Chương 8: Bank Run
Ba giờ sáng, văn phòng PayBlock tầng mười lăm, phố Duy Tân.
Kiệt ngồi trước bốn màn hình — hai hiện dữ liệu blockchain, một chạy Python script phân tích pattern giao dịch, một mở Etherscan theo dõi real-time các transaction trên mạng thanh toán của PayViet.
Suốt bảy ngày qua, kể từ buổi trình bày tại Ngân hàng Nhà nước, Kiệt không làm gì ngoài một việc: phân tích mạng lưới giao dịch của PayViet.
Anh viết một crawler bằng Python kết hợp với GraphQL API của blockchain explorer, thu thập toàn bộ lịch sử giao dịch on-chain của PayViet từ ngày đầu hoạt động.
Kết quả làm anh lạnh sống lưng.
Trên màn hình bên trái, Python script vẽ ra một đồ thị mạng — mỗi node là một ví, mỗi cạnh là một giao dịch.
Phần lớn đồ thị trông bình thường: người dùng chuyển tiền cho merchant, merchant rút về tài khoản ngân hàng — flow tiêu chuẩn của một app thanh toán.
Nhưng ở góc dưới bên phải, một cụm node nhỏ nổi bật lên như một khối u.
Cụm này gồm hai mươi ba ví, tất cả được tạo trong cùng một tuần, tất cả có tên eKYC giống nhau về format: họ tên bốn chữ, số CCCD bắt đầu bằng 001 — mã Hà Nội — và ảnh selfie có chất lượng thấp đáng ngờ.
Hai mươi ba ví này thực hiện một pattern lặp đi lặp lại mỗi đêm, từ mười một giờ đến ba giờ sáng: chuyển tiền vòng tròn giữa nhau, mỗi giao dịch dưới mười triệu đồng — vừa đúng dưới ngưỡng báo cáo giao dịch đáng ngờ theo quy định AML.
Tổng giá trị giao dịch qua cụm này trong ba tháng: bốn mươi bảy tỷ đồng.
"Layering," Kiệt lẩm bẩm — thuật ngữ chuyên môn cho giai đoạn thứ hai của quy trình rửa tiền: tách nhỏ dòng tiền bẩn và chuyển qua nhiều tài khoản trung gian để xoá dấu vết nguồn gốc.
Anh truy ngược nguồn tiền đổ vào cụm hai mươi ba ví.
Tất cả đến từ ba ví "mẹ" — ba ví lớn nhận tiền từ các khoản chuyển khoản ngân hàng qua cổng thanh toán PayViet.
Kiệt check metadata: ba ví mẹ này được registered bởi ba công ty — Hoàng Minh Trading, Phúc An Services, và Việt Thành Consulting.
Ba cái tên vỏ bọc điển hình, kiểu công ty lập ra chỉ để mở tài khoản rồi chuyển tiền.
Và khi Kiệt tra cứu đăng ký kinh doanh trên Cổng thông tin Đăng ký Doanh nghiệp Quốc gia, anh tìm thấy điều khiến bàn tay anh dừng lại trên bàn phím: cả ba công ty có cùng một người đại diện pháp luật — Nguyễn Văn Toàn, trùng tên với kẻ đứng đầu mạng lưới tín dụng đen "Toàn Sẹo" mà báo chí đưa tin năm ngoái.
Đức Anh đang cho phép mạng lưới tín dụng đen sử dụng PayViet để rửa tiền.
Có thể hắn biết, có thể hắn không — nhưng sự trùng hợp về timing rất đáng ngờ: cụm ví rửa tiền bắt đầu hoạt động đúng một tuần sau khi Đức Anh sa thải Kiệt — tức là sau khi người duy nhất có khả năng phát hiện pattern bất thường bị loại khỏi công ty.
Kiệt ngồi lại, xoa hai bàn tay vào nhau.
Tay anh lạnh — không phải vì điều hoà, mà vì nhận ra mình đang cầm trong tay một quả bom.
Bốn mươi bảy tỷ đồng tiền rửa.
