UniCredit nắm gần 50% Commerzbank: Một lỗ hổng khác, một bài học cũ về quyền lực tập trung

Sự kiện UniCredit lặng lẽ nâng tỷ lệ nắm giữ cổ phần tại Commerzbank lên gần 50% — thông qua các công cụ phái sinh và giao dịch quyền chọn — không phải là một bản tin tài chính thông thường. Đối với những ai đã quen nhìn vào mô hình quản trị phi tập trung của các giao thức DeFi, con số 50% này vang lên như một hồi chuông cảnh báo quen thuộc: ngưỡng kiểm soát tuyệt đối, nơi mọi cơ chế đồng thuận trở thành hình thức. Nhưng điều khiến tôi chú ý không phải là quy mô thương vụ, mà là cách giới phân tích tiền mã hóa đón nhận tin này: nhiều người coi đây là dấu hiệu ngân hàng truyền thống đang tiến gần hơn đến thế giới tài sản số, trong khi bỏ qua một cấu trúc quyền lực tập trung mà bất kỳ ai từng kiểm toán hợp đồng thông minh đều biết là mảnh đất màu mỡ cho thảm họa. Một lỗ hổng khác, một bài học cũ. Vào năm 2017, khi tôi còn là sinh viên thạc sĩ tại Zurich và dành ba tháng để kiểm tra từng dòng mã của Kyber Network, tôi đã học được rằng whitepaper chỉ là giấy nếu không có cơ chế kiểm soát quyền lực rõ ràng. Lúc đó, vấn đề nằm ở một hàm đặt lệnh có thể bị frontrunning. Bây giờ, vấn đề nằm ở một ngân hàng Ý đang âm thầm mua quyền kiểm soát một định chế tài chính Đức có bảng cân đối kế toán hơn 500 tỷ euro. Khác nhau về bề ngoài, nhưng cùng một cấu trúc rủi ro: một thực thể nắm đủ lớn để định đoạt, trong khi những người khác vẫn tin rằng các quy tắc sẽ bảo vệ họ. Bối cảnh giao dịch không có gì bí ẩn. UniCredit, ngân hàng Ý dưới sự dẫn dắt của Andrea Orcel, đã xây dựng vị thế tại Commerzbank thông qua các hợp đồng phái sinh thanh toán bằng tiền mặt, cho phép ngân hàng này tích lũy cổ phần mà không cần công bố ngay lập tức. Đến nay, tổng mức nắm giữ — gồm cổ phần trực tiếp và quyền mua thông qua phái sinh — đã tiệm cận 50%. Điều này có nghĩa là UniCredit, về mặt kinh tế, có thể kiểm soát gần như toàn bộ dòng tiền và chiến lược của Commerzbank mà không cần thông qua một cuộc đấu thầu công khai toàn diện. Ban lãnh đạo Commerzbank phản đối, công đoàn Đức lo ngại việc cắt giảm việc làm, nhưng cấu trúc vốn đã tự nói lên điều đó. Đối với một người làm bảo mật DeFi, điều này tương đương với việc một cá voi mua 50% token quản trị của một giao thức mà không cần thông qua vote. Về mặt kỹ thuật, mọi thứ đều hợp lệ — nhưng về mặt bản chất, các cơ chế kiểm soát khác như hội đồng quản trị, ủy ban kiểm toán, hay thậm chí là quy định của ECB, đều trở thành các lớp trang trí mỏng manh. Trong thế giới blockchain, khi một thực thể kiểm soát hơn một phần ba số token, họ có thể chặn các quyết định quan trọng; ở mức 50%, họ có thể tự mình thông qua mọi đề xuất. Điều này được gọi là 'Majority Attack' — một trong những vector tấn công được thảo luận nhiều nhất trong lý thuyết trò chơi blockchain. Nhưng trong lĩnh vực ngân hàng, khái niệm này hiếm khi được nhắc đến bởi vì nó được ngụy trang dưới cái tên 'quyền sở hữu chiến lược'. Tôi nhớ lại cuộc kiểm toán Aave v2 vào năm 2020, khi tôi phải viết mười hai test case tự động cho các tình huống biên của cơ chế tính lãi suất biến động. Một trong những lỗi tôi phát hiện là giá trị lãi suất có thể bị thao túng khi thanh khoản biến động mạnh — một lỗi tưởng chừng nhỏ nhưng có thể khiến toàn bộ giao thức mất vốn. Đội ngũ Aave đã vá lỗi trước khi triển khai mainnet, và tôi hiểu ra một điều: các lỗi nghiêm