Sàn bị hack, tài khoản bị chiếm có được bồi thường không?

Sàn tài sản mã hóa được Bộ Tài chính cấp phép có nghĩa vụ bồi thường khi khách bị mất tài sản vì sàn bị hack: Nghị quyết 05/2025/NQ-CP Điều 15 khoản 2 điểm m buộc sàn “giải quyết và bồi thường thiệt hại theo quy định pháp luật” khi nhà đầu tư bị mất tiền, tài sản mã hóa “do hệ thống bảo mật mất an toàn, bị xâm nhập, bị lừa đảo”. Mức bồi thường không ghi trong Nghị quyết; theo cách đọc của trang này, mức đó xét theo Bộ luật Dân sự: thiệt hại thực tế được bồi thường toàn bộ, trừ phần do lỗi của chính người dùng. Nghị quyết 05 không đặt nghĩa vụ này cho sàn nước ngoài chưa được cấp phép; khách chủ yếu dựa vào điều khoản riêng của sàn. Đối chiếu văn bản ngày 29/10/2026; tình trạng cấp phép tính đến 29/10/2026: chưa sàn nào được cấp phép.

Sàn được cấp phép phải bồi thường trong trường hợp nào?

Ba trường hợp ghi trong Nghị quyết 05: hệ thống bảo mật mất an toàn, bị xâm nhập, bị lừa đảo, dẫn tới nhà đầu tư mất tiền hoặc tài sản mã hóa. Các điều khoản liên quan:

Nội dung	Căn cứ (Nghị quyết 05)
Giải quyết tranh chấp, giải quyết và bồi thường thiệt hại khi khách mất tài sản do bảo mật mất an toàn, bị xâm nhập, bị lừa đảo	Điều 15 khoản 2 điểm m
Bảo đảm an ninh, an toàn hệ thống công nghệ thông tin; bảo vệ tài sản của khách hàng; quản lý tách biệt tài sản khách	Điều 15 khoản 2 điểm a
Dùng bên thứ ba (ví, lưu ký, hạ tầng) “không miễn trừ trách nhiệm” của sàn khi xảy ra sự cố	Điều 15 khoản 2 điểm p
Nhà đầu tư có quyền được sàn giải quyết tranh chấp, bồi thường thiệt hại theo quy định của pháp luật	Điều 16 khoản 1 điểm b
Sàn phải có “Quy trình ngăn ngừa xung đột lợi ích, giải quyết khiếu nại của khách hàng, bồi thường khách hàng” mới đủ điều kiện cấp phép	Điều 8 khoản 6 điểm k
Công bố trong 24 giờ khi bị sự cố công nghệ làm ảnh hưởng tới giao dịch của khách	Điều 15 khoản 3 điểm b

Tính đến 29/10/2026, nội dung quy trình bồi thường của từng sàn: Chưa công bố. Nghị quyết chỉ buộc sàn đăng lên trang của mình các quy trình ở điểm b, c, d, g, k khoản 6 Điều 8 (Điều 15 khoản 2 điểm q), nên quy trình bồi thường sẽ đọc được khi sàn hoạt động. Các nghĩa vụ này đặt cho tổ chức được cấp phép; điều kiện an toàn để được cấp phép ở trang điều kiện cấp phép sàn tài sản mã hóa.

“Bồi thường theo quy định pháp luật” là bồi thường bao nhiêu?

Nghị quyết 05 không ghi mức, hạn hay trần bồi thường; theo cách đọc của trang này, cụm “theo quy định pháp luật” dẫn về các quy tắc chung của Bộ luật Dân sự 91/2015/QH13. Bộ luật không nhắc tài sản mã hóa, nhưng các quy tắc sau áp cho mọi nghĩa vụ:

