Hai cú sốc liên tiếp trên thị trường dự đoán: Polymarket bị CFTC điều tra, Myriad hủy 10 thị trường sau vụ hack

Vào ngày 27 tháng 10 năm 2026, Reuters đưa tin Ủy ban Giao dịch Hàng hóa Tương lai Hoa Kỳ (CFTC) đang xem xét liệu Polymarket có tuân thủ điều khoản “không được cung cấp dịch vụ cho người dùng tại Mỹ” trong thỏa thuận giải quyết năm 2022 hay không; trọng tâm kiểm tra bao gồm việc xác định vị trí địa lý, quảng cáo tại Mỹ, cũng như các biện pháp tiếp cận và bảo vệ khách hàng trên sàn giao dịch của Polymarket dành riêng cho thị trường Mỹ. Trước đó một ngày, tức ngày 26 tháng 10, thị trường dự báo trên BNB Chain mang tên Myriad đã phải hủy bỏ 10 thị trường sau khi ví quản trị viên bị tấn công, đồng thời kích hoạt hoàn tiền tự động.

Khi đặt hai sự việc này cạnh nhau, ta sẽ thấy rõ hai rủi ro cốt lõi của phân khúc này vào năm 2026: tuân thủ quy định và quyền thanh toán bù trừ. Bài viết này sẽ chia thị trường dự báo thành ba lớp để làm rõ: cơ chế thanh toán bù trừ của nó là gì, tiến trình quy định đến đâu vào năm 2026, và người dùng thông thường thực tế sẽ vấp phải những “cái bẫy” nào.

Trước hết, hãy làm rõ thỏa thuận giải quyết năm 2022

Để hiểu được đợt xem xét lần này, ta cần quay lại bốn năm trước. Vào ngày 3 tháng 1 năm 2022, CFTC đã ban hành lệnh đối với Blockratize, Inc. d/b/a Polymarket.com (số hồ sơ Docket No. 22-09), cáo buộc công ty vi phạm Điều 4c(b) của Đạo luật Giao dịch Hàng hóa (7 U.S.C. § 6c(b)) và Điều 5h(a)(1) (7 U.S.C. § 7b-3(a)(1)), cùng các điều lệ CFTC số 32.2 và 37.3(a)(1).

Sự thật cốt lõi là: Polymarket đã cung cấp các quyền chọn nhị phân theo sự kiện cho cá nhân tại Mỹ mà không đăng ký làm Sàn Giao dịch Hợp đồng (SEF) hoặc Thị trường Hợp đồng Được Chỉ định (DCM), trong khi loại sản phẩm này cấu thành “hợp đồng hoán đổi (swaps)”.

Các hình phạt và nghĩa vụ được nêu rất cụ thể:

• Phạt dân sự 1,4 triệu đô la Mỹ (được giảm nhẹ nhờ “hợp tác thực chất”).
• Dừng cung cấp quyền truy cập vào các thị trường không tuân thủ trước ngày 14 tháng 01 năm 2022.
• Thúc đẩy việc “giải thể dần” (winding down) toàn bộ các thị trường không tuân thủ và đảm bảo người tham gia có thể rút toàn bộ vốn.
• Chứng minh bằng văn bản với CFTC về việc đã thực hiện đầy đủ các nghĩa vụ nói trên trước ngày 24 tháng 01 năm 2022.

Lệnh cũng tiết lộ quy mô hoạt động lúc bấy giờ: từ tháng 6 năm 2020 đến nay, đã ra mắt khoảng 900 thị trường quyền chọn nhị phân theo sự kiện, khối lượng giao dịch tích lũy vượt quá 130 triệu đô la Mỹ; việc mở tài khoản chỉ yêu cầu email và tên người dùng, không cần bất kỳ thông tin nhận dạng nào khác; việc thanh toán bù trừ do “Ủy ban Bảo đảm Tính toàn vẹn Thị trường” (Markets Integrity Committee) nội bộ Polymarket quyết định đơn phương.

