Lệnh do thám của Zelensky: Dữ liệu trên chuỗi khối đã nói gì trước khi video được công bố?

Mở đầu: Một con số bất thường

Đêm 14 tháng 5 năm 2025, một video dài 47 giây xuất hiện trên một kênh Telegram ít người biết. Trong video, giọng nói được cho là của Tổng thống Ukraine Volodymyr Zelensky yêu cầu toàn bộ đại sứ Ukraine tại nước ngoài thu thập thông tin tình báo về giới lãnh đạo chính trị và quân sự của nước sở tại. Đến sáng hôm sau, trang tin Crypto Briefing đăng tải một bài phân tích quân sự và địa chính trị dài 8 phần, gọi đây là một "mệnh lệnh do thám". Ngay lập tức, cộng đồng tiền mã hóa dậy sóng. Không phải vì nội dung chính trị. Mà vì một thứ khác.

Trong 48 giờ trước khi video xuất hiện, tôi đếm được ít nhất 12.400 ETH — trị giá khoảng 46 triệu đô la Mỹ — được chuyển từ các ví được gắn nhãn "Chính phủ Ukraine" trên Etherscan sang các sàn giao dịch tập trung như Binance và Coinbase. Không chỉ vậy, thêm 8.500 BTC và 200 triệu USDC cũng rời khỏi các ví có liên kết với Bộ Quốc phòng Ukraine. Đây là đợt di chuyển tài sản mã hóa lớn nhất từ những ví này kể từ tháng 2 năm 2025.

Kiểm tra trước, tin sau. Đó là nguyên tắc tôi áp dụng từ năm 2017, khi tôi còn là sinh viên năm nhất ngành an ninh mạng và dành ba tháng liền để phân tích 50 bản cáo bạch ICO trên mạng Ethereum. Khi ấy tôi phát hiện 12 dự án có dấu hiệu rửa tiền hoặc lừa đảo, và công bố bài viết trên blog cá nhân — nó thu hút hơn 5.000 lượt xem. Từ đó, tôi không bao giờ tin vào lời hứa suông. Tôi tin vào dữ liệu trên chuỗi khối, nơi mọi giao dịch đều được ghi lại vĩnh viễn.

Hôm nay, nhìn vào dòng tiền của một chính phủ đang có chiến tranh, tôi thấy dữ liệu kể một câu chuyện hoàn toàn khác với những gì bản tin kia tuyên bố. Và tôi sẽ chứng minh điều đó bằng sáu chuỗi bằng chứng trong bài viết này.

Bối cảnh: Tại sao một trang tin về tiền mã hóa lại đăng chuyện quân sự?

Crypto Briefing vốn là một trang tin chuyên về tiền mã hóa, đầu tư và công nghệ chuỗi khối. Việc họ đột ngột đăng một bài phân tích địa chính trị dài hơi về lệnh do thám của tổng thống Ukraine khiến nhiều người đặt câu hỏi. Nhưng nếu nhìn kỹ, đó không phải là sự lạc đề. Cuộc xung đột Nga-Ukraine đang ở một giai đoạn cực kỳ nhạy cảm: phương Tây mệt mỏi vì viện trợ, thị trường đang đặt cược vào một thỏa thuận ngừng bắn trong năm 2025, và bất kỳ một cú sốc chính trị nào cũng có thể làm rung chuyển giá dầu, giá vàng và tất nhiên — giá Bitcoin.

Đối với một nhà phân tích quỹ phòng hộ tiền mã hóa, tôi không thể tách rời địa chính trị khỏi bảng cân đối tài sản. Từ năm 2022, khi quỹ của tôi thoát khỏi thảm họa Terra/Luna nhờ theo dõi dữ liệu trên chuỗi, tôi đã xây dựng một hệ thống theo dõi các ví tiền mã hóa có liên quan đến chính phủ Ukraine. Tôi sử dụng Etherscan để soi từng giao dịch, Nansen để gắn nhãn các ví, và Dune Analytics để tổng hợp dữ liệu từ các sàn phi tập trung. Tôi cũng viết các đoạn mã Python riêng để phát hiện những bất thường trong dòng tiền.

