Kỹ sư blockchain là gì, việc làm blockchain nào là bẫy?

Kỹ sư blockchain (blockchain engineer, hay blockchain developer) là người thiết kế, viết, kiểm thử và vận hành phần mềm chạy trên blockchain hoặc kết nối với blockchain. Cơ sở dữ liệu nghề nghiệp O*NET của Bộ Lao động Mỹ mô tả nghề này là duy trì, hỗ trợ các mạng và ứng dụng blockchain. Người làm nghề cũng thiết kế, triển khai giải pháp blockchain an toàn trên mạng phân tán. Công việc cụ thể thường thuộc một trong bốn nhóm: viết hợp đồng thông minh, làm backend đọc và ghi dữ liệu chuỗi, kiểm toán bảo mật, vận hành node.

Người tìm việc trong ngành cần biết hai kiểu bẫy đã có cảnh báo chính thức. Kiểu thứ nhất là tin “việc nhẹ lương cao” dụ nạp tiền, Bộ Công an xếp vào nhóm lừa đảo chính trong cảnh báo ngày 08/9/2026. Kiểu thứ hai là bài kiểm tra kỹ thuật cài mã độc để lấy ví và khóa riêng của lập trình viên, Microsoft cho biết ngày 11/3/2026 là vẫn đang ghi nhận. Hai nguyên tắc rút ra: không trả tiền để được nhận việc, không chạy mã của người lạ trên máy có ví.

Kỹ sư blockchain làm những việc gì?

Công việc của kỹ sư blockchain chia được thành bốn nhóm: viết hợp đồng thông minh, làm backend kết nối blockchain, kiểm toán bảo mật và vận hành node. Ở công ty nhỏ, một người có thể kiêm vài nhóm. Danh sách 18 nhiệm vụ của O*NET có các mảng bảo mật, backend, dữ liệu và vận hành node, dù không gọi tên hợp đồng thông minh, ví dụ:

• Kiểm thử bảo mật và hiệu năng hạ tầng blockchain.
• Đánh giá rủi ro như mã chưa kiểm thử hay khóa không được bảo vệ.
• Tự động triển khai bản cập nhật phần mềm cho các node đặt ở nhiều nơi.

Nhóm việc	Làm gì	Ngôn ngữ, công cụ hay gặp
Hợp đồng thông minh	Viết, kiểm thử, triển khai chương trình chạy trên chuỗi	Solidity, Vyper (mạng EVM), Rust (Solana)
Backend, dữ liệu chuỗi	Phần mềm ngoài chuỗi đọc dữ liệu, gửi giao dịch qua node, gom dữ liệu cho ví và ứng dụng	JSON-RPC, cơ sở dữ liệu, API
Kiểm toán bảo mật	Đọc mã của dự án để tìm lỗ hổng, viết báo cáo	Kiểm thử, phân tích tĩnh và động, kiểm chứng hình thức
Vận hành node	Cài, cập nhật, giám sát phần mềm client của mạng	Client thực thi, client đồng thuận, phần mềm validator

Bảng tổng hợp từ tài liệu nhà phát triển của ethereum.org và mô tả nghề của O*NET, đọc ngày 29/10/2026.

Viết hợp đồng thông minh

Nhóm này viết chương trình chạy trên blockchain, như mã của token, ví đa chữ ký hay ứng dụng cho vay phi tập trung. Ngôn ngữ phụ thuộc mạng: Solidity hoặc Vyper cho Ethereum và các mạng tương thích EVM, Rust cho Solana. Lộ trình học từng ngôn ngữ có ở bài học lập trình blockchain.

Một khác biệt quan trọng với lập trình web nằm ở chỗ sửa lỗi. Theo tài liệu bảo mật của ethereum.org, mã hợp đồng đã triển khai thường không thể thay đổi để vá lỗ hổng. Tài sản bị lấy khỏi hợp đồng thì rất khó truy vết và phần lớn không thu hồi được. Hợp đồng có thể được thiết kế để nâng cấp, nhưng đó là lựa chọn lúc viết, vì mặc định hợp đồng trên Ethereum là bất biến. Một lỗi lọt qua kiểm thử có thể không còn cơ hội vá.

