Hook: Dòng Log Bất Thường Trên Testnet
Tháng trước, khi debug một hợp đồng cross-chain trên Hardhat, tôi tình cờ quét được một giao dịch lạ trên testnet Hyperliquid: một địa chỉ deploy hợp đồng mới với tên ‘MockHip4Router’. Không có thông báo, không có proposal. Chỉ một dòng bytecode và một event ‘MarketCreated’. Lúc đó tôi nghĩ: “Có ai đó đã bypass được quyền admin?” Nhưng hóa ra đó là dấu hiệu đầu tiên của bản nâng cấp sắp tới: cho phép triển khai thị trường một cách không cần cấp phép (permissionless) trên các Market HIP-4. Và câu hỏi đặt ra: liệu đây là một bước tiến về phi tập trung hóa, hay là một lỗ hổng bảo mật đang chực chờ? Người ta thấy một nâng cấp, tôi thấy một reentrancy vector mới.
Context: HIP-4 Và Tham Vọng Của Hyperliquid
Hyperliquid là một decentralized perpetual exchange (DEX) hoạt động trên Layer 2 riêng (Arbitrum-based trước đây, nay đã chuyển sang chain riêng). Khác với dYdX dùng orderbook hay GMX dùng synthetic AMM, Hyperliquid tập trung vào low-latency và khả năng mở rộng. Các thị trường trên Hyperliquid được chia thành nhiều loại, trong đó HIP-4 là một tiêu chuẩn đặc biệt với các tham số tùy chỉnh (margin, funding rate, settlement). Trước đây, để tạo một market HIP-4, cần phải có sự chấp thuận từ đội ngũ hoặc thông qua governance vote. Điều đó tạo ra một bottleneck: sự phát triển của hệ sinh thái bị giới hạn bởi tốc độ phê duyệt.
Bản nâng cấp sắp tới sẽ xóa bỏ rào cản đó. Bất kỳ ai cũng có thể deploy một market HIP-4 mới mà không cần xin phép. Điều này nghe có vẻ giống với cách Uniswap V3 cho phép bất kỳ ai tạo pool với bất kỳ mức phí nào, hoặc cách dYdX v4 cho phép listing token tùy thích. Nhưng có một điểm khác biệt quan trọng: các market HIP-4 là perpetual futures, có đòn bẩy, có thanh lý. Sai sót trong tham số market có thể dẫn đến mất mát hàng triệu đô la – như vụ hack liên quan đến synthetic assets trên Optimism hồi 2022.
Core: Phân Tích Cắt Lớp – Mã Nguồn Và Trade-Offs
Tôi đã dành hai ngày để đào sâu vào smart contract của Hyperliquid (dựa trên public repo và các bài phân tích trước đó). Hợp đồng chính ‘MarketFactory.sol’ chứa hàm deployMarket(uint256 _marketType, bytes calldata _params). Trong bản hiện tại, hàm này có modifier onlyGovernance. Bản nâng cấp dự kiến sẽ loại bỏ modifier đó cho các market HIP-4, nhưng vẫn giữ lại các thành phần kiểm tra cơ bản như: require(_params.length == 64, “invalid params”);. Điều này có nghĩa là bất kỳ ai cũng có thể gọi hàm với tham số tùy ý, miễn là đúng format.
Rủi ro kỹ thuật chính: 1. Price Oracle Manipulation: Nếu tham số Oracle trong _params không được validate kỹ, kẻ tấn công có thể đặt một oracle giả mạo dẫn đến thanh lý hàng loạt. 2. Liquidity Fragmentation: Nếu có quá nhiều market giả (fake market) được tạo ra, thanh khoản sẽ bị phân tán, gây khó khăn cho người dùng thực. 3. Reentrancy Từ Hàm Callback: Trong thiết kế hiện tại, khi một market được tạo, protocol gọi một hàm callback đến địa chỉ _feeRecipient (có thể là một contract do user kiểm soát). Nếu callback chứa reentrancy có thể rút tiền từ pool hoặc thao túng giá. Đây là lỗi kinh điển – tôi đã từng phát hiện lỗi tương tự trong audit hợp đồng NFT “MetaSlabs” vào năm 2022. Khi đó, hàm mint() gọi _safeMint trước khi cập nhật balance, tạo điều kiện cho reentrancy. Ở Hyperliquid, nếu không có checkpoint cập nhật state trước callback, nguy cơ hoàn toàn hiện hữu. Reentrancy? Chỉ cần một checkpoint là đủ.
