đông Nam Á

Khách hàng là một sàn giao dịch tập trung (CEX) được cấp phép tại Singapore/Malaysia, mong muốn tích hợp dịch vụ thị trường dự đoán vào ứng dụng hiện có của mình đồng thời đáp ứng các yêu cầu tuân thủ của MAS và SC. Chúng tôi triển khai bộ giải pháp giám sát toàn diện, tùy chỉnh thư viện quy tắc theo Hướng dẫn của MAS DPT và SC, đồng thời điều chỉnh hệ thống phân cấp cảnh báo và quy trình xử lý vi phạm sao cho phù hợp với bộ phận tuân thủ hiện có của khách hàng. Trong vòng 6 tháng kể từ khi ra mắt, chúng tôi đã phát hiện và xử lý 380 giao dịch đáng ngờ, thu hồi được 2,2 triệu USD tổn thất tiềm ẩn và không có bất kỳ phát hiện nghiêm trọng nào trong các cuộc thanh tra của cơ quan quản lý.

Kịch bản 2: Thị trường dự đoán UGC độc lập tại Indonesia

Khách hàng là một nền tảng thị trường dự đoán dựa trên nội dung do người dùng tạo (UGC) nhắm đến người dùng Indonesia, bao gồm các lĩnh vực thể thao, thể thao điện tử và chính trị. Chúng tôi đã tăng cường khả năng phát hiện các nhóm tài khoản Sybil (các trang trại tài khoản Indonesia đang hoạt động tích cực), phân tích đồ thị xã hội (những người có ảnh hưởng trong lĩnh vực dự đoán trên Twitter/Instagram) và phát hiện hành vi lợi dụng kẽ hở để kiếm lợi (airdrop/lạm dụng bảng xếp hạng). Trong vòng 4 tháng kể từ khi ra mắt, hơn 1.800 nhóm tài khoản Sybil đã bị cấm, và các khiếu nại liên quan đến việc khai thác đã giảm 92%.

Kịch bản 3: Thị trường dự đoán phi tập trung toàn cầu

Khách hàng là một thị trường dự đoán phi tập trung được triển khai trên Polygon/Base, nhấn mạnh vào "không yêu cầu KYC, hoàn toàn trên chuỗi". Dựa trên tiền đề bảo vệ quyền riêng tư (sử dụng bằng chứng ZK + hành vi trên chuỗi), chúng tôi thực hiện nhận diện Sybil, phát hiện các cuộc tấn công oracle và theo dõi quỹ xuyên giao thức. Sau khi ra mắt, chúng tôi đã hợp tác với nhiều dịch vụ bảo vệ MEV và nhà cung cấp phân tích trên chuỗi để xây dựng hệ thống giám sát kết hợp “KYC nhẹ, phân tích trên chuỗi mạnh mẽ”.

13.3 Tiến độ triển khai

• Tuần 1–2: nghiên cứu kinh doanh, yêu cầu quy định, thư viện quy tắc ban đầu;
• Tuần 3–6: nhập dữ liệu và tích hợp Kafka, các tính năng thời gian thực của Flink, công cụ quy tắc;
• Tuần 7–8: cơ sở dữ liệu đồ thị và các tính năng ngoại tuyến, huấn luyện mô hình ML;
• Tuần 9–10: hệ thống phiếu yêu cầu, tích hợp bộ phận tuân thủ, diễn tập;
• Tuần 11: thử nghiệm trực tiếp, quy tắc triển khai theo từng giai đoạn;
• Từ tuần 12: điều chỉnh ngưỡng dựa trên chất lượng cảnh báo, mở rộng quy tắc và mô hình.

14. Khuyến nghị triển khai cho doanh nghiệp

14.1 Ba giai đoạn xây dựng hệ thống giám sát

Giai đoạn 1 (Tồn tại): Quy tắc + Thống kê (0–3 tháng)

• Tích hợp Kafka/Flink, công cụ quy tắc, quy tắc tự khớp/giả mạo/giới hạn;
• Tập trung vào các yêu cầu quy định tối thiểu (KYC/AML/STR);
• Một nhóm 2–3 người có thể vận hành hệ thống.

Giai đoạn 2 (Phòng thủ): Đồ thị + Học máy (3–9 tháng)

• Xây dựng cơ sở dữ liệu đồ thị, giải quyết vấn đề phân cụm, sự tương đồng về hành vi;
• Triển khai các mô hình XGBoost/GNN;
• Đội ngũ mở rộng lên 5–8 người, bao gồm các nhà khoa học dữ liệu.

Giai đoạn 3 (Dẫn đầu): Dự đoán + Chủ động (9–18 tháng)

• Sử dụng Trí tuệ nhân tạo (AI) dựa trên đại lý (Agentic AI) để đảm bảo tuân thủ và thực hiện việc phát hiện chủ động;
• Xây dựng cơ chế chia sẻ thông tin với các cơ quan quản lý;
• Xây dựng thương hiệu tuân thủ hàng đầu trong ngành.

