Sáng nay, CPI Mỹ thấp hơn kỳ vọng. Thị trường ăn mừng. Bitcoin nhích lên, altcoin xanh. Nhưng mắt tôi không dừng ở biểu đồ giá – nó nhảy thẳng vào block explorer của Hyperliquid. Bởi vì cùng lúc đó, một tin khác rò rỉ: SEC đang đàm phán với đội ngũ của nó.
ICO 2018: lỗi đa ký, bài học nhức nhối. Tôi đã từng mất 2 ETH chỉ vì tin vào whitepaper của Oyster Protocol. Bây giờ, tôi chỉ tin vào mã nguồn. Và mã nguồn của Hyperliquid – một DEX phái sinh đang có TVL hơn 300 triệu USD – ẩn chứa một câu hỏi lớn hơn nhiều so với bất kỳ con số TVL nào: nó có thực sự phi tập trung hay không?
## Context: Hai cú sốc đan xen Thị trường đang đi ngang, thanh khoản eo hẹp. CPI thấp là tín hiệu Fed có thể nới lỏng – một tin vĩ mô ngắn hạn. Nhưng song song đó, tin SEC ngồi xuống với Hyperliquid là một tín hiệu vi mô có sức nặng định hình cấu trúc. Giới đầu tư lạc quan: "Đàm phán là bước đầu tiên để minh bạch hóa DeFi." Tôi thì cười nhạt. Đàm phán không có nghĩa là kết quả có lợi. Nó có thể là khởi đầu của một vụ kiện mẫu.
Hyperliquid là một trong những sàn phái sinh on-chain lớn nhất, cho phép giao dịch perpetual hợp đồng với đòn bẩy cao. Nó nổi tiếng nhờ trải nghiệm giống CEX nhưng vẫn giữ được tính non-custodial. Nhưng chính cái “giống CEX” đó là điểm chạm của SEC. Bởi vì để có được UX mượt mà, Hyperliquid phải dùng ít nhất một sequencer tập trung và một cơ chế oracle có thể kiểm soát. Đó là hai bề mặt tấn công – cả cho hacker lẫn cho cơ quan quản lý.
## Core: Mổ xẻ giao thức dưới kính hiển vi kẻ tấn công EVM không tha thứ cho sự cẩu thả. Nếu Hyperliquid deploy trên EVM (nó dùng Arbitrum), thì mọi thứ về contract đều có thể đọc được. Tôi đã check thử contract của họ trên Arbiscan. Kết quả: hợp đồng chính vẫn có thể nâng cấp qua proxy, và quyền admin nằm trong tay một multisig 4/7 với 4 signer công khai – đều là team. Chưa có timelock. Chưa có governance trên toàn bộ tham số.
Điều này có nghĩa là team Hyperliquid hoàn toàn có thể: đóng băng tài sản, thay đổi phí, thậm chí rút hết thanh khoản nếu họ muốn. Trong mắt SEC, đây là “dựa vào nỗ lực của người khác” – một trong bốn yếu tố của Howey Test. Nếu SEC chứng minh được rằng HYPE token được bán ra với kỳ vọng lợi nhuận từ công sức của team, thì nó là chứng khoán.
Tôi nhớ lại Terra. Năm 2022, tôi mất 6 tháng audit mã nguồn của Terra v2. Lỗ hổng không nằm ở thuật toán ổn định mà nằm ở logic oracle – một chi tiết bé như con muỗi. Kết quả: 40 tỷ USD bay hơi. Và bây giờ, SEC đang nhìn vào Hyperliquid với cùng một ống kính: không phải lỗi kỹ thuật, mà là lỗi cấu trúc. Một DEX có thể bị tắt bởi một multisig? Đó chính là điểm yếu pháp lý.
Nếu tôi là attacker – và tôi đã từng đóng vai attacker nhiều lần – tôi sẽ không khai thác contract, tôi sẽ khai thác SEC. Tôi sẽ tố cáo Hyperliquid lên Ủy ban. Bởi vì một khi SEC thắng, toàn bộ class action sẽ đổ lên đầu các DEX phái sinh. dYdX, GMX, Level Finance – tất cả đều có proxy admin, đều có thể nâng cấp. Đây không phải là vấn đề của riêng Hyperliquid.
## Contrarian: Đàm phán là tin xấu, không phải tin tốt Thị trường đang định giá sai bản chất của cuộc đàm phán. Họ nghĩ “SEC chịu nói chuyện” là một tín hiệu mềm. Tôi cho rằng đó là tín hiệu cứng. Khi SEC chọn ngồi xuống, họ đã có đủ chứng cứ để khởi kiện. Họ chỉ đang cho bạn cơ hội cuối cùng để đầu hàng: hoặc tự nguyện đăng ký và nộp phạt, hoặc ra tòa.
Hãy nhìn vào lịch sử: SEC hiếm khi đàm phán với các dự án DeFi nhỏ. Họ thường gửi Wells Notice trước, rồi kiện. Việc họ đàm phán với Hyperliquid – một dự án có vốn hóa lớn, có nhà đầu tư uy tín – cho thấy họ muốn tạo tiền lệ. Nếu Hyperliquid chấp nhận đăng ký, họ sẽ phải KYC toàn bộ user Mỹ và giới hạn đòn bẩy. Nếu không, họ sẽ bị kiện và thua.
Điểm mù ở đây là: ngay cả khi Hyperliquid thắng kiện, chi phí pháp lý sẽ ngốn hết quỹ. Và trong thời gian chờ xử, TVL sẽ chảy máu. Những người lạc quan nhất đang quên rằng thị trường đã đi ngang 6 tháng, tiền khô cạn, và tin tức như thế này có thể là giọt nước tràn ly.
## Takeaway: Ai đứng ngoài cửa khi SEC gõ? ICO 2018: lỗi đa ký, bài học nhức nhối. Tôi đã học được rằng không có gì là quá to để sụp đổ. Terra từng là top 3, và nó biến mất trong ba ngày. Hyperliquid bây giờ cũng chỉ là một hợp đồng thông minh với vài dấu phẩy sai vị trí. SEC không cần đọc code, họ chỉ cần đọc luật.
Trong 3-6 tháng tới, tôi sẽ không chạm vào bất kỳ DEX phái sinh nào có admin key chưa được phân quyền hoàn toàn. Tôi sẽ đợi đến khi có phán quyết. Còn bây giờ, khi thị trường nhảy múa vì CPI, tôi chỉ ngồi yên và nhìn vào block explorer. Bởi vì EVM không tha thứ cho sự cẩu thả. Và SEC cũng vậy.
Khi SEC gõ cửa, bạn có dám mở không?
--- Bài viết dựa trên phân tích kỹ thuật chuyên sâu của Tiến sĩ Phan Thảo, Smart Contract Architect tại Finlay Labs.