2026年8月12日，Anchorpoint 启动 HKDAP（HKD At Par）第一阶段 Beta Access，代币部署在以太坊主网，只向机构分销商和专业投资者开放。HashKey Exchange 完成了首笔铸造与赎回，OSL 提供流动性支持。8月14日，区块链安全公司 BlockSec 公布了一份对 HKDAP 合约的审查结果，结论只有一句：这份合约还没到可以上生产环境的程度。
发行方来头不小。Anchorpoint 是渣打银行、香港电讯（HKT）与 Animoca Brands 的合资公司，今年4月10日从金管局手里拿到首批牌照——那一批金管局收到36份申请，只批了两张，另一张给了汇丰。
安全公司到底指出了什么
BlockSec 的审查集中在权限设计和合规控制两块。
第一，权限过度集中。审查指出，单一管理密钥就可以完成铸造、冻结账户、强制销毁代币这几件事。对一只声称由持牌机构发行、受监管框架约束的稳定币来说，这个设计与金管局要求的职责分离原则存在明显距离——监管文本要求把关键操作拆到不同角色手上，而链上代码把它们收在了一处。
第二，合规模块没有按设计运作。BlockSec 认为，合约里的 KYC 名单与撤销机制并未真正生效，也就是说，写在白皮书和监管承诺里的那层身份约束，在代码层面并没有落地。
第三，团队采用了自定义实现，而不是行业已经跑了多年的成熟标准。稳定币合约的铸销、冻结、黑名单这套逻辑，市场上有大量经过实战检验的模板，重写一遍意味着把已经被踩过的坑重新踩一遍。
BlockSec 特别强调了一点：这份合约已经在主网上，正在治理真实的发行、转账和冻结行为。换句话说，"Beta Access"这个标签给外界的安全感，和合约的实际状态并不匹配。
截至发稿，Anchorpoint 与香港金管局都没有就这份审查作出公开回应。
持牌不等于安全，这是两套审计
这件事真正的看点，不在于某一行代码写错了，而在于它暴露了一个结构性的空白。
监管审的是什么？资本金、储备资产、赎回承诺、反洗钱流程、公司治理。这些审下来，能证明发行方有钱、有制度、有人负责。金管局从36份申请里挑出两家，审的正是这一层。
但监管审不了的是代码。一只稳定币能不能被单个私钥凭空增发、能不能被一个操作失误冻掉一批用户资产、KYC 名单是不是真的挂上了链，这些问题只有智能合约审计能回答。持牌照的那套流程，和保证代码可靠的那套流程，本来就是两条平行线。
HKDAP 的情况是：第一条线走完了，第二条线在上线之后才被外部机构补上，而且补出来的结果不好看。
这个空白对整个持牌稳定币赛道都成立。香港《稳定币条例》2025年8月1日生效至今刚满一年，全球范围内的持牌稳定币还处在早期，监管机构自己也在摸索技术评估应该做到什么颗粒度。HKDAP 大概率不会是最后一个被第三方安全公司当众打分的持牌项目。
商业层面的另一重压力
抛开安全问题，HKDAP 还有一道现实的坎要过。
香港合规稳定币不付息。按目前外汇基金票据的收益率水平测算，机构每持有1亿港元的 HKDAP，90天里日均放弃的利息收入大约是7,370港元。对企业财资部门来说，这是一笔看得见的账：拿着不生息的代币，换来的必须是结算效率、跨境速度或者链上场景带来的确定收益，否则说服不了 CFO。
目前 Anchorpoint 没有披露 HKDAP 的流通量、用户数和交易量。零售端原计划年底前视市场情况开放，尚未启动。真正能判断这只稳定币成不成的指标，是流通市值、重复使用的企业客户数、交易周转率、赎回表现和二级市场价差——这几项数据出来之前，任何结论都还早。
另一个天花板来自内地。中国监管机构近期重申，虚拟货币相关业务在内地属于非法金融活动，未经批准的离岸人民币稳定币发行同样被禁止。HKDAP 在内地的想象空间，短期内只剩下监管明确开口的资产代币化通道。
给发行方的三条实际提醒
一，代码审计必须在上主网之前完成，而且要找有公开声誉的第三方。上线后被别人审出来，成本是发行方自己审的十倍不止——舆论账、信任账都要还。
二，权限设计要拆开。铸造、冻结、销毁、升级这几项权力放在同一把钥匙上，无论运营团队多可靠，都是叙事上的死穴。多签、时间锁、角色分离，这些不是加分项，是持牌产品的及格线。
三，能用标准就别自己写。稳定币合约不是创新的地方，成熟标准背后是数年的攻击历史和修补记录，重写只会让审计成本和风险同时上升。
香港这一步走得不算轻松，但方向没有问题。第一只持牌港元稳定币在上线48小时内就被公开审视，某种程度上正说明这个市场是有效的——有人在看，有人愿意说。真正值得担心的从来不是被挑出问题，而是没人去挑。