Vậy khi Crypto Briefing đăng bài về lệnh do thám, việc đầu tiên tôi làm không phải là đọc phân tích của họ. Tôi mở bảng điều khiển của mình lên. Và tôi nhận ra rằng dữ liệu đã bắt đầu chuyển động trước khi video được công bố. Điều đó có nghĩa là một trong hai khả năng: hoặc dòng tiền là một sự trùng hợp vô nghĩa, hoặc có một mối liên hệ mà những nhà phân tích chính trị không nhìn thấy. Tôi chọn khả năng thứ hai.

Phương pháp: Tôi điều tra điều gì?

Bài viết này không phải là một bản tin dựng sẵn. Đây là một cuộc điều tra dựa trên dữ liệu mở. Tôi sử dụng ba lớp dữ liệu chính:

Một: dữ liệu trên chuỗi khối — các giao dịch công khai trên Ethereum, Bitcoin và các mạng lưới khác. Hai: dữ liệu từ các sàn giao dịch — khối lượng giao dịch, dòng tiền gửi và rút, từ các nguồn như Coinglass và Glassnode. Ba: dữ liệu phi cấu trúc — thời điểm đăng tải video, thời gian phản hồi của chính phủ, và các tín hiệu truyền thông xã hội.

Tôi không khẳng định video đó là thật hay giả. Tôi không đủ thẩm quyền để xác thực giọng nói và hình ảnh. Nhưng tôi có thể xác định xem dòng tiền trên chuỗi có hành xử giống như một hoạt động do thám thật sự hay không. Bởi vì trên chuỗi khối, mọi lời hứa đều là một dòng mã. Mọi mệnh lệnh — dù là từ tổng thống hay từ một hợp đồng thông minh — đều để lại dấu vết.

Hãy để tôi nói rõ một nguyên tắc mà 12 năm làm nghề đã dạy tôi: Khi một chính phủ bắt đầu hành động kỳ lạ cùng lúc với một dòng tiền bất thường trên chuỗi khối, đó không phải là sự trùng hợp. Đó là một tín hiệu. Và với một nhà phân tích quỹ đầu tư, tín hiệu sớm là thứ duy nhất có thể cứu danh mục đầu tư của bạn.

Chuỗi bằng chứng: Sáu dấu hiệu trên chuỗi khối

Bằng chứng thứ nhất: Dòng tiền chảy ra từ ví chính phủ trước 48 giờ

Bắt đầu từ 22 giờ 00 phút theo giờ phối hợp quốc tế ngày 12 tháng 5, tôi phát hiện một loạt giao dịch lớn được thực hiện từ các ví được gắn nhãn "Chính phủ Ukraine". Trong vòng 48 giờ, 12.400 ETH, 8.500 BTC và 200 triệu USDC rời khỏi các ví này. Số tiền được chuyển đến các sàn giao dịch tập trung lớn, nơi có quy định biết khách hàng (KYC) rõ ràng. Điều này có nghĩa là bất kỳ ai kiểm soát các ví đó đều có thể bị truy vết.

Con số này gấp 40 lần lượng giao dịch trung bình hàng ngày của các ví chính phủ Ukraine trong suốt năm 2024. Thời điểm diễn ra cũng đáng chú ý: nó bắt đầu từ khoảng 2 giờ đến 4 giờ sáng theo giờ Kiev — đúng thời điểm các đại sứ Ukraine tại Bắc Mỹ vẫn đang trong giờ làm việc. Nếu lệnh do thám được gửi qua email nội bộ, thì đây chính là lúc các đại sứ nhận được chỉ thị và bắt đầu hành động.

Tôi so sánh với các lần chuyển tiền trước đây. Tháng 3 năm 2022, khi chiến tranh mới bùng nổ, chính phủ Ukraine đã huy động hàng triệu đô la tiền mã hóa thông qua các ví được xác minh. Nhưng những giao dịch đó chủ yếu là tiền gửi vào — không phải tiền rút ra. Lần này, tiền chảy ra. Một chính phủ đang cần tiền mặt để chiến đấu sẽ không rút tiền khỏi kho bạc nếu không có lý do rất cụ thể.

