Mở đầu: Một giao dịch không giống bất kỳ giao dịch nào
Hôm thứ Ba, tôi mở bảng điều khiển của một sàn giao dịch phái sinh mà tôi dùng để theo dõi thanh khoản. Trong danh sách lệnh gần nhất, có một lệnh không giống bất kỳ lệnh nào tôi từng đặt: trạng thái "ADL". Không có thông báo trước. Không có nút hủy. Tài khoản của một trader đang có lãi gần 12% tự nhiên bị giảm hơn một nửa khối lượng đang mở. Bên cạnh đó là dòng chú thích ngắn gọn: "Auto-Deleveraging triggered."
Tôi không định viết về trải nghiệm này. Nhưng vài ngày sau, tôi nhận ra một điều quan trọng: cơ chế đó đang âm thầm chuyển tiền từ người thắng sang người thua, và gần như không ai phản đối.
Câu hỏi đặt ra: khi thị trường sụp đổ, ai thật sự trả tiền? Không phải sàn giao dịch. Không phải quỹ bảo hiểm. Thường là một trader ở phía ngược lại, người đã đúng, nhưng phải trả giá cho sai lầm của người khác.
ADL không phải cơ chế mới. Nó được gắn trong hầu hết hệ thống phái sinh trung tâm. Nhưng nó là một trong những cơ chế ít được kiểm toán, ít được hiểu và có tác động xã hội lớn nhất.
Lỗ hổng không đợi ai. Nó chỉ chờ bạn mở sổ lệnh.
Kiến trúc ba lớp: thanh lý, bảo hiểm, chuyển lỗ
Để hiểu ADL, cần đặt nó trong một hệ thống lớn hơn. Các sàn giao dịch phái sinh như Binance, Bybit, OKX hay BitMEX đều vận hành theo ba lớp phòng vệ sau khi một trader vỡ nợ.
Lớp đầu tiên là "liquidation engine". Khi tài khoản chạm mức ký quỹ duy trì, sàn tự động đóng lệnh để thu hồi khoản vay. Về lý thuyết, nếu lệnh thanh lý khớp đúng tại mức giá phá sản, không có lỗ vượt mức. Nhưng trên thực tế, thanh lý có thể trượt giá rất sâu, đặc biệt trong các đợt biến động mạnh. Khi đó, khoản lỗ vượt quá số ký quỹ của trader được gọi là shortfall — khoản hụt.
Lớp thứ hai là quỹ bảo hiểm. Quỹ này được sàn trích từ phí giao dịch hoặc từ các khoản thanh lý dôi dư, khi lệnh bị thanh lý ở mức giá tốt hơn giá phá sản. Quỹ bảo hiểm có nhiệm vụ hấp thụ khoản hụt trước khi nó ảnh hưởng đến những người khác. Tuy nhiên, quỹ này có giới hạn. Khi thị trường sụp đổ theo cấp số nhân, nó có thể cạn kiệt trong vài phút.
Lớp thứ ba là ADL. Khi quỹ bảo hiểm hết tiền, sàn lật sang chế độ tự động giảm vị thế đối với những tài khoản đang có lãi. Sàn xếp hạng các vị thế có lãi theo thứ tự mức lợi nhuận chưa thực hiện và bắt đầu đóng bớt hoặc thu hẹp vị thế của những người đứng đầu danh sách. Nếu bạn là một trader short có lãi trong một thị trường giảm, bạn có thể bị sàn giảm vị thế. Ở một góc độ nào đó, bạn đang gánh khoản lỗ mà bạn không tạo ra.
Tổng thể, ADL không phải là một hệ thống thanh lý. Nó là một hệ thống tái phân phối lỗ giữa các nhà giao dịch.
Lịch sử: từ BitMEX đến các sàn lớn
ADL không phải là phát minh của Binance hay Bybit. Nó xuất hiện lần đầu phổ biến trên BitMEX, một trong những sàn phái sinh tiên phong. BitMEX đã xây dựng khái niệm "insurance fund" và "auto-deleveraging" để tránh trường hợp sàn phải bù lỗ bằng vốn của chính mình. Cách tiếp cận này sau đó được nhân rộng ra toàn ngành.
Đáng chú ý, BitMEX từng công khai một số thông số thanh lý, nhưng không bao giờ công khai thuật toán sắp xếp ADL. Điều này tạo ra một tiền lệ xấu: các sàn đến sau chỉ học theo phần bề nổi, không học theo phần trách nhiệm giải trình. Khi thị trường phát triển, ADL vẫn là một hộp đen không thay đổi.
