Một lỗ hổng khác, một bài học cũ.
Khi tôi còn audit thủ công hợp đồng ICO năm 2017, điều làm tôi ám ảnh không phải là lỗi reentrancy hay integer overflow – những thứ đã có checklist – mà là sự mơ hồ về mặt pháp lý của token. Một dự án tuyên bố “utility token” nhưng thực tế lại trao quyền hưởng lợi nhuận từ giao thức; code thì sạch, nhưng luật thì không. Bảy năm sau, tôi thấy SEC và CFTC cuối cùng cũng ngồi lại với nhau để giải quyết chính cái mớ hỗn độn ấy: định nghĩa phái sinh crypto.
Context Vào cuối tháng 11/2024, SEC và CFTC đồng loạt công bố một “Joint Request for Comment” về định nghĩa “phái sinh tài sản kỹ thuật số” – một động thái chưa từng có trong lịch sử quản lý tài chính Mỹ. Thay vì đánh nhau về ranh giới “security vs commodity” (vụ Ripple, vụ Coinbase), hai cơ quan thừa nhận rằng sự phân loại nhị phân đó đã thất bại trong thị trường phái sinh, nơi một sản phẩm có thể mang đặc tính của cả hai. Họ đặt ra bốn câu hỏi chính: 1) Làm thế nào để định nghĩa “tài sản kỹ thuật số cơ sở”? 2) Có nên tạo ra một danh mục riêng cho “phái sinh dựa trên giao thức”? 3) Các sản phẩm như swap lợi suất DeFi thuộc về ai? 4) Làm sao để tránh trùng lặp quyền tài phán gây khó khăn cho thị trường?
Core Đây không phải là một quy định có hiệu lực ngay, mà là một “thăm dò ý kiến” (comment period kéo dài 60 ngày). Nhưng với tư cách là một người đã audit hơn 20 giao thức DeFi, tôi thấy đây là tín hiệu cấu trúc quan trọng nhất kể từ khi ETF Bitcoin spot được phê duyệt.
Thứ nhất, động thái này thừa nhận rằng các sản phẩm phái sinh crypto không thể gò vào khuôn khổ “hàng hóa” hay “chứng khoán” truyền thống. Lấy ví dụ một “yield-bearing token” từ giao thức Lido – nó vừa là chứng khoán (vì trả lợi tức) vừa là hàng hóa (vì được giao dịch như ETH). Nếu bạn muốn tạo một hợp đồng tương lai trên stETH, ai quản lý? CFTC nếu coi nó là hàng hóa? SEC nếu coi nó là chứng khoán? Sự bất định này đã làm tê liệt thị trường phái sinh Mỹ trong nhiều năm, đẩy dòng chảy thanh khoản ra các sàn offshore như Bybit hay OKX. Tôi từng audit một sàn phái sinh offshore năm 2022 và phát hiện họ có 80% khối lượng từ Mỹ thông qua VPN – một con số đáng sợ.
Thứ hai, câu hỏi về “phái sinh dựa trên giao thức” là một phát kiến thông minh. Thay vì xác định bản thân token là gì, họ hỏi: “Nếu sản phẩm phái sinh này có giá trị bắt nguồn từ hoạt động của một giao thức (ví dụ: phí swap, lợi suất staking, doanh thu MEV), thì có nên được coi là một loại tài sản riêng không?” Đây là một lỗ hổng mà nhiều người bỏ qua: Các nhà phát triển DeFi đã âm thầm tạo ra “synthetic derivatives” từ lâu – như các token tổng hợp của Synthetix, các quỹ chỉ số của Index Coop, hay thậm chí là các “quyền chọn” trên Aave. Tất cả đều nằm trong vùng xám. Nếu Mỹ tạo ra một khuôn khổ mới, các dự án đó có thể phải đăng ký hoặc rời khỏi thị trường Mỹ.
Thứ ba, sự phối hợp giữa SEC và CFTC là tín hiệu cho thấy “giấc mơ quản lý thống nhất” đang thành hình. Trong lịch sử, hai cơ quan này thường xuyên xung đột (ví dụ vụ Telegram Gram khi SEC ngăn chặn CFTC muốn cho phép). Việc họ cùng đưa ra một bộ câu hỏi chứng tỏ đã có những cuộc đàm phán ngầm. Nếu thành công, đây sẽ là mô hình mẫu cho các quốc gia khác như EU (MiCA còn thiếu chi tiết về phái sinh) hay Singapore.
Contrarian Tuy nhiên, tôi không lạc quan một chiều. Là một kỹ sư bảo mật, tôi biết rằng các quy tắc rõ ràng thường đi kèm với surface area tấn công mới. Khi SEC và CFTC bắt đầu định nghĩa “phái sinh dựa trên giao thức”, họ vô tình tạo ra một mục tiêu cho các luật sư và hacker: các sản phẩm được thiết kế để “vượt qua” định nghĩa mà vẫn giữ bản chất kinh tế tương tự. Tôi đã thấy điều này xảy ra với “utility token” – luật sư viết whitepaper cho một token rác, nhưng code lại có chức năng chia cổ tức. Bây giờ, điều tương tự sẽ lặp lại với phái sinh: các team sẽ cố gắng tạo ra các sản phẩm “non-derivative derivative” để né tránh. Điểm mù bảo mật thực sự không nằm ở code, mà nằm ở cách một khuôn khổ pháp lý có thể bị lạm dụng.
Một vấn đề khác tôi quan sát từ các cuộc audit: sự chậm trễ. Ngay cả khi comment period kết thúc, quá trình soạn thảo quy định cuối cùng có thể mất 12-24 tháng. Trong thời gian đó, thị trường sẽ tiếp tục hoạt động ngoài vòng pháp luật, và các sàn offshore sẽ hưởng lợi. Tôi nhớ lại năm 2023, khi tôi audit một cầu nối cross-chain, tôi phát hiện các nhà tạo lập thị trường đã chuyển hàng trăm triệu USD qua các sàn offshore chỉ vì sợ rủi ro pháp lý ở Mỹ. Sự rõ ràng của quy định có thể đến quá muộn để cứu thanh khoản nội địa.
Takeaway Cuối cùng, câu hỏi tôi đặt ra không phải là “liệu quy định này có tốt không”, mà là: “Liệu các giao thức DeFi có sẵn sàng thích nghi với một khuôn khổ mới, hay họ sẽ chọn cách ẩn mình trong bóng tối của offshore?” Kinh nghiệm audit của tôi chỉ ra rằng: khi code quá linh hoạt, nó sẽ bị lạm dụng. Nhưng khi quy định quá cứng nhắc, sự đổi mới sẽ chết. SEC và CFTC đang đi trên một sợi dây rất mỏng. Và tôi, với tư cách một kỹ sư, sẽ theo dõi từng dòng chữ trong bản thảo quy định – bởi vì lỗ hổng không chỉ nằm ở hợp đồng thông minh, mà còn ở cách luật được viết.