AML là gì, sàn tài sản mã hóa phải làm gì để chống rửa tiền?

AML (viết tắt của anti-money laundering, tức phòng, chống rửa tiền) là bộ nghĩa vụ pháp luật đặt lên ngân hàng, sàn giao dịch và một số ngành nghề khác để phát hiện, ngăn tiền phạm tội đi qua hệ thống của họ. Ở Việt Nam, gốc của bộ nghĩa vụ này là Luật Phòng, chống rửa tiền 14/2022/QH15.

Với tài sản mã hóa, Nghị quyết 05/2025/NQ-CP buộc sàn được cấp phép áp dụng biện pháp chống rửa tiền như tổ chức tài chính. Từ 01/12/2026, Luật 23/2026/QH16 đưa dịch vụ tài sản mã hóa vào nhóm phải báo cáo theo luật này.

AML là gì?

AML là các việc một tổ chức phải làm để biết khách hàng là ai, theo dõi tiền đi đâu và báo cáo khi thấy bất thường. Rửa tiền là hành vi phạm tội của người hợp pháp hóa tài sản do phạm tội mà có; AML là phía phòng ngừa. Rửa tiền là gì và bị xử lý ra sao có ở bài rửa tiền là gì.

Ba cách viết hay gặp:

• AML: phòng, chống rửa tiền.
• AML/CFT: thêm CFT (combating the financing of terrorism, chống tài trợ khủng bố). Luật Việt Nam gộp cả chống tài trợ phổ biến vũ khí hủy diệt hàng loạt (Luật Phòng, chống rửa tiền Điều 1 khoản 2, Điều 65).
• KYC AML: KYC (nhận biết khách hàng, xác minh bạn là ai, xem KYC là gì) là khâu đầu của AML, không phải toàn bộ.

Chuẩn quốc tế cho các nghĩa vụ này do FATF (tổ chức liên chính phủ đặt chuẩn chống rửa tiền, xem FATF là gì) đặt ra. Chuẩn của FATF áp cả cho VASP (cách FATF gọi sàn, dịch vụ chuyển và lưu ký tài sản ảo, xem thuật ngữ VASP).

Trong luật Việt Nam, tổ chức phải thực hiện AML gọi là đối tượng báo cáo. Danh sách ở Luật Phòng, chống rửa tiền Điều 4 có hai nhóm: tổ chức tài chính và ngành nghề phi tài chính, gồm ngân hàng, công ty chứng khoán, bảo hiểm nhân thọ, kinh doanh bất động sản, kim khí quý, đá quý, công chứng, luật sư và một số nghề khác.

AML gồm những nghĩa vụ nào?

Các nghĩa vụ AML xoay quanh bốn trục: biết khách hàng, giám sát giao dịch, báo cáo, lưu hồ sơ. Bảng dưới tóm tắt theo Luật Phòng, chống rửa tiền 14/2022/QH15 (đối chiếu văn bản gốc ngày 31/10/2026):