Đợt xem xét năm 2026: hiện chỉ có báo chí đưa tin

Tại đây, ta cần làm rõ mức độ bằng chứng. Chúng tôi chỉ tìm thấy bài báo của Reuters ngày 27 tháng 10 năm 2026 và các trích dẫn lại từ bài báo này, chứ chưa tìm thấy thông cáo báo chí, lệnh hay bất kỳ tài liệu chính thức nào khác từ CFTC. Các điểm chính trong báo cáo là:

• Việc xem xét này là một phần của một cuộc điều tra rộng hơn của CFTC đã được khởi động từ đầu năm 2026, chứ không phải một hành động thực thi pháp luật mới;
• Trọng tâm kiểm tra là việc có vi phạm các điều khoản trong thỏa thuận giải quyết năm 2022 hay không — cụ thể là khả năng xác định vị trí địa lý có hiệu lực hay không, có còn chạy quảng cáo tại Mỹ hay không, và các quy trình tiếp nhận khách hàng (onboarding) cũng như bảo vệ khách hàng trên sàn giao dịch dành riêng cho thị trường Mỹ đã được triển khai đầy đủ chưa;
• CFTC, Polymarket và Bộ Tư pháp Hoa Kỳ (DOJ) đều từ chối bình luận;
• Bài báo cũng lưu ý rõ: «một cuộc điều tra riêng lẻ không nhất thiết hàm ý có sai phạm» — bị điều tra không đồng nghĩa với vi phạm.

Còn một mốc thời gian thường bị bỏ qua: CFTC từng điều tra Polymarket về việc tuân thủ thỏa thuận giải quyết vào năm 2024, và DOJ cũng tiến hành điều tra tương tự; cả hai cuộc điều tra này đều kết thúc vào tháng 7 năm 2025 mà không đưa ra cáo buộc nào; trong thời gian đó, FBI từng khám xét nơi ở của Giám đốc điều hành (CEO) Shayne Coplan vào tháng 11 năm 2024. Nói cách khác, «bị điều tra» trong vụ việc này đã từng xảy ra một vòng, và kết thúc mà không khởi tố.

Địa vị pháp lý hiện tại của Polymarket: trang web ngoài lãnh thổ ≠ trang web tại Mỹ

Đây là điểm dễ gây nhầm lẫn nhất, nên cần phân biệt rõ ràng:

1. Ngày 21 tháng 07 năm 2025: Polymarket công bố việc thâu tóm QCEX với giá 112 triệu đô la Mỹ, bao gồm sàn giao dịch QCX, LLC (đang nắm giấy phép của CFTC) và tổ chức thanh toán bù trừ QC Clearing LLC.
2. Ngày 09 tháng 07 năm 2025: CFTC cấp cho thực thể tại Mỹ của Polymarket tư cách “Thị trường Hợp đồng Được Chỉ định” (DCM designation), điều này được viện dẫn trong các văn bản tòa án năm 2025.
3. Ngày 25 tháng 11 năm 2025: CFTC phê duyệt Quyết định Chỉ định Đã Sửa đổi (Amended Order of Designation), cho phép vận hành theo mô hình “có trung gian”, tức là tiếp cận khách hàng tại Mỹ thông qua các nhà môi giới hoán đổi tương lai (FCM), đồng thời phải tuân thủ toàn bộ các quy tắc của Đạo luật Giao dịch Hàng hóa (CEA) và CFTC áp dụng cho DCM.

Vì vậy, hiện nay tồn tại hai thực thể khác biệt: Polymarket “ngoại biên” (không chịu sự giám sát của CFTC — tức là nền tảng đang bị điều tra về việc “có còn mở cửa cho người Mỹ hay không”) và Polymarket US (có giấy phép DCM và hoạt động thông qua trung gian FCM). Cùng một sự kiện có thể có mức giá và độ sâu thanh khoản khác nhau trên hai nền tảng này — đây không phải lỗi kỹ thuật, mà là hệ quả tất yếu khi hai hệ thống quy định song song cùng tồn tại.

