296.416 tài khoản và lỗ hổng chí mạng trong luật chống cày thuê của Riot

Trong bảng dữ liệu thực thi mà Riot Games công bố, có một con số tròn trịa đến mức khiến người ta muốn tin ngay lập tức: 296.416 tài khoản bị đánh dấu vì hành vi thao túng thứ hạng trên VALORANT và League of Legends. Nhưng thứ khiến tôi phải ngồi lại, đọc chậm từng dòng, không phải con số đó. Đó là một mệnh đề phụ nằm lọt thỏm giữa các mục về hình phạt, gần như không ai trích dẫn: những người chơi "thường xuyên xếp hàng cùng" một kẻ cày thuê cũng có thể bị xử lý.

Tôi đã đọc câu đó bốn lần. Bốn lần vì tôi không tin vào mắt mình — không phải vì nó quá sốc, mà vì nó quá quen. Mười chín năm theo dõi ngành này, từ vai trò vận động viên esports rồi tổ chức giải đấu ở Việt Nam cho tới khi ngồi ở Quảng Châu viết tin cho thị trường Trung Quốc, tôi đã thấy đúng cái mô-típ này lặp lại ở mọi bộ luật thể thao: người ta viết luật để bắt kẻ vi phạm, rồi vô tình chạm vào người không vi phạm gì. Riot vừa làm điều đó, ở quy mô gần ba trăm nghìn tài khoản.

Bối cảnh: khi bảng xếp hạng trở thành một cái chợ có người mua, người bán

Để hiểu vì sao câu đó đáng lo, phải hiểu Anti-Boost là gì và nó vận hành trong cái không gian nào.

Anti-Boost là hệ thống thực thi tự động của Riot Games nhắm vào cày thuê — hành vi một người chơi kỹ năng cao đăng nhập vào tài khoản của người khác để leo hạng thay chủ tài khoản. Bốn nhóm hành vi bị nhắm tới: cày thuê, mua bán hoặc chuyển nhượng tài khoản, cố ý tụt hạng, và leo hạng nhờ tài khoản phụ. Bốn nhóm này không nằm rời rạc; chúng tạo thành một chuỗi cung ứng.

Hãy hình dung chuỗi đó như một cái chợ. Ở đầu cung có người chơi kỹ năng cao — Riot gọi chung là "high-skill players" — nhận tiền để vào tài khoản người khác đánh thay. Ở giữa là thị trường tài khoản: mua, bán, chuyển nhượng, nơi một tài khoản có thứ hạng cao được định giá như một món hàng. Ở đầu cầu là người trả tiền, thường vì muốn có huy hiệu rank mà không muốn bỏ ra một nghìn giờ leo. Và ở rìa là những hành vi phụ trợ: cố ý tụt hạng để tạo ra chênh lệch kỹ năng, hoặc dùng tài khoản phụ để leo cùng tài khoản chính.

Đây là lúc tôi phải nói thẳng một điều mà dân phân tích hay né. Thị trường chuyển nhượng không phải bàn cờ, là bàn poker — người ta tố tiền bằng danh tiếng. Câu đó tôi viết cho bóng đá, nhưng nó đúng y nguyên ở đây: thứ được giao dịch trong cái chợ rank này không phải điểm số, mà là uy tín. Một tài khoản Đại Cao Thủ không bán vì nó mạnh; nó bán vì người mua tin rằng vị trí đó nói lên điều gì đó về bản thân họ.

Điều Riot làm với Anti-Boost, ở tầng sâu nhất, là can thiệp vào niềm tin đó. Bảng xếp hạng chỉ có giá trị nếu người chơi tin rằng thứ hạng phản ánh kỹ năng. Khoảnh khắc niềm tin đó sụp, thứ hạng chỉ còn là con số trang trí — và khi đó cả hệ sinh thái tuyển trạch từ solo queue, từ học viện tới đội tuyển chuyên nghiệp, mất đi nguyên liệu đầu vào.

