Khi Nhãn Cầu Trị Giá 5.000 Đô La: Bài Học Từ Clearview AI Cho Web3
Ngô Hòa
Trong 7 ngày qua, một giao thức DeFi đã mất 60% thanh khoản. Không phải vì hack. Không phải vì rug pull. Mà vì một phán quyết của tòa án Mỹ về một công ty công nghệ nhận diện khuôn mặt. Mối liên hệ mong manh đến mức tôi phải mất hai ngày để nối chúng lại với nhau. Nhưng nếu bạn nghĩ rằng Web3, với ví ẩn danh và hợp đồng thông minh, nằm ngoài tầm ngắm của cơn ác mộng pháp lý trị giá 5.000 đô la mỗi người mỗi lần, thì bạn đã chuẩn bị sẵn sàng cho một bài học rất đắt giá.
Clearview AI, một công ty khởi nghiệp ở New York, đã xây dựng cơ sở dữ liệu nhận diện khuôn mặt khổng lồ bằng cách thu thập 3 tỷ ảnh từ Facebook, YouTube và không gian công cộng. Không có sự đồng ý. Không có ngoại lệ. Họ bán quyền truy cập cho các cơ quan thực thi pháp luật, được cho là để nhận diện tội phạm. Vào năm 2020, một vụ kiện tập thể được đệ trình theo Đạo luật Quyền riêng tư Thông tin Sinh trắc học Illinois (BIPA). Một luật khô khan đến nực cười nhưng có một răng nanh mà không luật sư nào muốn đối mặt: khoản bồi thường theo luật định, từ 1.000 đến 5.000 đô la cho mỗi lần vi phạm. Không cần chứng minh thiệt hại thực tế. Chỉ cần chứng minh rằng họ đã lấy ảnh của bạn.
Bốn năm sau, vào năm 2024, một tòa phúc thẩm liên bang đã bác bỏ thỏa thuận dàn xếp của Clearview AI. Lý do: thỏa thuận đó trả tiền cho các nguyên đơn bằng cổ phiếu, không phải tiền mặt. Cổ phiếu của công ty. Về cơ bản, tòa án nói, 'Các ngươi đã lấy khuôn mặt của hàng triệu người mà không hỏi. Bây giờ các ngươi muốn trả nợ bằng mảnh giấy có dòng chữ "có thể, một ngày nào đó, sẽ có giá trị"? Không.' Tòa án yêu cầu các bên quay lại bàn đàm phán và đưa ra thỏa thuận bằng tiền mặt thực sự hoặc đối mặt với một phiên tòa nơi bồi thẩm đoàn có thể trao cho mỗi nguyên đơn khoản tiền tối đa. Khoản tiền đó, nếu tính cho 3 triệu người dùng Illinois, sẽ là... hãy để tôi tính nhanh: 3 triệu x 5.000 đô la = 15 tỷ đô la.
Đây là một trường hợp luật kinh điển, nhưng cũng là một tín hiệu trực tiếp đến trái tim của Web3: bất kỳ dự án nào thu thập, lưu trữ hoặc xử lý dữ liệu sinh trắc học – dù là ảnh khuôn mặt, dấu vân tay, giọng nói hay thậm chí là dữ liệu iris – đều đang ngồi trên một quả bom hẹn giờ có tên BIPA. Và Web3, với tình yêu dữ liệu phi tập trung và danh tính tự chủ, có thể là mục tiêu tiếp theo.
Hãy tưởng tượng một dApp DeFi lớn yêu cầu xác minh khuôn mặt để tuân thủ KYC, lưu trữ dữ liệu đó trên một hợp đồng thông minh công khai. Hoặc một giao thức Worldcoin-like, hứa hẹn một danh tính toàn cầu với một quả cầu quét mống mắt. BIPA phạt 1.000-5.000 đô la cho mỗi lần vi phạm. Và vi phạm là: thu thập mà không có sự đồng ý rõ ràng. Lưu trữ không đúng cách. Chia sẻ với bên thứ ba mà không có thỏa thuận. Chỉ cần một lỗi trong smart contract hoặc một cầu nối bị hack, và một khoản nợ khổng lồ xuất hiện.
Chúng ta đang nói về một rủi ro có thể đánh sập một dự án Layer 2 hoặc một blockchain game. Không phải vì sàn giao dịch bị hack hay stablecoin bị depeg. Mà vì một tòa án ở Illinois cho rằng khuôn mặt của người dùng có giá trị tiền mặt, và công ty phải trả bằng tiền mặt, không phải token.
Tôi có thể nghe thấy các nhà sáng lập đang nói: 'Chúng tôi có trụ sở ở Cayman Islands, không ở Mỹ.' Luật pháp không quan tâm đến nơi đặt trụ sở. BIPA áp dụng cho 'bất kỳ cá nhân nào' bị ảnh hưởng, bất kể họ ở đâu, nếu vụ việc xảy ra ở Illinois hoặc liên quan đến cư dân Illinois. Một người dùng Mỹ vào dApp của bạn, bạn có thể bị kiện ở Mỹ. Một vụ kiện class action có thể xảy ra. Và bạn không có tài sản thế chấp để trả 15 tỷ đô la.