Mạng lưới tín dụng đen.
Nếu anh tung bằng chứng này ra, PayViet sẽ không chỉ mất nhà đầu tư — nó sẽ bị đóng cửa, và Đức Anh có thể bị truy tố hình sự.
Sáu giờ sáng, Kiệt gọi Linh.
"Tôi tìm thấy rồi," anh nói.
"Bốn mươi bảy tỷ rửa qua PayViet trong ba tháng.
Mạng lưới tín dụng đen.
Có bằng chứng blockchain, có danh sách ví, có pattern analysis đầy đủ."
Im lặng bốn giây.
Rồi Linh: "Gửi cho tôi file.
Tôi cần mười lăm phút để đọc."
Kiệt gửi qua email encrypted.
Mười tám phút sau, Linh gọi lại.
"Anh đúng," cô nói, giọng thấp hơn bình thường.
"Pattern rõ ràng.
Layering cổ điển, dưới ngưỡng STR, sử dụng shell company.
Đây là vụ lớn."
"Tôi muốn tung cho báo chí," Kiệt nói.
"Chưa," Linh đáp ngay lập tức.
"Nếu anh tung thẳng cho báo, Đức Anh sẽ xoá dữ liệu, đóng ví, và đổ cho nhân viên cấp dưới.
Anh cần gửi cho Cục Phòng chống rửa tiền trước — để cơ quan chức năng freeze tài sản trước khi hắn kịp phản ứng.
Đồng thời gửi cho báo chí — nhưng embargo hai mươi bốn giờ."
Kiệt nghĩ ba giây.
Cô ấy đúng.
"Okay.
Cục Phòng chống rửa tiền — anh Quân có kênh không?"
"Có.
Tôi gọi anh ấy ngay bây giờ."
Mười giờ sáng, luật sư Quân nộp hồ sơ tố giác chính thức tại Cục Phòng chống rửa tiền, Ngân hàng Nhà nước Việt Nam — kèm theo toàn bộ phân tích blockchain forensics của Kiệt, đóng dấu công chứng.
Đồng thời, Linh gửi bộ hồ sơ cho ba tờ báo lớn nhất: VnExpress, Tuổi Trẻ, và Thanh Niên — kèm điều kiện embargo: không đăng trước sáu giờ sáng hôm sau.
Đêm đó, Kiệt không ngủ.
Anh ngồi trong văn phòng, refresh Etherscan liên tục, theo dõi xem Đức Anh có di chuyển tiền trong cụm ví rửa tiền hay không.
Không — hắn không biết mình đang bị theo dõi.
Hắn vẫn nghĩ mình đã thắng, vẫn nghĩ đơn tố cáo Ngân hàng Nhà nước sẽ giết PayBlock.
Sáu giờ mười lăm sáng hôm sau.
Kiệt mở VnExpress.
Bài báo nằm ở vị trí headline trang chủ, chữ đỏ in đậm: "CHẤN ĐỘNG FINTECH: PayViet bị phát hiện là công cụ rửa tiền cho mạng lưới tín dụng đen — bằng chứng blockchain không thể chối cãi."
Bài báo dài hai nghìn chữ, kèm đồ thị mạng lưới ví, bảng phân tích giao dịch, và phát biểu chính thức của Cục Phòng chống rửa tiền: "Cơ quan đã tiếp nhận tố giác và đang phối hợp với Bộ Công an tiến hành điều tra.
Tài khoản ngân hàng của PayViet tại Vietcombank và Agribank đã bị tạm phong toả theo quyết định khẩn cấp."
Tuổi Trẻ Online chạy bài cùng giờ.
Thanh Niên đăng trên trang nhất bản in.
Facebook và Zalo bùng nổ — hashtag #PayVietRửaTiền trending số một trên Twitter Việt Nam trong vòng hai tiếng.
Và rồi bank run bắt đầu.
Từ bảy giờ sáng, người dùng PayViet — một triệu tám trăm nghìn người — bắt đầu rút tiền ồ ạt khỏi ví.