Đây là điểm mà nhiều người ngoài ngành bỏ qua. Người ta nghĩ thị trường cày thuê là chuyện của mấy tài khoản lẻ. Nó không phải. Nó là chuyện của toàn bộ chuỗi sản xuất tài năng. Khi một học viện ở bất kỳ khu vực nào tìm kiếm tay súng trẻ, họ bắt đầu từ bảng xếp hạng solo. Nếu bảng đó bị pha loãng, mọi bước phía sau đều dựa trên dữ liệu bẩn.

Cái thang hình phạt: bốn tầng, và một tầng không ai để ý

Riot thiết kế một thang bốn tầng. Tầng một: khi phát hiện thao túng, điểm xếp hạng và phần thưởng kiếm được từ hành vi gian lận bị hủy, tài khoản bị đưa về thứ hạng gốc, kèm đình chỉ tạm thời. Tầng hai: tái phạm thì thời hạn cấm tăng dần. Tầng ba: mua bán tài khoản hoặc cố ý tụt hạng có thể dẫn tới cấm vĩnh viễn. Tầng bốn — và đây là tầng tôi quan tâm — trách nhiệm liên đới: tài khoản chính của kẻ cày thuê, và cả những người đồng đội thường xuyên xếp hàng cùng họ, cũng có thể bị xử lý.

Có một suy luận ẩn trong chính sự tồn tại của tầng hai. Nếu Riot thiết kế một thang leo thang, nghĩa là Riot giả định tỷ lệ tái phạm đủ cao để cần tới thang đó. Ở một hệ thống mà tái phạm gần như bằng không, leo thang hình phạt chỉ là chi tiết trang trí trong văn bản. Việc nó tồn tại cho chúng ta một tín hiệu: Riot đang đối phó với một nhóm đối tượng học rất nhanh và quay lại rất nhanh.

Kẻ thua cược kể về Zahavi, kẻ thắng cược kể về con số. Ở đây con số là 296.416. Nhưng con số này có một vấn đề cấu trúc mà tôi chưa thấy ai chỉ ra: nó là tổng cộng dồn của hai tựa game có hai nền kinh tế cày thuê hoàn toàn khác nhau, không tách theo khu vực, không tách theo tựa game, không tách theo thời gian.

VALORANT là game bắn súng chiến thuật 5v5. League of Legends là MOBA. Áp lực lạm phát thứ hạng ở hai tựa này khác nhau về bản chất. Trong VALORANT, một tay súng kỹ năng cao có thể kéo cả trận gần như một mình, nên giá trị của việc thuê một người giỏi cao hơn và nhu cầu cày thuê tập trung ở những bậc rank trung-cao. Trong League of Legends, cấu trúc vai trò chia đều hơn, nên cày thuê mang tính leo cả chặng hơn là gánh một trận. Gộp hai thứ đó vào một con số duy nhất là một lựa chọn truyền thông, không phải một lựa chọn phân tích.

Và còn một chi tiết nữa: không có phân tách theo khu vực. Đây là điểm đáng tiếc nhất, vì nhu cầu cày thuê phân bố rất không đều theo vùng. Ở những thị trường nơi tài khoản được mua bán công khai, nơi uy tín rank được quy đổi thành tiền hoặc thành cơ hội việc làm trong ngành streaming, nhu cầu cày thuê cao hơn hẳn. Một con số toàn cầu gộp lại xóa sạch khả năng so sánh giữa các khu vực — và xóa luôn khả năng biết được liệu chính sách này đang hiệu quả ở đâu và thất bại ở đâu.

Người Đức tưởng mình vẽ được bản đồ, tôi chỉ cần nhìn ngón tay họ đặt lên giấy. Riot đưa ra một bản đồ rất đẹp: bốn loại vi phạm, bốn tầng hình phạt, một con số lớn. Tôi không đọc bản đồ. Tôi đọc chỗ ngón tay họ đặt xuống — và ngón tay đó đặt ở mệnh đề về "thường xuyên xếp hàng cùng".