Sự cố Myriad: Khi quyền quyết định kết quả bị đánh cắp, thị trường lập tức vô hiệu

Sự việc thứ hai minh họa rõ hơn “điều gì duy trì sự sống cho thị trường dự báo”. Theo nhiều báo cáo truyền thông (chúng tôi chưa tiếp cận được liên kết gốc của báo cáo sự cố chính thức từ Myriad):

• Thời điểm: Cuộc tấn công bắt đầu lúc 06:07 UTC ngày 2026-10-26.
• Cách thức: Đối tượng bị xâm nhập là ví admin nội bộ của Myriad, dùng để tự động tạo và thanh toán bù trừ một số thị trường. Tin tặc đã sử dụng ví này để mua vị thế, tuyên bố các vị thế đó là người chiến thắng, rồi nhận tiền thưởng — không phải rút thanh khoản, mà trực tiếp thay đổi kết quả.
• Nguyên nhân gốc rễ: Myriad quy kết việc lộ khóa mật khẩu cho một lỗ hổng trong thư viện bên thứ ba không nêu tên, và khẳng định lỗ hổng này đã tồn tại trong vài tuần trước thời điểm xảy ra sự cố.
• Hành động xử lý: Hủy bỏ 10 thị trường; hoàn tiền tự động cho tất cả người nắm giữ cả hai phía của các thị trường bị ảnh hưởng theo công thức “số cổ phần × giá cuối cùng trước khi bị tấn công”; số tiền đã được lĩnh từ việc thanh toán bù trừ sai sẽ bị khấu trừ khỏi khoản hoàn trả; nguồn tiền đến từ “tài sản đã thu hồi + quỹ thị trường”; người dùng không cần gửi yêu cầu, khoản tiền sẽ được chuyển thẳng vào ví điện tử của họ.
• Một ví dụ có thể kiểm chứng: Ghi chép trên BscScan cho thấy một giao dịch từ ví admin đã thanh toán thị trường 105144 (“IPO của OpenAI so với Anthropic”), sau đó khoảng 11.609 USDT được chuyển từ hợp đồng thị trường vào ví này, rồi khoảng 11.715 USDT được bán và chuyển sang một địa chỉ khác.

Cần lưu ý: Myriad tuyên bố “tin tặc không rút bất kỳ khoản tiền nào và toàn bộ tài sản đã được thu hồi”, nhưng The Defiant nhấn mạnh rõ ràng rằng các ghi chép trên chuỗi không thể xác minh độc lập tuyên bố này — bản thân giao dịch chuyển tiền không chứng minh được ai kiểm soát địa chỉ nhận. Đồng thời, tổng thiệt hại, số lượng người dùng bị ảnh hưởng và thời hạn hoàn tất hoàn tiền đều chưa được cơ quan chức năng tiết lộ.

Bài học kỹ thuật từ sự việc này quan trọng hơn con số thiệt hại: Ở thị trường dự báo, “ai có quyền công bố kết quả” quan trọng hơn nhiều so với “ai được phép giao dịch”. Nếu quyền giao dịch bị đánh cắp, tối đa chỉ là có người “đi trước”; nhưng nếu quyền thanh toán bù trừ bị đánh cắp, toàn bộ thị trường sẽ lập tức trở nên vô hiệu.

Cơ chế thanh toán bù trừ: Thực chất bạn đang cá cược vào “người sẽ công bố kết quả”

Các đường dẫn thanh toán bù trừ giữa các nền tảng rất khác nhau — điều này trực tiếp quyết định mức độ rủi ro bạn phải đối mặt:

• Polymarket (ngoại biên): Phụ thuộc vào oracle lạc quan UMA — trước tiên đề xuất kết quả, sau đó mở cửa sổ tranh chấp; nếu có tranh cãi, vụ việc sẽ được nâng cấp lên trọng tài DVM của UMA. Rủi ro nằm ở chỗ: nếu đề xuất sai và trong suốt cửa sổ tranh chấp không ai phản bác, kết quả sai sẽ được xác nhận chính thức.
• Kalshi: Sở hữu giấy phép DCM của CFTC, mọi quy tắc và quy trình thanh toán bù trừ đều tuân thủ khuôn khổ quy định liên bang.
• Myriad: Kết hợp sổ lệnh ngoài chuỗi và trên chuỗi, trường oracle xuất hiện trong API; với các thị trường “do chính Myriad thanh toán bù trừ”, trường này để trống, tức là nền tảng có toàn quyền tự quyết định kết quả — đúng điểm yếu bị khai thác trong sự việc vừa qua.