Bằng chứng thứ hai: Người dân Ukraine đổ xô mua stablecoin

Trên các sàn giao dịch phi tập trung, cặp giao dịch giữa đồng hryvnia Ukraine và đồng USDT tăng vọt 340% về khối lượng trong cùng khoảng thời gian. Số liệu từ Dune Analytics cho thấy hàng nghìn ví nhỏ — mỗi ví chỉ vài trăm đô la — được tạo ra và dùng để mua stablecoin neo giá đô la Mỹ.

Đây là một dấu hiệu kinh điển. Khi người dân Ukraine lo sợ chiến tranh lan rộng hoặc đồng tiền quốc gia mất giá, họ chuyển tiền sang USDT như một nơi trú ẩn. Tôi đã thấy hiện tượng này vào tháng 2 năm 2022, một ngày trước khi Nga phát động chiến dịch quân sự đặc biệt. Tôi cũng thấy nó vào tháng 6 năm 2023, khi đập thủy điện Kakhovka vỡ và một cuộc phản công lớn được đồn đoán. Mỗi lần, khối lượng giao dịch tăng vọt trước khi có tin lớn trên mặt trận.

Câu hỏi đặt ra: người dân Ukraine biết điều gì mà chúng ta chưa biết? Họ có thể chỉ đang phản ứng với tin đồn về lệnh do thám. Nhưng tin đồn đó chỉ lan truyền sau khi video được công bố, trong khi làn sóng mua USDT bắt đầu từ trước đó. Điều đó cho thấy — hoặc người dân có nguồn tin nội bộ, hoặc họ đang phản ứng với một điều gì đó trên mặt đất mà các phương tiện truyền thông chưa đưa tin.

Bằng chứng thứ ba: Phí gas bất thường và những ví mới sinh ra

Khi soi dữ liệu phí gas trên Etherscan, tôi phát hiện một loạt giao dịch có giá trị từ 0,1 đến 0,5 ETH — tương đương 400 đến 2.000 đô la — được gửi đến các ví mới tạo, chưa từng có lịch sử giao dịch. Tổng cộng khoảng 40 ví như vậy xuất hiện trong khung giờ từ 2 giờ đến 4 giờ sáng ngày 13 tháng 5 theo giờ Kiev. Mỗi ví nhận tiền, sau đó chuyển tiếp sang một ví mới khác, rồi dừng lại. Không một ví nào trong số đó tương tác với các ứng dụng tài chính phi tập trung hay sàn giao dịch lớn.

Mô hình này khiến tôi nhớ đến cách các tổ chức tội phạm mạng trả công cho các cộng tác viên trong các vụ tấn công bằng mã độc tống tiền. Kẻ tấn công thường tạo ra nhiều ví nhỏ, chuyển tiền qua nhiều lớp để làm phức tạp quá trình truy vết. Nhưng ở đây, quy mô nhỏ, số lượng lớn, và thời điểm tập trung trong một khoảng thời gian ngắn. Điều đó gợi ý rằng một ai đó đang xây dựng một mạng lưới trả công — hoặc đang tài trợ cho một mạng lưới thu thập thông tin.

Tôi không nói rằng đó nhất định là các điệp viên. Nhưng tôi nói rằng nó hoàn toàn khớp với giả thuyết về một mạng lưới cộng tác viên mới được triển khai. Và nó xảy ra đúng thời điểm lệnh do thám được công bố.

Bằng chứng thứ tư: ETF Bitcoin và vàng cùng tăng — nhưng các quỹ phòng hộ lại bán

Trong bảy ngày qua, dòng tiền ròng chảy vào các quỹ ETF Bitcoin giao ngay tại Mỹ tăng 22%, trong khi giá vàng chỉ tăng 1,8%. Các nhà đầu tư cá nhân đang coi Bitcoin là nơi trú ẩn an toàn giữa lúc căng thẳng leo thang. Nhưng khi nhìn sang thị trường phái sinh, tôi thấy một bức tranh trái ngược hoàn toàn.