Hãy nhìn vào bài học Clearview: họ cố gắng trả bằng cổ phiếu vì họ không có tiền mặt. Bây giờ họ phải đối mặt với một thỏa thuận bằng tiền mặt hoặc một phiên tòa. Đó là một kết thúc. Đối với Web3, nếu một giao thức bị kiện, họ sẽ không có cổ phiếu để trả. Họ chỉ có token. Một tòa án Mỹ liệu có chấp nhận trả tiền bằng token? Câu trả lời gần như chắc chắn là không. Họ muốn USD. Họ muốn tài sản có thể tịch thu được. Họ muốn thứ mà họ có thể đưa cho nguyên đơn và nói, 'Đây là tiền bồi thường của bạn.' Token là một tài sản biến động, không có giá trị nội tại theo mắt pháp luật. Trong trường hợp xấu nhất, họ sẽ phong tỏa hợp đồng thông minh và yêu cầu thanh lý.
Điều này đưa chúng ta đến một thực tế khó chịu: các dự án Web3, đặc biệt là những dự án liên quan đến dữ liệu sinh trắc học, đang có một lỗ hổng pháp lý khổng lồ. Họ xây dựng trên blockchain, nhưng họ vẫn phải tuân theo luật pháp của các quốc gia. Và BIPA là một trong những luật nguy hiểm nhất, vì nó có cơ chế private right of action – bất kỳ công dân nào cũng có thể kiện và đòi bồi thường mà không cần chính phủ can thiệp. Đó là một vũ khí lợi hại trong tay người dùng.
Tôi đã từng nghĩ rằng rủi ro lớn nhất trong crypto là rug pull, hack hoặc cắt giảm thanh khoản. Nhưng sau khi phân tích Clearview AI, tôi nhận ra rằng rủi ro pháp lý có thể còn lớn hơn, bởi vì nó không thể được quản lý bằng code. Bạn không thể fork một tòa án. Bạn không thể hard fork khỏi một bản án. Một khi bồi thẩm đoàn quyết định, bạn phải trả. Và nếu bạn không trả, tài sản của bạn sẽ bị tịch thu.
Đây là bài học cho tất cả chúng ta, những người đang xây dựng hoặc đầu tư vào Web3: dữ liệu sinh trắc học không chỉ là một 'tài sản' trên blockchain; nó là một khoản nợ tiềm ẩn với mệnh giá 5.000 đô la mỗi lần. Nếu bạn xử lý nó một cách bất cẩn, bạn đang ký một tấm séc khổng lồ mà cuối cùng bạn sẽ phải trả bằng tiền mặt mà bạn thậm chí không có.
Tôi nhớ lại năm 2020, trong đợt bùng nổ DeFi, tôi đã farm COMP trên Compound. Tôi deposit 50 ETH, nhận được 2000 COMP. Lợi nhuận ban đầu là tuyệt vời. Nhưng tôi gần như bị rug pull khi tham gia một pool lạ mà không kiểm tra audit. Tôi đã mất 10 ETH. Bài học là: chỉ farm trên giao thức đã audit, luôn chạy testnet trước.
Bây giờ, bài học của Clearview AI cũng tương tự nhưng ở quy mô lớn hơn: chỉ sử dụng dữ liệu sinh trắc học nếu bạn có sự đồng ý rõ ràng, một cơ sở hạ tầng lưu trữ hợp pháp và một khoản dự phòng pháp lý khổng lồ. Nếu không, bạn đang chơi một trò chơi mà mỗi khuôn mặt có một mức giá, và mức giá đó có thể tăng lên đến mức bạn không thể trả.
Vậy làm thế nào để một giao thức Web3 tồn tại trong môi trường này? Đầu tiên, tránh lưu trữ dữ liệu sinh trắc học trên chain. Sử dụng zero-knowledge proofs. Chứng minh danh tính mà không tiết lộ khuôn mặt. Thứ hai, nếu bắt buộc phải thu thập, hãy thuê luật sư giỏi ở Mỹ để soạn thảo một thỏa thuận consent vô hiệu hóa bất kỳ rủi ro BIPA nào. Không phải là một checkbox trên màn hình, mà là một tài liệu pháp lý có thể bảo vệ bạn trong tòa án. Thứ ba, mua bảo hiểm. Bảo hiểm cyber liability cho dữ liệu sinh trắc học. Nó không rẻ, nhưng nó rẻ hơn 15 tỷ đô la.
Clearview AI sẽ không tồn tại lâu nữa. Tòa án đã giáng một đòn chí mạng vào mô hình kinh doanh của họ. Nhưng bài học của họ sẽ sống mãi, và nó đặc biệt nguy hiểm đối với Web3, nơi mà mọi người tin rằng code là luật. Luật pháp thực sự không quan tâm đến code của bạn. Nó chỉ quan tâm đến việc bạn có trả tiền hay không.
Khi bạn xây dựng hoặc đầu tư vào giao thức tiếp theo, hãy nhìn vào khuôn mặt của người dùng. Nhìn vào giá trị pháp lý của khuôn mặt đó. Nếu bạn không thể trả 5.000 đô la cho mỗi lần họ sử dụng, hãy suy nghĩ lại.