Hyperliquid HIP-3 lộ lỗ hổng: Deployer có thể thao túng giá mark, rủi ro thanh lý hàng loạt

Chỉ vài ngày sau khi HIP-3 được kích hoạt, một sự cố bất thường trên thị trường xyz:SKHYNIX do Trade.xyz vận hành đã phơi bày một lỗ hổng thiết kế nghiêm trọng trong cơ chế định giá của Hyperliquid. Dữ liệu on-chain cho thấy deployer – người được HIP-3 trao quyền đẩy giá – có thể đơn phương làm lệch giá mark khỏi giá thị trường thực tế, mở ra cánh cửa cho các cuộc tấn công thanh lý có chủ đích. Sự việc bắt đầu khi một số nhà giao dịch phát hiện giá mark của hợp đồng vĩnh cửu HYPE/USDC đột ngột tăng vọt lên 150 USD trong khi giá spot trên sàn giao dịch tập trung chỉ dao động quanh 100 USD. Sự chênh lệch 50% này kích hoạt hàng loạt lệnh thanh lý short, gây thiệt hại ước tính hàng trăm nghìn USD. Hyperliquid đã nhanh chóng tạm dừng thị trường và đưa ra thông báo chính thức: 'Chúng tôi đang điều tra sự cố. Có thể cần phải xem xét lại cơ chế hoạt động của HIP-3.' Để hiểu rõ vấn đề, cần nhìn vào cấu trúc kỹ thuật của HIP-3. Trước đây, giá mark trên Hyperliquid được tính toán hoàn toàn từ giá median on-chain – một tổng hợp từ các validator. Sau bản nâng cấp, HIP-3 cho phép deployer của mỗi thị trường đẩy hai thành phần: giá oracle và giá perpetual bên ngoài. Giá mark cuối cùng được tính bằng median của ba thành phần: giá median on-chain (1 thành phần) + hai giá do deployer đẩy (2 thành phần). Với tỷ lệ 2-1, deployer hoàn toàn có thể kiểm soát kết quả nếu họ cố tình đẩy giá sai lệch. Trong vụ việc vừa qua, dữ liệu cho thấy deployer Trade.xyz đã đẩy giá perpetual lên 150 USD khiến median tính ra là 150 USD, bỏ qua giá on-chain là 100 USD. Trade.xyz hiện chưa lên tiếng giải thích nguyên nhân. Phân tích kỹ thuật từ các chuyên gia blockchain cho thấy đây có thể là lỗi mã nguồn hoặc hành vi cố ý. Dù thế nào, sự cố này đã đặt ra một câu hỏi lớn về độ tin cậy của mô hình 'permissionless market' – nơi bất kỳ đội ngũ nào cũng có thể triển khai thị trường vĩnh cửu mà không cần cấp phép, nhưng lại được trao quyền ảnh hưởng trực tiếp đến giá. So sánh với đối thủ dYdX (sử dụng oracle tập trung từ Chainlink) hay GMX (định giá in-chain qua AMM), Hyperliquid đang đi theo con đường 'flexible but trust-dependent' – linh hoạt nhưng phụ thuộc vào niềm tin vào deployer. Hậu quả trước mắt: niềm tin của người dùng vào Hyperliquid bị lung lay. Một số nhà tạo lập thị trường đã tạm rút thanh khoản khỏi các pool liên quan, khiến độ sâu thị trường giảm mạnh. Trên các diễn đàn, làn sóng FUD lan rộng với chủ đề 'Hyperliquid không thực sự phi tập trung'. Nếu không được xử lý nhanh chóng, sự cố này có thể khiến Hyperliquid mất thị phần vào tay các đối thủ có cơ chế định giá minh bạch hơn. Tuy nhiên, cũng có ý kiến lạc quan: đây là cơ hội để Hyperliquid hoàn thiện thiết kế. Nếu đội ngũ phát triển nhanh chóng ban hành bản sửa lỗi – chẳng hạn như giới hạn phạm vi giá đẩy của deployer hoặc yêu cầu deployer sử dụng ít nhất một oracle độc lập – thì câu chuyện có thể chuyển biến tích cực. Về mặt dài hạn, sự kiện này nhấn mạnh một bài học xuyên suốt trong lịch sử DeFi: bất kỳ cơ chế định giá nào trao quyền quá lớn cho một thực thể đều là điểm nghẽn bảo mật. Hyperliquid cần nhanh chóng chuyển từ mô hình 'deployer-centric' sang mô hình nhiều bên kiểm chứng, chẳng hạn như bắt buộc deployer phải stake token làm tài sản thế chấp hoặc sử dụng mạng lưới validator đa chữ ký để phê duyệt giá đẩy. Nếu không, chu kỳ 'phát hiện lỗi – vá lỗi' sẽ lặp lại, và niềm tin vào Hyperliquid với tư cách nền tảng giao dịch vĩnh cửu hàng đầu sẽ giảm dần. Đối với nhà đầu tư, thời điểm hiện tại là lúc theo dõi sát sao phản ứng của đội ngũ. Một số tín hiệu tích cực như cam kết bồi thường, công bố audit công khai, hoặc đề xuất HIP-4 sửa lỗi sẽ giúp ổn định thị trường. Ngược lại, sự im lặng hay phản ứng chậm trễ sẽ đẩy HYPE vào vòng xoáy giảm giá. Còn với cộng đồng phát triển, đây là lời nhắc nhở: 'permissionless' không đồng nghĩa với 'không cần kiểm soát' – mỗi quyền lực mới trao cho deployer đều phải kèm theo cơ chế giám sát và giới hạn tương xứng.