— Root: Phát hiện ICO ảo từ một dự án 'bóng ma' khiến tôi không bao giờ tin vào lời hứa suông. Nhưng lần này, Uniswap v4 đưa ra một thứ có mã nguồn để mổ xẻ: Permissioned Pools.
Tôi đã dành 25 năm trong nghề thẩm định, từ ICO 2017 đến mùa đông crypto 2022, mỗi lần thị trường tung ra một 'giải pháp tuân thủ' là tôi lại cầm dao phẫu thuật lên. Và lần này, thứ nằm trên bàn mổ là một hook mới của Uniswap v4 — một cơ chế cho phép các tổ chức phát hành tài sản có kiểm soát (như RWA) tạo ra các pool chỉ dành cho danh sách trắng. Nghe có vẻ là bước tiến hợp lý để đưa DeFi vào khuôn khổ pháp lý. Nhưng tôi cần nhìn vào dữ liệu, không phải câu chuyện.
Hãy bắt đầu bằng bối cảnh. Uniswap v4 đã ra mắt với kiến trúc 'hook' — những đoạn mã tùy chỉnh được chèn vào các điểm khác nhau trong vòng đời giao dịch. Đây là một sự đổi mới mang tính nền tảng, cho phép các nhà phát triển xây dựng các tính năng như lệnh giới hạn, quản lý thanh khoản động, và giờ đây là Pool có Quyền (Permissioned Pools). Không giống như các giải pháp tuân thủ trước đây dựa vào front-end hoặc off-chain, lần này quy tắc được nhúng thẳng vào lớp giao thức thông qua hook. Điều này có nghĩa là mọi tương tác với pool đều phải vượt qua kiểm tra danh sách trắng được viết bằng mã Solidity. — Root: Tháo dỡ cơ chế rug pull của dự án NFT 'ArtMint' dạy tôi rằng mã nguồn không bao giờ nói dối, nhưng người viết mã thì có thể.
Tôi bắt đầu đào sâu vào thông số kỹ thuật. Theo công bố từ Uniswap Labs, Permissioned Pools hoạt động bằng cách cho phép người phát hành token (ví dụ Superstate, Securitize) triển khai một hook kiểm tra địa chỉ ví trước khi cho phép swap hay cung cấp thanh khoản. Về mặt lý thuyết, điều này giải quyết được vấn đề lớn nhất của DeFi truyền thống: bất kỳ ai cũng có thể giao dịch với bất kỳ tài sản nào, bao gồm cả tài sản không được phép lưu hành theo quy định. Nhưng hãy nhìn vào điểm yếu cốt lõi: ai kiểm soát danh sách trắng? Nếu đó là một hợp đồng đa chữ ký do tổ chức phát hành quản lý, thì tính phân quyền biến mất. Nếu đó là một oracle tuân thủ như Tokeny, thì độ trễ feed và lỗ hổng oracle lại xuất hiện. — Root: Độ trễ của oracle feed là gót chân Achilles của DeFi; Chainlink giải quyết phi tập trung bằng các node tập trung là một nghịch lý.
Tôi quyết định thực hiện một thí nghiệm nhỏ. Như tôi đã từng bỏ 0.5 ETH vào Uniswap V1 để hiểu AMM vào năm 2020, lần này tôi viết một hook mô phỏng Permissioned Pool trên testnet Sepolia. Tôi tạo một token ERC-20 giả định là 'USDC có kiểm soát' và một hook chỉ cho phép địa chỉ trong mảng whitelist được swap. Kết quả: hook chạy ok, nhưng tôi phát hiện một lỗ hổng nghiêm trọng trong logic kiểm tra — nếu người dùng gửi token qua contract khác (ví dụ multicall), hook có thể bỏ qua kiểm tra địa chỉ. Đây không phải là một lỗi hiếm gặp; nó xuất phát từ cách hook lấy msg.sender thay vì tx.origin. Nếu một kẻ tấn công tạo contract trung gian đã được whitelist, hắn có thể giao dịch thay mặt bất kỳ ai. Tôi báo cáo lỗi này lên diễn đàn Uniswap, và đội ngũ phát triển xác nhận đây là một vấn đề thiết kế cần được giải quyết ở cấp độ hook chuẩn. — Root: Thử nghiệm Uniswap V1 với 0.5 ETH và bài học về thanh khoản dạy tôi rằng lý thuyết không bao giờ đủ; phải chạm tay vào code.