Hãy nói rõ vì sao mệnh đề đó là một vùng rủi ro. Khi bạn xếp hàng đơn ở một bậc rank cao, bạn gặp cùng một nhóm người chơi liên tục. Đó là đặc điểm cấu trúc của mọi ladder ở bậc cao: dân số nhỏ, giờ chơi trùng nhau, khu vực máy chủ giới hạn. Hai người chơi ngẫu nhiên có thể trở thành "thường xuyên xếp hàng cùng" chỉ vì họ cùng chơi khung giờ tối, cùng một máy chủ, cùng một bậc rank. Riot không công bố ngưỡng nào để định nghĩa "thường xuyên". Không công bố cơ chế kháng nghị cho nhóm này. Không công bố tiêu chí phân biệt một đôi bạn leo rank lành mạnh với một đôi bạn có một bên đang cày thuê.

Đây là chỗ tôi phải dùng tới câu tôi vẫn dùng khi nói về những hệ thống được thiết kế quá tham vọng: hoàn hảo. Một hệ thống tự động, quét ở quy mô hàng trăm nghìn tài khoản, được mô tả bằng ngôn ngữ của sự gọn gàng — hoàn hảo. Nhưng sự gọn gàng đó có giá. Cái giá là một nhóm người chơi không vi phạm gì có thể nằm trong vùng rủi ro, và họ không có cách nào biết trước.

Điểm mù lớn nhất: tiêu chuẩn dựa trên ý định

Riot đặt ra một ranh giới tinh tế, và tôi phải công nhận họ làm điều này thông minh hơn hầu hết nhà phát hành khác. Họ không cấm tài khoản phụ. Tài khoản phụ do chính người chơi tạo và tự vận hành là hoạt động bình thường. Anti-Boost nhắm vào ý định thao túng thứ hạng, không nhắm vào sự tồn tại của tài khoản phụ.

Đây là một tiêu chuẩn hẹp, có chủ đích, và về mặt thiết kế luật thì đúng. Nếu bạn cấm tài khoản phụ, bạn cấm một hành vi mà phần lớn cộng đồng coi là bình thường — và bạn tạo ra một làn sóng phản đối không cần thiết. Nếu bạn cho phép tài khoản phụ nhưng nhắm vào ý định, bạn giữ được lòng dân và vẫn đánh được vào hành vi thật.

Nhưng tiêu chuẩn dựa trên ý định có một vấn đề vận hành mà không có cách thiết kế nào xóa được: nó khó áp dụng minh bạch. Một luật rõ ràng — ví dụ cấm mọi tài khoản phụ — thì dễ giải thích, dễ kiểm chứng, dễ kháng nghị. Một luật dựa trên ý định thì phải suy ra ý định từ hành vi, và suy luận luôn có sai số. Sai số đó, nhân với quy mô hàng trăm nghìn tài khoản, tạo ra một lượng lớn trường hợp nằm ở vùng xám.

Và đây là điểm tôi muốn nhấn mạnh nhất trong toàn bộ bài này: Riot vừa là bên phát hiện, vừa là bên xét xử, và không có cơ quan kháng nghị độc lập nào được mô tả trong tài liệu. Toàn bộ quyền lực quản trị nằm trong tay nhà phát hành. Điều này không có nghĩa Riot làm sai. Nó có nghĩa là khi Riot làm sai, không có cơ chế nào bên ngoài để sửa.

Trong bóng đá, khi một cầu thủ bị treo giò oan, có tòa án thể thao, có báo chí điều tra, có liên đoàn các cấp. Ở đây, chuỗi đó gộp thành một. Ai bảo esports là môn thể thao? Nó là thị trường chứng khoán không có ngày nghỉ — và sàn giao dịch đồng thời là cơ quan quản lý, là tòa án, và là bên công bố báo cáo tài chính.

