Hook
Năm 2023, một người dùng tại Berlin nhận được email từ sàn giao dịch: "Vui lòng cập nhật mã số thuế quốc gia của bạn trước ngày 31/12/2025." Anh ta bỏ qua. Tháng 1/2027, khi cố gắng rút 50 ETH về ví cá nhân, hệ thống báo lỗi. Tài khoản bị đóng băng. Không có kháng cáo. Không có ngoại lệ. Đây không phải kịch bản giả định. Đây là tương lai mà EU và UK đang xây dựng qua hai khung pháp lý song sinh: DAC8 và CARF.
Context
Hãy tưởng tượng một thế giới nơi mỗi giao dịch crypto của bạn – từ đổi ETH lấy USDC đến mint một NFT – đều được ghi lại, đóng gói và gửi thẳng đến cơ quan thuế của bạn. Không phải thông qua một cơ sở dữ liệu blockchain công khai, mà qua một hệ thống báo cáo tự động từ các sàn giao dịch. Đó chính xác là những gì DAC8 (EU’s Eighth Administrative Cooperation Directive) và CARF (Crypto-Asset Reporting Framework của OECD, được UK áp dụng) sẽ làm kể từ năm 2026. Họ bắt buộc các "nhà cung cấp dịch vụ tài sản mã hóa" – từ Binance, Coinbase đến ví lưu ký – phải thu thập danh tính, địa chỉ, mã số thuế (TIN) của mọi người dùng, cùng tổng giá trị giao dịch theo từng loại tài sản (mã token) trong năm. Sau đó, dữ liệu này được tổng hợp và gửi đến cơ quan thuế của quốc gia nơi người dùng cư trú – tất cả diễn ra tự động, không cần sự đồng ý của bạn.
Tôi đã chứng kiến điều tương tự trong lĩnh vực tài chính truyền thống: CRS (Common Reporting Standard) đã biến các ngân hàng thành cánh tay nối dài của cơ quan thuế. Giờ đây, crypto không còn là vùng trống. Nhưng điểm khác biệt lớn nhất: DAC8 và CARF không chỉ yêu cầu báo cáo – chúng trao cho sàn giao dịch quyền đóng băng tài sản nếu bạn từ chối cung cấp thông tin. Không có "lùi".
Core
Hãy đi sâu vào kỹ thuật – điều mà tôi, với tư cách là một Decentralized Protocol PM, thường làm khi audit mã nguồn của các dự án. Dưới đây là những điểm mấu chốt từ tài liệu HMRC và OECD mà tôi phân tích:
1. Phạm vi áp dụng rộng hơn bạn nghĩ. Không chỉ sàn CEX. Bất kỳ nền tảng nào "nắm giữ, quản lý, hoặc kiểm soát tài sản mã hóa thay mặt cho người dùng" đều là "nhà cung cấp dịch vụ". Điều này bao gồm cả các sàn giao dịch phi tập trung (DEX) nếu họ có frontend lưu trữ tài sản? Không, DEX thực sự (như Uniswap, nơi người dùng tự quản lý private key) được miễn – ít nhất là ở phiên bản hiện tại. Nhưng nếu DEX có một lớp ví lưu ký hoặc dịch vụ chuyển đổi fiat-to-crypto, nó sẽ bị kéo vào. Đây là một ranh giới mờ mà tôi dự đoán sẽ được mở rộng trong tương lai.
2. Dữ liệu được thu thập không chỉ là giao dịch. Các sàn phải báo cáo: tên, địa chỉ, ngày sinh, quốc gia cư trú, TIN, tổng giá trị gộp của mỗi loại tài sản được mua, bán, trao đổi, chuyển nhượng, staking, lending – tất cả trong một năm dương lịch. Có một ngoại lệ: giao dịch dưới $50? Sàn vẫn phải thu thập dữ liệu nhưng báo cáo gộp? Không, mỗi loại tài sản đều phải có tổng giá trị, bất kể nhỏ. Điều này có nghĩa: nếu bạn swap $10 ETH lấy $10 USDC, nó vẫn nằm trong báo cáo.
3. Cơ chế "báo cáo hai chiều" gây nhầm lẫn. DAC8 yêu cầu sàn gửi dữ liệu đến quốc gia cư trú của người dùng thông qua cơ quan thuế nơi sàn đặt trụ sở. Nhưng UK’s CARF lại dùng danh sách các quốc gia có thỏa thuận – nếu quốc gia của bạn không nằm trong danh sách, dữ liệu vẫn được thu thập nhưng không được gửi đi. Kết quả: người dùng sống ở quốc gia không có thỏa thuận với UK vẫn bị theo dõi, nhưng cơ quan thuế của họ không nhận được gì. Đây là một lỗ hổng kỳ lạ: sàn vẫn lưu giữ dữ liệu của bạn, chỉ là chưa gửi đi. Một ngày nào đó, thỏa thuận được ký kết, dữ liệu cũ sẽ được gửi ngược.