14.2 Cấu trúc đội ngũ

Đội ngũ giám sát tối thiểu:

• 1 Trưởng bộ phận Tuân thủ (liên lạc với cơ quan quản lý, chính sách);
• 2 Chuyên viên tuân thủ (làm việc theo ca 7×24, xem xét cảnh báo và thực thi);
• 2 Kỹ sư dữ liệu (Kafka/Flink/cơ sở dữ liệu đồ thị);
• 1 Nhà khoa học dữ liệu (đào tạo và tối ưu hóa mô hình học máy);
• 1 Quản lý Sản phẩm Rủi ro (cập nhật thư viện quy tắc, quản lý trường hợp);
• 1 Chuyên viên Pháp lý (tuân thủ xuyên biên giới, giải quyết tranh chấp).

Với các dịch vụ gia công và tư vấn của SoonTech, một hệ thống giám sát hoàn chỉnh có thể được xây dựng trong vòng 3 tháng.

14.3 Các chỉ số chính

• Chất lượng cảnh báo: Tỷ lệ cảnh báo sai (false positive) P0/P1 < 5%, P2/P3 < 20%;
• Độ trễ cảnh báo: P0 < 5 phút, P1 < 30 phút, P2 < 4 giờ;
• Kết thúc xử lý: 100% cảnh báo được xử lý trong thời hạn SLA, 100% các biện pháp xử lý có chuỗi bằng chứng đầy đủ;
• Chỉ số mô hình: Tỷ lệ thu hồi nhận diện Sybil > 85%, tỷ lệ thu hồi giao dịch nội gián > 70%;
• Tuân thủ quy định: Không bỏ sót bất kỳ báo cáo STR/CTR nào, thời gian phản hồi yêu cầu của cơ quan quản lý < 24 giờ;
• Tác động đến hoạt động kinh doanh: tỷ lệ đóng băng sai < 0,1%, tỷ lệ khiếu nại của người dùng < 0,05%.

14.4 Những sai lầm thường gặp

• Quá phụ thuộc vào ML: nhiều nhóm bắt đầu bằng cách cố gắng “sử dụng AI để giải quyết mọi vấn đề”, nhưng kết quả chỉ đạt tỷ lệ thu hồi 5% và tỷ lệ dương tính giả 80%. Chúng tôi khuyên bạn nên bắt đầu với các quy tắc + thống kê; chỉ sử dụng ML khi các quy tắc không thể bao quát được;
• Mệt mỏi do cảnh báo: quá nhiều cảnh báo làm giảm sự nhạy cảm của các nhân viên tuân thủ, khiến họ bỏ sót các trường hợp P0 thực sự. Phải phân loại, phân bổ và hợp nhất một cách nghiêm ngặt;
• Thiếu chuỗi bằng chứng: chỉ khi bạn muốn truy cứu trách nhiệm sau khi sự việc xảy ra, bạn mới nhận ra rằng bằng chứng đã không được lưu trữ. Chuỗi bằng chứng phải được xem xét ngay từ ngày đầu tiên thiết kế hệ thống;
• Thiếu giao tiếp với cơ quan quản lý: chỉ giải thích khi cơ quan quản lý đến kiểm tra. Cần chủ động thiết lập các kênh giao tiếp với cơ quan quản lý và báo cáo định kỳ;
• Khoảng trống tuân thủ xuyên biên giới: suy nghĩ rằng “nơi nào có người dùng, quy tắc sẽ theo đó”, nhưng trên thực tế, nơi đăng ký của nền tảng, vị trí máy chủ và vị trí thực tế của người dùng đều liên quan đến các yêu cầu tuân thủ khác nhau.

Câu hỏi thường gặp

Câu hỏi 1: Tại sao thị trường dự đoán lại dễ bị thao túng hơn so với sàn giao dịch giao ngay?

A: Ba nguyên nhân gốc rễ: 1) việc thanh toán là nhị phân, do đó lợi nhuận từ thao túng tăng theo cấp số nhân (0,30 → 0,90 = lợi nhuận 200%); 2) 95% sự kiện có khối lượng giao dịch hàng ngày dưới 50.000 USD, một lệnh duy nhất có thể định giá; 3) sự bất đối xứng thông tin là điều tự nhiên (gia đình của một người chơi, trợ lý của một chính trị gia có thể xây dựng vị thế trong vài phút trước khi thông tin được công bố). Ba đặc điểm này kết hợp với nhau khiến thị trường dự đoán trở thành điểm nóng cho giao dịch nội gián, giao dịch rửa, các cuộc tấn công Sybil và hành vi lợi dụng thời điểm thanh toán.

Câu hỏi 2: Làm thế nào để phân biệt giao dịch nội gián với việc “nghiên cứu kỹ lưỡng”?