Con số tự khai và vấn đề của bằng chứng không được kiểm toán

Có một chi tiết trong dữ liệu này mà giới phân tích nên xử lý cẩn thận hơn: 296.416 là con số do Riot tự công bố, không có kiểm toán độc lập. Điều đó không làm nó sai. Nó chỉ có nghĩa là chúng ta đang đọc một báo cáo tự chấm điểm.

Tệ hơn về mặt phân tích: đó là một tổng cộng dồn, không có mốc so sánh kỳ trước. Một tổng số không nói lên xu hướng. Khi bài viết gốc diễn giải con số này thành "Riot đang siết chặt hơn", đó là suy luận của người viết, không phải dữ liệu. Muốn nói siết chặt hơn, bạn cần ít nhất hai mốc thời gian. Ở đây có một.

Tôi từng học bài này theo cách đau nhất. Năm 2026, tôi viết bài nói Guangzhou R&F phải bán Eran Zahavi ngay, dựa trên lập luận rằng hệ thống phòng ngự của họ mỏng manh và đang bị che lấp bởi 27 bàn thắng của anh ta. Cuối mùa họ đứng thứ năm và thủng lưới 46 bàn — số liệu đứng về phía tôi. Nhưng tôi cũng nhớ rằng chính vì một con số đúng mà tôi đã suýt đẩy lập luận đi xa hơn dữ liệu cho phép. Một con số đúng không đồng nghĩa với một kết luận đúng về xu hướng.

Ở đây cũng vậy. 296.416 tài khoản bị xử lý là một dữ kiện. Riot đang siết chặt là một cách đọc. Hai thứ đó phải tách ra.

Và còn một điều nữa về chính con số này: nó là số tài khoản bị xử lý, không phải số tài khoản bị phát hiện đúng. Trong mọi hệ thống thực thi tự động, hai con số đó không bằng nhau. Nếu bạn đọc con số này như một thước đo hiệu quả, bạn đang đọc một chỉ số hoạt động như một chỉ số chất lượng. Đó là lỗi phân tích phổ biến nhất khi đọc báo cáo thực thi của bất kỳ tổ chức nào, từ liên đoàn thể thao tới cơ quan thuế.

72 giờ và bài học về việc đọc cái không có trong dữ liệu

Có một điều nữa trong tài liệu này mà tôi muốn nói tới, nhưng theo cách khác. Đó là kế hoạch mở rộng: Riot nói họ sẽ tiếp tục mở rộng Anti-Boost và bổ sung phát hiện dấu hiệu cày thuê ở cấp độ trận đấu. Họ thừa nhận phương pháp hiện tại chưa hoàn thiện.

Tôi đọc câu đó và nhớ tới tháng 3 năm 2026. Đại dịch đóng băng mọi sân cỏ, công ty tôi cắt 40% nhân sự, và tôi mất việc đúng lúc tên tuổi vừa lên. Trong 72 giờ tôi dựng phòng livestream tại nhà và bắt đầu chuỗi về Liverpool. 72 giờ đói ngủ dạy tôi: sân cỏ cũng là một dạng phòng tuyến chống dịch. Câu đó nghe lạc đề trong một bài về thuật toán chống cày thuê, nhưng nguyên lý thì giống: khi bạn mất đi thứ bạn dựa vào, bạn phải xây cái mới trước khi kịp hiểu mình đang mất gì.

Riot đang ở đúng tình thế đó ở quy mô lớn hơn. Họ thừa nhận cần cải thiện phát hiện, nghĩa là họ biết cuộc đua này không có đích. Kẻ cày thuê thích nghi. Hệ thống phát hiện chạy theo. Hai bên đều học. Đó là bản chất của mọi cuộc chiến chống gian lận, từ doping trong thể thao tới gian lận thuế trong kinh tế. Không ai thắng vĩnh viễn; chỉ có ai duy trì được thế cân bằng lâu hơn.

