BlockSec cảnh báo rủi ro KYC và quyền quản trị trong hợp đồng thông minh HKDAP

Hợp đồng thông minh trên mạng chính Ethereum (ETH) của stablecoin neo giá đô la Hồng Kông HKDAP vừa bị cảnh báo về rủi ro bảo mật và tuân thủ liên quan đến xác minh danh tính khách hàng (KYC) và quyền quản trị. Vấn đề không nằm ở tài sản dự trữ hay cơ chế neo giá, mà ở cách các cơ chế kiểm soát cốt lõi của mô hình stablecoin cấp phép này thực sự vận hành trên hợp đồng thông minh.

Theo WuBlockchain đưa tin lúc 17 giờ 22 ngày 14 (giờ Hàn Quốc), công ty bảo mật blockchain BlockSec sau khi rà soát hợp đồng của HKDAP đã chỉ ra hàng loạt vấn đề về bảo mật và tuân thủ. BlockSec nêu ba điểm chính: cơ chế thu hồi KYC hoạt động không hiệu quả, bằng chứng KYC không được xác minh on-chain, và một số quyền có mức độ rủi ro cao bị tập trung quá mức.

BlockSec cho rằng một số thao tác của HKDAP như phát hành thêm, đóng băng, tạm dừng và đốt cưỡng chế token có thể được thực hiện chỉ bởi một vai trò duy nhất. Đơn vị này cũng chỉ ra quy trình quản trị của dự án thiếu cơ chế khóa thời gian (time-lock).

Quy trình KYC là cơ chế giới hạn chỉ những người dùng và ví đã được phê duyệt mới có thể thao tác với token trong mô hình stablecoin cấp phép. Nếu quy trình này chỉ dừng ở yêu cầu trên giấy tờ mà không được xác minh ở khâu thực thi on-chain, sẽ xuất hiện khoảng cách giữa cấu trúc tuân thủ mà tổ chức phát hành công bố và cách hợp đồng thực sự vận hành.

Cơ chế thu hồi KYC gắn liền với chức năng hủy hoặc hạn chế tư cách của người dùng đã được phê duyệt trước đó. Nếu cơ chế thu hồi không hoạt động đúng, những địa chỉ ví không còn đủ điều kiện vẫn có thể tiếp tục truy cập các chức năng của token.

Quyền quản trị cũng quan trọng không kém. Phát hành, đóng băng, tạm dừng và đốt cưỡng chế là những chức năng mà tổ chức phát hành stablecoin nắm giữ để tuân theo chỉ đạo của cơ quan quản lý hoặc xử lý giao dịch bất hợp pháp, nhưng nếu quyền này bị tập trung vào phạm vi quá hẹp, sai sót vận hành hoặc lỗ hổng kiểm soát nội bộ có thể ảnh hưởng trực tiếp đến tài sản của người dùng.

Trong sách trắng, Anchorpoint Financial mô tả HKDAP là stablecoin được thiết kế neo giá 1:1 với đô la Hồng Kông. Sách trắng cho biết HKDAP được triển khai đầu tiên trên Ethereum, với hợp đồng thông minh đảm nhiệm các chức năng phát hành, đốt, whitelist, blacklist và quản trị.

Sách trắng cũng nêu rằng không một cá nhân nào có thể đơn phương ký hoặc thực thi giao dịch trên hợp đồng thông minh, đồng thời áp dụng cơ chế đa chữ ký (multi-signature) và phân tách nhiệm vụ. Vấn đề mà BlockSec nêu ra chính là mức độ khớp nhau giữa mô tả này với cấu trúc quyền hạn thực tế trên chuỗi.

Anchorpoint là liên doanh có sự tham gia của Standard Chartered Hong Kong, HKT (Hong Kong Telecommunications) và Animoca Brands. Trong thông báo ngày 10 tháng 4, Standard Chartered cho biết Anchorpoint là một trong hai đơn vị đầu tiên được Cơ quan Quản lý Tiền tệ Hồng Kông (HKMA) cấp phép phát hành stablecoin.

Sách trắng của Anchorpoint ghi rõ số giấy phép FRS01 và thời điểm được cấp phép phát hành là ngày 10 tháng 4. Trong bối cảnh Hồng Kông đẩy mạnh triển khai chế độ stablecoin cấp phép, cả cơ chế kiểm soát nội bộ lẫn cấu trúc quyền hạn trong hợp đồng thông minh của tổ chức phát hành đều trở thành đối tượng cần được kiểm chứng.

Stablecoin cấp phép thường kết hợp các cơ chế off-chain như tài sản dự trữ, đơn vị phân phối được ủy quyền, KYC, giới hạn ví, cùng với hợp đồng thông minh on-chain. Điểm tiếp xúc của người dùng nằm ở các tổ chức tài chính hoặc kênh phân phối được phê duyệt, nhưng quyền phát hành, đốt và đóng băng thực tế lại được thực thi thông qua mã hợp đồng và khóa quản trị.

Điểm đáng chú ý là cấu trúc phân phối của stablecoin cấp phép tại Hồng Kông. TokenPost từng đưa tin rằng HKDAP không được phát hành trực tiếp cho nhà đầu tư cá nhân mà được phân phối thông qua các đối tác được phê duyệt.

Sau đó có thêm thông tin cho biết Anchorpoint và HashKey Exchange đã bắt đầu phân phối HKDAP cho nhà đầu tư tổ chức và hoàn tất giao dịch phát hành, hoàn trả đầu tiên. Sau khi việc phân phối cho tổ chức và nhà đầu tư chuyên nghiệp được khởi động, cấu trúc kiểm soát của hợp đồng lại trở thành đối tượng cần được xác minh thêm.

Trên thị trường stablecoin, tài sản dự trữ là yếu tố cốt lõi giải thích cho sự ổn định giá, nhưng với mô hình cấp phép, ai được nhận token và ai có quyền dừng giao dịch cũng quan trọng không kém. KYC và quyền đóng băng vừa là công cụ tuân thủ quy định, vừa là thước đo cho quyền lợi người dùng và mức độ minh bạch trong vận hành.

Tranh cãi lần này tập trung vào cách kiểm soát hợp đồng thông minh, chứ không phải vào tài sản dự trữ hay việc neo giá đô la Hồng Kông của HKDAP. Mức độ ảnh hưởng đến việc phân phối và ứng dụng trong tài chính doanh nghiệp của HKDAP sẽ cần thêm giải trình từ tổ chức phát hành và các cơ quan liên quan để làm rõ.

Nguồn tham khảo: bài gốc của WuBlockchain, sách trắng HKDAP của Anchorpoint, thông báo chính thức của Standard Chartered.