Làm backend và dữ liệu chuỗi

Nhóm này viết phần mềm ngoài chuỗi để ví, ứng dụng, trang tra cứu đọc được dữ liệu blockchain và gửi được giao dịch. Theo ethereum.org, ứng dụng muốn đọc dữ liệu hay gửi giao dịch lên Ethereum phải kết nối với một node, và mọi client Ethereum đều cài đặt chuẩn JSON-RPC cho việc này.

Khi dữ liệu trên chuỗi lớn dần, tính toán và tổng hợp để làm báo cáo hay chạy một ứng dụng phi tập trung trở nên tốn thời gian. ethereum.org gợi ý dùng nhà cung cấp dữ liệu có sẵn. Nhóm nào tự làm thì cần một hệ thống lập chỉ mục (indexer): đọc từng khối, tách các sự kiện (event) của hợp đồng, lưu vào cơ sở dữ liệu để truy vấn nhanh. Phần lớn kỹ năng giống backend thông thường, cộng thêm hiểu biết về khối, giao dịch và phí gas.

Kiểm toán bảo mật

Kiểm toán viên (auditor) đọc mã hợp đồng của dự án để tìm lỗ hổng trước khi kẻ gian tìm ra. Tài liệu bảo mật của ethereum.org coi kiểm toán là một cách rà soát mã độc lập. Cùng tài liệu đó liệt kê các kỹ thuật kiểm tra hợp đồng:

• Kiểm thử đơn vị và kiểm thử theo thuộc tính.
• Phân tích tĩnh, đọc cấu trúc mã để tìm các đường chạy có thể xảy ra.
• Phân tích động như fuzzing, chạy mã với đầu vào ngẫu nhiên để tìm thao tác vi phạm thuộc tính an toàn.
• Kiểm chứng hình thức (formal verification), chứng minh bằng toán học rằng mã không vi phạm một thuộc tính đã định.

ethereum.org cũng nhấn mạnh kiểm toán không bắt được mọi lỗi. Chương trình thưởng tìm lỗi (bug bounty), trả tiền cho người phát hiện lỗ hổng, là một kênh rà soát bên ngoài khác. Nhãn “đã audit” vì thế không có nghĩa là hết rủi ro, cách đọc một báo cáo audit có ở bài audit smart contract là gì.

Vận hành node và hạ tầng

Nhóm này giữ cho phần mềm của mạng chạy ổn định: cài đặt, cập nhật, giám sát các node mà ứng dụng và người dùng dựa vào. Trên Ethereum, một node phải chạy hai client là client thực thi và client đồng thuận. Thêm phần mềm validator thì node tham gia bảo vệ mạng (ethereum.org). O*NET liệt kê các nhiệm vụ như tự động triển khai bản cập nhật cho các node phân tán và chạy kiểm thử hạ tầng để xem hành vi của mạng ngang hàng lớn. Kỹ năng của nhóm này gần với DevOps và quản trị hệ thống.

Lương kỹ sư blockchain bao nhiêu?

Khảo sát nhà phát triển Stack Overflow 2024 ghi lương năm trung vị toàn cầu của nhóm blockchain là 85.925 USD, so với 67.227 USD của lập trình viên back-end. Đây là tổng thu nhập trước thuế (lương, thưởng, phúc lợi) do người trả lời tự khai. Trước khi dùng con số này, cần biết ba điều:

• Nhóm chọn blockchain là công việc chính chỉ chiếm 0,4% trong 58.950 người trả lời câu hỏi về vai trò, nên mẫu nhỏ.
• Con số là toàn cầu. Khảo sát có bảng riêng cho Mỹ, Đức, Ấn Độ, Anh và Ukraine, không có Việt Nam.
• Kết quả bản 2025 của khảo sát không còn mục blockchain trong câu hỏi về vai trò, nên số năm 2024 là số mới nhất từ nguồn này.