trọng nhất không nằm ở những dòng mã phức tạp, mà nằm ở những giả định cơ bản về ai đang nắm quyền quyết định. Trong vụ UniCredit–Commerzbank, giả định cơ bản đó là: một ngân hàng có hội đồng quản trị độc lập, có giám sát của cơ quan quản lý, có quy trình phê duyệt nội bộ — thì sẽ an toàn. Nhưng cấu trúc cổ đông 50% phá vỡ toàn bộ giả định này. Khi một cổ đông kiểm soát gần một nửa, họ không cần phải thuyết phục, họ chỉ cần ra lệnh. Phân tích kỹ thuật về khía cạnh tài chính số ở thương vụ này cũng đáng chú ý. Bản tin ban đầu được Crypto Briefing đưa tin với góc nhìn tập trung vào 'sự tích hợp tài sản số'. Nhưng nếu bạn đọc kỹ, không có một dòng nào đề cập đến blockchain, hợp đồng thông minh, hay token hóa cụ thể. 'Digital asset integration' chỉ là một cụm từ mơ hồ, giống như một whitepaper hứa hẹn 'cách mạng hóa thanh toán' mà không nói về thuật toán đồng thuận. Theo kinh nghiệm kiểm toán thực tế của tôi, điều này đáng ngờ. Khi một tổ chức tài chính lớn mua lại một tổ chức khác và đồng thời nhắc đến tài sản số, có hai khả năng: một là họ thực sự có kế hoạch tích hợp các sản phẩm tiền mã hóa vào dịch vụ hiện có — token hóa trái phiếu, tiền gửi số, tài sản thực mã hóa; hai là họ chỉ đang sử dụng một từ khóa thời thượng để khiến câu chuyện mua bán trở nên hấp dẫn hơn trong mắt các nhà đầu tư trẻ. Từ những gì tôi quan sát được trong các cuộc kiểm toán từ năm 2017 đến nay, phần lớn các tuyên bố này thuộc loại thứ hai. Một điểm mù nghiêm trọng hơn — mà nhiều người trong cộng đồng tiền mã hóa bỏ qua — là việc họ reo mừng khi thấy ngân hàng lớn 'bước vào thế giới crypto', trong khi không nhận ra rằng bản thân ngân hàng đó là một hệ thống tập trung không thể phá vỡ. Sự tập trung cổ phần ở UniCredit không phải là một bước tiến tới phi tập trung hóa; nó là một bước lùi. Nó cho thấy vốn trong thế giới ngân hàng có xu hướng chảy về một điểm kiểm soát duy nhất, trái ngược hoàn toàn với lý tưởng phân tán của blockchain. Trên thực tế, cấu trúc 'một cổ đông chi phối' này còn nguy hiểm hơn cả một hợp đồng thông minh có lỗ hổng, bởi vì hợp đồng thông minh có thể được kiểm toán, sửa chữa, hoặc thay thế bằng phiên bản mới. Nhưng một cấu trúc quyền lực tập trung trong ngân hàng thì không thể vá được bằng một bản nâng cấp — nó chỉ có thể bị phá bỏ thông qua quy định hoặc sự sụp đổ. Vào năm 2024, khi tôi kiểm toán cầu nối LayerZero, tôi phát hiện ra rằng các lỗi logic trong cơ chế xác thực chéo thường không đến từ việc thiếu kiểm tra, mà đến từ việc thiết kế quá tin tưởng vào một thành phần duy nhất — chẳng hạn như oracle hoặc relayer. Khi một thành phần duy nhất kiểm soát nguồn thông tin, toàn bộ cầu nối sụp đổ chỉ với một lỗi nhỏ. Ngân hàng truyền thống cũng vậy: khi một ngân hàng kiểm soát gần 50% cổ phần của một ngân hàng khác, nó trở thành một 'oracle' của chiến lược và quản trị. Các thông tin về việc làm, sáp nhập, hay công nghệ sẽ không còn là kết quả của tập thể, mà là sản phẩm của một thực thể duy nhất. Trong bối cảnh thị trường tăng hiện tại, khi dòng tiền đang chảy mạnh vào các quỹ ETF Bitcoin và Ethereum, các nhà đầu tư thường có xu hướng lạc quan thái quá về sự hội nhập giữa ngân hàng và tiền mã hóa. Nhưng hãy nhìn vào cấu trúc sở hữu: một ngân hàng nắm 50% một ngân hàng khác không phải là một dự án blockchain, nó là một đế chế đang củng cố quyền lực. Trong báo cáo phân tích 40 trang của tôi về sự sụp đổ của