Builder wajib dibaca: Bagaimana pasar HIP-3 mengenali dan mengelola risiko

HIP-3（Hyperliquid改进提案3）上线主网三个月以来，第三方构建者部署的自定义市场累计成交量已突破130亿美元。这个数字的背后是什么？是平台权力的下沉：曾经由中心化交易所垄断的"上新"权力，被改造成了一套开放的标准接口。Builder只需质押50万HYPE代币，就能在Hyperliquid统一的交易与清算底座上部署永续合约市场。

但权力下沉的同时，风险也随之外移。如何识别这些风险、又怎样在运营中及时察觉问题信号，成为每个Builder都必须掌握的核心能力。

架构基础：理解HIP-3的风险来源

要识别HIP-3中的风险，首先要理解它的架构设计。

HIP-3构建于Hyperliquid的双层架构之上。HyperCore是为合约交易优化的定制化L1区块链，每秒可处理20万笔订单并具备确定性最终性；HyperEVM则是应用层，可运行智能合约。这套架构的精妙之处在于：撮合、清算与结算由协议统一提供，Builder无需从零搭建交易系统。

但正因为如此，Builder的职责边界变得清晰却又脆弱——清晰是指职责明确（定义市场+运营市场），脆弱是指职责完全外包（风控权完全掌握在Builder手中）。

Builder需要质押500k HYPE并承担两大职责：

• 市场定义：确定预言机价格源、合约规格（杠杆、最小下单单位等）、抵押资产选择
• 市场运营：持续喂价、调整保证金表（杠杆上限）、在必要时中止市场

一旦市场上线，质押锁定30天才能申请解锁。这意味着任何运营失当都会面临验证者的罚没投票——但投票之前，Builder需要先识别出问题的存在。

三层定价机制：怎样判断Oracle价格健康度

HIP-3中最关键、也最易出现风险的，就是喂价机制。Builder需要理解setOracle接口的三个价格输入：

oraclePx（必须）：由Builder的relayer服务器综合计算，作为资金费的锚。 markPx（可选）：Builder提交的0～2组外部标记价格，作为mark price的候选值。 externalPerpPx（必须）：来自CEX perp的加权中位数，用于防止mark price突然偏离。

最终的mark price并不是直接使用喂价，而是取本地订单簿盘口（median of best bid/ask/last trade）与markPx的中位数。这意味着什么？

这意味着价格计算存在多个失效点：

• 如果relayer离线或遭受DDoS，oraclePx会中断喂价
• 如果Builder的markPx算法存在缺陷，可能导致系统被套利
• 如果本地订单簿过薄，median计算会扭曲价格

setOracle的约束条件看起来很严格：

• 更新频率：两次调用间隔≥2.5秒，10秒未更新会自动回退到local mark price
• 幅度限制：markPx每次波动≤±1%，所有价格被clamp到当日开盘值的10倍范围内

但这些约束对于非7×24小时交易的资产（如股票），保护力度就大幅下降。

非7×24H资产的隐患：休市期间的定价陷阱

对于BTC这类7×24小时交易资产，Builder可以依赖CEX/DEX的连续价格源。但对于股票等非全天候资产，休市期间怎样判断价格？

目前的做法是：依赖上一次收盘价+内部订单簿压力的特殊定价机制。具体来说，mark price被限制在上一次收盘价上下浮动的1/max_leverage范围内（例如10倍杠杆则±10%）。

这个机制的问题在哪？当外部市场缺乏流动性锚定时，内部订单簿的深度本身就很薄。一旦有大额委托单进场，可能会在休市期间造成价格虚假波动，特别是当多头仓位集中时。

2025年12月14日，trade.xyz的XYZ100-USDC市场（对标NASDAQ100）遭到操纵：攻击者创建了398个空头仓位（规模约10M USDC），通过人为压低价格，导致大量多头在短时间内被集中清算，最终约13M USDC的多头头寸被强制平仓。

问题的根源就在于：

• 休市期间外部价格锚定缺失
• 内部深度不足以支撑波动率限制之外的价格发现
• 清算一旦启动，价格反馈会进一步放大下跌

预言机风险：如何识别中心化威胁与脱锚隐患

Builder部署的relayer服务器存在天然的中心化风险。私钥泄漏、DDoS攻击、算法错误，任何一个都能导致喂价中断或被操纵。

识别预言机风险的四个关键信号：

1. 喂价延迟或中断

   • 监测：链上可观测的最后一次setOracle调用时间戳
   • 告警阈值：超过10秒未更新，系统自动回退到local mark，此时脱锚风险急剧上升
   • 应对：切换备用relayer、发出健康度报警

2. 价格脱锚

   • 监测指标：
     • oracle price与CEX perp mid的偏离度
     • mark price与oracle price的差值
     • 本地订单簿与外部市场的乖离
   • 识别方法：当≥2个指标同时超过阈值时，判定为价格脱锚
   • 应对：逐步下调max leverage、启用更严格的clamp机制

3. 非7×24H资产的开盘跳空

   • 监测：休市期间内部定价与开盘价的预期差
   • 参考源：Blue Ocean ATS（盘后交易）或周末CFD报价
   • 判定：如果开盘前检测到跳空风险>5%，提前发出预警