Ở Việt Nam, phần công khai của báo cáo lương IT 2025–2026 của ITviec (1.839 người tham gia) có lương theo nhiều vị trí nhưng không có mục blockchain. Bản đầy đủ phải đăng ký nhận qua email, chúng tôi chưa đọc. Trong phạm vi đã tra, chúng tôi chưa thấy khảo sát có phương pháp công khai nào tách riêng lương kỹ sư blockchain tại Việt Nam. Mức lương ghi trong tin tuyển dụng là lời hứa của bên đăng tin, không phải số liệu khảo sát.

Làm cho công ty nước ngoài, nhận lương bằng USDT có hợp pháp không?

Với hợp đồng lao động thì không: lương phải trả bằng tiền Đồng Việt Nam, bằng tiền mặt hoặc qua tài khoản ngân hàng (Bộ luật Lao động 2019 Điều 95, 96). Làm tự do theo hợp đồng dịch vụ cho công ty nước ngoài thì luật lao động thường không áp, nhưng thù lao vẫn là thu nhập chịu thuế thu nhập cá nhân. Sau mốc 6 tháng kể từ giấy phép đầu tiên, cá nhân trong nước bán USDT không qua tổ chức được cấp phép có thể bị phạt 15–25 triệu đồng (Nghị định 284/2026/NĐ-CP Điều 9 khoản 1, Điều 4 khoản 2). Tính đến 29/10/2026, chưa sàn nào được cấp phép. Từng trường hợp cụ thể được phân tích ở trang nhận lương bằng USDT có hợp pháp không.

Vị trí nào trong ngành có rủi ro pháp lý riêng?

Theo cách VietnamBit đọc Nghị quyết 05/2025/NQ-CP, viết phần mềm không cần giấy phép riêng. Rủi ro nằm ở việc quảng bá sàn hay token tới người Việt. Viết phần mềm không thuộc bốn dịch vụ mà Nghị quyết 05 liệt kê ở Điều 3 khoản 3: tổ chức thị trường giao dịch, tự doanh, lưu ký, cung cấp nền tảng phát hành tài sản mã hóa. Điều 4 khoản 4 thì chỉ cho tổ chức được Bộ Tài chính cấp phép “thực hiện hoạt động cung cấp dịch vụ liên quan đến tài sản mã hóa và quảng cáo, tiếp thị liên quan đến tài sản mã hóa”. Nghị quyết 05 không định nghĩa cụm “dịch vụ liên quan đến tài sản mã hóa”.

Một số việc trong ngành là làm “đại sứ”, quản lý cộng đồng hay người có ảnh hưởng để mời người Việt dùng một sàn hoặc mua một token. Các việc này có thể bị coi là quảng cáo, tiếp thị tài sản mã hóa khi chưa có giấy phép. Cá nhân có thể bị phạt 90–100 triệu đồng, tổ chức 180–200 triệu đồng (Nghị định 284/2026/NĐ-CP Điều 7 khoản 4 điểm b, Điều 4 khoản 2). Nghị định 284 không vạch rõ ranh giới giữa đưa tin và quảng cáo, tiếp thị, nên đây là rủi ro cần cân nhắc chứ không phải kết luận cho mọi trường hợp.

Bài kiểm tra kỹ thuật cài mã độc diễn ra thế nào?

Kẻ gian đóng vai nhà tuyển dụng, rồi trong buổi phỏng vấn hay bài tập về nhà bắt ứng viên tải và chạy một dự án mã nguồn có cài sẵn mã độc. Unit 42, nhóm nghiên cứu mối đe dọa của Palo Alto Networks, đặt tên chiến dịch này là Contagious Interview trong báo cáo ngày 21/11/2023. Unit 42 đánh giá với độ tin cậy trung bình rằng chiến dịch do một nhóm được nhà nước Triều Tiên bảo trợ thực hiện, và hoạt động bắt đầu từ ít nhất tháng 12/2022.

