Khả năng nâng cấp Token và Rủi ro Khóa quản trị trong RWA

Hợp đồng thông minh có thể nâng cấp là hợp đồng mà logic của nó có thể được thay đổi sau khi triển khai, thay vì cố định mãi mãi như hợp đồng đơn giản, không thể nâng cấp. Các tổ chức phát hành chứng khoán token hóa thường muốn có khả năng nâng cấp để sửa lỗi, điều chỉnh quy tắc tuân thủ khi quy định thay đổi, hoặc thêm tính năng mà không buộc mọi người nắm giữ phải chuyển sang một token hoàn toàn mới. Sự đánh đổi là người kiểm soát việc nâng cấp — thường thông qua cái gọi là khóa quản trị — có quyền năng kỹ thuật để thay đổi cách hợp đồng vận hành, đây là một rủi ro thực tế và cụ thể mà các nhà đầu tư nên hiểu trước khi coi hợp đồng token là cố định hoặc hoàn toàn tự động.

Hợp đồng thông minh có thể nâng cấp là gì

Hầu hết các hợp đồng thông minh đơn giản là bất biến sau khi triển khai: mã được đưa vào hoạt động là mã sẽ chạy, vĩnh viễn, trừ khi toàn bộ hợp đồng bị bỏ rơi và thay thế. Tính bất biến đó thường được coi là một điểm mạnh trong thế giới blockchain rộng lớn hơn, bởi vì nó có nghĩa là không một bên nào có thể âm thầm thay đổi các quy tắc sau khi đã thiết lập.

Hợp đồng có thể nâng cấp hoạt động khác. Một mô hình phổ biến tách hợp đồng thành hai phần: hợp đồng proxy, mà người nắm giữ thực sự tương tác và nắm giữ số dư token, và hợp đồng logic, chứa các quy tắc mà proxy dựa vào. Để nâng cấp, bên có thẩm quyền sẽ trỏ proxy tới một hợp đồng logic mới. Số dư token và địa chỉ vẫn giữ nguyên, nhưng các quy tắc điều chỉnh chuyển nhượng, hạn chế hoặc hành vi khác có thể thay đổi trong tương lai. Các mô hình nâng cấp khác cũng tồn tại, nhưng ý tưởng cốt lõi là nhất quán: một số cơ chế cho phép hành vi của hợp đồng được sửa đổi sau khi ra mắt, thay vì mã bị khóa vĩnh viễn.

Tại sao tổ chức phát hành muốn có khả năng nâng cấp

Đối với một chứng khoán token hóa cụ thể, một vài lý do thường thúc đẩy tổ chức phát hành chọn thiết kế có thể nâng cấp thay vì thiết kế cố định:

• Sửa lỗi. Nếu một lỗi được phát hiện trong logic hợp đồng — từ một sự kém hiệu quả nhỏ đến một lỗ hổng nghiêm trọng — một hợp đồng có thể nâng cấp có thể được vá mà không cần yêu cầu mọi người nắm giữ di chuyển token của họ sang một địa chỉ mới.
• Thay đổi tuân thủ. Các quy định về chứng khoán và yêu cầu đủ điều kiện có thể thay đổi trong suốt vòng đời của sản phẩm. Một mô-đun tuân thủ có thể nâng cấp có thể điều chỉnh các quy tắc mà một giao dịch chuyển nhượng phải đáp ứng mà không cần triển khai lại toàn bộ token.
• Bổ sung tính năng. Chức năng mới, chẳng hạn như kết nối với một địa điểm bổ sung, điều chỉnh cách xử lý phân phối, hoặc hỗ trợ một khu vực pháp lý mới, có thể được thêm vào theo thời gian thay vì yêu cầu khởi chạy lại sản phẩm.
• Sửa lỗi sai sót. Nếu một hạn chế chuyển nhượng được cấu hình không chính xác hoặc một quyền được thiết lập sai, một bản nâng cấp có thể sửa nó trong tương lai thay vì lỗi đó tồn tại vĩnh viễn.

