Giới thiệu

Web3 đã hứa hẹn rằng trong tương lai, người dùng sẽ sở hữu dữ liệu và danh tính của chính mình. Khi chúng ta đã trải qua hai năm triển khai hàng loạt các dịch vụ Web3, và hướng đến năm 2025, lời hứa này đang trở thành hiện thực trước kỳ vọng của người tiêu dùng, áp lực quy định và những thỏa thuận kỹ thuật khó khăn. Nếu bạn đang phát triển cho Web3 hiện nay, chính sách bảo mật của bạn nên thực tiễn, minh bạch và phù hợp với cả luật pháp cũng như những gì người dùng thực sự muốn. Trong bài viết này, tôi sẽ phác thảo bối cảnh, nêu rõ các nguyên tắc bảo mật thực tiễn có ý nghĩa và cung cấp những tín hiệu rõ ràng cho các công ty để đáp ứng kỳ vọng người tiêu dùng vào năm 2025.

Những kỳ vọng của người tiêu dùng vào năm 2025

Người tiêu dùng ngày càng ngần ngại hi sinh sự riêng tư để đổi lấy sự tiện lợi hơn so với trước đây. Các cuộc khảo sát và nghiên cứu thị trường được thực hiện vào năm 2024-2025 cho thấy rằng có những mối quan tâm ngày càng tăng về việc sử dụng dữ liệu, trong khi nhu cầu về sự minh bạch trong AI và ứng dụng phi tập trung ngày càng tăng, nhiều người muốn đồng ý một cách rõ ràng hơn (chức năng chi tiết). Bây giờ, lòng tin phụ thuộc vào các biện pháp kiểm soát và xác minh cụ thể, không chỉ đơn thuần dựa vào lời hứa. Những kỳ vọng này là nhất quán trên các khu vực và nhóm tuổi, với mối quan tâm đặc biệt về dữ liệu danh tính và thông tin tài chính.

Cơ hội và thách thức của Web3

Web3 thay đổi diện mạo kỹ thuật và pháp lý liên quan đến bảo mật.

• Cơ hội: Danh tính phi tập trung và danh tính tự chủ cho phép người dùng sở hữu chứng chỉ và chỉ tiết lộ những gì cần thiết. Với các chứng minh trên chuỗi, bạn cũng có thể cung cấp một cuộc kiểm toán mà không cần phải chuyển giao dữ liệu cá nhân thô. Các tiêu chuẩn như chứng chỉ có thể xác minh cũng đang phát triển, cung cấp cho các nhà phát triển một cách chuẩn để phát hành, trình bày và xác minh các yêu cầu.

• Rủi ro: Các blockchain công khai vốn có thể tiết lộ siêu dữ liệu giao dịch có thể liên quan đến danh tính thực. Sổ cái không thể thay đổi khiến việc xóa những gì mà các nhà quản lý và người tiêu dùng muốn được loại bỏ trở nên khó khăn. Các nhà quản lý đang bắt đầu theo kịp và đưa ra hướng dẫn mà giả định rằng việc xử lý blockchain phải tuân theo các luật bảo mật hiện có.

Điều này bao gồm các hệ thống Web3 không ưu tiên bảo mật theo thiết kế. Nói cách khác, các hệ thống Web3 không thực hiện cách tiếp cận này sẽ gặp rủi ro trách nhiệm ngay cả khi họ không vi phạm bất kỳ luật nào.

Bảo mật trong Web3 sẽ được định nghĩa bởi các công nghệ cốt lõi này

Dưới đây là các công cụ và mẫu bảo mật thực tiễn có tác động cao mà bạn nên lưu ý.

• Chứng minh không biết (ZKP): ZKP cho phép một bên chứng minh một điểm mà không cần chia sẻ dữ liệu cơ bản. Ví dụ, một người dùng có thể xác nhận rằng họ trên 18 tuổi mà không cần cung cấp ngày sinh của họ. ZKP hiện đang được áp dụng trong xác minh danh tính, thanh toán riêng tư và tính toán an toàn. Chúng rất quan trọng cho bất kỳ tuyên bố nào về tính toán bảo vệ quyền riêng tư trong Web3.

• Chứng chỉ có thể xác minh và danh tính phi tập trung (DID): Theo cách này, các tổ chức phát hành có thể tạo ra các chứng nhận mà người giữ có thể thể hiện sự thận trọng. Họ nằm trong lĩnh vực hỗ trợ, và một trong số đó là danh tính tự chủ (đặc biệt khi người tiêu dùng hiện đang yêu cầu nhiều quyền kiểm soát hơn đối với dữ liệu cá nhân của họ). Những triển khai như vậy có thể có UX có ý nghĩa (nơi UX tốt là ở phía chúng ta) và giảm thiểu ma sát, đồng thời cải thiện tính riêng tư.

• Lưu trữ ngoài chuỗi với các chứng minh trên chuỗi: Không lưu trữ dữ liệu nhạy cảm trên các sổ cái công khai, và chỉ sử dụng các bản băm hoặc chứng minh. Điều này cung cấp tính không thay đổi và khả năng theo dõi mà không tiết lộ thông tin cá nhân. Đây là thỏa thuận thực dụng mà hầu hết các dự án đã thực hiện giữa tính minh bạch và bảo mật.