A: Rất khó để phân biệt 100%, nhưng bạn có thể đánh giá dựa trên một số tín hiệu: 1) Khoảng cách giữa thời điểm xây dựng vị thế và thời điểm nguồn thông tin được công bố (< 30 phút là rất đáng ngờ); 2) Sự tập trung của nhóm tài khoản (nhiều tài khoản cùng xây dựng vị thế theo cùng một hướng vào cùng một thời điểm); 3) đặc điểm tài khoản (mới đăng ký, lần đầu xuất hiện trên nhiều nền tảng, địa chỉ IP/thiết bị liên quan đến các đối tượng vi phạm đã biết); 4) liệu nguồn thông tin có phải là “thông tin chưa công khai” hay không (đội hình xuất phát, kết quả bỏ phiếu nội bộ, dữ liệu kinh tế chưa được công bố đều là “thông tin chưa công khai”). Mô hình phát hiện người có thông tin nội bộ của SoonTech chấm điểm dựa trên 8 đặc điểm; điểm số > 0,65 sẽ kích hoạt cảnh báo cấp cao.

Câu hỏi 3: Tỷ lệ tự khớp phải cao đến mức nào thì được coi là nghiêm trọng?

A: SoonTech đề xuất ba ngưỡng: tỷ lệ giao dịch tự khớp = khối lượng giao dịch với đối tác từ các tài khoản liên kết / tổng khối lượng giao dịch của tài khoản. > 30% sẽ kích hoạt cảnh báo mức trung bình, > 50% là cảnh báo mức cao, > 70% sẽ dẫn đến việc đóng băng tài khoản ngay lập tức và xem xét thủ công. "Tự khớp lệnh" thuần túy không nhất thiết là giao dịch rửa (hoạt động phòng ngừa rủi ro của nhà tạo lập thị trường chuyên nghiệp cũng có thể tạo ra các giao dịch giữa các tài khoản liên kết), nhưng phải được đánh giá kết hợp với PnL vòng kín, tỷ lệ hủy lệnh và mức độ liên kết giữa các tài khoản.

Câu hỏi 4: Việc phát hiện Sybil có gây ảnh hưởng đến "các thành viên trong gia đình dùng chung một thiết bị" không?

A: Đúng vậy, đây là thách thức lớn nhất đối với việc phát hiện Sybil. Cách tiếp cận của SoonTech: 1) đưa các "trường hợp gia đình" vào danh sách trắng (cùng BSSID Wi-Fi + cùng địa chỉ giao hàng + ID KYC liên kết); 2) nhưng nếu nhiều tài khoản giao dịch nhiều từ cùng một thiết bị và theo hướng rất đồng nhất, vẫn coi là bất thường ("người dùng trong gia đình" hiếm khi giao dịch đồng bộ chính xác); 3) tăng cường xác minh danh tính (nhận diện khuôn mặt, bốn yếu tố xác minh danh tính) để ngăn chặn các trang trại tài khoản ngay từ đầu; 4) định kỳ rà soát thủ công các nhóm bị đánh dấu để phân biệt "người dùng trong gia đình" với "trang trại tài khoản".

Câu hỏi 5: Sau khi thị trường bị thao túng, việc hủy giao dịch (Void) có phải là biện pháp xử lý tốt nhất không?

A: Không hẳn. Hủy giao dịch là biện pháp xử lý nghiêm khắc nhất, gây tổn hại đến uy tín nền tảng và niềm tin của toàn bộ người dùng, do đó nên là phương án cuối cùng. Thứ tự ưu tiên được SoonTech khuyến nghị: 1) đóng băng các tài khoản liên quan + hủy lệnh (tác động nhỏ nhất); 2) hoãn thanh toán (để dành thời gian điều tra); 3) hủy bỏ một phần (chỉ hủy bỏ kết quả phụ bị thao túng); 4) hủy bỏ toàn bộ thị trường + bồi thường từ quỹ bảo hiểm (cực đoan). Việc hủy bỏ nên được xem xét chung bởi bộ phận tuân thủ + pháp lý + kinh doanh, và giải thích rõ ràng ra bên ngoài.

Câu hỏi 6: Làm thế nào để báo cáo theo quy định vừa tuân thủ vừa hiệu quả?

A: Hệ thống tuân thủ của SoonTech giúp báo cáo theo quy định trở nên “dựa trên cấu hình”: mỗi quy tắc báo cáo đều cấu hình các điều kiện kích hoạt, mẫu nội dung, phương thức nộp, cơ quan quản lý và tần suất. Hệ thống tự động trích xuất các trường dữ liệu từ các cảnh báo giám sát và dữ liệu giao dịch, tạo bản nháp báo cáo, và sau khi được nhân viên tuân thủ xem xét, sẽ nộp qua API hoặc thủ công. Trong khi đó, chúng tôi duy trì một “thư viện phản hồi yêu cầu của cơ quan quản lý” giúp chuyển các câu hỏi thường gặp của cơ quan quản lý thành các mẫu sẵn có, từ đó rút ngắn thời gian phản hồi trung bình từ 5 ngày xuống còn 1 ngày.

🌐 Xây dựng các nền tảng Web3 an toàn và có khả năng mở rộng cùng SoonTech.

Khám phá các giải pháp của chúng tôi dành cho Sàn giao dịch tiền điện tử nhãn trắng, Thị trường dự đoán, Ví MPC, Công cụ ghép lệnh, Tích hợp thanh khoản và Tuân thủ.