4. Hậu quả nghiêm trọng nhất: đóng băng tài sản. Nếu bạn từ chối cung cấp TIN, hoặc TIN không hợp lệ, sàn giao dịch phải "ngăn chặn việc rút tiền và chuyển tài sản". Họ không thể để bạn rút khỏi nền tảng. Điều này được viết rõ trong tài liệu HMRC. Tôi đã thấy nhiều người dùng nghĩ rằng họ chỉ cần chuyển tiền sang ví tự quản lý trước deadline. Nhưng nếu bạn chưa cung cấp TIN, giao dịch chuyển tiền đó cũng bị chặn. Bạn bị mắc kẹt.
5. DAC8/CARF không tính toán lãi/lỗ vốn. Họ chỉ yêu cầu tổng giá trị gộp mỗi loại tài sản. Ví dụ: bạn mua 1 BTC với giá $20k, bán với $40k – sàn sẽ báo cáo "tổng giá trị mua là $20k, tổng giá trị bán là $40k". Họ không trừ chi phí, không tính lợi nhuận. Bạn vẫn phải tự kê khai chi tiết với cơ quan thuế. Đây là một điểm yếu: nếu bạn có nhiều giao dịch, sàn chỉ cho cơ quan thuế một con số tổng, không đủ để tính thuế chính xác. Nhưng nó lại đủ để đối chiếu – nếu bạn kê khai thiếu, cơ quan thuế sẽ thấy số dư.
Contrarian
Bạn nghĩ DAC8 và CARF là chiến thắng của minh bạch? Tôi thấy một kiểu "kiểm soát tập trung mới" được ngụy trang dưới lớp áo chống trốn thuế. Hãy nhìn vào sự thật: nó chỉ bắt các sàn lưu ký – nơi đã có KYC. Những tội phạm thực sự, những người rửa tiền qua Monero, qua DEX không KYC, qua swap trực tiếp peer-to-peer, sẽ không bị ảnh hưởng. Họ chỉ cần chuyển sang các nền tảng không tuân thủ. Người chịu thiệt là nhà đầu tư trung thực, những người đã khai báo thu nhập, giờ lại bị gánh thêm thủ tục giấy tờ và nguy cơ bị đóng băng vì lỗi kỹ thuật.
Tôi từng tham gia nhóm vận động hành lang cho khung pháp lý crypto tại Ấn Độ năm 2025. Tôi chứng kiến cách các cơ quan thuế muốn "mượn" cơ sở hạ tầng của sàn giao dịch để thu thập dữ liệu, nhưng lại không đầu tư vào bảo mật. Dữ liệu tập trung tại các sàn là mục tiêu hấp dẫn cho hacker. Một vụ rò rỉ dữ liệu Crypto.com hoặc Binance sẽ phơi bày danh tính và tài sản của hàng triệu người dùng. DAC8 không yêu cầu mã hóa hay tiêu chuẩn bảo vệ dữ liệu cụ thể ngoài GDPR – nhưng GDPR đã bị vi phạm thường xuyên.
Hơn nữa, đây là một bức tường thành cho các sàn lớn. Chi phí tuân thủ DAC8/CARF có thể lên tới hàng triệu USD mỗi năm cho việc xây dựng hệ thống báo cáo, kiểm toán, và xử lý dữ liệu. Các sàn nhỏ của châu Âu sẽ chết dần. Kết quả: thị trường crypto tập trung vào tay Coinbase, Kraken, Binance (nếu họ tuân thủ) – đi ngược lại hoàn toàn tinh thần phi tập trung. Tôi đã thấy điều này xảy ra trong thị trường gấu 2022 khi các sàn nhỏ sụp đổ vì không đủ thanh khoản. Lần này, nguyên nhân là quy định.
Takeaway
Đến năm 2027, nếu bạn sống ở EU hoặc UK và muốn giữ quyền kiểm soát tài sản của mình, bạn có hai lựa chọn: hoặc bạn chấp nhận cung cấp TIN và sống trong thế giới minh bạch hoàn toàn (nơi mọi giao dịch đều bị theo dõi), hoặc bạn rời khỏi hệ thống sàn lưu ký và chuyển hoàn toàn sang self-custody, sử dụng DEX không KYC, và chấp nhận rủi ro pháp lý khác. Còn các nhà phát triển, chúng ta đang đứng trước cơ hội xây dựng các công cụ giúp việc kê khai thuế trở nên đơn giản, tự động, nhưng vẫn bảo vệ quyền riêng tư thông qua zero-knowledge proofs. Tôi tin rằng tương lai không nằm ở việc chống lại quy định, mà nằm ở việc xây dựng những lớp trừu tượng cho phép tuân thủ mà không cần tiết lộ tất cả. Liệu chúng ta có đủ thông minh để làm điều đó trước khi chiếc két sắt bị khóa vĩnh viễn?