Kịch bản theo mô tả của Unit 42 và Microsoft:

1. Liên hệ. Kẻ gian đăng tin trên nền tảng tìm việc, thường ẩn danh hoặc mô tả mơ hồ, và cũng có thể nhắn qua email, mạng xã hội hay kênh chat của cộng đồng lập trình viên (Unit 42, 2023). Microsoft (11/3/2026) ghi chúng xưng là nhà tuyển dụng của công ty giao dịch tài sản mã hóa hoặc công ty giải pháp AI.
2. Phỏng vấn như thật. Có trao đổi kỹ thuật, bài tập, liên hệ lại sau phỏng vấn, giống quy trình tuyển dụng thông thường (Microsoft).
3. Bài tập chứa mã độc. Ứng viên được yêu cầu tải về và chạy một gói NPM đặt trên GitHub, GitLab hoặc Bitbucket. Microsoft nêu ví dụ một kho mã giả làm trò chơi chạy trên blockchain.
4. Biến thể qua trình soạn mã. Khi ứng viên mở thư mục trong Visual Studio Code và chọn tin tưởng tác giả kho mã, tệp cấu hình tác vụ tự chạy và tải cửa hậu về (Microsoft).
5. Ứng dụng họp giả. Unit 42 (09/10/2024) ghi nhận mã độc được phát tán qua tệp giả dạng ứng dụng gọi video MiroTalk và dịch vụ FreeConference. Đây là sản phẩm thật bị mạo danh, bản thân chúng không độc hại.

Mã độc lấy gì? Theo Unit 42, BeaverTail (viết bằng JavaScript, giấu trong gói NPM) tìm 9 mục tiện ích ví trên trình duyệt Chrome và Edge, tìm cả tệp khóa ví Solana ở ~/.config/solana/id.json, rồi tải thêm cửa hậu InvisibleFerret viết bằng Python. Cả hai chạy được trên Windows, Linux và macOS. Microsoft (2026) mô tả kẻ gian lục tìm tệp cấu hình môi trường (.env), cụm từ khôi phục ví, kho mật khẩu như KeePass, 1Password, ghi chú và khóa mật mã. Chúng còn cài thêm gói ghi phím và chụp màn hình.

FBI cũng cảnh báo ngày 03/9/2024 rằng các nhóm Triều Tiên dựng kịch bản tuyển dụng nhắm vào nhân viên công ty DeFi và tài sản mã hóa. Một dấu hiệu FBI nêu là “bài kiểm tra trước tuyển dụng” bắt chạy gói Node.js, gói PyPI, script hay kho GitHub lạ. Các loại mã độc lấy cắp ví khác và dấu hiệu máy đã nhiễm có ở bài mã độc đánh cắp ví crypto.

Tin “việc nhẹ lương cao” bắt nạp USDT là gì?

Đó là lừa đảo đội lốt việc làm: trả công nhỏ lúc đầu, rồi bắt nạp tiền hay mua USDT để “làm tiếp”, “rút lương”. Ngày 08/9/2026, Bộ Công an cảnh báo 25 kịch bản lừa đảo trên không gian mạng, chia thành 5 nhóm thủ đoạn chính. Nhóm thứ 3 gồm quảng cáo “việc nhẹ lương cao” và tuyển cộng tác viên trực tuyến: “Ban đầu, chúng cho rút tiền để tạo lòng tin, sau đó dụ dỗ nạp số tiền lớn rồi chiếm đoạt toàn bộ tài sản.” Gắn chữ blockchain hay Web3 vào tên việc không đổi bản chất. Bước nào cũng đòi bạn nạp tiền thì đó không phải việc làm.

Với hợp đồng lao động, Bộ luật Lao động 2019 cấm người sử dụng lao động yêu cầu người lao động “thực hiện biện pháp bảo đảm bằng tiền hoặc tài sản khác” (Điều 17 khoản 2). Kịch bản đầy đủ và việc cần làm khi đã lỡ nạp có ở bài lừa đảo làm nhiệm vụ, nạp USDT.

Kiểm tra một lời mời việc blockchain thế nào?