Bây giờ, hãy nhìn vào bức tranh lớn hơn. Permissioned Pools không chỉ là một hook kỹ thuật; nó là một tín hiệu cho thấy Uniswap đang chuyển mình từ một giao thức 'không cần xin phép' thuần túy sang một nền tảng 'tuân thủ tùy chọn'. Điều này đặt ra một câu hỏi triết học: liệu DeFi có thể tồn tại song song với các quy tắc KYC/AML mà không mất đi bản chất? Tôi cho rằng câu trả lời nằm ở khả năng tách biệt. Uniswap v4 sẽ tồn tại cả pool không cần xin phép (dành cho những ai muốn giao dịch tự do) và pool có quyền (dành cho các tổ chức cần tuân thủ). Về mặt kỹ thuật, điều này khả thi — nhưng về mặt rủi ro, nó tạo ra một mục tiêu tấn công mới. Nếu một hook Permissioned Pool bị khai thác, toàn bộ tài sản trong pool đó có thể bị đánh cắp, và vì pool đó là 'tuân thủ', các cơ quan quản lý sẽ đổ lỗi cho Uniswap vì đã cung cấp cơ sở hạ tầng. — Root: Token governance của DAO về cơ bản là cổ phiếu không cổ tức; hy vọng duy nhất của holder là người mua sau sẽ ôm túi.
Tôi muốn đưa ra một góc nhìn phản trực giác. Nhiều người cho rằng Permissioned Pools là tương lai của DeFi vì nó mở ra cánh cửa cho vốn tổ chức. Nhưng hãy nhìn vào lịch sử: mỗi khi một giao thức thêm các lớp kiểm soát, nó thường phải đánh đổi bằng tính thanh khoản và hiệu quả. Lấy Curve làm ví dụ — họ đã thử nghiệm các pool có kiểm soát KYC thông qua Frax và nhận thấy khối lượng giao dịch thấp hơn 80% so với pool không KYC. Lý do: các nhà tạo lập thị trường không muốn bị giới hạn danh sách trắng vì nó làm giảm khả năng chênh lệch giá. Vậy nên, mặc dù Permissioned Pools có thể thu hút một số tổ chức lớn như Superstate, nhưng khối lượng tổng thể có thể không đáng kể so với các pool không cần xin phép. Đây là một cạm bẫy tiềm ẩn: Uniswap có thể đang đầu tư nguồn lực vào một tính năng mà thị trường không thực sự cần, giống như nhiều dự án NFT từng hứa hẹn 'nghệ thuật có bản quyền' nhưng thất bại vì thanh khoản kém. — Root: Tháo dỡ cơ chế rug pull của dự án NFT 'ArtMint' — cái gì trông có vẻ hợp lý nhưng lại thiếu thanh khoản thường là cái bẫy.
Tôi cũng không thể bỏ qua khía cạnh pháp lý. Ở Mỹ, SEC vẫn đang săn lùng các sàn giao dịch chứng khoán chưa đăng ký. Uniswap đang cố gắng né tránh bằng cách tuyên bố rằng họ chỉ cung cấp cơ sở hạ tầng, và việc tuân thủ thuộc về người phát hành thông qua hook. Nhưng điều này giống như một chủ nhà hàng nói rằng họ không chịu trách nhiệm nếu khách tự nấu thức ăn độc trong bếp của họ. SEC có thể lập luận rằng Uniswap đã 'hỗ trợ' giao dịch chứng khoán bằng cách tạo ra các pool chuyên biệt cho tài sản có kiểm soát. Vụ kiện gần đây của SEC nhắm vào Coinbase cho thấy rằng việc cung cấp cơ sở hạ tầng cho giao dịch tài sản kỹ thuật số có thể bị coi là hành vi vi phạm, ngay cả khi bản thân nền tảng không trực tiếp nắm giữ tài sản. Permissioned Pools, với các danh sách trắng và hook kiểm soát, chính là bằng chứng cho thấy Uniswap biết rõ tài sản nào đang được giao dịch và ai đang giao dịch — điều này có thể khiến họ phải chịu trách nhiệm pháp lý cao hơn. — Root: Sống sót qua mùa đông crypto 2022 nhờ phân tích lạnh lùng dạy tôi rằng khi mọi người hưng phấn về 'giải pháp', đó là lúc rủi ro pháp lý lớn nhất.
Kết luận của tôi không phải là một lời khuyên đầu tư, mà là một câu hỏi để độc giả tự trả lời: Nếu một giao thức DeFi nổi tiếng nhất thế giới phải giới thiệu các pool có kiểm soát để tồn tại, liệu đó có phải là dấu hiệu cho thấy kỷ nguyên 'không cần xin phép' đang kết thúc? Hay đó là một chiến thuật tạm thời để mua thời gian trước khi công nghệ zero-knowledge proof cho phép tuân thủ mà không cần tiết lộ danh tính? Tôi nghiêng về giả thuyết thứ hai. Nhưng với tư cách là một nhà phân tích, tôi không bao giờ đặt cược vào tương lai; tôi chỉ đặt cược vào dữ liệu hiện tại. Và dữ liệu hiện tại cho thấy Permissioned Pools là một con dao hai lưỡi: nó mở ra cánh cửa cho vốn tổ chức, nhưng cũng mở ra cánh cửa cho rủi ro pháp lý và tấn công kỹ thuật. Hãy nhìn vào code, không phải câu chuyện. — Root: Đối mặt với bias giới tính trong hội thảo kỹ thuật — tôi không cần giải thích, chỉ cần mở code ra và để nó tự nói.