Đây là những lý do chính đáng, thực tế. Một hợp đồng cứng nhắc, không thể nâng cấp bị khóa ngay từ ngày đầu có thể khiến tổ chức phát hành mắc kẹt với một lỗ hổng được phát hiện hoặc một quy tắc lỗi thời mà không có cách nào sạch sẽ để sửa, đó là một loại rủi ro riêng. Trong ngành công nghiệp blockchain rộng lớn hơn, một số giao thức lớn đã sử dụng thiết kế có thể nâng cấp chính xác vì lý do này — khả năng vá lỗ hổng nhanh chóng, trước khi nó có thể bị khai thác, đã nhiều lần quan trọng hơn sự thuần khiết lý thuyết của một hợp đồng bất biến.

Rủi ro khóa quản trị thực sự có nghĩa là gì

Mặt trái của khả năng nâng cấp là sự kiểm soát. Ai đó phải nắm giữ thẩm quyền để kích hoạt một bản nâng cấp, và thẩm quyền đó thường được bảo mật bằng một khóa riêng tư hoặc một tập hợp nhỏ các khóa — thường được gọi là khóa quản trị, khóa chủ sở hữu hoặc thẩm quyền nâng cấp, tùy thuộc vào cách triển khai.

Bất kỳ ai kiểm soát khóa đó, về nguyên tắc, đều có thể thay đổi logic của hợp đồng. Tùy thuộc vào cách hợp đồng cụ thể được xây dựng, điều đó có thể có nghĩa là:

• Thay đổi quy tắc chuyển nhượng hoặc kiểm tra đủ điều kiện.
• Đóng băng hoặc mở khóa các ví cụ thể.
• Điều chỉnh logic phí, nếu phí được xử lý ở cấp độ hợp đồng.
• Trong các hợp đồng được thiết kế kém hoặc cấu hình độc hại, thay đổi số dư hoặc đúc token mới ngoài các quy tắc mà người nắm giữ được thông báo là áp dụng.

Đây không phải là một mối quan tâm giả định chỉ dành riêng cho RWA — việc xâm phạm và lạm dụng khóa quản trị là một nguyên nhân gây mất mát tái diễn trong toàn ngành công nghiệp blockchain, trong các trường hợp từ khóa riêng tư bị đánh cắp đến việc cố ý lạm dụng bởi người trong cuộc. Đối với một chứng khoán token hóa, rủi ro cơ bản tương tự cũng được áp dụng: sức mạnh của các kiểm soát đủ điều kiện và chuyển nhượng được mô tả trong những gì hợp đồng thông minh của đại lý chuyển nhượng thực thi chỉ đáng tin cậy như bên có thể sửa đổi các kiểm soát đó. Một token có quyền được thiết kế tốt, được xây dựng trên một tiêu chuẩn như những tiêu chuẩn được so sánh trong ERC-3643 so với ERC-1400, vẫn phụ thuộc vào ai nắm giữ các khóa có thể thay đổi các quy tắc của nó.

Sự đánh đổi, song song

Cả hợp đồng có thể nâng cấp và không thể nâng cấp đều không an toàn hơn một cách tuyệt đối. Câu hỏi thực sự là thẩm quyền nâng cấp được cấu trúc, tiết lộ và hạn chế như thế nào — một khóa riêng tư duy nhất do một bên kiểm soát là một rủi ro khác biệt về chất so với một bản nâng cấp yêu cầu nhiều người ký độc lập cộng với thời gian trì hoãn công khai trước khi có hiệu lực.

Những điều cần kiểm tra trước khi coi Token là cố định

Một vài câu hỏi thực tế giúp phân biệt cơ chế nâng cấp được quản trị hợp lý với cơ chế được kiểm soát yếu:

1. Hợp đồng có thể nâng cấp không, và điều đó có được tiết lộ rõ ràng trong tài liệu sản phẩm không?
2. Ai nắm giữ khóa quản trị hoặc thẩm quyền nâng cấp — một ví duy nhất, một nhóm đa chữ ký, hay một quy trình quản trị?
3. Có thời gian trì hoãn ('khóa thời gian') giữa khi một bản nâng cấp được đề xuất và khi nó có hiệu lực, cho người nắm giữ thấy trước khi thay đổi có hiệu lực không?
4. Hợp đồng, và cụ thể là cơ chế nâng cấp của nó, đã được xem xét bởi một cuộc kiểm toán bảo mật độc lập chưa?
5. Hồ sơ theo dõi nào tồn tại về cách các bản nâng cấp đã được sử dụng trên sản phẩm này hoặc bởi tổ chức phát hành này trong quá khứ?

