Tuân thủ AML tại 2026: Chi phí, thời hạn và hình phạt thực tế

4,3 tỷ đô la. Đó là khoản tiền mà Binance đã dàn xếp với Bộ Tư pháp Hoa Kỳ, FinCEN và OFAC vào tháng 11 năm 2023, và nó vẫn là cột mốc cao nhất về các vụ vi phạm tuân thủ chống rửa tiền trong lĩnh vực tiền điện tử. Tuy nhiên, đó không phải là vụ việc gần đây nhất. Vào tháng 2 năm 2025, OKX đã trả 504 triệu đô la để dàn xếp một vụ kiện tương tự với Bộ Tư pháp Hoa Kỳ. Vào tháng 11 cùng năm, Ngân hàng Trung ương Ireland đã phạt Coinbase Europe 21,46 triệu euro vì không giám sát 30 triệu giao dịch trị giá 176 tỷ euro. Vào tháng 3 năm 2025, các máy chủ của Garantex đã bị tịch thu trên khắp Hoa Kỳ, Đức và Phần Lan. Mô hình này rất rõ ràng. Việc thực thi chống rửa tiền trong lĩnh vực tiền điện tử không còn là vấn đề riêng lẻ nữa. Nó diễn ra liên tục. Nó mang tính pháp lý. Và nó rất tốn kém.

Đối với bất kỳ nhà điều hành nào của doanh nghiệp tài sản ảo, việc tuân thủ AML ở 2026 là một khoản chi phí hàng năm lên đến hàng triệu đô la. Ba lộ trình cấp phép (EU MiCA, UK FCA, Singapore DTSP) đều diễn ra trong vòng mười hai tháng. Stablecoin hiện chiếm 84% tổng khối lượng giao dịch bất hợp pháp trên chuỗi. Hồ sơ mối đe dọa tội phạm tài chính đã thay đổi nhanh hơn bất kỳ chương trình tuân thủ nào được viết trước năm 2024 có thể đáp ứng. Đây là thực trạng hiện tại, kèm theo các con số cụ thể.

Tuân thủ AML có nghĩa là gì trong 2026

Chống rửa tiền (AML) là khuôn khổ pháp lý và hoạt động mà các ngân hàng và công ty tiền điện tử sử dụng để ngăn chặn các khoản tiền tội phạm xâm nhập vào sản phẩm của họ. Các khoản tiền này có nhiều hình thức: tiền thu được từ tội phạm, trốn thuế, gian lận, tiền chuộc từ mã độc tống tiền, trốn tránh lệnh trừng phạt. Mục tiêu của bất kỳ chương trình AML nào là ngăn chặn rửa tiền, chống lại các kế hoạch rửa tiền đang diễn ra và ngăn chặn dòng tiền rửa tiền và tài trợ khủng bố hòa lẫn vào hệ thống tài chính. Trong bối cảnh tiền điện tử, khuôn khổ này đã được mở rộng thông qua Khuyến nghị 16 của FATF năm 2019. Tại Mỹ, Đạo luật Bảo mật Ngân hàng hiện áp dụng cho các doanh nghiệp dịch vụ tiền tệ, bao gồm cả các công ty tiền điện tử. AML dựa trên bốn trụ cột hoạt động. Chương trình nhận dạng khách hàng (CIP). Thẩm định khách hàng (CDD) với các yếu tố kích hoạt thẩm định nâng cao đáp ứng các yêu cầu thẩm định của khuôn khổ chính. Giám sát giao dịch liên tục, với nghĩa vụ báo cáo hoạt động đáng ngờ cho đơn vị tình báo tài chính có liên quan. Sàng lọc lệnh trừng phạt. Biết khách hàng của bạn, hay KYC, chỉ là thành phần nhận dạng. Công việc khó khăn hơn diễn ra sau khi đăng ký. Bạn phải phát hiện các giao dịch đáng ngờ trong thời gian thực, lập báo cáo phù hợp cho cơ quan có thẩm quyền đúng hạn, và làm điều này trong khi khách hàng mong đợi một sản phẩm hoạt động trơn tru.

Đối với một doanh nghiệp tiền điện tử, điều này có nghĩa là một vài điều. Bạn cần hiểu khách hàng của mình. Bạn cần biết họ đang chuyển những khoản tiền nào. Bạn cần biết những khoản tiền đó đến từ đâu. Và bạn cần kiểm tra xem không có địa chỉ, tên hoặc đối tác nào nằm trong danh sách trừng phạt. Mức độ nỗ lực tỷ lệ thuận với rủi ro và khu vực pháp lý. Các quốc gia khác nhau điều chỉnh các quy tắc khác nhau. Đó là nơi mà bức tranh 2026 trở nên thú vị.