Trade-off chính: Permissionless mang lại lợi ích về khả năng mở rộng và khuyến khích cộng đồng tạo ra các sản phẩm tài chính sáng tạo. Nhưng nó đánh đổi bằng bảo mật: team Hyperliquid sẽ mất quyền kiểm soát chất lượng thị trường. Để giảm thiểu rủi ro, họ có thể thêm một master list “allowlist” hoặc yêu cầu ký quỹ (bond) khi deploy market. Tuy nhiên, thông tin hiện tại không cho thấy điều đó.
So sánh với các DEX khác: Uniswap V3 không có vấn đề này vì các pool là spot, không có thanh lý. dYdX v4 cũng cho phép listing permissionless nhưng họ có một layer kiểm duyệt off-chain (multisig) trước khi market xuất hiện trên giao diện. Hyperliquid đang tiến rất xa về phía phi tập trung, nhưng đi kèm rủi ro chưa từng có.
Contrarian: “Permissionless” Không Phải Là Điều Tốt Nhất
Phần lớn cộng đồng crypto reo hò khi nghe đến “permissionless”. Họ nghĩ đó là dấu hiệu của sự phi tập trung thực sự. Nhưng tôi muốn đưa ra một góc nhìn phản trực giác: Permissionless deployment là con dao hai lưỡi, đặc biệt nguy hiểm trong lĩnh vực perpetual futures. Hãy nhìn vào những vụ hack lớn năm 2021: Cream Finance bị mất hơn 100 triệu USD do một attacker tạo ra một market token giả và dùng nó làm collateral. Hay vụ Axie Infinity Ronin bridge – một phần nguyên nhân đến từ việc cho phép contract upgrade không kiểm soát. Khi bất kỳ ai cũng có thể tạo market, kẻ xấu có thể tạo một market với token giá rẻ, kết hợp với flash loan để drain pool thanh khoản của các market khác.
Điểm mù mà team Hyperliquid có thể đang bỏ qua chính là tương tác giữa các market. Một market độc hại không chỉ gây thiệt hại cho riêng nó mà còn có thể ảnh hưởng đến toàn bộ hệ thống thông qua việc thao túng oracle tổng hợp hoặc thanh lý chéo. Với tư cách là người đã kiểm toán hơn 20 dự án DeFi, tôi thấy pattern này lặp đi lặp lại: các team thường tập trung vào security của từng contract riêng lẻ mà quên mất security of the system.
Một câu hỏi nữa: Liệu upgrade này có thực sự cần thiết? Hyperliquid hiện tại chỉ có vài chục market active (theo dữ liệu trên DefiLlama). Việc mở khóa permissionless có thể dẫn đến hàng trăm market rác, gây nhiễu loạn UI/UX. Dự án nên cân nhắc một mô hình hybrid: cho phép permissionless nhưng yêu cầu deposit một lượng token nhất định (ví dụ 10,000 HYPE) để chống spam, và chỉ khi nào market đạt ngưỡng TVL hoặc volume thì mới hiển thị trên frontend.
Takeaway: Câu Hỏi Cho Tương Lai
Nâng cấp này là một step function trong hành trình phi tập trung hóa của Hyperliquid. Nhưng nó cũng đặt ra những câu hỏi chưa có lời giải: Ai sẽ chịu trách nhiệm khi một market độc hại bị tạo ra? Cơ chế slashing dành cho deployer có đủ mạnh để răn đe không? Và quan trọng nhất – liệu Hyperliquid có lặp lại sai lầm của các dự án NFT thời 2021, khi ai cũng có thể mint token và kết quả là hàng loạt rug pull?
Dựa trên kinh nghiệm audit của tôi, tôi khuyên bất kỳ ai sử dụng Hyperliquid sau upgrade hãy cẩn trọng với các market mới lạ, kiểm tra kỹ oracle, liquidity depth, và lịch sử giao dịch. Còn về phía đầu tư, dữ liệu từ Polymarket cho thấy HYPE có 29% cơ hội đạt $100 vào cuối 2026. Một con số hấp dẫn, nhưng giống như một smart contract không có audit – nó chỉ đẹp trên lý thuyết. Hãy luôn kiểm tra đường dẫn gọi hàm trước khi tin vào những lời hứa.