Còn một lớp nữa là “kinh tế cổ phần”: Người chiến thắng nhận 1 đô la Mỹ mỗi cổ phần, người thua nhận 0; giá niêm yết bản thân nó chính là xác suất ngầm được thị trường phản ánh. Điều này có nghĩa là giá không bằng xác suất thực tế, mà chỉ là kết quả biểu quyết bằng tiền của những người tham gia; khi thanh khoản thấp hoặc có người nắm thông tin nội bộ, giá sẽ lệch hệ thống so với thực tế.

Quy định năm 2026: Liên bang đang đẩy mạnh, tiểu bang đang thi hành, tòa án đang chia rẽ

Đây là sự thật cấu trúc đáng nhớ nhất năm nay — việc “có giấy phép của CFTC” không đảm bảo bạn sẽ được hoạt động tự do tại mọi tiểu bang:

1. Ngày 2026-03-12: Bộ Giám sát Thị trường của CFTC ban hành Thông báo Hướng dẫn Nhân viên (Staff Advisory) về việc niêm yết hợp đồng sự kiện trên sàn DCM (đặc biệt là hợp đồng thể thao), đồng thời công bố Đề xuất Quy định Mới (ANPR) để lấy ý kiến công chúng.
2. Ngày 2026-06-12: CFTC đăng tải Dự thảo Quy định mới trên Tạp chí Liên bang với tiêu đề “Thị trường Dự báo; Các Quyết định về Lợi ích Công cộng” (RIN 3038-AF65, 91 FR 35806), nhằm làm rõ những loại hợp đồng sự kiện nào có thể bị coi là “vi phạm lợi ích công cộng” nên không được niêm yết hoặc thanh toán bù trừ, đồng thời định nghĩa các khái niệm như “gaming”; thời hạn góp ý kết thúc vào ngày 2026-07-27.
3. Tòa Phúc thẩm Vòng Ba ngày 2026-04-06: Vụ KalshiEX v. Flaherty (Số hồ sơ 25-1922) duy trì lệnh cấm tạm thời, cho rằng Đạo luật Giao dịch Hàng hóa (CEA) rất có khả năng áp dụng ưu tiên hơn luật cờ bạc của tiểu bang New Jersey.
4. Tòa Phúc thẩm Vòng Chín ngày 2026-08-28: Vụ KalshiEX v. Assad (Số hồ sơ 25-7516) duy trì việc hủy bỏ lệnh cấm tạm thời, cho rằng Đạo luật Giao dịch Hàng hóa (CEA) rất có khả năng KHÔNG áp dụng ưu tiên luật cờ bạc của tiểu bang Nevada, vì các hợp đồng sự kiện thể thao của Kalshi không thuộc loại “swaps”, do đó Nevada vẫn có quyền thi hành pháp luật.

Hai tòa phúc thẩm đưa ra kết luận trái ngược nhau, nghĩa là cùng một sản phẩm có thể hợp pháp tại tiểu bang A nhưng lại bị cấm tại tiểu bang B — sự khác biệt theo vùng lãnh thổ vẫn là yếu tố gây bất định lớn nhất đối với thị trường dự báo trong năm 2026.

