Tuần này, Standard Chartered Bank Hong Kong vừa công bố HKDAP – một stablecoin neo theo HKD do họ dẫn dắt cùng đối tác Anquick Finance. Cái tên này không ồn ào như một Layer 1 mới, cũng chẳng có token airdrop để FOMO. Nhưng nó đánh dấu một cột mốc: ngân hàng lớn nhất Hồng Kông chính thức bước vào sân chơi mà trước đây chỉ có Tether, Circle và các gã khổng lồ crypto thuần túy. Và tôi, một kẻ đã từng audit code Bancor năm 2017, viết bot flash loan mất $1,200 ETH vì sandwich attack, cảm thấy một điều gì đó rất cũ đang quay trở lại: sự tập trung hóa dưới lớp vỏ bọc ‘tuân thủ’.
Hãy cùng mổ xẻ HKDAP từ góc nhìn của một Smart Contract Architect đã sống qua cả 2017 lẫn DeFi Summer. Bạn sẽ thấy nó không chỉ là một stablecoin, mà còn là một phép thử cho tương lai của tiền kỹ thuật số có quản lý – và những rủi ro mà thị trường đang lờ đi.
Bối cảnh: Cơn sốt stablecoin được quản lý tại Hồng Kông Từ cuối 2024, Hong Kong Monetary Authority đã cấp phép cho một số tổ chức phát hành stablecoin, trong đó có Standard Chartered và HSBC. HKDAP là sản phẩm cụ thể đầu tiên sắp ra mắt từ nhóm được cấp phép. Về cơ bản, nó là một ERC-20 token (rất có thể) được phát hành trên Ethereum hoặc một L2 như Arbitrum, với mỗi HKDAP được hỗ trợ 1:1 bởi HKD trong tài khoản ký quỹ tại Standard Chartered. Cơ chế mint và burn đơn giản: người dùng gửi HKD vào tài khoản ngân hàng của Anquick Finance, nhận lại HKDAP trên chuỗi; quy trình ngược lại cho redeem.
Theo bài báo gốc, nhà phát hành cam kết tuân thủ các yêu cầu của HKMA về dự trữ tài sản, kiểm toán định kỳ, và KYC/AML. Điểm khác biệt chính so với USDT/USDC là stablecoin này được neo vào HKD thay vì USD, và được hậu thuẫn bởi một ngân hàng có hệ thống thay vì một công ty crypto riêng lẻ.
Mổ xẻ kỹ thuật: Cốt lõi của HKDAP Phân tích dựa trên kinh nghiệm audit của tôi
Đầu tiên, hãy nói về cái mà tôi gọi là ‘trust assumption’. Với USDT, bạn tin Tether có đủ dự trữ (hoặc không, tùy màu sắc). Với USDC, bạn tin Circle và các kiểm toán viên của họ. Với DAI, bạn tin vào các oracle, CDP, và thanh lý tự động. Với HKDAP, bạn tin… Standard Chartered Bank Hong Kong. Đó là một tổ chức tài chính hạng nhất, nhưng point là: nó hoàn toàn tập trung. Không có cơ chế on-chain nào để xác minh dự trữ. Bạn chỉ có một chứng nhận giấy từ một công ty kiểm toán (rất có thể là Big Four). Điều này đưa HKDAP trở về với mô hình của những ngày đầu crypto: một IOU từ một thực thể trung tâm.
Lỗ hổng tiềm ẩn lớn nhất mà tôi nhìn thấy nằm ở smart contract. Dựa trên bài báo, không có thông tin về audit hợp đồng. Nếu Anquick Finance chưa thuê một công ty audit uy tín như Trail of Bits hay OpenZeppelin, thì việc lên mainnet là một canh bạc. Tôi đã từng phát hiện 2 lỗi reentrancy khi audit Bancor năm 2017 – những lỗi mà nếu không được sửa, có thể dẫn đến mất toàn bộ token. Một stablecoin không nên có bất kỳ lỗi nào ở tầng smart contract, vì nó là nơi chứa giá trị hàng trăm triệu USD.
Hãy nhìn vào khả năng nâng cấp. Hầu hết các stablecoin tập trung đều sử dụng proxy pattern (UUPS hoặc Transparent) để có thể cập nhật logic, chẳng hạn như thêm danh sách đen. Điều này là cần thiết cho việc tuân thủ pháp lý, nhưng đồng thời tạo ra một vector tấn công nếu private key của admin bị lộ. Tôi từng thấy một trường hợp admin key bị leak trong dự án NFT Marketplace Mintable (tôi đã audit nó) và suýt mất control. HKDAP cần có multisig với ít nhất 5/7 thành viên, và lý tưởng nhất là có time lock 72 giờ cho bất kỳ thay đổi nào. Nhưng liệu Standard Chartered có chấp nhận điều đó? Có thể không, vì họ cần phản ứng nhanh với các yêu cầu từ cơ quan quản lý.