Terra UST vào năm 2022, tôi đã chỉ ra rằng điểm yếu cốt lõi nằm ở việc neo giá thuật toán phụ thuộc vào thanh khoản bên ngoài thay vì một cơ chế nội tại bền vững. Tương tự, sự an toàn của Commerzbank không nằm ở nội tại của nó, mà nằm ở ý chí của UniCredit. Thanh khoản của Commerzbank có thể bị rút đi, các sản phẩm tài sản số có thể bị xếp lại, và cả ngân hàng có thể bị tái cấu trúc theo cách có lợi cho cổ đông lớn nhất. Điều này không vi phạm luật, nhưng nó vi phạm nguyên tắc kiểm tra và cân bằng — thứ mà bất kỳ ai nghiêm túc về bảo mật tài chính đều coi là nền tảng. Tôi muốn đưa ra một góc nhìn phản trực giác: sự tập trung quyền lực này, về mặt ngắn hạn, có thể 'tốt' cho giá cổ phiếu. Các nhà đầu tư yêu thích sự rõ ràng, và một cổ đông lớn có thể đưa ra quyết định nhanh chóng, cắt giảm chi phí, và tối ưu hóa lợi nhuận — những điều thị trường chứng khoán khen thưởng ngay lập tức. Nhưng đây chính xác là thứ mà tôi gọi là 'rủi ro được báo giá thấp' trong các đánh giá của mình. Thị trường định giá dòng tiền, không định giá các điều kiện biên. Các điều kiện biên — chẳng hạn như toàn bộ hội đồng quản trị trở thành người phê chuẩn cho một quyết định đã được định sẵn — chỉ lộ diện khi có khủng hoảng. Và trong khủng hoảng, mọi thứ sụp đổ nhanh hơn bạn nghĩ. Tôi từng chứng kiến điều đó trong thị trường tiền mã hóa: khi một giao thức có một admin key duy nhất, mọi thứ hoạt động tốt cho đến khi admin key bị lộ. UniCredit không cần phải 'bị lộ' — họ chỉ cần hành động. Một lỗ hổng khác, một bài học cũ. Vào năm 2026, khi AI và crypto bắt đầu giao thoa, tôi đã audit một giao thức token hóa dữ liệu huấn luyện AI có tên DataVault. Tôi phát hiện ra rằng cơ chế xác thực bằng zk-SNARKs có thể bị qua mặt nếu người xác thực có quyền lực tập trung để phát hành token mà không cần dữ liệu thật. Tôi đề xuất một cơ chế lai giữa bằng chứng mật mã và xác minh của bên thứ ba — nhưng dự án cuối cùng vẫn chọn cách đơn giản hóa để ra mắt nhanh. Kết quả là nhà đầu tư mất tiền. Trong câu chuyện UniCredit–Commerzbank, tôi thấy một kịch bản tương tự: sự hấp dẫn của một thương vụ mua bán lớn với câu chuyện 'tài sản số' đang khiến mọi người quên đi câu hỏi cơ bản nhất: ai thực sự nắm quyền quyết định? Câu trả lời đã quá rõ ràng. Và khi quyền lực tập trung không được kiểm soát, nó luôn luôn được sử dụng theo cách có lợi cho người nắm quyền. Điều này không phải là dự đoán, mà là một quy luật — từ các giao thức DeFi sụp đổ cho đến các vụ bê bối ngân hàng trong quá khứ. Vậy câu hỏi đặt ra không phải là liệu UniCredit có tích hợp tài sản số hay không, mà là liệu cộng đồng tiền mã hóa — vốn tự hào về sự phi tập trung — có đủ tỉnh táo để thấy rằng ngay cả khi ngân hàng chạm vào blockchain, họ vẫn mang theo toàn bộ cấu trúc quyền lực tập trung của mình. Sẽ là một nghịch lý trớ trêu nếu chúng ta chào đón một ngân hàng nắm 50% cổ phần của một ngân hàng khác bằng những bài ca ngợi về sự đổi mới, trong khi đồng thời cảnh báo về rủi ro của một cá voi nắm 50% trong một giao thức tài chính phi tập trung. Cả hai đều là câu chuyện về kiểm soát, về việc cơ chế bảo vệ chỉ tồn tại trên giấy, về việc hợp đồng — dù là hợp đồng thông minh hay hợp đồng cổ phiếu — không thể thay thế được sự phân quyền thực sự. Khi thị trường đang tăng và dòng tiền chảy mạnh, những cảnh báo như thế này thường bị bỏ qua. Nhưng đó cũng chính là lúc các lỗ hổng sâu nhất được tạo ra.