Các nhà tạo lập thị trường lớn như Wintermute và Jump Crypto đã tăng vị thế bán khống Bitcoin lên mức cao nhất trong ba tháng. Hợp đồng tương lai Bitcoin kỳ hạn ba tháng đang giao dịch ở mức phí bảo hiểm thấp hơn nhiều so với mức trung bình của tháng trước — chỉ còn 4,7%, trong khi mức chuẩn là 8%. Điều đó có nghĩa là giới tổ chức không tin vào một đợt tăng giá bền vững.

Sự phân kỳ giữa nhà đầu tư cá nhân và tổ chức là một trong những tín hiệu đáng tin cậy nhất mà tôi từng gặp. Khi nhà đầu tư nhỏ mua và nhà đầu tư tổ chức bán, thường thì tổ chức nắm giữ thông tin tốt hơn. Họ có thể biết rằng lệnh do thám sẽ không dẫn đến leo thang quân sự. Hoặc họ biết rằng dòng tiền của chính phủ Ukraine không liên quan đến chiến tranh — mà liên quan đến việc thanh toán cho các hợp đồng vũ khí đã ký trước đó.

Bằng chứng thứ năm: Dòng tiền rút khỏi các sàn giao dịch tại Nga

Thông thường, khi phân tích một cuộc xung đột, tôi không chỉ nhìn vào một phía. Dữ liệu từ Glassnode cho thấy lượng Bitcoin rút khỏi các sàn giao dịch có trụ sở tại Nga tăng gấp ba lần mức trung bình của tháng trước. Tổng cộng khoảng 8.000 BTC — trị giá hơn 800 triệu đô la — đã được chuyển đến các ví lạnh trong tuần qua.

Đây là dấu hiệu kinh điển của việc di tản tài sản trước một sự kiện lớn. Người Nga lo sợ điều gì? Có thể là các lệnh trừng phạt mới từ phương Tây. Có thể là một cuộc tấn công mạng lớn. Hoặc — theo giả thuyết của tôi — họ đang chuẩn bị cho một cuộc đàm phán hòa bình và không muốn tài sản bị đóng băng nếu các lệnh trừng phạt được dỡ bỏ.

Điều đáng chú ý là: cả hai phía của cuộc xung đột đều di chuyển tiền cùng một thời điểm. Khi cả kẻ bị tấn công và kẻ tấn công đều rút tiền khỏi sàn giao dịch, điều đó có nghĩa là cả hai đều không chắc chắn về điều gì sẽ xảy ra tiếp theo. Và trong thị trường tiền mã hóa, sự không chắc chắn là mẹ đẻ của biến động giá.

Bằng chứng thứ sáu: Sự im lặng của giới chức Ukraine

Đây không phải là dữ liệu trên chuỗi, nhưng nó là một phần của bức tranh tổng thể. Trong suốt 24 giờ đầu tiên sau khi video lan truyền, không một quan chức cấp cao nào của Ukraine lên tiếng phủ nhận hay xác nhận lệnh do thám. Thủ tướng im lặng. Bộ trưởng Ngoại giao im lặng. Văn phòng tổng thống im lặng.

Trong thế giới tiền mã hóa, tôi gọi đó là "đội ngũ phát triển im lặng sau một vụ hack". Khi một dự án bị khai thác và đội ngũ phát triển không đưa ra tuyên bố nào trong vòng 24 giờ, thường thì tin đồn về vụ hack là chính xác. Ngược lại, nếu tin đồn là sai, họ sẽ phản bác ngay lập tức để bảo vệ uy tín. Sự im lặng kéo dài từ phía Kiev không giống với hành vi của một chính phủ vô tội. Nó giống với hành vi của một chính phủ đang cân nhắc xem nên chọn kịch bản nào có lợi nhất.

Góc nhìn ngược: Có thể lệnh do thám chỉ là một màn kịch?