Không có câu hỏi nào trong số này có câu trả lời đúng phổ quát — một quy trình nâng cấp được quản trị tốt với nhiều người ký và khóa thời gian công khai có hồ sơ rủi ro rất khác so với một khóa quản trị duy nhất chưa được kiểm toán và không có quy trình được tiết lộ. Vấn đề là biết cái nào được áp dụng trước khi cho rằng hợp đồng token sẽ hoạt động theo cùng một cách vô thời hạn.

Logic tương tự này kết nối với các yếu tố rủi ro kỹ thuật khác đáng kiểm tra trên bất kỳ sản phẩm RWA token hóa nào: cách hợp đồng thông minh đã được xem xét, cách dữ liệu cơ bản cung cấp cho hợp đồng được lấy nguồn, và cách lưu ký tài sản hỗ trợ token được cấu trúc. Rủi ro khóa quản trị là một phần của bức tranh rủi ro kỹ thuật rộng lớn hơn, không phải là một ô kiểm tra độc lập. Bạn có thể xem lại cách BiFu trình bày cấu trúc sản phẩm RWA và công bố rủi ro trên trang RWA của BiFu.

Câu hỏi thường gặp

Một hợp đồng token có thể nâng cấp có rủi ro cố hữu hơn hợp đồng cố định không?

Không tự động. Khả năng nâng cấp đưa ra một rủi ro cụ thể — bên kiểm soát khóa quản trị có thể thay đổi hành vi — nhưng một hợp đồng cố định mang rủi ro ngược lại là không thể sửa lỗ hổng được phát hiện. Cái nào rủi ro hơn trong thực tế phụ thuộc vào cách thẩm quyền nâng cấp được cấu trúc và tiết lộ, không chỉ phụ thuộc vào khả năng nâng cấp.

Multisig là gì và tại sao nó quan trọng đối với rủi ro khóa quản trị?

Multisig, viết tắt của đa chữ ký, yêu cầu nhiều hơn một khóa riêng tư để phê duyệt một hành động, chẳng hạn như nâng cấp, thay vì dựa vào một khóa duy nhất. Nó làm giảm — mặc dù không loại bỏ — rủi ro một khóa duy nhất bị xâm phạm hoặc sử dụng sai mục đích kích hoạt một thay đổi không mong muốn, vì nhiều bên độc lập sẽ cần phê duyệt nó.

Làm thế nào tôi có thể biết nếu khóa quản trị của token đã bị xâm phạm hoặc sử dụng sai mục đích?

Trong hầu hết các trường hợp, các hành động nâng cấp và thay đổi quản trị được ghi lại trên chuỗi và có thể nhìn thấy về mặt kỹ thuật, mặc dù việc giải thích chúng thường yêu cầu các công cụ giám sát hoặc đánh giá bảo mật hơn là quan sát thông thường. Đây là một lý do tại sao kiểm toán độc lập và công bố quản trị minh bạch lại quan trọng đối với các sản phẩm RWA có hợp đồng có thể nâng cấp.

Quy định có yêu cầu token RWA phải có thể nâng cấp hay không thể nâng cấp không?

Không có quy tắc duy nhất; sự lựa chọn phụ thuộc vào quyết định thiết kế của tổ chức phát hành và khu vực pháp lý cũng như cấu trúc của đợt chào bán cụ thể, và các yêu cầu khác nhau và có thể thay đổi theo thời gian. Đây là mô tả giáo dục chung, không phải lời khuyên pháp lý, và các nhà đầu tư nên xác nhận khuôn khổ hiện tại cho bất kỳ sản phẩm cụ thể nào thông qua tài liệu của chính sản phẩm đó và, nếu cần, một chuyên gia có trình độ.

Nội dung này chỉ dành cho mục đích giáo dục và không cấu thành lời khuyên tài chính, đầu tư, pháp lý, thuế hoặc giao dịch. Các sản phẩm RWA có rủi ro, bao gồm khả năng mất vốn. Luôn xem xét các tài liệu sản phẩm và công bố rủi ro trước khi tham gia.

Đọc thêm

• Những gì hợp đồng thông minh của đại lý chuyển nhượng thực sự thực thi
• ERC-3643 so với ERC-1400: so sánh các tiêu chuẩn token RWA
• Tiêu chuẩn token có quyền và không có quyền cho RWA