Trước khi làm bất kỳ bài tập nào, kiểm ba thứ: công ty có thật không, người liên hệ có thuộc công ty đó không, và bạn có bị đòi tiền hay bị bắt chạy mã lạ không. Trang này không đăng tin tuyển dụng hay xếp hạng công ty, các bước dưới đây chỉ giúp tự kiểm một lời mời.

1. Tra công ty. Công ty Việt Nam: tìm tên, mã số doanh nghiệp ở Cổng thông tin quốc gia về đăng ký doanh nghiệp. Công ty nước ngoài: tìm đúng tin tuyển dụng đó trên trang chính thức của công ty, đối chiếu tên miền email của người liên hệ với tên miền công ty. Unit 42 khuyên xác minh tính hợp pháp của công ty trước khi ứng tuyển.
2. Soi kho mã được gửi. Unit 42 thấy các tài khoản GitHub dùng trong chiến dịch thường chỉ có một kho mã không được cập nhật. Microsoft thêm các dấu hiệu: kho hoặc tài khoản mới tạo, link rút gọn dẫn tới nơi chứa tệp, các bước cài “bài kiểm tra” phức tạp bất thường. Yêu cầu tắt phần mềm bảo mật hay tin tưởng tác giả kho mã lạ cũng là dấu hiệu.
3. Đọc trước khi chạy. Microsoft khuyên rà soát mọi kho mã do nhà tuyển dụng gửi trước khi chạy script, cài thư viện hay chạy tác vụ, và coi lệnh “dán vào rồi chạy” là rủi ro cao. Mở mục scripts trong package.json: theo tài liệu của npm, lệnh npm install tự chạy các script như preinstall, install, postinstall. Xem cả tệp cấu hình tác vụ trong thư mục .vscode.
4. Tách máy. Chạy bài kiểm tra trong máy ảo không lưu trạng thái hoặc trên một thiết bị riêng, không có ví, cụm từ khôi phục, khóa riêng, mật khẩu đã lưu hay mã truy cập của công ty (FBI, Microsoft). Không cài ứng dụng họp từ link do người lạ gửi.
5. Không trả tiền. Không nộp phí đào tạo, đặt cọc hay nạp USDT để được nhận việc, được “kích hoạt” tài khoản.
6. So mức lương với thực tế. Lời mời bất ngờ, lương cao bất thường, không cần thương lượng nằm trong các dấu hiệu FBI nêu.
7. Không dựa vào danh nghĩa tổ chức. Tư cách hội viên hay ảnh hội thảo của Hiệp hội Blockchain và Tài sản số Việt Nam không chứng minh công ty hợp pháp. Hiệp hội là tổ chức xã hội nghề nghiệp, không cấp phép hay bảo đảm cho ai.

Lỡ chạy mã của nhà tuyển dụng lạ thì làm gì?

Coi mọi bí mật từng nằm trên máy đó là đã lộ: từ một thiết bị sạch, chuyển tài sản sang ví mới và đổi các khóa, mật khẩu, mã truy cập. Với lập trình viên, danh sách cần đổi dài hơn người dùng thường:

• Ví: tạo ví mới với cụm từ khôi phục mới trên thiết bị sạch, chuyển tài sản còn lại sang. Đổi mật khẩu ứng dụng ví không đủ.
• Tài khoản lập trình: khóa SSH, mã truy cập GitHub, GitLab, khóa API, thông tin đăng nhập đám mây từng nằm trong tệp .env hay tệp cấu hình. Microsoft ghi chiến dịch này nhắm rõ vào ví, kho mật khẩu, khóa riêng và các bí mật khác của lập trình viên.
• Máy công ty: báo ngay bộ phận bảo mật, vì Microsoft cho biết kẻ gian dùng chỗ đứng ban đầu để chuyển sang tấn công hệ thống.
• Bằng chứng: giữ tin nhắn, tên tài khoản nhà tuyển dụng, link kho mã, rồi trình báo công an.

Thứ tự xử lý máy nhiễm mã độc đầy đủ có ở bài mã độc đánh cắp ví crypto.