Có một chi tiết về hướng thích nghi mà tài liệu không nhắc tới, và tôi cho rằng nó sẽ là chương tiếp theo. Khi phát hiện ở cấp tài khoản và cấp trận đấu trở nên dày đặc, dòng chảy cày thuê sẽ dịch chuyển sang những kênh khó phát hiện hơn: liên lạc ngoài nền tảng, nhóm phối hợp tụt hạng có tổ chức, hoặc những hình thức trao đổi không để lại dấu vết trong hệ thống máy chủ. Đây là quy luật chung: áp lực càng lớn, hành vi càng chui sâu. Không có ngoại lệ nào trong lịch sử chống gian lận của bất kỳ ngành nào.

Điểm tôi có thể sai ở đây

Tôi phải nói rõ phần này, vì một bài chỉ trích mà không tự vấn thì chỉ là tiếng ồn.

Thứ nhất, Riot có thể đã có ngưỡng nội bộ cho mệnh đề "thường xuyên xếp hàng cùng" — họ chỉ không công bố. Nếu ngưỡng đó đủ cao, rủi ro oan sai giảm mạnh. Tôi không có dữ liệu để kết luận, và đây là điểm tôi có thể sai ở đây.

Thứ hai, rủi ro oan sai có thể nhỏ hơn tôi phóng đại. Trong thực tế, các trường hợp bị xử lý liên đới có thể đều là những đôi leo rank có quan hệ xác định, chứ không phải người lạ trùng giờ. Nếu vậy, thiết kế này hợp lý hơn tôi mô tả.

Thứ ba, tôi đang đọc một tài liệu tóm tắt. Bản gốc có thể có nhiều chi tiết về cơ chế kháng nghị mà bản tóm tắt này bỏ qua. Tôi đánh giá trên cái tôi có, không phải trên cái tồn tại.

Điều đáng nói lại

Những gì Riot làm được, xét cho cùng, nhiều hơn những gì họ chưa làm. Họ công khai một hệ thống phân loại vi phạm rõ ràng. Họ đặt ra một tiêu chuẩn dựa trên ý định, tinh tế hơn cách cấm tài khoản phụ thô thiển mà nhiều nhà phát hành khác vẫn dùng. Họ công bố con số thực thi — một hành động minh bạch mà không phải nhà phát hành nào cũng dám làm, vì công bố nghĩa là tự đặt mình vào tầm ngắm.

Nhưng có một câu hỏi mà tài liệu này không trả lời, và tôi cho rằng nó sẽ là câu hỏi định hình mười hai tháng tới: điều gì xảy ra khi một trường hợp oan sai nổi tiếng xuất hiện?

Không phải nếu. Khi. Mọi hệ thống thực thi tự động ở quy mô hàng trăm nghìn đều sẽ tạo ra ít nhất một trường hợp như vậy. Câu hỏi không phải là hệ thống có sai không, mà là khi sai, nó sửa như thế nào và trong bao lâu.

Dự đoán của tôi, và đây là dự đoán có thể kiểm chứng: trong vòng mười hai tháng tới, sẽ có ít nhất một trường hợp người chơi bị xử lý liên đới mà không trực tiếp vi phạm, được công khai trên diễn đàn cộng đồng, tạo đủ tiếng vang để Riot phải phản hồi. Nếu điều đó không xảy ra, tôi đã đánh giá sai mức độ rủi ro của mệnh đề "thường xuyên xếp hàng cùng". Nếu nó xảy ra, chúng ta sẽ biết được điều quan trọng hơn cả con số 296.416: rằng trong hệ sinh thái này, không có tòa án nào khác ngoài nhà phát hành — và đó mới là vấn đề thật sự của esports, không phải mấy tài khoản cày thuê.

Đám đông sợ sai nên chọn đội mạnh, tôi chọn đội đúng — một mình tôi biết. Ở đây tôi không chọn đội nào cả. Tôi chỉ đọc cái mệnh đề mà không ai muốn đọc lại.