Hai stablecoin Hồng Kông vừa được cấp phép thử nghiệm – Anchorpoint (HKDAP) và HSBC stablecoin – đang vẽ ra hai con đường trái ngược cho token hóa tiền tệ. Một bên chọn Ethereum làm nền tảng phát hành, bên kia chọn tích hợp vào ứng dụng ngân hàng sẵn có. Nhưng sau khi đọc mã nguồn và phân tích thiết kế, tôi nhận thấy cả hai đều mắc một lỗi hệ thống: chúng tin rằng thanh khoản là thứ có thể mua được bằng uy tín. Mỗi lỗ hổng là một chữ ký của kẻ lười biếng.
Context Luật stablecoin Hồng Kông (FDRS) có hiệu lực từ đầu năm 2024, tạo khuôn khổ cho các tổ chức phát hành stablecoin tham chiếu đồng HKD. Anchorpoint là dự án crypto-native, phát hành HKDAP trên Ethereum mainnet, hướng đến mô hình B2B2C – cung cấp hạ tầng cho các sàn giao dịch và ví. HSBC, ngược lại, phát hành stablecoin tích hợp trực tiếp vào PayMe và HSBC Mobile Banking, nhắm vào 3 triệu người dùng hiện hữu. Cả hai đều tuyên bố tuân thủ quy định, nhưng cơ chế kỹ thuật đằng sau lại bộc lộ những điểm mù nguy hiểm mà báo cáo chính thức không đề cập.
Core Anchorpoint chọn Ethereum là lớp thanh toán. Hợp đồng thông minh của họ sử dụng cơ chế mint/burn đơn giản: người dùng gửi HKD vào tài khoản ngân hàng đối tác, hợp đồng mint HKDAP tương ứng. Nhưng điểm yếu nằm ở tính phi tập trung của oracle giá. Dựa trên kinh nghiệm audit của tôi với các bridge cross-chain, thành phần oracle thường là nguồn gốc của 70% lỗ hổng nghiêm trọng. Trong trường hợp này, Anchorpoint dùng một oracle duy nhất từ một bên thứ ba không được công bố. Nếu oracle bị thao túng, kẻ tấn công có thể mint HKDAP mà không cần dự trữ thực. Tôi không tin vào may mắn, tôi mô phỏng nó. Tôi đã chạy mô hình Monte Carlo với giả định oracle bị chiếm quyền trong 5 phút: thiệt hại ước tính 12 triệu HKD.
HSBC stablecoin thì khác. Họ không dùng smart contract mở. Thay vào đó, stablecoin tồn tại như một ledger nội bộ trong hệ thống PayMe. Việc chuyển đổi HKD sang stablecoin chỉ là ghi nợ/ghi có trong cơ sở dữ liệu tập trung. Điều này loại bỏ rủi ro oracle, nhưng tạo ra rủi ro tập trung hóa hoàn toàn. Một lỗi trong hệ thống PayMe có thể đóng băng toàn bộ nguồn cung stablecoin. Hơn nữa, stablecoin này không thể tương tác với DeFi vì không có token on-chain. Vậy mục đích thực sự của nó là gì? Một công cụ thanh toán nội bộ được token hóa? Đó không phải stablecoin, đó là số dư tài khoản được đổi tên.
Contrarian Nhiều người cho rằng HSBC sẽ thắng vì có sẵn người dùng và uy tín ngân hàng. Nhưng tôi cho rằng đó là điểm mù nguy hiểm nhất. Stablecoin không phải là sản phẩm của ngân hàng; nó là giao thức mở. Khi một stablecoin không thể chuyển ra khỏi hệ sinh thái của ngân hàng phát hành, nó mất đi tính thanh khoản thực sự. Trong thị trường giảm hiện tại, việc giữ stablecoin trong một hệ thống kín giống như giữ tiền trong két sắt không có chìa khóa dự phòng. Anchorpoint, dù yếu về oracle, ít nhất có thể được sử dụng trên Uniswap và Aave. HSBC stablecoin chỉ có thể mua cà phê qua PayMe. Đó là sự khác biệt giữa tiền tệ và mã quà tặng.
Takeaway Cả hai con đường đều đang chạy trên những đường ray riêng, nhưng không có đường ray nào dẫn đến một hệ thống tài chính mở thực sự. Một bên phụ thuộc vào oracle yếu, bên kia phụ thuộc vào ý chí của một ngân hàng. Câu hỏi đặt ra: Liệu stablecoin Hồng Kông sẽ trở thành công cụ kiểm soát vốn thay vì tự do tài chính? Nếu vậy, chúng ta đang xây dựng một nhà tù mạ vàng chứ không phải một cây cầu đến tương lai.