Sáu rủi ro thực tế mà người dùng bình thường phải đối mặt

1. Giải quyết tranh chấp: Nếu một đề xuất sai hoặc đưa ra quá sớm không bị phản bác trong cửa sổ khiếu nại, nó sẽ được xác nhận là hợp lệ. Cơ chế UMA của Polymarket trao cho bạn quyền phản bác, nhưng bạn phải theo dõi thị trường thường xuyên và đặt ký quỹ.
2. Quyền kiểm soát nội bộ của nền tảng bị xâm phạm: Một sự cố tại Myriad đã hủy bỏ 10 thị trường. Dù nền tảng cam kết hoàn tiền đầy đủ, bạn vẫn phải chịu chi phí về thời gian và rủi ro tín dụng từ tuyên bố của công ty rằng “tài sản đã được thu hồi”.
3. Rủi ro địa lý và thực thi pháp luật: Việc truy cập các nền tảng ngoài lãnh thổ Mỹ qua VPN bản thân nó đã tiềm ẩn rủi ro bị cơ quan chức năng điều tra. Vào ngày 23 tháng 4 năm 2026, Ủy ban Giao dịch Hàng hóa Tương lai (CFTC) và Bộ Tư pháp Mỹ (DOJ) đã cùng khởi kiện dân sự và hình sự đối với hạ sĩ đặc nhiệm lực lượng Đặc nhiệm Lục quân Mỹ Gannon Ken Van Dyke, cáo buộc ông này sử dụng thông tin mật về “Chiến dịch Absolute Resolve” để mua khoảng 33.000 đô la Mỹ cổ phần “Có” trên Polymarket và thu lợi khoảng 409.881 đô la Mỹ, đồng thời che giấu vị trí bằng VPN (vụ án hình sự số 26 Cr. 156).
4. Hủy niêm yết ở cấp tiểu bang: Tòa phúc thẩm vòng Chín đã cho phép bang Nevada áp dụng quy định đối với các hợp đồng thể thao của Kalshi; các bang khác lại có phán quyết trái ngược, nên khả năng nền tảng bị hạn chế truy cập sẽ khác nhau tùy theo từng tiểu bang.
5. Bất cân xứng thông tin nội bộ: Vụ việc Van Dyke cho thấy những người nắm giữ thông tin chưa công khai có thể kiếm lời ổn định. Bạn không đang tham gia một “thị trường xác suất thuần túy”, mà là một thị trường có sự bất cân xứng thông tin.
6. Thanh khoản phân mảnh: Trang web ngoài lãnh thổ Mỹ của Polymarket chỉ chiếm 4%, còn Polymarket US chiếm 12%; giá cả và độ sâu thị trường cho cùng một sự kiện trên hai nền tảng này đều khác nhau, trong khi cơ hội chênh lệch giá giữa hai nơi không mở cho người dùng thông thường.

Nếu bạn muốn so sánh với các dữ liệu khác về “lượng sử dụng thực tế trên chuỗi”, hãy xem bài viết Các đại lý AI đã thực hiện 138 triệu giao dịch thanh toán trên chuỗi trong một năm, trong đó quy mô gọi thực tế của x402 được nêu rõ; còn về mặt khác của câu hỏi “Ai đang thực hiện việc giải quyết cho tài sản?”, ý tưởng về sản phẩm phái sinh sức mạnh tính toán do Arthur Hayes đề xuất trong bài phân tích quan điểm năm 2026 (Arthur Hayes 2026 Quan điểm phục hồi) về bản chất cũng chính là thiết kế một cơ chế giải quyết và định giá mới.

Câu hỏi thường gặp

Polymarket có thực sự hợp pháp tại Mỹ hay không?

Cần phân biệt rõ chủ thể. Polymarket ngoài lãnh thổ Mỹ đã bị phạt 1,4 triệu đô la Mỹ vào năm 2022 vì cung cấp quyền chọn nhị phân dựa trên sự kiện cho công dân Mỹ mà không đăng ký, đồng thời bị yêu cầu ngừng cung cấp quyền truy cập cho các thị trường không tuân thủ; còn thực thể Polymarket US – sở hữu giấy phép DCM – đã được CFTC phê duyệt hoạt động dưới dạng nhà môi giới hàng hóa tương lai (FCM) vào ngày 25 tháng 11 năm 2025. Trước khi tin vào kết luận “Polymarket đã hợp pháp”, hãy xác minh kỹ bạn đang dùng trang web nào.

Việc bị CFTC điều tra có nghĩa là nền tảng sắp gặp rắc rối?