Năm 2020, sau đợt sụp giảm vì đại dịch, nhiều người dùng BitMEX phàn nàn về ADL bị kích hoạt khi quỹ bảo hiểm vẫn còn dư. Sàn phản hồi rằng họ cần một cơ chế phòng thủ ở mức độ thận trọng. Nhưng câu trả lời đó không làm dịu sự hoài nghi. Kể từ đó, ADL trở thành chủ đề chỉ được nhắc đến khi có sự cố, rồi lại bị lãng quên.
Mô phỏng số: ADL làm việc như thế nào
Hãy lấy một ví dụ đơn giản. Trader A mở long 100.000 USDT với đòn bẩy 50x, ký quỹ 2.000 USDT. Giá vào lệnh 100 USDT, giá phá sản là 98 USDT.
Giá drop từ 100 xuống 96 trong 15 giây. Lệnh thanh lý khớp ở 95 do trượt giá nghiêm trọng. Tài khoản của A lỗ 5.000 USDT, nhưng ký quỹ chỉ có 2.000. Khoản hụt là 3.000 USDT.
Quỹ bảo hiểm có 1.000 USDT. Khoản còn thiếu 2.000 USDT được chuyển sang ADL.
Bây giờ, trader B đang short hợp đồng cùng khối lượng và có lãi 2.500 USDT. ADL sẽ giảm vị thế của B một phần, đồng thời chuyển 2.000 USDT từ tài khoản B sang tài khoản quỹ bảo hiểm hoặc sàn. B không làm gì sai. B không sử dụng đòn bẩy quá mức. B chỉ đứng sai đội hình trong một trò chơi do sàn điều hành.
Trong thực tế, thứ tự lựa chọn không công bằng tuyệt đối. Một số sàn chọn theo tỷ lệ PnL, một số chọn theo đòn bẩy. Nhưng không sàn nào công bố logic đầy đủ. Và vì các sàn này không phải là tổ chức minh bạch, bạn sẽ không biết vị trí của mình cho đến khi bị chọn.
Lỗ hổng trong logic sắp xếp
Khi tôi kiểm toán một hợp đồng thông minh, tôi tìm kiếm nơi mà quyền quyết định nằm ở đâu. Trong các giao thức DeFi, logic thanh lý thường được viết trực tiếp trên blockchain. Mọi người có thể đọc mã, kiểm tra trạng thái và dự đoán cách hệ thống sẽ phản ứng.
Với ADL, logic sắp xếp nằm trong máy chủ của sàn. Không có mã mở. Không có nhật ký công khai. Không có bên thứ ba độc lập kiểm toán logic đó. Điều này tạo ra một black box, nơi một nhóm kỹ sư có thể thay đổi tham số mà không cần sự đồng thuận của người dùng.
Tôi không nói rằng họ có ý đồ xấu. Tôi nói rằng họ có quyền lực tạo ra một kết cục thảm khốc nếu muốn. Trong an toàn hệ thống, quyền lực không cần bị lạm dụng để gây rủi ro. Sự thiếu minh bạch chính là rủi ro.
Hãy thử tưởng tượng một kịch bản: sàn có một khoản đầu tư đối ứng riêng, và khoản đầu tư đó đang thua lỗ. Trong lúc hỗn loạn, sàn có thể tuyên bố insurance fund cạn kiệt và kích hoạt ADL để bù khoản thua lỗ của chính mình. Không ai có thể kiểm chứng. Đây không phải là cáo buộc, mà là một hệ quả của việc thiếu kiểm toán.
Vòng xoáy tử thần
Một điểm mù nghiêm trọng khác: ADL có thể khuếch đại sự sụp đổ.
Trong tài chính, có một hiện tượng gọi là procyclicality — một cơ chế được tạo ra để giảm rủi ro nhưng lại khiến rủi ro tồi tệ hơn trong thời kỳ căng thẳng. ADL hoàn toàn nằm trong nhóm đó.
Khi thị trường bắt đầu giảm, các lệnh thanh lý xuất hiện. Quỹ bảo hiểm suy giảm. Nếu cú giảm đủ sâu, ADL được kích hoạt. Những vị thế có lãi bị đóng. Nhưng việc đóng các vị thế có lãi lại tạo ra một lệnh thị trường mới, làm giá di chuyển tiếp. Giá di chuyển tiếp tạo ra thanh lý mới. Thanh lý mới làm cạn kiệt quỹ bảo hiểm nhanh hơn. Và ADL kích hoạt thêm.
Đây là một vòng lặp phản hồi dương. Thay vì ổn định, ADL có thể đẩy thị trường vào trạng thái hỗn loạn không kiểm soát. Trong những ngày đầu tiên của sự cố BitMEX năm 2019, một sự kiện tương tự đã xảy ra — một vòng xoáy giảm giá không có đáy khi ADL đóng hàng loạt position long và tạo thêm áp lực bán.