Nghĩa vụ	Đối tượng báo cáo phải làm gì	Căn cứ
Đánh giá rủi ro, phân loại khách hàng	Xếp khách hàng vào mức rủi ro thấp, trung bình, cao; khách rủi ro cao bị xác minh tăng cường, giám sát chặt	Điều 15, 16
Nhận biết khách hàng (KYC)	Thu thập, cập nhật, xác minh danh tính, chủ sở hữu hưởng lợi, mục đích quan hệ	Điều 9 đến 12
Khách là cá nhân nước ngoài có ảnh hưởng chính trị	Quản lý cấp cao duyệt trước khi nhận khách; xác minh nguồn gốc tài sản	Điều 17
Giám sát giao dịch đặc biệt	Kiểm tra giao dịch giá trị lớn bất thường, phức tạp, hoặc liên quan nước trong danh sách FATF	Điều 20
Báo cáo giao dịch giá trị lớn	Báo cáo Ngân hàng Nhà nước giao dịch bằng tiền mặt hoặc ngoại tệ tiền mặt, một hoặc nhiều lần trong một ngày, tổng từ 400 triệu đồng	Điều 3 khoản 3, Điều 25; Quyết định 11/2023/QĐ-TTg Điều 3
Báo cáo giao dịch đáng ngờ (STR)	Báo cáo Ngân hàng Nhà nước khi có cơ sở hợp lý để nghi ngờ	Điều 26
Báo cáo giao dịch chuyển tiền điện tử	Trong nước từ 500 triệu đồng, quốc tế từ 1.000 USD	Điều 34; Thông tư 27/2025/TT-NHNN Điều 9 khoản 1
Lưu trữ hồ sơ	Giữ hồ sơ khách hàng, kết quả phân tích 05 năm kể từ khi kết thúc giao dịch, đóng tài khoản hoặc báo cáo; giữ báo cáo 05 năm kể từ ngày phát sinh giao dịch	Điều 38
Bảo mật	Không tiết lộ việc đã báo cáo giao dịch đáng ngờ (theo cách đọc của chúng tôi)	Điều 40 khoản 2
Trì hoãn, phong tỏa	Trì hoãn giao dịch tối đa 03 ngày làm việc trong một số trường hợp; thi hành quyết định phong tỏa	Điều 44, 45
Quy định nội bộ	Có chính sách chấp nhận khách hàng, quy trình báo cáo, đào tạo, kiểm soát và kiểm toán nội bộ	Điều 24

Báo cáo giao dịch đáng ngờ gửi tới Cục Phòng, chống rửa tiền thuộc Ngân hàng Nhà nước, đơn vị đóng vai FIU (đơn vị tình báo tài chính, xem thuật ngữ FIU) của Việt Nam. Thủ tục báo cáo nằm ở Thông tư 27/2025/TT-NHNN.

Chuyển tài sản giữa các tổ chức còn kéo theo yêu cầu gửi kèm thông tin người gửi, người nhận theo chuẩn FATF. Phần này có ở bài Travel Rule là gì (quy tắc thông tin đi kèm lệnh chuyển).

Giao dịch đáng ngờ và giao dịch giá trị lớn khác nhau thế nào?

Giao dịch giá trị lớn tính theo ngưỡng tiền mặt; giao dịch đáng ngờ tính theo dấu hiệu, không có ngưỡng. Theo Luật Phòng, chống rửa tiền Điều 3 khoản 3, giao dịch giá trị lớn phải báo cáo là giao dịch bằng tiền mặt hoặc ngoại tệ tiền mặt có tổng giá trị trong một ngày từ 400 triệu đồng trở lên (Quyết định 11/2023/QĐ-TTg Điều 3).

Giao dịch đáng ngờ thì báo cáo “không phụ thuộc vào lượng tiền giao dịch của khách hàng, giao dịch đó đã hoàn thành hay chưa” (Thông tư 27/2025/TT-NHNN Điều 7 khoản 2). Chi tiết hai loại ở trang giao dịch đáng ngờ là gì và giao dịch giá trị lớn phải báo cáo.

Sàn tài sản mã hóa phải làm AML từ khi nào?

Sàn phải có quy trình chống rửa tiền ngay trong hồ sơ xin phép, phải áp dụng biện pháp chống rửa tiền khi được cấp phép, và từ 01/12/2026 trở thành đối tượng báo cáo theo luật. Có hai lớp văn bản.

Lớp thứ nhất là Nghị quyết 05/2025/NQ-CP, hiệu lực 09/9/2025:

• Quy trình phòng, chống rửa tiền là một trong các quy trình nghiệp vụ sàn phải có để được cấp phép (Điều 8 khoản 6 điểm e).
• Sàn phải thực hiện biện pháp chống rửa tiền “áp dụng với tổ chức tài chính”, nhận biết khách hàng với giao dịch không thường xuyên “có giá trị quy đổi tương đương từ 1.000 Đô la Mỹ trở lên”, và theo dõi, giám sát liên tục giao dịch (Điều 15 khoản 2 điểm b).
• Sàn lưu trên máy chủ tại Việt Nam tối thiểu 10 năm lịch sử giao dịch, thông tin người khởi tạo, người thụ hưởng, địa chỉ IP, thiết bị truy cập (Điều 15 khoản 2 điểm l).
• Bộ Tài chính chủ trì giám sát, thanh tra hoạt động chống rửa tiền của sàn; Ngân hàng Nhà nước thu thập, phân tích thông tin (Điều 17).