2026 Bảng điểm thực thi: Cái giá phải trả khi phạm sai lầm

Việc vi phạm quy định chống rửa tiền (AML) thực sự gây ra thiệt hại gì ở 2026? Câu trả lời thực tế nằm ở diễn biến thực thi pháp luật kể từ năm 2022. Mỗi vụ việc đều tạo ra một tiền lệ, và những vụ gần đây đã vượt xa khuôn mẫu chỉ áp dụng ở Hoa Kỳ.

Có hai điểm đáng chú ý. Thứ nhất, việc thực thi pháp luật không còn tập trung ở Hoa Kỳ nữa. Europol và Ngân hàng Trung ương Ireland hiện đang hành động độc lập. Họ không chờ đợi đến khi Đạo luật Chống rửa tiền (AMLA) được áp dụng đầy đủ. Thứ hai, vụ Garantex cho thấy rằng chỉ riêng các biện pháp trừng phạt không đủ để ngăn chặn một sàn giao dịch không tuân thủ. OFAC đã trừng phạt Garantex vào tháng 4 năm 2022. Sàn giao dịch này hoạt động trong gần ba năm. Nó chỉ dừng lại khi cơ quan thực thi pháp luật tịch thu các máy chủ.

Chi phí cho một vụ vi phạm AML nghiêm trọng hiện nay bao gồm các lệnh ngừng hoạt động, các khoản phạt hàng tỷ đô la, giám sát hình sự và buộc phải rời khỏi thị trường. Vụ việc Binance bị phạt 4,3 tỷ đô la vẫn là tiêu điểm gây chú ý. Các vụ việc OKX và Coinbase Europe đặt ra những tiêu chuẩn phù hợp hơn cho một nhà cung cấp dịch vụ thanh toán bù trừ (CASP) quy mô trung bình đang xem xét rủi ro.

Sự chuyển hướng của Stablecoin và vụ hack Bybit

Báo cáo Tội phạm tiền điện tử số 5 của Chainalysis đã thay đổi cách nhìn nhận về vấn đề tài chính bất hợp pháp. Tổng khối lượng giao dịch bất hợp pháp trên chuỗi đạt 154 tỷ đô la vào năm 2025. Đó là mức tăng 162% so với năm trước. Trong đó, 84% liên quan đến stablecoin, tăng từ 63% vào năm 2024. Các thực thể bị trừng phạt là nguyên nhân chính dẫn đến sự gia tăng này. Số tiền nhận được vào các địa chỉ bị trừng phạt tăng 694% so với năm trước. Gần như toàn bộ số tiền đó đến từ stablecoin A7A5 của Nga, được hỗ trợ bằng đồng rúp, với tổng giá trị giao dịch đạt 93,3 tỷ đô la trong vòng chưa đầy mười hai tháng. Phần lớn số tiền này được chuyển qua sàn giao dịch Grinex.

Vụ việc nổi bật nhất năm 2025 là vụ tấn công Bybit. Vào ngày 21 tháng 2, nhóm Lazarus của Triều Tiên, hoạt động dưới sự bảo trợ của cụm máy chủ TraderTraitor, đã đánh cắp 1,5 tỷ USD Ethereum từ ví lạnh Bybit thông qua giao diện người dùng SafeWallet bị xâm nhập. Trong vòng năm ngày, khoảng 400 triệu USD đã được chuyển qua các sàn giao dịch phi tập trung, cầu nối chuỗi chéo và chuyển đổi sang Bitcoin. Không có khoản tiền nào được thu hồi. Các tác nhân liên kết với nhà nước Triều Tiên đã đánh cắp hơn 2 tỷ USD trong suốt năm 2025, năm thành công nhất trong lịch sử trộm cắp tiền điện tử của họ.

Đối với một nhóm chống rửa tiền (AML), có hai điều cần lưu ý. Thứ nhất, việc chỉ sàng lọc các đối tác bằng phân tích chuỗi khối không còn đủ nữa. Các tuyến đường rửa tiền hiện nay sử dụng hợp đồng thông minh bất biến, giao dịch hoán đổi nguyên tử và kết nối trong vòng vài giờ sau khi xảy ra vụ trộm. Thứ hai, các nhà phát hành stablecoin hiện là điểm nghẽn quyền lực nhất trong chuỗi khối. Việc đóng băng đúng địa chỉ bởi Tether hoặc Circle hiệu quả hơn bất kỳ hoạt động truy tìm nào sau đó.