Dashboard mà Kiệt theo dõi từ blockchain explorer hiện số liệu real-time: mười tỷ rút trong giờ đầu tiên.
Hai mươi tỷ trong giờ thứ hai.
Server PayViet bắt đầu lag — không phải DDoS, mà là traffic thật từ hàng trăm nghìn người cùng lúc nhấn nút "Rút tiền."
Đến mười giờ sáng, PayViet crash.
Server sập hoàn toàn.
App hiện thông báo "Hệ thống đang bảo trì" — nhưng ai cũng hiểu đó là dấu chấm hết.
Trần Đức Anh xuất hiện trên CafeF lúc mười một giờ — bài phỏng vấn khẩn cấp, hắn phủ nhận mọi cáo buộc, gọi đây là "âm mưu bôi nhọ từ đối thủ cạnh tranh."
Nhưng khi phóng viên hỏi: "Ông giải thích thế nào về bốn mươi bảy tỷ đồng giao dịch qua hai mươi ba ví ẩn danh trên nền tảng PayViet?" — hắn im lặng bảy giây trước khi nói: "Tôi sẽ trả lời sau khi tham vấn luật sư."
Bảy giây im lặng đó được clip lại và lan truyền trên mạng xã hội.
Hai triệu lượt xem trong bốn tiếng.
Chiều hôm đó, Cơ quan An ninh Điều tra, Bộ Công an, phát lệnh triệu tập Trần Đức Anh để làm việc.
Quỹ đầu tư ngoại đang đàm phán Series B năm mươi tỷ — rút lui ngay lập tức.
Nhân viên PayViet bắt đầu nghỉ việc — mười bảy người nộp đơn trong ngày, theo nguồn tin từ một cựu nhân viên post trên LinkedIn.
PayViet — startup fintech hai triệu người dùng, định giá hai trăm tỷ, niềm tự hào của hệ sinh thái fintech Hà Nội — sụp đổ trong mười hai tiếng.
Không phải từ từ, không phải dần dần.
Sụp như một toà nhà mà móng đã bị mục ruỗng từ bên trong.
Kiệt ngồi trong văn phòng PayBlock, nhìn màn hình.
Anh không vui.
Anh từng nghĩ mình sẽ cảm thấy hả hê khi nhìn Đức Anh sụp — nhưng không.
Cái anh cảm thấy là mệt.
Mệt rã rời, kiểu mệt của một người vừa chạy marathon xuyên đêm và về đích nhưng không còn sức để ăn mừng.
Điện thoại rung.
Tin nhắn Zalo từ một số lạ — Kiệt mở ra.
"Anh Kiệt, em là Hương, lễ tân cũ ở Handico Tower.
Em chỉ muốn nói: anh Đức Anh vừa bị hai người mặc thường phục dẫn ra khỏi văn phòng PayViet tầng mười tám.
Anh ấy đi rất nhanh, không mang theo gì.
Em nghĩ... em nghĩ cảnh sát đến rồi."
Kiệt đọc tin nhắn hai lần, rồi đặt điện thoại xuống.
Anh nhìn ra cửa sổ tầng mười lăm — phố Duy Tân nắng chang chang, xe cộ chạy như mọi ngày.
Ba tầng phía trên, nơi văn phòng PayViet từng sáng đèn suốt đêm, bây giờ tối đen.
Kiệt đóng laptop lại, đứng dậy, bước ra hành lang.
Anh nhấn nút thang máy, đi xuống tầng trệt, ra vỉa hè.
Gió chiều thổi nhẹ, mùi hoa sữa thoang thoảng từ hàng cây bên đường.
Anh mua một ly trà chanh từ quán vỉa hè, ngồi trên chiếc ghế nhựa thấp, và uống chậm rãi.
Ba năm.
Từ căn phòng trọ mười lăm mét vuông đến văn phòng startup hai triệu người dùng, đến bị đuổi ra đường, đến xây lại từ đầu, đến hôm nay.
Vòng tròn đã khép lại — nhưng Kiệt biết đây không phải kết thúc.
Đây mới chỉ là lúc bão tan.