• Ví bảo mật và vệ sinh siêu dữ liệu: Ví quay vòng địa chỉ, giảm telemetry và sử dụng các cặp khóa khác nhau cho từng mục đích giảm khả năng liên kết giữa các dịch vụ khác nhau. Thiết kế ví sẽ là yếu tố chính quyết định xem những gì chúng ta hứa hẹn về “bảo mật” có chuyển thành trải nghiệm thực tế của người dùng hay không.

Quy định đang theo kịp — và điều này rất quan trọng

Các cơ quan châu Âu đã tập trung vào việc xử lý blockchain như một lĩnh vực cụ thể trong việc thực thi, vì vậy việc tuân thủ không thể chỉ là một yếu tố thứ cấp. Năm 2025, Ban Bảo vệ Dữ liệu Châu Âu đã đưa ra các hướng dẫn đáng kể về blockchain và dữ liệu cá nhân. Những khuyến nghị này củng cố các khái niệm như tối thiểu hóa, giới hạn mục đích và nghĩa vụ xác định ai là người kiểm soát và xử lý trong các thiết lập blockchain lai. Các công ty cung cấp sản phẩm trên thị trường quốc tế phải xem xét những khuyến nghị này như những ràng buộc.

Ngoài châu Âu, bối cảnh quy định và hướng dẫn toàn cầu về tiền mã hóa đã tiếp tục thay đổi nhanh chóng trong năm 2024, vào năm 2025. Các công ty hiện có nhiều nghĩa vụ: đối với khách hàng của họ, các cơ quan chống tội phạm và các cơ quan quản lý dữ liệu. Hoạt động: Thiết kế các hệ thống tuân thủ nhiều — và có thể mâu thuẫn — chế độ pháp lý sẽ là một thử thách vận hành cơ bản.

“Đáp ứng kỳ vọng của người tiêu dùng” thực sự có nghĩa là gì?

Dưới đây là các hành động mà các nhóm sản phẩm nên thực hiện, dựa trên cảm nhận của người tiêu dùng và địa hình kỹ thuật/pháp lý.

• Xây dựng dòng dữ liệu minh bạch: Công bố các sơ đồ đơn giản và các bản mô tả có thể đọc được bằng máy cho thấy dữ liệu bạn thu thập, lý do thu thập, nơi thông tin được lưu trữ trên hệ thống của bạn và thời gian lưu giữ thông tin này. Người tiêu dùng yêu cầu tính minh bạch và câu trả lời ngay lập tức. Chứng minh các cuộc kiểm toán và đánh giá độc lập có thể giúp xây dựng lòng tin.

• Cung cấp tiết lộ có chọn lọc: Các phương pháp tốt nhất: Sử dụng VC và ZKP cho phép chia sẻ dữ liệu tối thiểu từ phía người dùng. Đối với nhiều dịch vụ, việc xác nhận một yêu cầu là đủ, bạn không cần phải ghi lại dữ liệu thô. Hãy để tiết lộ có chọn lọc trở thành mặc định cho các quy trình danh tính.

• Giảm thiểu dữ liệu cá nhân trên chuỗi: Giữ các định danh người dùng bên ngoài chuỗi và chỉ neo các chứng minh không xác định trên sổ cái cho mục đích tuân thủ: cung cấp một quy trình công khai để xóa/biên tập ở bất cứ đâu mà các khung pháp lý yêu cầu.

• Cải thiện tính riêng tư và UX của ví: Các ví nên cung cấp chức năng cho phép quay vòng địa chỉ, cảnh báo người dùng về việc rò rỉ siêu dữ liệu và tách biệt danh tính trên chuỗi khỏi dữ liệu hồ sơ. Tất cả đều liên quan đến UX: nếu mọi người không thể sử dụng các công cụ để bảo vệ bản thân, họ sẽ không sử dụng chúng.

• Áp dụng bảo mật theo thiết kế và thực hiện DPIA: Thực hiện Đánh giá Tác động Bảo mật cụ thể phù hợp với các kiến trúc phi tập trung. Mức độ cẩn thận này ngày càng được kỳ vọng bởi các nhà quản lý.

• Chi tiền để thực hiện thẩm định dựa trên bằng chứng. Các cuộc kiểm toán hợp đồng thông minh và kiểm soát quyền riêng tư của bên thứ ba giảm thiểu rủi ro nhận thức của người tiêu dùng và các đối tác doanh nghiệp.

• Nói bằng ngôn ngữ của người dùng, không phải ngôn ngữ pháp lý: Công chúng muốn kiểm soát và đảm bảo thực tiễn. Giải thích các tùy chọn bảo mật thông qua các ví dụ cụ thể, thay vì thuật ngữ pháp lý trừu tượng. Các nghiên cứu cho thấy lòng tin gia tăng khi các công ty thể hiện các kiểm soát rõ ràng.