Lịch tuân thủ 2026: MiCA, UK FCA, MAS

Ba trong bốn khu vực pháp lý lớn của phương Tây đang đồng thời đối mặt với các hạn chót về chống rửa tiền (AML). Tất cả đều trong vòng mười hai tháng. Một công ty tiền điện tử hoạt động trên khắp các khu vực này cần phải lập kế hoạch ba lộ trình cấp phép song song.

AMLA là Cơ quan Chống rửa tiền châu Âu mới. Cơ quan này có trụ sở tại Frankfurt và bắt đầu hoạt động chính thức vào ngày 1 tháng 7 năm 2025. Nhiệm vụ của AMLA bao gồm cả việc chống rửa tiền và chống tài trợ khủng bố. Lần đầu tiên, việc tuân thủ quy định AML/CFT nằm dưới sự quản lý của một cơ quan duy nhất thuộc EU. Nhiệm vụ đầu tiên của AMLA là hài hòa khoảng sáu mươi cơ quan giám sát AML quốc gia riêng lẻ dưới một bộ quy tắc duy nhất. Việc giám sát trực tiếp bốn mươi thực thể có rủi ro cao nhất trong EU sẽ bắt đầu vào năm 2028. Khoản tiền phạt 21,5 triệu euro mà Ngân hàng Trung ương Ireland áp đặt lên Coinbase Europe vào tháng 11 năm 2025 là một tín hiệu ban đầu. Các cơ quan chức năng quốc gia không chờ đợi AMLA sử dụng toàn bộ quyền hạn của mình.

Khoảng cách trong Quy tắc Chuyển tiền là rất đáng chú ý. Bản cập nhật mục tiêu năm 2025 của FATF cho thấy 73% trong số 117 quốc gia cho phép VASP đã thông qua luật theo Khuyến nghị 16, nhưng 59% vẫn chưa thực thi luật này. Quy định Chuyển tiền của EU còn đi xa hơn FATF: nó áp đặt ngưỡng bằng không đối với các giao dịch chuyển tiền giữa các CASP, có nghĩa là mọi giao dịch chuyển tiền giữa các thực thể được quản lý phải bao gồm đầy đủ thông tin người thụ hưởng.

Chi phí AML: Danh mục nhà cung cấp và lương nhân viên tuân thủ

Đây là phần tuân thủ AML mà nội dung giáo dục hiếm khi đề cập đến. Một CASP quy mô trung bình vận hành chương trình nội bộ phải đối mặt với hàng loạt các mục cần kiểm tra rõ ràng. Con số không hề nhỏ.

Chỉ riêng chi phí trang thiết bị cho một hoạt động quy mô trung bình nghiêm túc đã lên tới 300.000 đến 700.000 euro mỗi năm. Đó là chưa kể chi phí lương. Sau đó là chi phí nhân sự. Một chuyên viên tuân thủ quy định về tiền điện tử tại Mỹ kiếm được trung bình 159.792 đô la (ZipRecruiter, 2025). Vị trí giám đốc tuân thủ có mức lương trung bình 200.000 đô la. Một chuyên viên chống rửa tiền (MLRO) tại London có mức lương từ 130.000 đến 180.000 bảng Anh (hướng dẫn của Morgan McKinley năm 2025). Thêm một vị trí trợ lý tuân thủ. Tổng chi phí nhân sự hiện nay lên tới hơn 400.000 đô la tại Mỹ hoặc 220.000 bảng Anh tại Anh. Một chương trình chống rửa tiền nghiêm túc tại một trung tâm xử lý thanh toán được quản lý (CASP) hiếm khi có tổng chi phí dưới 1 triệu đô la. Con số này bao gồm tư vấn pháp lý, kiểm toán và cơ sở hạ tầng.

Những số liệu này giải thích tại sao câu hỏi "tự xây dựng hay mua sẵn" hiện nay lại trở nên quan trọng đối với bất kỳ ai tham gia vào lĩnh vực thanh toán tiền điện tử. Luật chống rửa tiền (AML) và các lựa chọn về hệ thống tuân thủ có thể quyết định liệu một doanh nghiệp có khả thi hay không.

