Hyperliquid HIP-3 構建者必讀:從部署到風控的完整作戰手冊

Hyperliquid在去年底上线的HIP-3(改進提案3)推翻了傳統的"上新審批制"。曾經,新增永續合約市場需要平台內部審核——什麼幣可以交易、什麼時候上線、參數如何配置,全由交易所說了算。而今,滿足條件的開發者可以在Hyperliquid統一的交易與清算底座上直接部署屬於自己的市場。

三個月運行期間,第三方市場的累計成交量已突破130億美元。這意味著市場創建權從"平台壟斷"轉變成了"開放接口"。但開放帶來機遇的同時,也引入了新的安全責任——構建者需要承擔的不再只是產品邏輯,而是完整的市場運維與風控。

0x1 基礎設施:HIP-3為何能低成本部署

理解HIP-3的第一步,是理解它為何能讓第三方快速啟動市場。答案在於Hyperliquid的基礎設施設計。

雙層架構復用策略

Hyperliquid不是一條通用公鏈,而是針對衍生品交易優化的專用鏈:

  • HyperCore(L1):定制化的L1區塊鏈,每秒處理20萬筆訂單,提供確定性最終性。在這層,撮合、清算、結算全部由協議統一執行,不需要每個市場自行建設。
  • HyperEVM(應用層):兼容EVM的應用層,支持智能合約部署,但對於永續合約來說,複雜的交易執行邏輯已經下沉到HyperCore。

傳統方案裡,啟動一個DEX需要從零搭建訂單簿、匹配引擎、清算系統。而HIP-3的構建者只需定義市場參數與喂價策略,交易執行與風控由底座負責。這是成本與門檻降低的根本原因。

官方市場 vs. 構建者市場

Hyperliquid原生的永續合約(validator-operated perps)仍採用傳統流程:官方根據社區投票上架標的,下架則由驗證者投票決定。而HIP-3打破了這個模式,允許任何滿足質押條件的構建者自行部署。

0x2 從零到一:構建者的責任邊界與部署流程

當你決定在HIP-3上創建市場時,需要理解兩層責任:市場定義市場運營。這兩部分的清晰邊界,直接影響後續的風險與操作複雜度。

市場定義:你需要確定什麼

預言機設定

市場依賴穩定的價格輸入。構建者需要明確:

  • 標的資產是什麼(BTC、AAPL還是某個指數)
  • 價格數據源來自哪裡(CEX、DEX、專業預言機還是自建relayer)
  • 初始oraclePx是多少

這個階段的選擇,決定了市場在後續運營中能否獲得可靠的定價基礎。

合約規格

在API層面明確:

  • 交易對符號(如BTC-USDC)
  • 最小下單單位
  • 最大允許槓桿倍數
  • 初始保證金要求

這些參數對應著市場的流動性與風險上限。設定過高的槓桿看起來能吸引交易者,但實際上增加了清算連鎖反應的風險。

抵押資產選擇

構建者需要為自己的DEX選擇一種或多種報價資產(通常是USDC)。如果這個資產失去"無需許可"的資格(由驗證者投票決定),使用它作擔保的市場會被禁用。

市場運營:部署後的日常工作

上線全流程

  1. 質押(Stake):鎖定50萬HYPE代幣。即使停止所有市場交易,這筆質押仍需維持30天才能申請解鎖。這是協議對構建者承諾度的硬約束。

  2. 部署DEX(Build):創建一個獨立的交易域,包含獨立保證金池、訂單簿、配置選項。

  3. 設置抵押資產(Set Collateral):選擇報價資產,構建者可任意選擇,但承擔該資產失格的風險。

  4. 上架市場(Add Markets):前3個市場無需競拍,直接部署;後續市場需通過荷蘭拍賣競爭名額。拍賣周期為31小時,每輪起拍價為上一輪成交價的2倍。

  5. 市場運營(Operate Markets):部署後的主要工作。

  6. 解除質押(Unstake):所有市場結算後,質押可申請解鎖,進入7天的unstaking隊列(期間仍可被罰沒)。

價格機制:setOracle的三層結構

構建者通過setOracle接口向市場輸入價格。這個接口接收三類數據:

必須輸入的價格

  • oraclePx:核心參考價格,用於計算資金費率
  • externalPerpPx:來自主流CEX永續合約的加權中位數,作為mark price的防守邊界

可選輸入的價格

  • markPx:0到2組外部標記價格候選值

最終mark price的計算

系統取三個值的中位數:

  1. 本地訂單簿的中位價(best bid、best ask、last trade)
  2. 構建者提交的markPx(如有)
  3. externalPerpPx(外部參考價)

這種中位數機制的目的是防止任何單一價格源的操縱。但它也帶來了複雜性——構建者需要理解每個輸入的作用,以及它們之間的博弈。

setOracle的約束條件

  • 更新間隔:兩次調用至少間隔2.5秒;10秒未更新markPx,系統將回退為本地mark price
  • 波動幅度:markPx每次變化不超過±1%;所有價格被限制在開盤價的10倍範圍內

這些限制防止價格跳躍式波動引發大規模清算,但在極端行情下也可能導致定價與實際市場脫節。

7x24小時 vs. 非全天候資產:定價機制的分化

全天候資產(BTC、ETH)

這類資產在全球範圍內有連續交易,構建者可以依賴CEX/DEX的連續價格源,定價相對穩定。

非全天候資產(美股、指數)

美股在北美交易時段有流動性,休市期間現貨市場無法交易。這給HIP-3帶來了嚴峻的定價挑戰。

以trade.xyz的股票永續為例:

  • 開盤時段:依賴Pyth等外部預言機的穩定喂價
  • 休市期間:基於上一次收盤價 + 內部訂單簿壓力進行價格調整,mark price被限制在收盤價的 ±(1/max_leverage) 範圍內(例如10倍槓桿則±10%)

問題在於休市期間缺少外部錨定——價格可能在允許範圍內被訂單簿薄深度推動,重新開盤時也易發生跳空。

0x3 風險地圖:從質押罰沒到參數陷阱

可追責框架:質押 + 驗證者投票

罰沒機制的邏輯

Hyperliquid用質押作為構建者的"履約保證金"。一旦出現無效狀態、長期宕機或性能惡化,驗證者可以發起stake-weighted vote(按質押權重投票)決定是否罰沒。

重點是:罰沒不區分原因——無論是惡意操縱、能力不足還是私鑰被盜,協議只看結果。如果市場出現問題,構建者需要承擔代價。

罰沒的分級

  • 無效狀態 / 長期宕機:最高罰沒100%質押
  • 短暫宕機:最高50%
  • 性能退化:最高20%

被罰沒的HYPE會被銷毀,而非補償給受損用戶。

參數配置風險:魔鬼在細節

喂價中心化風險

setOracle的數據通常來自構建者自建的relayer節點。這個節點成為單點故障:

  • 私鑰洩漏→價格被惡意操控
  • DDoS攻擊→喂價中斷,市場定價退化為純訂單簿
  • 演算法bug→價格持續脫錨

haltTrading的雙刃劍

構建者可以通過haltTrading立即中止市場,取消所有訂單並按當前mark price結算頭寸。這個功能在極端情況下有必要,但也被濫用的風險:

  • 如果市場被攻擊者操控導致價格虛高,直接調用haltTrading會"鎖定"攻擊者的浮盈(即使他們本無法在正常深度下平倉)
  • 突然中止會造成被迫平倉的用戶損失,甚至導致系統呆帳

槓桿參數的連環效應

通過insertMarginTable定義新的保證金表(某類資產的保證金要求與最大槓桿),然後用setMarginTableIds將市場綁定到這個表。

陷阱在於:

  • 對低流動性市場設定過高槓桿→ADL觸發概率飆升
  • 突然切換marginTableId相當於修改用戶的維持保證金比例→大量帳戶在同一時刻從安全變成可清算→連環清算瀑布

全倉vs.逐倉:未來的風險通道

目前HIP-3僅支持逐倉(isolated)。未來若支持全倉(cross),一個構建者的DEX內可能同時存在高流動性與低流動性市場。全倉模式下,低流動性市場的風險會直接傳導到高流動性市場,這是系統性風險的溫床。