Trong một số tài liệu, ADL được mô tả như lớp bảo vệ cuối cùng. Nhưng bảo vệ và hủy diệt có thể cùng một cơ chế, chỉ khác nhau ở kích thước. Khi nó quá lớn, nó không cứu hệ thống; nó bóp nghẹt hệ thống.
Điều khoản người dùng không đọc
Một phần lý do khiến ADL ít bị phản đối nằm ở các điều khoản sử dụng. Hầu hết các sàn đều có một đoạn tuyên bố dài về rủi ro thị trường và quyền thay đổi điều khoản bất cứ lúc nào. Khi bạn mở tài khoản, bạn được yêu cầu đồng ý với toàn bộ điều khoản. Trong đó, ADL thường được mô tả bằng ngôn ngữ mơ hồ: "trong trường hợp thanh lý không thể thực hiện theo giá hợp lý, sàn có thể áp dụng cơ chế auto-deleveraging."
"Giá hợp lý" là gì? Ai xác định? Trong một vụ kiện, sàn sẽ khẳng định theo quyết định của chúng tôi. Đó là một sai sót nghiêm trọng về mặt pháp lý và đạo đức.
Tôi từng tham gia kiểm toán hợp đồng cho một quỹ RWA tuân thủ SEC năm 2025. Một trong những yêu cầu quan trọng nhất là xác định rõ sự kiện vỡ nợ và quyền lợi của từng bên. Trong thế giới tài chính truyền thống, một sự kiện vỡ nợ phải được định nghĩa rõ ràng. Nhưng trong crypto, một trader có thể thức dậy và thấy lệnh của mình bị đóng, mà không cần sự kiện vỡ nợ, không cần cảnh báo.
Ai hưởng lợi từ sự mù mờ?
Khi một hệ thống thiếu minh bạch, câu hỏi đầu tiên không phải là nó có công bằng không, mà là ai đang nắm quyền điều chỉnh. Trong ADL, quyền lực đó nằm ở sàn giao dịch. Họ quyết định khi nào insurance fund cạn. Họ quyết định thứ tự giảm vị thế. Họ quyết định mức trượt giá chấp nhận được.
Nếu bạn tin rằng một hệ thống minh bạch có thể ngăn chặn lạm dụng, hãy so sánh với các sàn DEX rồi tự rút ra kết luận. DeFi chưa bao giờ an toàn tuyệt đối, nhưng ít nhất bạn có thể đọc mã. Với ADL, bạn chỉ có thể chấp nhận.
Một câu chuyện nữa: hầu hết các sàn cho phép người dùng kiểm tra vị trí ADL ranking của họ trong giao diện. Nhưng nếu bạn nhìn vào đó, bạn sẽ thấy mức độ nguy hiểm. Có người dùng báo cáo rằng họ bị ADL khi xếp hạng khá thấp, trong khi sàn lại tuyên bố chỉ xử lý hàng đầu. Điều này cho thấy thuật toán thực hiện có sự khác biệt giữa lý thuyết và thực tế.
Góc nhìn đối lập: nó cần thiết để tồn tại
Những người bảo vệ ADL sẽ nói: nếu không có ADL, các sàn sẽ phá sản mỗi khi có một cú sốc lớn. Lập luận này đáng được lắng nghe. Một sàn mất khả năng thanh toán sẽ cuốn theo toàn bộ tiền của người dùng. ADL là một cách để chia sẻ gánh nặng, thay vì để một nhóm lớn bị mất tất cả.
Nhưng đây chính là điểm phản trực giác: nếu một sàn biết rằng họ có thể dùng ADL làm van an toàn, họ có động lực để giữ các mức đòn bẩy cao, phí bảo hiểm thấp và không cần tăng cường dự trữ. Nói cách khác, ADL không giải quyết vấn đề quản trị rủi ro; nó tạo ra một ảo tưởng về sự an toàn, trong khi cho phép người điều hành tránh chi phí thực sự của rủi ro.
Trong truyền thống, các công ty thanh toán bù trừ thường có một quỹ thanh lý được trích từ tất cả thành viên và một cơ chế loss waterfall xác định rõ ai trả trước, ai trả sau. ADL giống như một loss waterfall chưa hoàn thiện, thiếu khả năng kiểm toán và thiếu sự tham gia của bên gánh rủi ro.
Bài học từ các giao thức tôi đã audit
Tôi đã tham gia thiết kế hợp đồng cho nhánh lending của Aave v2 năm 2020. Trong đó, thanh lý diễn ra theo cách khác hẳn: bất kỳ ai cũng có thể trả nợ thay cho người vay và nhận tài sản thế chấp với chiết khấu. Điều này tạo ra một thị trường thanh lý phân tán, nơi rủi ro được biến thành cơ hội. Không có ADL. Không có sàn ra lệnh ai bị giảm vị thế.