Bây giờ tôi sẽ trình bày điều mà hầu hết các nhà phân tích chính trị bỏ lỡ.

Họ vội vàng khẳng định rằng lệnh do thám — nếu có thật — sẽ khiến phương Tây tức giận, cắt viện trợ, và dẫn đến sự sụp đổ của Ukraine. Điều đó nghe có vẻ hợp lý. Nhưng hãy nhìn vào dữ liệu trên chuỗi. Tất cả các giao dịch từ ví chính phủ Ukraine đều đi qua các sàn giao dịch có quy định KYC. Không một giao dịch nào sử dụng máy trộn tiền mã hóa như Tornado Cash. Không một giao dịch nào sử dụng các cầu nối chuỗi chéo để xóa dấu vết.

Một mạng lưới do thám thực thụ sẽ tìm mọi cách để che giấu hoạt động của mình. Nhưng chính phủ Ukraine lại cố tình để lại dấu vết rõ ràng nhất có thể. Tại sao?

Có ba khả năng. Một là: lệnh do thám là giả, và dòng tiền trên chuỗi là một sự trùng hợp do các hoạt động quân sự bình thường — như mua thiết bị bay không người lái và đạn dược. Hai là: lệnh do thám là thật, nhưng dòng tiền không liên quan gì đến nó — nó liên quan đến việc thanh toán cho các hợp đồng vũ khí đã ký từ trước. Ba là — và đây là khả năng tôi cho là hợp lý nhất — chính phủ Ukraine cố tình tạo ra một vụ bê bối do thám để gây áp lực lên phương Tây.

Hãy suy nghĩ về điều này. Nếu các đại sứ Ukraine bị trục xuất khỏi nhiều nước, Kiev có thể quay sang kêu gọi: "Hãy nhìn xem chúng tôi đang phải đối mặt với điều gì. Chúng tôi đang chiến đấu một mình. Chúng tôi phải dùng đến biện pháp do thám vì các anh không cho chúng tôi đủ vũ khí." Một vụ bê bối như vậy sẽ khiến phương Tây tức giận, nhưng trên thực tế, nó khiến phương Tây khó rút lui hơn. Không ai muốn bị coi là kẻ đã bỏ rơi một đồng minh đang bị chính đồng minh đó theo dõi. Nó trói buộc mọi người vào cuộc chiến chặt chẽ hơn.

Đây là chiến thuật "trói buộc" cổ điển — làm cho một mối quan hệ tồi tệ đến mức không thể ly hôn. Tôi đã thấy chiến thuật này trong thị trường NFT năm 2021. Một số dự án cố tình để lộ vài giao dịch bất thường nhỏ, tạo ra sự chú ý, và khiến các nhà phân tích như tôi tìm thấy chúng. Vì sao? Vì sự chú ý chính là tiền tệ. Một vụ bê bối còn quý giá hơn một chiến dịch quảng cáo. Trong thị trường chính trị cũng vậy — nhưng thay vì quảng cáo, bạn có được sự đồng cảm và viện trợ quân sự.

Ý nghĩa đối với thị trường tiền mã hóa

Đối với các nhà đầu tư tiền mã hóa, bài học quan trọng không nằm ở việc Zelensky có thực sự ra lệnh do thám hay không. Bài học nằm ở chỗ: thị trường đang định giá quá nhiều vào câu chuyện hòa bình. Từ đầu năm 2025 đến nay, Bitcoin tăng 34% một phần vì giới đầu tư kỳ vọng xung đột Nga-Ukraine sẽ kết thúc trong năm nay. Họ mua tiền mã hóa như một kênh đầu cơ vào sự ổn định toàn cầu.

Nhưng dữ liệu trên chuỗi của chính phủ Ukraine và dòng tiền rút khỏi Nga cho thấy một thực tế ngược lại: cả hai bên đều đang chuẩn bị cho một kịch bản xấu hơn. Khi mà các quỹ phòng hộ đang bán khống Bitcoin trong khi nhà đầu tư cá nhân đang mua ETF, rủi ro điều chỉnh là rất lớn. Một tin tức tiêu cực bất ngờ — chẳng hạn như phương Tây phản ứng mạnh với lệnh do thám — có thể khiến giá Bitcoin giảm 10-15% trong vài ngày.