預言機風險的實例案例

trade.xyz的XYZ100-USDC事件

2025年12月14日,trade.xyz上的NASDAQ100永續合約遭到嚴重操控:

  • 攻擊者創建398張空頭頭寸(約1000萬USDC)
  • 價格嚴重脫錨(超過允許的波動範圍)
  • 大量多頭被清算
  • 清算增加了價格下跌壓力,觸發更多清算
  • 最終約1300萬USDC的多頭被強制平倉

這個案例說明:即使設定了價格波動的硬頂(1/max_leverage),在薄深度與缺乏外部錨定的環境下,價格仍可在限制範圍內被推動至極端,引發集中清算甚至ADL。

休市跳空風險

非交易時段缺少連續的外部價格錨定,市場只能依賴"上次收盤價 + 內部訂單簿"形成一個受限的定價區間。當市場重新開盤時:

  • 外部市場瞬間給出明確的開盤價
  • 如果與休市期間的內部定價存在顯著跳空,系統要么被clamp限制導致嚴重脫離,要么快速再定價
  • 兩種情況都易在短時間內集中觸發清算壓力

0x4 構建者的風控實戰:從監控到響應

第一步:建立可驗證的喂價體系

問題:relayer喂價的中心化特性難以被信任。

解決方案:構建透明的價格驗證框架

  1. 公開數據源與算法

    • 披露所有數據源(公開且不受構建者干預)
    • 發布詳細的oraclePx計算過程與參數
    • 明確setOracle調用的權限、頻率、波動限制
  2. 為每次喂價生成可鏈下驗證的證明

    • Inputs:各數據源在該時間點的原始響應與採樣時間戳
    • 計算:每一步的中間計算結果
    • Outputs:最終上鏈的oracle price
  3. 證明序列化與簽名

    • 對所有Proof生成proofHash
    • relayer對proofHash簽名
    • 每小時/每天發布一次MerkleRoot並上鏈
  4. 公開驗證工具

    • 提供開源工具或網頁界面
    • 輸入時間段或tx hash,獲取完整證明鏈
    • 驗證簽名、時間戳、MerkleRoot
    • 用公開算法復算oracle price進行對標

這套體系(類似RedStone的方案)將喂價從"信任relayer"轉變為"信任數學"。

第二步:建立多層級監控體系

監控的目標不是預測價格,而是提前識別市場從交易驅動轉向失控的信號

價格側監控

a. Oracle喂價失效

監測指標:

  • 距離上次成功setOracle的時間間隔
  • relayer節點的健康狀態指標

分級閾值:

  • Level 1(預警):超過5秒未更新
  • Level 2(干預):超過10秒未更新

對應動作:

  • L1:對relayer進行健康檢測,切換備用節點;發出包含健康報告與所有relayer信息的預警
  • L2:調用setOpenInterestCaps下調OI上限,限制新增倉位

b. 價格脫錨

監測指標A:mark price與oraclePx的偏離度

監測指標B:mark price與externalPerpPx的偏離度

監測指標C:mark price與本地訂單簿中位價的偏離度

監測指標D:mark price的短期波動率

分級邏輯:

  • Level 1:A、B、D中任意≥2個超過閾值 → 調用setOpenInterestCaps下調OI
  • Level 2:A、B、C、D中≥3個超過閾值,且持續X秒 → 逐步更新margin table分檔、下調max leverage;啟用clamp機制
  • Level 3:Level 2狀態持續預警 → 最終由構建者決定是否haltTrading

盘口側監控

a. 深度抽離

監測指標:

  • 在mid附近±x%價格區間內的真實掛單承接量(depth_band)
  • 買賣價差(spread = bestAsk - bestBid)
  • 短時間內的主動成交量(taker volume)
  • 承接比 = taker volume / depth_band

風險形態:depth_band下降 + spread上升 + 承接比上升

對應動作:

  • L1:下調OI上限 = 當前OI(凍結增量)
  • L2:強制下調槓桿,平倉高槓桿高風險頭寸

b. 虛假掛單檢測

監測:depth_band在短時間內上升後突然下降("砌牆"行為)

對應動作:

  • L1:下調OI = 當前OI
  • L2:若伴隨嚴重價格脫錨,考慮停止市場

倉位側監控

a. OI快速累積

計算指標:OI_notional / Volume_24h_notional

极速上升表示市場從短線交易轉向持倉博弈,通常預示劇烈波動。

對應動作:L1預警

b. 多數派盈虧逼近極值

識別"多數派"(持倉人數較多的一方),計算其:

  • 平均開倉價
  • 倉位規模
  • 未實現盈虧

當多數派盈虧逼近極值時,任何小幅擾動都易放大為清算。

對應動作:L1預警,持續觸發則考慮下調OI上限

第三步:應急響應的決策樹

當監控系統觸發多級預警時,構建者需要的不是反覆手動調參,而是清晰的決策流程:

階段1(黃色預警)

  • 喂價失效:切換relayer,發出預警
  • 價格脫錨:下調OI上限,觀察反應

階段2(橙色預警)

  • 持續脫錨:分檔下調max leverage
  • 深度嚴重抽離:同上
  • 多數派盈虧極端:下調OI上限

階段3(紅色預警)

  • 如果階段2措施仍無效,且價格繼續脫錨或深度消失
  • 由構建者評估:是否調用haltTrading中止市場

這個流程的關鍵是早發現、小干預、漸進式——而不是等到崩潰才反應。

0x5 非全天候資產的定價方案

對於股票等非全天候資產,構建者面臨一個根本問題:如何在休市期間維持可信的定價?

目前業界的方案分為兩類:

方案A:嚴格的風控約束(交易中斷或槓桿下調)

  • 休市時停止或嚴限交易(如Lighter允許減倉)
  • 或下調最大槓桿,對超限頭寸強制平倉(如Optium)
  • 優點:安全性高
  • 缺點:用戶體驗受限,交易連續性中斷

方案B:內部定價機制(如trade.xyz)

  • 外部數據缺失時,依賴協議內部流動性
  • 通過算法(如收盤價+盘口壓力)維持定價
  • 優點:交易連續性好
  • 缺點:缺乏外部參考,易脫錨

推薦的折中方案

不應讓定價完全退化為"純內部價",而是引入可參考的外部信號:

  1. Blue Ocean ATS:盤後/夜盤交易場所,為休市階段提供更及時的連續價格參考(相對"最後收盤價"),可作為oracle price的輔助錨或脫錨預警基準

  2. IG周末CFD報價:周末CFD報價能反映"周末市場預期",適合作為休市定價的外部參考或風險預警對照,幫助提前識別"開盤可能跳空"的方向與幅度

這兩類信息源都能提供休市期間的價格信號,但它們與正股現貨的市場結構並非完全等價,更適合作為監控錨點與預警信號,而非無條件的價格替代。

結語:從開放到可控

HIP-3的真正創新不是"讓上新更自由",而是"讓上新更標準化"——能部署、能運營、能追責

從協議視角看,這套框架通過質押+罰沒建立了可追責的權限體系,通過價格約束與逐倉隔離試圖收斂尾部風險。但這些約束終究是防禦線,真正的安全取決於構建者能否落地:

  • 可驗證的喂價體系:讓價格從"信任關係"變為"可審計的數學"
  • 多層級的風控監控:將市場異常從隱患變為可觀測的信號
  • 漸進式的應急響應:在問題擴大前及時干預

HIP-3的成功標誌不在於有多少市場上線、成交量有多大,而在於構建者能否在開放的權力與協議的約束之間找到平衡——既把握住市場創建的機會,也承擔起市場穩定運營的責任。

對於想在HIP-3上部署市場的構建者,這份指南的核心建議是:不要把質押看作"參賽費",而是看作"運維成本"。你花在喂價體系、監控系統、應急流程上的投入,最終都會反映在市場的穩定性與用戶信心中——這才是長期競爭力的真正來源。

HYPE6.56%
L1-0.98%
BTC2.16%
查看原文
此頁面可能包含第三方內容,僅供參考(非陳述或保證),不應被視為 Gate 認可其觀點表述,也不得被視為財務或專業建議。詳見聲明
  • 讚賞
  • 留言
  • 轉發
  • 分享
留言
0/400
暫無留言