Một chi tiết kỹ thuật khác: gas cost. Nếu HKDAP được phát hành trên Ethereum mainnet, việc mint và burn với số lượng nhỏ sẽ tốn kém vào lúc tắc nghẽn. Nhưng nếu nó được phát hành trên một L2 (ví dụ Arbitrum hoặc Optimism), thì phí sẽ thấp hơn. Tuy nhiên, dữ liệu blob post-Dencun sẽ bão hòa trong vòng hai năm, và khi đó phí gas của mọi rollup sẽ tăng gấp đôi. Đây là một rủi ro lâu dài cho bất kỳ stablecoin nào chọn L2 làm nơi phát hành chính.
Mô hình lãi suất của các giao thức DeFi như Aave, Compound hiện tại hoàn toàn tùy tiện – chẳng liên quan gì đến cung-cầu thị trường thực. HKDAP khi được sử dụng trong các pool lending trên Aave sẽ phải đối mặt với lãi suất được điều chỉnh bởi thuật toán chứ không phải thị trường thực sự. Điều đó có thể tạo ra chênh lệch giá và cơ hội arbitrage, nhưng cũng đồng nghĩa với việc nếu HKDAP không có đủ thanh khoản, rate sẽ rất dễ biến động.
Góc nhìn trái chiều: Điểm mù bảo mật mà ai cũng bỏ qua Trong khi truyền thông chỉ tập trung vào ‘ngân hàng lớn nhất Hong Kong’ và ‘tuân thủ pháp lý’, tôi thấy một điểm mù lớn: Delegation làm governance tập trung hơn – người dùng quá lười tìm hiểu và chỉ ủy quyền cho KOL. Tương tự, với HKDAP, người dùng sẽ ‘ủy thác’ niềm tin của họ cho Standard Chartered, vì nghĩ rằng một ngân hàng lớn có nghĩa là an toàn. Nhưng lịch sử đã chứng minh: các ngân hàng cũng có thể sụp đổ (Lehman Brothers, SVB). Nếu Standard Chartered gặp vấn đề thanh khoản, HKDAP có thể mất peg tạm thời. Và khi đó, không có một DAO hay pool thanh lý nào để can thiệp. Bạn chỉ có thể ngồi chờ chính phủ Hong Kong ra tay.
Một vấn đề khác: tính thanh khoản chéo giữa HKDAP và các stablecoin khác. Khi mới lên sàn, rất ít sàn phi tập trung (DEX) có pair HKDAP-USD. Nếu người dùng muốn đổi HKDAP sang USDT, họ phải qua một sàn tập trung (CEX) như OSL hay HashKey, nơi có thể tính phí cao hơn. Điều này làm giảm utility của HKDAP so với USDT vốn có thanh khoản sâu trên Uniswap. Kinh nghiệm của tôi với bot flash loan cho thấy: một stablecoin không có thanh khoản on-chain sẽ bị sandwich attack nếu ai đó cố gắng swap một lượng lớn. Và nếu HKDAP không có bất kỳ AMM pool đáng kể nào, các giao dịch lớn sẽ dễ bị front-run.
Kết luận: Dự báo lỗ hổng HKDAP sẽ thành công trong việc phục vụ các giao dịch tổ chức, thanh toán thương mại, và tuân thủ quy định. Tôi đặt cược rằng trong 6 tháng đầu, nó sẽ đạt ít nhất 100 triệu HKD lưu thông. Nhưng người dùng retail DeFi sẽ gần như không chạm vào nó, trừ khi có incentive lớn từ các giao thức cho vay. Hãy nhìn câu chuyện của GUSD – Gemini Dollar: được hỗ trợ bởi Winklevoss và New York DFS, nhưng gần như không ai dùng. Lý do là vì nó không có cộng đồng, không có DeFi summer vibe, và người dùng crypto vốn hoài nghi về stablecoin tập trung.
DeFi Summer không chờ kẻ chậm chân. Nếu Standard Chartered muốn HKDAP trở thành một phần của DeFi toàn cầu, họ phải tạo ra các pool thanh khoản mạnh mẽ, audit hợp đồng công khai, và chấp nhận rủi ro bị fork – điều mà một ngân hàng truyền thống khó có thể làm. Và nếu họ không làm, HKDAP sẽ chỉ là một công cụ tài chính bóng tối cho giới giàu có Hong Kong, không hơn.