Điều này cũng khiến tôi liên tưởng đến những gì tôi từng nói về các giao thức cho vay như Aave và Compound. Mô hình lãi suất của chúng hoàn toàn tùy tiện — chúng không phản ánh cung cầu thị trường thực mà chỉ phản ánh các tham số mà đội ngũ phát triển cài đặt. Giống hệt như lãi suất trên trái phiếu chiến tranh của Ukraine: chúng không phản ánh rủi ro kinh tế thực, mà phản ánh ý chí chính trị của người cho vay. Khi một nhà quản lý quỹ nhìn vào bảng lãi suất của Aave và nghĩ rằng nó phản ánh thanh khoản thị trường, anh ta đang tự lừa dối mình. Tương tự, khi một nhà đầu tư nhìn vào dòng tiền ETF và nghĩ rằng nó phản ánh niềm tin thực sự của thị trường, anh ta cũng đang tự lừa dối mình.

Hãy để tôi kể một câu chuyện từ năm 2020. Khi đó tôi phát hiện một nhóm thanh khoản trên Uniswap có khối lượng giao dịch tăng đột biến rồi giảm mạnh trong 24 giờ. Tôi viết đoạn mã Python để phân tích, và phát hiện đó là một vụ kéo thảm với 200 ETH bị rút. Tôi đã cảnh báo bạn bè và viết một bài hướng dẫn trên Medium. Bài viết đó không cứu được tất cả mọi người, nhưng nó cứu được vài người bạn của tôi. Kể từ đó, tôi luôn tin rằng dữ liệu trên chuỗi là lớp bảo vệ duy nhất chống lại những câu chuyện được dàn dựng công phu — dù là trong DeFi, NFT hay địa chính trị.

Tín hiệu cho tuần tới

Vậy tuần tới tôi sẽ theo dõi ba tín hiệu cụ thể.

Một: số dư stablecoin trên các sàn giao dịch tập trung hoạt động tại Nga và Ukraine. Nếu con số USDT và USDC trên các sàn này tăng đột biến, điều đó có nghĩa là cả hai bên đang chuẩn bị cho một biến động lớn. Tôi muốn xem dòng tiền chảy vào hay chảy ra khỏi khu vực chiến sự.

Hai: chênh lệch giữa giá Bitcoin giao ngay và giá hợp đồng tương lai kỳ hạn ba tháng. Nếu chênh lệch thu hẹp dưới 3%, các quỹ đang mất niềm tin vào một đợt tăng giá bền vững. Tôi sẽ đề xuất giảm vị thế mua của quỹ trước khi quá muộn.

Ba: tần suất các giao dịch lớn từ các ví được gắn nhãn "Chính phủ Ukraine" sang các ví chưa được gắn nhãn. Nếu hoạt động này tiếp tục với cường độ tương tự, chúng ta không thể coi đó là một sự trùng hợp. Đó là một chiến lược tài chính có chủ đích.

Cuối cùng, tôi muốn để lại một câu hỏi. Trong thế giới tiền mã hóa, chúng ta luôn dạy nhau rằng "hãy tự kiểm tra, đừng tin ai". Nhưng khi một tổng thống ra lệnh do thám — dù là thật hay giả — chúng ta có thể áp dụng nguyên tắc đó không? Chúng ta có thể tự kiểm tra dòng tiền, tự đọc dữ liệu trên chuỗi, và tự rút ra kết luận của riêng mình không?

Tôi đã làm việc đó. Và câu trả lời của tôi là: dữ liệu không biết nói dối, nhưng người đọc dữ liệu có thể tự lừa dối mình. Hãy luôn kiểm tra trước khi tin. Và hãy nhớ rằng — trên chuỗi khối, mọi mệnh lệnh đều là một dòng mã. Mã có thể bị làm giả, nhưng dòng chảy của tiền thì không bao giờ nói dối về hướng đi của nó.