Tác động kinh doanh: Tại sao bảo mật là động lực tăng trưởng

Với tư cách là một chi phí tuân thủ, bảo mật dữ liệu thường được coi là một quy định bất khả tri. Bảo mật là một yếu tố phân biệt trên thị trường vào năm 2025. Người tiêu dùng sẵn sàng chi thêm một chút cho các dịch vụ rõ ràng bảo vệ thông tin của họ. Đối với người mua B2B, các thực tiễn bảo mật minh bạch rút ngắn con đường mua hàng và giảm ma sát pháp lý. Trong khi đó, các thực tiễn bảo mật không đầy đủ khiến việc giữ chân khách hàng khó khăn, phạt quy định và làm tổn hại danh tiếng.

Các khung thực tiễn để thu hút giá trị:

• Cung cấp các cấp độ bảo mật: cấp độ bảo mật thấp miễn phí và cấp độ bảo mật cao hơn được trả phí dựa trên ZKP và xử lý trên thiết bị.
• Tận dụng bảo mật trên các màn hình onboarding: thể hiện cách mà chứng chỉ và chứng minh cho phép bạn không cần tải lên tài liệu.
• Kết nối với các tổ chức phát hành chứng chỉ có thể xác minh đáng tin cậy, cho phép bạn giảm thiểu ma sát KYC hoặc tuân thủ.

Khó khăn và thỏa thuận thực tế

• Không có công nghệ nào là phép thuật: Có những thỏa thuận thực tế mà các nhóm sản phẩm phải cân nhắc.
• Hiệu suất và chi phí: ZKP và làm mờ có thể tốn kém. Đảm bảo rằng bạn đang sử dụng lớp phù hợp và các chiến lược nhóm để giảm chi phí.
• Khả năng sử dụng: Các quy trình tự chủ cần các mẫu UX mới. Các khái niệm về DID và chứng chỉ có thể xác minh vẫn chưa phổ biến ngay cả trong số những người dùng có kiến thức kỹ thuật. Đầu tư vào giáo dục và tiết lộ tiến bộ.
• Căng thẳng quy định: Khả năng theo dõi có thể bị yêu cầu bởi cảnh sát và luật AML. Tạo ra các hệ thống có thể cung cấp bằng chứng đúng mà không tiết lộ thông tin cá nhân không cần thiết của mọi người.

Các hành động pháp lý gần đây và các động thái của nhà quản lý đã cho thấy tốc độ thay đổi của phương trình đó.

Con đường nhanh cho các nhóm sản phẩm (kỹ thuật và không kỹ thuật)

• Tận dụng tối đa tính toán bảo vệ quyền riêng tư và ZKP.
• Mặc định tiết lộ có chọn lọc với bằng chứng về chứng chỉ.
• Giữ lại một lượng tối thiểu dữ liệu cá nhân ngoài chuỗi trong kho và chỉ neo các chứng minh giả danh trên chuỗi.
• Tăng cường tính riêng tư của ví và giáo dục người dùng về những nguy cơ siêu dữ liệu.
• Hoàn thành các đánh giá tác động về quyền riêng tư và giữ lại nhật ký kiểm toán.
• Công bố một cái nhìn tổng quan về bảo mật ngắn gọn và một bản tuyên ngôn dữ liệu tập trung vào nhà phát triển.
• Theo dõi các hướng dẫn về blockchain và các quy định nhắm đến tiền mã hóa.

Làm thế nào để biết nếu bạn không đáp ứng được kỳ vọng?

Có ba điều mà người tiêu dùng sẽ đánh giá sản phẩm của bạn: kiểm soát, tính minh bạch và kết quả.

• Kiểm soát: Người dùng có dễ dàng hạn chế những gì họ chia sẻ và thu hồi quyền truy cập không?
• Tính minh bạch: Bạn có rõ ràng về loại dữ liệu bạn thu thập bằng ngôn ngữ đơn giản không, và bạn có cung cấp một dấu vết kiểm toán để hỗ trợ điều đó không?
• Kết quả: Bảo mật có thực sự bảo vệ chống lại những kết quả có hại như phân loại không mong muốn, trộm danh tính hay bán lại dữ liệu trái phép?

Nếu bạn có thể thành thật trả lời có cho cả ba điều này, bạn đã ở trong một vị trí tốt để đáp ứng kỳ vọng của người tiêu dùng vào năm 2025. Và các nghiên cứu thị trường cho thấy rằng các công ty tuân thủ những biện pháp này có tỷ lệ giữ chân khách hàng tốt hơn và ít ma sát quy định hơn.

Lưu ý thực tiễn cuối cùng cho những người xây dựng

Bắt đầu từ những điều nhỏ và đo lường. Thử nghiệm các chứng chỉ kỹ thuật số cho những hình thức xác minh danh tính cơ bản nhất. Sử dụng phân tích không phải PII. Thay vào đó, đầu tư vào một tính năng bảo mật dễ hiểu có thể được tiếp thị rõ ràng và diễn đạt trong một câu duy nhất. Sự kết hợp giữa đầu tư kỹ thuật và giao tiếp bằng ngôn ngữ đơn giản sẽ thúc đẩy lòng tin và sự chấp nhận của người tiêu dùng trong Web3 trong năm nay.