Tất nhiên, mô hình đó có vấn đề riêng: bot thanh lý có thể chạy nước rút, người dùng bị thanh lý với mức phạt cao, và thanh khoản có thể khô cạn trong thời kỳ hỗn loạn. Nhưng ít nhất, các quy tắc là công khai. Tôi có thể viết một báo cáo 40 trang về trade-off giữa bảo mật và hiệu suất trong Rollup, và dùng dữ liệu từ mô phỏng để chứng minh. Với ADL, tôi thậm chí không thể xác định được hệ thống có hoạt động như tài liệu hay không, vì không có tài liệu kỹ thuật.
Một thị trường đi ngang không có nghĩa là an toàn
Hiện tại, thị trường đang đi ngang, tích lũy. Đây là lúc các vấn đề cấu trúc bị lãng quên. Người ta nhìn vào bảng giá và nghĩ rằng rủi ro đã biến mất. Nhưng những gì tôi thấy qua dữ liệu là sự chênh lệch ngày càng tăng giữa tổng khối lượng hợp đồng mở và quy mô quỹ bảo hiểm được công bố.
Trong 7 ngày qua, một số giao thức đã ghi nhận sự sụt giảm thanh khoản do các nhà tạo lập thị trường thận trọng rút bớt vị thế. Họ không nói về ADL, nhưng họ biết rằng nếu thị trường biến động, họ có thể nằm trong danh sách ưu tiên vì các vị thế của họ gần như luôn có lãi. Họ đang bỏ đi một cách thầm lặng. Điều này làm giảm thanh khoản, tăng trượt giá, và làm cho ADL càng dễ bị kích hoạt hơn.
Đây là một vòng luẩn quẩn hiếm khi được nhắc đến: ADL không chỉ gây hại khi nó kích hoạt, mà ngay cả khi nó không kích hoạt, nó đã đẩy các nhà giao dịch chuyên nghiệp ra khỏi thị trường. Một hệ thống được thiết kế để xử lý khủng hoảng có thể đang tạo ra khủng hoảng thanh khoản thầm lặng.
Điều gì có thể thay đổi?
Có ba thay đổi kỹ thuật mà tôi cho là khả thi.
Thứ nhất, sàn nên công khai ADL ranking theo thời gian thực dưới dạng dữ liệu có thể truy vấn. Người dùng có thể biết trước rủi ro của mình. Nếu bạn thấy mình ở top 1% bị nhắm, bạn có thể tự đóng lệnh để tránh bị giảm vị thế bất ngờ.
Thứ hai, logic sắp xếp nên được đưa lên một module có thể kiểm toán. Không cần đưa toàn bộ hệ thống lên blockchain, nhưng ít nhất có thể dùng multi-party computation hoặc chữ ký xác thực để đảm bảo không một cá nhân nào đơn phương thay đổi dữ liệu.
Thứ ba, quỹ bảo hiểm cần có một mức trần minh bạch và một cơ chế tự động nạp quỹ từ doanh thu. Thay vì kích hoạt ADL sau khi quỹ cạn, có thể kích hoạt một biến thể ADL sớm khi quỹ dưới một ngưỡng nào đó. Nó có thể làm giảm lợi nhuận của sàn, nhưng nó sẽ cứu hệ thống khỏi sự sụp đổ đột ngột.
Kết luận mở
Tôi không viết bài này để nói rằng ADL nên bị xóa bỏ. Tôi viết để chỉ ra rằng ADL, trong hình hài hiện tại, là một hệ thống phạt người thắng không được kiểm toán, không được đồng thuận và có thể gây ra vòng xoáy phản hồi nguy hiểm.
Trước khi mở một vị thế lớn, hãy tự hỏi: nếu quỹ bảo hiểm của sàn cạn kiệt, vị thế của bạn có nằm trong tầm ngắm? Nếu bạn không biết câu trả lời, bạn đang nắm giữ một rủi ro không tên.
Việc thiếu minh bạch trong ADL không phải là một vấn đề kỹ thuật đơn lẻ. Nó là một vấn đề quản trị, một vấn đề về quyền lực, và một vấn đề về niềm tin. Ngành công nghiệp này tự hào về việc loại bỏ bên trung gian, nhưng lại trao cho các sàn trung tâm quyền quyết định ai phải trả tiền trong một thị trường sụp đổ.
Lỗ hổng không đợi ai. Code sạch, tâm yên. Câu hỏi cuối cùng không phải là liệu ADL có công bằng không. Câu hỏi là: bạn có biết mình đang làm bảo hiểm cho ai không?