Bybit hoàn tất kiểm toán SOC 2 Type II do Deloitte thực hiện

Bybit đã hoàn tất cuộc kiểm toán SOC 2 Type II, đánh giá hiệu quả vận hành của các kiểm soát bảo mật trong một khoảng thời gian nhất định. Thời gian kiểm toán, các hạng mục kiểm soát chi tiết và việc công bố toàn văn báo cáo chưa được xác nhận.

Bybit cho biết trong thông báo ngày 29 rằng Deloitte đã độc lập thực hiện cuộc kiểm toán. Phạm vi kiểm toán bao gồm khung bảo mật với quản trị bảo mật, hệ thống kỹ thuật, quy trình nội bộ và vai trò của từng nhân sự.

Bybit cho rằng cuộc kiểm toán cung cấp xác nhận độc lập về việc bảo vệ thông tin nhạy cảm, độ tin cậy của dịch vụ cùng hệ thống quản lý bảo mật và rủi ro. Công ty cũng giới thiệu kết quả SOC 2 Type II cùng chứng nhận ISO/IEC 27001 và xác minh tuân thủ PCI DSS trước đó như tài liệu chứng minh năng lực bảo mật, bảo vệ dữ liệu và độ tin cậy vận hành.

SOC 2 là một hệ thống đánh giá các kiểm soát về bảo mật, tính sẵn sàng, tính toàn vẹn trong xử lý, tính bảo mật và bảo vệ quyền riêng tư của thông tin, hệ thống dựa trên các tiêu chuẩn dịch vụ tin cậy của Hiệp hội Kế toán viên Công chứng Mỹ (AICPA). Phạm vi áp dụng có thể khác nhau tùy đặc điểm của tổ chức và hệ thống.

Nếu Type I kiểm tra thiết kế và việc xây dựng các kiểm soát tại một thời điểm cụ thể, Type II đánh giá liệu các kiểm soát đó có thực sự hoạt động hiệu quả trong khoảng thời gian được xác định hay không. Vì vậy, kiểm toán Type II có ý nghĩa ở việc xem xét không chỉ sự tồn tại của kiểm soát mà cả trạng thái vận hành liên tục của kiểm soát trong một khoảng thời gian.

Tuy nhiên, mỗi chứng nhận và cuộc kiểm toán có mục đích và phạm vi khác nhau. Việc hoàn tất SOC 2 Type II không tự động đảm bảo an toàn cho tài sản khách hàng hoặc toàn bộ rủi ro vận hành của sàn giao dịch.

SOC 2 Type II cũng không tự động xác minh việc nắm giữ 1:1 tiền dự trữ và tài sản khách hàng, hoạt động phòng chống thao túng thị trường hay quy trình thẩm định niêm yết và sản phẩm. Cần kiểm tra riêng phạm vi dịch vụ và các hạng mục kiểm soát được nêu trong báo cáo kiểm toán.

Thông báo lần này diễn ra trong bối cảnh Bybit mở rộng hoạt động xác minh bảo mật sau vụ đánh cắp tài sản kỹ thuật số trị giá khoảng 1,46 tỷ USD (khoảng 1.983 nghìn tỷ won) vào tháng 2/2025. Bybit cho biết sau sự việc, công ty đã tăng cường kiểm toán độc lập và kiểm tra các kiểm soát bảo mật.

Trong báo cáo bảo mật nửa đầu năm 2026, Bybit cho biết đã chặn hơn 30.000 yêu cầu rút tiền đáng ngờ và ngăn chặn khoản tổn thất tiềm tàng của người dùng trị giá hơn 700 triệu USD (khoảng 950,6 tỷ won). Các số liệu này dựa trên báo cáo của chính Bybit.

Tuy nhiên, chưa xác nhận liệu thành tích ngăn chặn trong báo cáo bảo mật nửa đầu năm 2026 có nằm trong cùng phạm vi xác minh của cuộc kiểm toán SOC 2 Type II lần này hay không. Số liệu do công ty tự báo cáo và kết quả kiểm toán độc lập có thể khác nhau về phương pháp tính toán và phạm vi xác nhận.

Chưa có phản ứng chính thức từ các sàn giao dịch, nhà đầu tư tổ chức hoặc cơ quan quản lý trong nước liên quan đến thông báo này. Thời gian được kiểm toán, các hạng mục kiểm soát chi tiết, ngoại lệ và việc công bố toàn văn báo cáo kiểm toán cũng chưa được công bố.

Để đánh giá ý nghĩa của SOC 2 Type II, cần kiểm tra phạm vi dịch vụ, thời gian xem xét, tiêu chuẩn dịch vụ tin cậy được áp dụng, các điểm thiếu sót trong kiểm soát và các ngoại lệ được nêu trong báo cáo kiểm toán. Phạm vi đánh giá có thể thay đổi tùy dịch vụ và các kiểm soát nằm trong diện kiểm toán.

Trong cuộc kiểm toán SOC 2 Type II trước đây liên quan đến hoạt động của USDe thuộc Ethena, việc xác minh các kiểm soát vận hành cũng được phân biệt với việc xem xét rủi ro của hợp đồng thông minh và tài sản khách hàng. Vì lý do tương tự, việc Bybit hoàn tất kiểm toán lần này cũng nên được diễn giải giới hạn trong phạm vi xác nhận các kiểm soát bảo mật và vận hành.

Báo cáo bảo mật nửa đầu năm 2026 của Bybit đưa ra số liệu về các yêu cầu rút tiền đáng ngờ bị chặn và tổn thất tiềm tàng của người dùng được ngăn chặn, nhưng việc báo cáo kiểm toán lần này có xác minh các số liệu đó hay không là vấn đề riêng. Phạm vi sử dụng thực tế của kết quả kiểm toán phụ thuộc vào phạm vi dịch vụ và thời gian xem xét được công bố trong báo cáo.

Thông báo hiện được xác nhận chỉ bao gồm việc hoàn tất kiểm toán và thông tin Deloitte là đơn vị thực hiện. Việc khách hàng tổ chức có sử dụng báo cáo làm tài liệu thẩm định hay không chưa được xác nhận. Toàn văn báo cáo và các ngoại lệ chưa được công bố.