Không thể suy luận như vậy. Đợt rà soát lần này chỉ nhằm kiểm tra “việc tuân thủ các điều khoản hòa giải năm 2022”, và báo chí nhấn mạnh rõ ràng rằng bị điều tra không đồng nghĩa với vi phạm; hơn nữa, đợt điều tra tương tự năm 2024 (bao gồm cả điều tra của DOJ) đã kết thúc vào tháng 7 năm 2025 mà không đưa ra bất kỳ cáo buộc nào. Hiện tại, mức độ bằng chứng chỉ dừng ở mức “báo chí đưa tin”, CFTC chưa xác nhận công khai.

10 thị trường bị hủy của Myriad — tiền của tôi sẽ thế nào?

Theo thông báo chính thức: Những người nắm giữ cả hai phía tại các thị trường bị ảnh hưởng sẽ được hoàn tiền tự động theo công thức “số cổ phần × giá cuối cùng trước khi xảy ra tấn công”; số tiền thưởng đã lĩnh sẽ bị khấu trừ trực tiếp từ khoản hoàn trả, không cần gửi đơn yêu cầu. Tuy nhiên, cần lưu ý ba điểm: ① khoản hoàn trả được tính theo giá trước khi tấn công chứ không phải giá bạn mua vào; ② nguồn tiền đến từ “tài sản thu hồi + quỹ thị trường”, nhưng thứ tự ưu tiên chi trả nếu quỹ không đủ thì phía vận hành chưa tiết lộ; ③ tuyên bố “tin tặc chưa rút tiền” không thể được xác minh độc lập qua dữ liệu trên chuỗi.

Tại sao nói “quyền giải quyết” nguy hiểm hơn “quyền giao dịch”?

Vì nếu quyền giao dịch bị đánh cắp, tối đa chỉ là có người thực hiện giao dịch với giá sai; còn nếu quyền giải quyết bị đánh cắp, tức là nền tảng có thể tự ý tuyên bố ai là người chiến thắng. Chính xác như vụ Myriad: ví admin mua vị thế → tự tuyên bố thắng → nhận tiền bồi thường, chỉ trong một bước. Khi chọn nền tảng, hãy ưu tiên kiểm tra đường dẫn giải quyết của nó (dùng oracle lạc quan, oracle bên ngoài hay tự giải quyết), sau đó mới xem phí giao dịch.

Con số khối lượng giao dịch 118,5 tỷ đô la Mỹ có thật không?

Đây là con số “giá trị danh nghĩa hợp đồng”, không phải tổng số tiền thực tế đặt cược. Cùng trên một trang, số tiền mặt thực tế thanh toán trong 30 ngày là 28,7 tỷ đô la Mỹ, còn trong 24 giờ là 3,8 tỷ đô la Mỹ. Việc lấy giá trị danh nghĩa làm dòng tiền sẽ phóng đại quy mô lĩnh vực này lên khoảng 4 lần.

cảnh báo rủi ro: Các hợp đồng thị trường dự đoán là sản phẩm rủi ro cao, có thể khiến bạn mất toàn bộ vốn đầu tư; bài viết này không cấu thành lời khuyên đầu tư. Nội dung trong bài về đợt rà soát của CFTC năm 2026 chỉ dựa trên báo chí đưa tin, chưa được cơ quan quản lý xác nhận công khai; tổng thiệt hại, số người dùng bị ảnh hưởng và tình trạng thu hồi tài sản trong sự cố Myriad đều do chính dự án công bố, chưa được kiểm chứng độc lập; dữ liệu khối lượng giao dịch trong lĩnh vực này do bên thứ ba thống kê, tồn tại khác biệt về phương pháp (giá trị danh nghĩa hợp đồng so với tiền mặt thực tế thanh toán). Các khu vực pháp lý khác nhau có cách đánh giá khác nhau về tính hợp pháp của hợp đồng dự đoán, vì vậy vui lòng xác minh tình trạng pháp lý tại khu vực bạn sinh sống và giấy phép của nền tảng trước khi tham gia.