USD1 链上合约的权限，比它公开的代码更多 —— 稳定币发行方究竟能做什么

流通量约 40 亿美元的稳定币 USD1，其链上运行的合约里含有发行方自家公开代码库并未展示的管理权限，其中包括在某个地址被冻结后、把余额从该地址转走的功能。这一落差由波场创始人孙宇晨（Justin Sun）在本周提出，他与发行方、特朗普支持的 World Liberty Financial 之间的纠纷已持续多时。对任何在区块浏览器上查看已验证合约的人来说，这些函数并未被隐藏，但它们确实不在项目自己发布的代码里。

USD1 通过一个可升级代理运行，该代理在 4 月 5 日切换到名为 StablecoinV2 的实现版本。其中有两个函数针对被冻结的账户。一个名为 drain，会把被冻结地址的全部余额转给合约所有者；另一个名为 reallocate，可以把指定数量从被冻结地址转到另一个地址。两者都不需要当事持有人同意。它们受特权权限保护，且只作用于已被冻结的余额，因此并不允许任意用户去动别人的 USD1。但孙宇晨据此得出的结论本身是成立的：地址一旦被冻结，你这边再怎么用冷钱包或多签，也无法推翻一个位于代币合约内部的控制权。

对中心化稳定币而言，这类控制权并不罕见。Tether 与 Circle 同样保留冻结或拉黑 USDT、USDC 持有地址的能力，这是发行方为制裁合规、法院命令和执法请求而保留的工具。USD1 目前的发行方兼技术服务商 BitGo 在其条款中写明，它可以冻结或升级 USD1，并在特定法律或合规情形下使资产永久无法使用。这项权力已经被大规模行使过：6 月，发行方在另一起争议中冻结了与交易所 HTX 相关的钱包，HTX 随后将 USD1 全面下架，并把客户余额转换为 USDT。

真正值得追问的，是信息披露的落差，而不是这些权限的存在本身。World Liberty 的公开代码库包含铸造、销毁、冻结与暂停功能，却没有链上实现里的 drain、reallocate 以及 V2 初始化函数。依赖该代码库的开发者或投资者，对“谁能对一笔 USD1 余额做什么”只会得到一幅不完整的图像。现有证据不足以证明代码库是为了误导他人而故意不更新，这一落差也不涉及储备、兑付支撑，或任何未经授权把 USD1 转出持有人账户的行为。孙宇晨把这种做法比作 rug pull 的手法；仅凭代码落差并不足以支撑这一定性。

真正抬高赌注的是时间点。这一指控出现的大约一周前，美国货币监理署（OCC）刚刚给予 World Liberty Trust Company 初步有条件批准，这家拟设立的全国性信托银行将从 BitGo 手中接过 USD1 的发行、赎回与储备管理。该批准属于有条件而非最终批准：银行须先满足开业前的一系列要求才能营业，监管方也保留了修改、暂停或撤销批准的权力。与此同时，据 DeFiLlama 数据，USD1 的流通量已从 2 月超过 53 亿美元的高点下滑逾 13 亿美元至约 40 亿美元，而这轮下滑在上述指控之前就已开始。两方的恩怨还要更早：孙宇晨曾向 WLFI 代币投资 4500 万美元，其后被限制动用，双方互相提起诉讼；World Liberty 的首席执行官也公开反驳了孙宇晨对近期一场庭审的描述。

对新手来说，真正有用的启示在于“自我保管”的边界在哪里。自己掌握私钥，能保护你不受交易所倒闭的牵连；但它保护不了你免受所持代币发行方的影响，因为法币抵押型稳定币本质上是一家公司的承诺，外面包着一份由这家公司控制的合约。按照美国联邦稳定币规则，发行方必须持有可识别的储备，以至少一比一的比例支撑流通中的代币，并与自身其他资产分开存放——这是一种实实在在的保护，但和“谁能动你的余额”是两回事。想知道一个代币能对你做什么，真正的依据是区块浏览器上那份已验证的合约，而不是项目的代码库链接或宣传页面。以上是信息，不是投资建议。