Lớp thứ hai là Luật 23/2026/QH16, hiệu lực 01/12/2026. Luật này thêm “Dịch vụ tài sản mã hóa” vào nhóm tổ chức tài chính là đối tượng báo cáo (Luật Phòng, chống rửa tiền Điều 4 khoản 1 điểm n). Luật cũng thêm Điều 33a với 15 dấu hiệu đáng ngờ riêng cho tài sản mã hóa, và sửa căn cứ báo cáo ở Điều 26 thành “có cơ sở hợp lý để nghi ngờ tài sản trong giao dịch là tài sản do phạm tội mà có”.

Tính đến 31/10/2026, chưa sàn nào được cấp phép.

Bối cảnh: trong danh sách giám sát tăng cường FATF công bố ngày 30/10/2026, Việt Nam vẫn có tên, và quản lý tài sản ảo, VASP là một trong các việc FATF yêu cầu. Chi tiết ở bài Việt Nam có trong danh sách xám FATF không.

Người dùng sàn được cấp phép sẽ gặp AML ở đâu?

Bạn gặp AML ở bước mở tài khoản, khi nạp rút giá trị lớn hoặc bất thường, và khi tài sản có lịch sử rủi ro. Bảng dưới ghép từng tình huống với căn cứ trong luật, theo văn bản hiệu lực từ 01/12/2026:

Tình huống	Sàn có thể làm gì	Căn cứ
Mở tài khoản	Hỏi giấy tờ, nghề nghiệp, mục đích sử dụng tài khoản	Luật Phòng, chống rửa tiền Điều 9, 10
Giao dịch không thường xuyên từ 1.000 USD	Nhận biết khách hàng cho giao dịch đó	Nghị quyết 05 Điều 15 khoản 2 điểm b
Nạp lần đầu giá trị lớn ngay sau khi mở tài khoản, không phù hợp với hồ sơ khách hàng	Hỏi nguồn gốc, xem xét báo cáo	Điều 33a khoản 2
Tài sản đi qua dịch vụ trộn giao dịch (mixer, gom và xáo trộn để xóa dấu vết) hoặc ví bị cơ quan có thẩm quyền cảnh báo	Yêu cầu giải trình, có thể báo cáo	Điều 33a khoản 6, 7, 12
Nhiều tài khoản đứng tên khác nhau trên cùng thiết bị, IP	Rà soát như dấu hiệu đáng ngờ	Điều 33a khoản 8, 14
Rút sang tổ chức không rõ tư cách pháp lý hoặc ở nước trong danh sách FATF	Rà soát như dấu hiệu đáng ngờ	Điều 33a khoản 3, 13, 15
Khách từ chối, trì hoãn cung cấp thông tin nguồn gốc	Có thể từ chối giao dịch, chấm dứt quan hệ	Điều 24 khoản 1 điểm a, Điều 33a khoản 9

Một dấu hiệu đáng ngờ không phải kết luận phạm tội. Đó là căn cứ để sàn phân tích thêm và, nếu có cơ sở hợp lý, báo cáo. Khi có cơ sở hợp lý để nghi ngờ giao dịch liên quan đến rửa tiền, Ngân hàng Nhà nước chuyển thông tin hoặc hồ sơ cho cơ quan có thẩm quyền trong thời hạn 07 ngày làm việc (Điều 42 khoản 1).

Trì hoãn giao dịch chỉ áp dụng trong ba trường hợp: bên giao dịch thuộc Danh sách đen, giao dịch có lý do để tin liên quan đến tội phạm, hoặc có yêu cầu của cơ quan có thẩm quyền (Điều 44). Thời hạn không quá 03 ngày làm việc. Danh sách đen ở đây là danh sách tổ chức, cá nhân liên quan khủng bố, phổ biến vũ khí do Bộ Công an, Bộ Quốc phòng lập (Điều 3 khoản 9), khác với danh sách đen các nước của FATF.