Tự xây dựng hay mua ngoài: Khi nào nên thuê ngoài dịch vụ xử lý chống rửa tiền (AML) cho một nhà cung cấp dịch vụ thanh toán?

Một doanh nghiệp kinh doanh tiền điện tử quy mô nhỏ hoặc trung bình không cần phải tuyển dụng một chuyên viên chống rửa tiền (MLRO) và cấp phép cho ba nhà cung cấp phân tích. Bộ xử lý thanh toán sẽ đảm nhận các nghĩa vụ chống rửa tiền với tư cách là tổ chức tài chính chủ đạo. Doanh nghiệp chỉ cần tích hợp API. Nhà cung cấp dịch vụ thanh toán (PSP) sẽ chịu trách nhiệm về việc cấp phép, xác minh danh tính khách hàng (KYC), sàng lọc, nộp báo cáo hoạt động đáng ngờ (SAR) và tuân thủ Quy tắc giao dịch (Travel Rule). Đây là cách các nhà cung cấp như Plisio, BitPay và CoinGate định vị mình. Chống rửa tiền là sản phẩm, không phải là một tiện ích bổ sung.

Cây quyết định khá rõ ràng. Lấy ngưỡng khối lượng giao dịch khoảng 50 triệu đô la. Dưới mức đó, trong một khu vực pháp lý duy nhất, không có hoạt động VASP nào được quy định (lưu ký, trao đổi, chuyển tiền), thì phương án PSP hầu như luôn thắng thế. Trên ngưỡng đó, việc tự triển khai sẽ có lợi thế về khả năng tùy chỉnh, kiểm soát dữ liệu và tính linh hoạt trong hoạt động. Chi phí không còn có thể tránh khỏi nữa.

Mô hình lai hiện đang chiếm ưu thế đối với các nhà khai thác tầm trung. Một CASP được quản lý sử dụng bên thứ ba cho một hoặc hai dịch vụ chuyên biệt như định tuyến theo Quy tắc Du lịch. Câu hỏi quan trọng không phải là mô hình nào rẻ hơn, mà là mô hình nào đặt rủi ro cấp phép vào đúng đối tượng.

Tornado Cash, Hợp đồng thông minh và ranh giới của OFAC

Một sự thay đổi chính sách riêng biệt mà các nhóm tuân thủ phải nắm vững. Vào ngày 26 tháng 11 năm 2024, Tòa án phúc thẩm khu vực số 5 của Hoa Kỳ đã phán quyết trong vụ Van Loon rằng các hợp đồng thông minh bất biến không phải là "tài sản" theo Đạo luật Quyền lực Kinh tế Khẩn cấp Quốc tế. Vào ngày 21 tháng 3 năm 2025, OFAC chính thức dỡ bỏ lệnh trừng phạt đối với công ty trộn tiền Tornado Cash. Vụ truy tố hình sự đối với người đồng sáng lập Roman Storm vẫn tiếp tục, với phiên tòa dự kiến diễn ra vào ngày 14 tháng 7 năm 2025.

Trên thực tế, điều này có nghĩa là cụ thể hơn là bao quát. Bản thân giao thức không còn bị trừng phạt, nhưng các địa chỉ ví cụ thể có thể bị và vẫn nằm trong danh sách OFAC SDN (hơn 12.000 mục tính đến ngày 9 tháng 3). Tương tác với giao thức tự nó không phải là vi phạm lệnh trừng phạt. Việc gửi tiền đến hoặc nhận tiền từ một địa chỉ bị trừng phạt vẫn là vi phạm. Các chính sách tương tác hợp đồng thông minh cần được viết ở cấp độ địa chỉ, chứ không phải cấp độ giao thức, với việc sàng lọc được liên kết với nguồn cấp dữ liệu OFAC SDN và các danh sách tương đương của EU và Vương quốc Anh. Vương quốc Anh đã hợp nhất các danh sách của mình: kể từ ngày 28 tháng 1 năm 2026, Danh sách Hợp nhất OFSI đã bị đóng cửa và Danh sách Trừng phạt của Vương quốc Anh hiện là nguồn duy nhất.

Kiểm tra thực tế về quy tắc giao dịch tiền điện tử khi chuyển tiền

Quy tắc chuyển tiền của Lực lượng đặc nhiệm hành động tài chính (FATF), Khuyến nghị 16, yêu cầu các nhà cung cấp dịch vụ tài sản ảo (VASP) phải truyền tải thông tin người gửi và người nhận đối với các giao dịch chuyển tiền trên 1.000 USD/EUR. Tính đến Bản cập nhật mục tiêu năm 2025 của FATF, 73% các quốc gia cho phép VASP đã thông qua luật, nhưng 59% trong số đó chưa thực thi luật này. Liên minh châu Âu còn tiến xa hơn FATF, áp đặt ngưỡng bằng không đối với các giao dịch chuyển tiền giữa các CASP theo Quy định về chuyển tiền.

