Trong dự thảo Đạo luật CLARITY (bản hợp nhất) do Lummis công bố vào ngày 22/7/2026, một điều khoản an ninh mạng trước đó khá kín tiếng đã lộ diện: đề xuất thông qua “cơ chế phối hợp an ninh mạng tài sản số” để thiết lập white-hat rewards program (chương trình thưởng cho tin tặc mũ trắng). Đây không phải để khuyến khích những “thợ săn tiền thưởng” bừa bãi xâm nhập hệ thống, mà là lần đầu tiên đưa cơ chế công bố lỗ hổng đã trưởng thành của Web2 (bug bounty) vào phần nội dung cốt lõi của luật cấu trúc thị trường mã hóa liên bang của Mỹ.

Logic điều khoản rất rõ ràng: các nhà nghiên cứu an ninh phát hiện lỗ hổng theo kênh được ủy quyền và công bố có trách nhiệm (responsible disclosure) đối với các hạ tầng như sàn giao dịch, hệ thống lưu ký, ví, hợp đồng thông minh, cầu nối chuỗi chéo, thanh toán bù trừ, cơ chế quản lý khóa riêng… Sau khi được xác minh và để đủ thời gian sửa lỗi, họ có thể nhận được phần thưởng, đồng thời xác định rạch ròi ranh giới pháp lý giữa “nghiên cứu an ninh” và “xâm nhập trái phép với mục đích xấu”. Lập luận này kế thừa tinh thần từ chủ trương của cựu Chủ tịch CFTC Giancarlo về “sức chịu đựng của thị trường đến từ công bố minh bạch”: bảo vệ người tiêu dùng không chỉ dừng ở việc “ngăn nền tảng chiếm dụng tài sản khách hàng”, mà tiến thêm một bước—ngăn lỗi lỗ hổng hệ thống khiến tài sản khách hàng có thể bị xóa sạch trong một đêm.

Vì sao đưa vào luật lúc này? Phá sản kiểu FTX, Celsius đã phơi bày cái bẫy “nhầm lẫn sổ sách”, còn trong năm qua, các vụ thất thoát qua cầu và hợp đồng lưu ký xảy ra với quy mô thường lên đến hàng trăm triệu. Điều đó cho thấy chỉ dựa vào việc doanh nghiệp tự nguyện đặt thưởng là chưa đủ. Dự thảo gộp chung việc cô lập tài sản khách hàng, cách ly trong phá sản, cấm chiếm dụng và ưu đãi cho mũ trắng—tương đương với việc bổ sung thêm một lớp phòng tuyến kỹ thuật cho “bảo vệ người tiêu dùng”.

Tuy nhiên, khi triển khai vẫn còn nhiều điểm mơ hồ: quỹ tiền thưởng do quy định của CFTC/SEC quyết định, hay sàn giao dịch sẽ chia sẻ chi phí? Phạm vi miễn trừ, tiêu chuẩn công bố, bậc thang phần thưởng đều chưa được làm rõ; toàn bộ dự thảo vẫn vướng ngưỡng 60 phiếu ở Thượng viện. Trước khi nghỉ phiên vào tháng 8, nếu không vượt qua được, điều khoản mũ trắng cũng có thể bị cắt gọn trong quá trình sửa đổi tại phiên họp.

Nếu cuối cùng trở thành luật, ý nghĩa không chỉ dừng ở việc “hacker được hợp pháp kiếm tiền”—mà nó đánh dấu bước chuyển trong quản lý mã hóa của Mỹ từ “bắt lừa đảo sau khi xảy ra” sang “mua lỗ hổng trước khi nó bị khai thác”. Vai trò của các công ty kiểm toán, doanh nghiệp bảo hiểm và bên lưu ký tuân thủ sẽ phải được đánh giá lại.