• Bồi thường toàn bộ. “Trường hợp có thiệt hại do vi phạm nghĩa vụ gây ra thì bên có nghĩa vụ phải bồi thường toàn bộ thiệt hại, trừ trường hợp có thỏa thuận khác hoặc luật có quy định khác” (Điều 360). Thiệt hại vật chất gồm tổn thất về tài sản, chi phí hợp lý để ngăn chặn, khắc phục thiệt hại, thu nhập thực tế bị mất (Điều 361 khoản 2).
• Thiệt hại thực tế, kịp thời. “Thiệt hại thực tế phải được bồi thường toàn bộ và kịp thời”; các bên có thể thỏa thuận bồi thường bằng tiền, bằng hiện vật hoặc thực hiện một công việc (Điều 585 khoản 1).
• Bất khả kháng. Bên có nghĩa vụ không phải chịu trách nhiệm dân sự nếu không thực hiện đúng nghĩa vụ do sự kiện bất khả kháng, trừ khi có thỏa thuận hoặc pháp luật quy định khác (Điều 351 khoản 2). Sự kiện bất khả kháng là sự kiện “không thể lường trước được và không thể khắc phục được mặc dù đã áp dụng mọi biện pháp cần thiết và khả năng cho phép” (Điều 156 khoản 1). Bộ luật Dân sự và Nghị quyết 05 không nói một vụ tấn công mạng có được coi là bất khả kháng hay không; Nghị quyết 05 đã ghi “bị xâm nhập” là một trường hợp sàn phải bồi thường.

Điều 360 có cụm “trừ trường hợp có thỏa thuận khác”. Điều khoản sử dụng của sàn được cấp phép có được giới hạn nghĩa vụ ở điểm m hay không, Nghị quyết 05 và Bộ luật Dân sự không nói rõ.

Lỗi của sàn hay lỗi của người dùng: khác nhau thế nào?

Phần thiệt hại do lỗi của người dùng thì người dùng tự chịu; do lỗi của sàn thì sàn bồi thường; lỗi cả hai thì chia theo mức độ lỗi. Bộ luật Dân sự có ba quy tắc:

• Bên có nghĩa vụ không phải chịu trách nhiệm nếu chứng minh được nghĩa vụ không thực hiện được “hoàn toàn do lỗi của bên có quyền” (Điều 351 khoản 3).
• Thiệt hại do một phần lỗi của bên bị vi phạm thì bên vi phạm “chỉ phải bồi thường thiệt hại tương ứng với mức độ lỗi của mình” (Điều 363). Điều 585 khoản 4 ghi tương tự cho bồi thường ngoài hợp đồng.
• Bên bị thiệt hại phải áp dụng biện pháp cần thiết, hợp lý để hạn chế thiệt hại (Điều 362); không làm thì không được bồi thường phần thiệt hại đó (Điều 585 khoản 5).

Tình huống	Bên có thể bị xem là có lỗi	Ghi chú
Ví nóng, máy chủ của sàn bị xâm nhập, tài sản nhiều khách bị rút	Sàn	Đúng chữ “hệ thống bảo mật mất an toàn, bị xâm nhập”
Đơn vị cung cấp ví, lưu ký cho sàn bị tấn công	Sàn (với khách)	Bên thứ ba không miễn trừ trách nhiệm của sàn (điểm p)
Tài khoản bị chiếm vì người dùng đưa mật khẩu, mã OTP cho người lạ	Người dùng, có thể một phần	Tùy việc sàn đã làm đủ các bước xác thực, cảnh báo chưa
Máy của người dùng nhiễm mã độc, kẻ gian rút qua phiên đăng nhập của người dùng	Chưa rõ	Nghị quyết 05, Bộ luật Dân sự không phân định; xét theo vụ việc
Người dùng bị lừa tự rút coin sang ví kẻ gian	Chưa rõ	“Bị lừa đảo” trong điểm m không nói ai bị lừa

Bảng chỉ để hình dung; ai có lỗi, lỗi bao nhiêu do sàn, trọng tài hoặc tòa án xác định trên chứng cứ cụ thể. Chưa thấy vụ việc hay hướng dẫn nào của cơ quan nhà nước áp điểm m vào tình huống thực tế.

Sàn không bồi thường thì bị xử lý thế nào?

Nghị định 284/2026/NĐ-CP không có điều nào phạt riêng việc không bồi thường; khách đòi bồi thường qua thương lượng, hòa giải, trọng tài hoặc tòa án.

