HKDAP合约漏洞曝光：治理权集中引监管担忧

核心提要：安全分析师团队披露港元稳定币HKDAP智能合约存在治理权过度集中、KYC功能失效等多重缺陷，其运行环境未达生产标准，引发对香港数字金融合规性的关注。

HKDAP智能合约被指存在严重安全缺陷，监管合规性受质疑

由安全专家Yajin Zhou领衔的审查团队发布报告，指出由渣打银行支持的Anchorpoint公司发行的港元稳定币HKDAP，其底层智能合约尚未达到可投入生产的成熟度。该合约在“了解你的客户”（KYC）验证与账户撤销控制方面均未能按设计逻辑执行，暴露出关键功能缺失。

核心治理机制缺乏制衡，高风险操作无延迟防护

报告分析显示，当前合约架构中单一私钥即可发起包括代币增发、账户冻结、系统暂停及强制销毁在内的高危操作，且未部署时间锁机制，导致所有敏感行为可即时生效，缺乏外部审查窗口。这一设计与香港金管局对稳定币发行方提出的分权制衡要求明显不符。

KYC验证体系链上失效，已注销机构仍能审批用户

尽管合约代码已在Etherscan完成验证并公开，但实际运行中，本应阻止非授权用户的合规模块未能生效。具体表现为：一旦某个KYC提供方被移除资格，其此前批准的账户依然保有交易权限；同时，已被吊销资质的验证机构仍可继续为新用户提交认证，且这些证明未在链上进行有效核验，形成严重的信任漏洞。

自研代码替代成熟框架，β阶段无法掩盖结构性风险

调查发现，该合约大量采用未经充分验证的自定义逻辑，而非复用经过广泛审计的通用协议。多数安全隐患集中于此类非标准化实现部分。研究团队强调，“Beta测试”标签不能作为规避技术不成熟问题的合理解释，其安全性远未达到监管机构所要求的稳健水平。

港元稳定币落地背后：机构背书与监管牌照双重加持

HKDAP由渣打银行（香港）子公司Anchorpoint Financial主导推出，该公司系与HKT及Animoca Brands合资设立。2025年8月1日《稳定币条例》生效后，Anchorpoint成为首批获得香港金管局正式牌照的企业之一，牌照编号FRS01，与汇丰银行并列。产品于2026年8月12日正式上线，目前处于面向机构投资者和专业渠道商的测试阶段，HashKey Exchange为首家获授权的铸造与赎回服务商。

零售开放仍待评估，未来路径取决于市场反馈

Anchorpoint首席执行官Dominic Maffei表示，当前发布策略为“审慎而结构化”。公司计划最早于2026年底向个人用户开放服务，但具体实施时间将依据市场接受度与监管环境动态调整，最终决策权掌握在发行方手中。