Về mặt vận hành, Báo cáo Quy tắc Giao dịch năm 2025 của Notabene (khảo sát 91 nhà cung cấp dịch vụ tài sản ảo) cho thấy 100% số người được khảo sát cam kết tuân thủ Quy tắc Giao dịch vào cuối năm 2025, và số lượng các công ty chặn rút tiền cho đến khi thông tin người thụ hưởng được xác minh tăng 431% so với năm trước. Cơ sở hạ tầng đã hoàn thiện: Notabene, Quy tắc Giao dịch của Sumsub, TRISA và Veriscope là các nền tảng vận hành. Vấn đề còn lại là khả năng tương tác giữa các nhà cung cấp mạng cạnh tranh, một sự phân mảnh có khả năng sẽ được hợp nhất trong hai năm tới.

Chương trình chống rửa tiền thực sự cần làm gì trong 2026

Loại bỏ lớp tiếp thị, một chương trình tuân thủ AML tại một công ty tiền điện tử có chín nghĩa vụ cụ thể. Một MLRO hoặc Cán bộ Tuân thủ AML được chỉ định với thẩm quyền được ghi chép đầy đủ. Một khung CIP và CDD dựa trên rủi ro với các yếu tố kích hoạt EDD đối với khách hàng có rủi ro cao và những người có liên quan đến chính trị (PEP). Sàng lọc lệnh trừng phạt dựa trên OFAC SDN, Danh sách trừng phạt hợp nhất của EU, Danh sách trừng phạt của Vương quốc Anh, với việc sàng lọc lại liên tục. Giám sát giao dịch với các quy tắc và ngưỡng được ghi chép đầy đủ. Báo cáo hoạt động đáng ngờ (nộp SAR và CTR) cho FIU có liên quan theo thời hạn đã định. Thực hiện Quy tắc Du lịch đối với các khoản chuyển tiền vượt quá ngưỡng (bằng không ở EU, 1.000 đô la trên toàn cầu). Kiểm tra độc lập hàng năm đối với chương trình. Đào tạo nhân viên liên tục, được ghi chép và có ngày tháng. Lưu giữ hồ sơ theo thời hạn lưu giữ áp dụng (thường là năm năm).

Các khuôn khổ khác nhau về chi tiết, nhưng yêu cầu tối thiểu về hoạt động là giống nhau giữa FinCEN, FCA, MAS và EU sau khi Đạo luật Chống rửa tiền (AMLA) được ban hành. Các quy định chống rửa tiền và luật pháp rộng hơn đã hội tụ nhanh hơn hầu hết các nhà điều hành dự đoán. Các quy tắc AML toàn cầu hiện tham chiếu chéo ở cấp độ yêu cầu pháp lý, chứ không phải khuôn khổ quốc gia. Các chương trình tuân thủ chống rửa tiền được điều chỉnh thống nhất hơn bao giờ hết giữa các cơ quan quản lý. Nỗ lực tuân thủ trước đây chỉ dừng lại ở ngân hàng đại lý và các dịch vụ tài chính truyền thống. Giờ đây, chúng mở rộng đến mọi kênh tiền điện tử được quản lý. Các vụ xử phạt trong giai đoạn 2022-2025 tập trung vào những thất bại trong hai trụ cột: giám sát giao dịch trên quy mô lớn và việc nộp báo cáo hoạt động đáng ngờ (SAR) về những gì hệ thống giám sát đã phát hiện. Hãy xây dựng cho hai trụ cột này trước tiên. Việc tuân thủ AML hiệu quả phần lớn là công việc nhàm chán. Bạn thực hiện hai việc đó một cách nhất quán trên hàng triệu giao dịch và mọi khách hàng trong danh sách của mình.

Marco Lucchetti

Marco Lucchetti is a senior content strategist and blockchain analyst at Plisio. With over 7 years of experience in cryptocurrency research, DeFi protocols, and payment technologies, Marco specializes in creating clear, data-driven content for a global crypto audience. His work focuses on transaction tracing, crypto compliance, and the future of blockchain infrastructure.