Phong tỏa tài khoản hay tạm giữ tài sản thì sàn chỉ thi hành theo quyết định của cơ quan nhà nước có thẩm quyền (Điều 45). Trường hợp tài sản bị khóa ở phía nhà phát hành stablecoin (đồng mã hóa neo giá theo tiền pháp định, xem stablecoin là gì) là chuyện khác, có ở bài USDT bị đóng băng.

Cần chuẩn bị gì để không vướng thủ tục AML?

Giữ chứng từ nguồn gốc tài sản và dùng tài khoản chính chủ. Phần lớn tình huống ở bảng trên được giải quyết khi bạn trả lời được tài sản từ đâu ra.

• Lưu lịch sử: sao kê ngân hàng, lịch sử giao dịch ở nơi bạn đã mua, lịch sử ví. Cách lưu ở bài lưu lịch sử giao dịch tài sản mã hóa.
• Chuẩn bị khi bị hỏi nguồn gốc: giấy tờ nào dùng được, trả lời thế nào, có ở trang nạp coin vào sàn được cấp phép bị hỏi nguồn gốc và chứng minh nguồn tiền từ tiền ảo.
• Không đứng tên hộ, không cho mượn tài khoản: từ 01/12/2026, khách hàng có dấu hiệu đứng tên hộ hoặc giao dịch theo chỉ dẫn của bên thứ ba là dấu hiệu đáng ngờ (Điều 33a khoản 11); luật đang hiệu lực đã có dấu hiệu “giao dịch thay cho đối tượng cá nhân khác” (Điều 28 khoản 13). Rủi ro khi mua bán tài khoản ở trang mua bán tài khoản sàn đã KYC.

Một tin nhắn đòi đóng “phí AML”, “phí xác minh chống rửa tiền” mới cho rút tiền là dấu hiệu lừa đảo: kịch bản đòi “phí xác minh” mới cho rút có ở bài sàn không cho rút tiền kèm nguồn. Theo cách VietnamBit đọc các văn bản nêu ở trang này, chúng tôi chưa thấy quy định nào đặt khoản phí như vậy lên người dùng; cách xử lý ở bài bị lừa tiền ảo phải làm gì.

Sàn không làm AML thì bị xử lý thế nào?

Sàn có thể bị phạt hành chính, mức cao nhất 200 triệu đồng mỗi hành vi với tổ chức. Nghị định 284/2026/NĐ-CP Điều 13 có các khung chính sau, áp cho tổ chức:

Hành vi	Tổ chức có thể bị phạt	Căn cứ (Điều 13)
Không nhận biết, cập nhật, xác minh khách hàng; không cập nhật danh sách đen	100–120 triệu đồng	Khoản 1
Không đánh giá rủi ro rửa tiền	100–120 triệu đồng	Khoản 2
Không giám sát giao dịch đặc biệt	170–200 triệu đồng	Khoản 5 điểm b
Không báo cáo giao dịch giá trị lớn hoặc giao dịch đáng ngờ	150–200 triệu đồng	Khoản 6 điểm b
Không cung cấp kịp thời, không lưu trữ hoặc lưu không đủ, không tuân thủ quy định bảo mật thông tin nhận biết khách hàng	150–200 triệu đồng	Khoản 7
Thiết lập hoặc duy trì tài khoản vô danh, tài khoản tên giả	160–180 triệu đồng	Khoản 9 điểm b

Mức với cá nhân bằng một nửa (Nghị định 284 Điều 4 khoản 2). Ngoài phạt hành chính, Luật Phòng, chống rửa tiền Điều 46 cho phép xử lý kỷ luật hoặc truy cứu trách nhiệm hình sự tùy mức độ. Toàn văn các điều phạt ở trang Nghị định 284/2026/NĐ-CP.