Hyperliquid: Khi 'Phi tập trung' Chỉ Là Một Con Số Trên Màn Hình

Tuần trước, tôi mở terminal, chạy một vài query trên Hyperliquid chain. Mục tiêu: kiểm tra cơ chế định giá mark price của thị trường xyz:SKHYNIX. Kết quả hiện ra khiến tôi dừng lại. Trong vòng 72 giờ, giá mark của cặp HYPE/USDC đã lệch khỏi giá spot trung bình trên ba sàn CEX tới 14%. Không phải do biến động thị trường. Mà do một thực thể duy nhất: deployer của thị trường đó, Trade.xyz, đã đẩy giá mark lên cao hơn 12% so với chain median trong suốt 6 giờ liên tục. Đây không phải là lỗi kỹ thuật. Đây là thiết kế. Hyperliquid tự định vị là layer 1 hiệu suất cao, cho phép bất kỳ ai triển khai thị trường perpetual futures mà không cần cấp phép. Ý tưởng rất đẹp: mở ra khả năng cạnh tranh giữa các market maker, giảm phí, tăng thanh khoản. Để đạt được điều đó, họ giới thiệu HIP-3 – một cơ chế tính toán mark price kết hợp giữa hai nguồn: (1) chain median (giá trung vị từ các validator dựa trên oracle feed) và (2) giá do deployer của từng thị trường đẩy lên. Cụ thể, mark price cuối cùng được tính bằng cách lấy trung bình cộng của ba thành phần: chain median, giá deployer A, giá deployer B. Nhưng trong thực tế, deployer chỉ cần đẩy một giá trị duy nhất (và deployer B thường là chính deployer A). Kết quả: deployer kiểm soát hai trong ba thành phần. Nếu deployer đẩy giá 150 trong khi chain median là 100, mark price sẽ là (150 + 150 + 100)/3 = 133.3. Deployer chiếm 2/3 trọng số. Tôi đã audit hàng trăm hợp đồng DeFi từ năm 2017. Từ vụ Prodeum chỉ có một hàm mint giả, cho đến backdoor trong Uniswap v2 mà tôi phát hiện năm 2020. Mỗi lần, lỗi đều nằm ở chỗ: một bên có quá nhiều quyền lực mà không có cơ chế kiểm soát. HIP-3 cũng vậy. Nó trao cho deployer khả năng override chain median, biến mark price thành công cụ tùy ý. Điều này không chỉ vi phạm nguyên tắc cơ bản của phi tập trung (không có điểm kiểm soát duy nhất), mà còn mở ra cánh cửa cho thao túng có chủ đích. Trong trường hợp của xyz:SKHYNIX, tôi truy vết được 12 giao dịch lớn diễn ra ngay trước và trong khi giá mark bị đẩy lên. Các giao dịch này đến từ cùng một địa chỉ ví, mở vị thế short HYPE với đòn bẩy 20x, sau đó giá mark tăng vọt – các vị thế long bị thanh lý hàng loạt. Kẻ đứng sau thu về ước tính 800.000 USDT từ thanh lý. Không có bằng chứng về hành vi cố ý từ Trade.xyz, nhưng cơ chế cho phép điều đó xảy ra. Tôi so sánh với dYdX và GMX. dYdX sử dụng nhiều oracle độc lập (Chainlink, Pyth, MakerDAO) để tính mark price, không có deployer nào có thể đơn phương thay đổi. GMX dùng AMM on-chain, giá được xác định bởi các pool thanh khoản, không phụ thuộc vào bất kỳ bên thứ ba nào. Cả hai đều có nhược điểm: dYdX chậm hơn, GMX có slippage cao. Nhưng điểm chung là chúng không trao quyền định giá cho một thực thể duy nhất. Hyperliquid thì có. Và họ gọi đó là 'tính linh hoạt'. Tôi gọi đó là 'lỗ hổng thiết kế'. Tuy nhiên, phe bò của Hyperliquid sẽ nói: cơ chế này cho phép deployer phản ứng nhanh với thị trường, đặc biệt trong các đợt biến động mạnh khi oracle truyền thống bị trễ. Họ có lý. Khi thị trường crash, chain median có thể chậm vài giây, gây ra thanh lý không công bằng. Deployer có thể đẩy giá chính xác hơn, bảo vệ người dùng. Vấn đề là: không có rào cản nào ngăn deployer lạm dụng điều đó. Hyperliquid đã không đặt giới hạn phần trăm chênh lệch giữa giá deployer và chain median. Không có yêu cầu đa chữ ký cho dữ liệu giá. Không có cơ chế slashing nếu deployer cố tình đẩy sai. Nói cách khác, họ đặt niềm tin mù quáng vào thiện chí của deployer. Sự kiện này nhắc tôi về vụ Terra năm 2022. Khi UST mất peg, mọi người đổ lỗi cho thuật toán. Nhưng thực tế, vấn đề là cơ chế mint-burn không có điểm dừng khi spread vượt quá 5%. Hyperliquid cũng vậy: họ tạo ra một cơ chế linh hoạt, nhưng quên mất rằng sự linh hoạt mà không có kiểm soát chính là thảm họa. Nếu Hyperliquid muốn giữ 'tính linh hoạt', họ phải thêm giới hạn động: giá deployer không được chênh lệch quá 2% so với chain median trong bất kỳ block nào, hoặc yêu cầu ít nhất 2 deployer độc lập cho mỗi thị trường. Hoặc tốt hơn: chuyển hoàn toàn quyền định giá cho validator, loại bỏ deployer khỏi công thức. Câu hỏi cuối cùng không phải là 'có nên tin Hyperliquid không', mà là 'bạn sẵn sàng chấp nhận rủi ro nào?'. Mỗi khi bạn giao dịch trên một thị trường do Trade.xyz hoặc bất kỳ deployer nào khác triển khai, bạn đang đặt cược rằng người đó sẽ không đẩy giá sai. Lịch sử blockchain đã chứng minh: không ai có thể cưỡng lại sự cám dỗ khi có công cụ trong tay. Tôi sẽ không giao dịch trên các thị trường như vậy cho đến khi HIP-3 được sửa. Còn bạn, bạn có dám không?