• Xử phạt sàn (tiền nộp ngân sách, không phải tiền đền cho khách). Không bảo đảm an ninh, an toàn hệ thống công nghệ thông tin, không bảo vệ tài sản của khách hàng: tổ chức có thể bị phạt 150–200 triệu đồng (Điều 8 khoản 7 điểm d), và có thể bị đình chỉ hoạt động cung cấp dịch vụ 03–06 tháng (khoản 8 điểm b). Không quản lý tách biệt tài sản khách: có thể bị phạt 100–150 triệu đồng (khoản 6 điểm a). Nghị định 284 không có chữ “bồi thường” hay “tranh chấp”.
• Đòi tiền. Nghị quyết 05 Điều 4 khoản 10: khi quyền, lợi ích hợp pháp bị xâm phạm hoặc có tranh chấp trên thị trường tài sản mã hóa tại Việt Nam, việc giải quyết qua “thương lượng, hòa giải hoặc yêu cầu Trọng tài hoặc Tòa án Việt Nam”. Thời hiệu khởi kiện là 03 năm kể từ ngày biết hoặc phải biết quyền lợi bị xâm phạm (Bộ luật Dân sự Điều 429, 588).
• Báo cơ quan quản lý. Bộ Tài chính chủ trì quản lý, giám sát các tổ chức cung cấp dịch vụ (Nghị quyết 05 Điều 17 khoản 1 điểm b). Cơ quan nào làm việc gì ở trang cơ quan quản lý thị trường tài sản mã hóa.

Nếu sàn mất khả năng thanh toán vì vụ hack, tài sản khách được xử lý theo thủ tục thu hồi giấy phép, phá sản; xem trang sàn phá sản thì tài sản người dùng ra sao.

Sàn nước ngoài bị hack thì sao?

Nghị quyết 05 không đặt nghĩa vụ bồi thường ở điểm m cho sàn nước ngoài chưa được cấp phép; khách chủ yếu dựa vào điều khoản sử dụng và chính sách tự nguyện của sàn. Nghị quyết 05 Điều 15 đặt nghĩa vụ cho tổ chức cung cấp dịch vụ trong khuôn khổ thí điểm tại Việt Nam, không cho sàn nước ngoài chưa được cấp phép. Một số sàn nước ngoài từng đền cho khách bằng tiền của công ty, một số phá sản và khách chờ nhiều năm; số liệu từng vụ ở bài các vụ hack sàn lớn. VietnamBit không hướng dẫn thao tác khiếu nại trên sàn nước ngoài.

Tài khoản bị chiếm thì làm gì để giữ quyền đòi bồi thường?

Báo sàn ngay, giữ bằng chứng, gửi yêu cầu bằng văn bản; chậm báo có thể mất phần bồi thường cho thiệt hại lẽ ra ngăn được (Bộ luật Dân sự Điều 362, Điều 585 khoản 5).

1. Liên hệ sàn qua kênh chính thức để khóa tài khoản, chặn rút. Các bước khôi phục tài khoản chi tiết ở bài ví bị hack phải làm gì.
2. Chụp lại lịch sử đăng nhập, lịch sử rút, mã giao dịch (TxID), email, tin nhắn cảnh báo, ghi rõ giờ phát hiện.
3. Gửi yêu cầu giải quyết, bồi thường bằng văn bản hoặc kênh có lưu vết, giữ bản gửi và phản hồi của sàn.
4. Trình báo công an. Truy cập bất hợp pháp vào tài khoản của người khác nhằm chiếm đoạt tài sản là hành vi được nêu ở Bộ luật Hình sự Điều 290 khoản 1 điểm c; Luật An ninh mạng 116/2025/QH15 Điều 7 khoản 5 cấm xâm nhập trái phép hệ thống thông tin của người khác. Cách làm ở trang tố giác lừa đảo tiền ảo.
5. Theo dõi thời hiệu 03 năm nếu phải khởi kiện.

Phòng trước vẫn rẻ hơn đòi sau: các bước bảo mật tài khoản ở bài bảo mật ví và tài khoản sàn.