4. 虚假流动性

   • 监测：订单簿深度与承接比（主动吃单量/挂单量）
   • 识别：depth在短时间内快速上升后突然消失
   • 应对：立即下调OI上限，限制新仓位增加

参数配置陷阱：Builder最易忽视的风险点

很多Builder认为定好参数就万事大吉，实际上参数的动态调整才是最考验运营水平的地方。

关键的配置风险：

1. 杠杆设置过高 对于低流动性的市场，设置过高的max leverage会大幅提升ADL（自动去杠杆）的触发概率。当仓位规模快速累积、多数派盈亏接近极值时，任何一次价格波动都可能引发连环清算。

2. 突然调整margin table 这相当于一夜之间改变所有用户的维持保证金比例。大量账户会瞬间从"安全"变成"可清算"，导致批量强制平仓。这类操作必须提前公告，且要分阶段实施。

3. haltTrading的滥用 Builder可以调用haltTrading中止市场、取消所有订单、按当前mark price结算。但这把"双刃剑"如果使用不当，反而会兑现攻击者的浮盈——原本攻击者很难找到足够的对手方订单，haltTrading却直接按mark price结算，反而帮攻击者锁定收益。

4. 跨保证金模式（未来风险） 目前HIP-3仅支持逐仓。一旦未来支持全仓，低流动性市场的风险会直接传导到高流动性市场。在官方给出成熟解决方案前，Builder不应该尝试。

全维度风险监控体系：从价格到仓位的完整预警框架

既然风险无处不在，Builder就需要建立一套多维度、多层级的实时监控体系。

价格侧监控

Level 1 告警（喂价异常）：

• 指标：setOracle调用间隔>5秒
• 动作：检测relayer健康度，切换备用节点
• 输出：包含所有relayer信息的预警

Level 2 告警（价格脱锚）：

• 指标：oracle与CEX perp偏离>2%，且持续>5秒
• 动作：调用setOpenInterestCaps下调OI上限
• 进一步：逐步降低margin table中的max leverage

Level 3 告警（长期偏离）：

• 指标：脱锚持续>30秒
• 动作：启用clamp机制强制限制波动
• 最后：由Builder决定是否调用haltTrading停止市场

盘口侧监控

深度抽离信号：

• 监测：±2%价格区间内的真实挂单深度（depth_band）
• 告警：depth_band下降，同时bid-ask spread扩大，主动吃单量/深度比（impact_ratio）上升
• 判定：三者同时发生意味着市场流动性快速恶化
• 应对：下调OI上限，禁止新仓位增加

虚假挂单识别：

• 信号：depth_band在短时间内快速上升后突然消失
• 应对：下调OI至当前水平（禁增），若伴随价格严重脱锚则考虑停止市场

仓位侧监控

仓位侧的目标不是"预测价格"，而是识别市场是否已从交易驱动转向持仓博弈。

OI过重信号：

• 计算：OI_notional / 24h_Volume_notional
• 判定：这个比例急速上升意味着市场即将出现剧烈波动
• 应对：发出预警，准备降低杠杆

多数派盈亏信号：

• 指标：多数持仓方（Long或Short）的平均开仓价、仓位规模、当前盈亏比例
• 预警：多数派盈亏接近极值（如多头都浮盈20%以上）时
• 含义：任何外生冲击都会被放大为清算瀑布
• 应对：提前下调杠杆，降低极端情况下的损失规模

风险验证：让预言机可审计、可复算

仅有监控还不够，Builder还需要让喂价过程本身变成"可验证"的。

建立价格证明体系：

1. 公开算法与数据源

   • 披露setOracle的完整逻辑与参数设置
   • 列出所有数据源及其权重
   • 公开更新频率与波动限制

2. 生成可链下验证的证明

   • 对每次setOracle调用生成Proof，包含：
     • Inputs：原始数据源响应与时间戳
     • Computation：中间计算结果
     • Outputs：最终上链的oracle price
   • 对Proof序列化后生成proofHash，Builder签名

3. 周期性上链MerkleRoot

   • 将所有proofHash写入Merkle tree
   • 每小时/每天发布一次MerkleRoot上链
   • 任何用户都能验证某次喂价是否真实

4. 提供开源验证工具

   • 用户输入时间或tx hash，自动获取完整数据
   • 验证签名、时间戳、MerkleRoot
   • 重新计算oracle price与链上数据对比

这套体系的意义在于：即使Builder的relayer被攻破，用户也能通过链下验证发现异常，从而为协议层的追责提供证据。

风险隔离：对不同资产的定制化策略

不同类型资产的风险特征完全不同，监控阈值也应该因资产而异。

7×24H资产（BTC、ETH等）：

• 优势：连续的外部价格锚定
• 关键监控：relayer稳定性、oracle与CEX perp偏离
• 阈值：相对宽松（脱锚>3%才告警）

非7×24H资产（股票等）：

• 劣势：休市期间缺乏外部锚
• 关键监控：开盘前的跳空预测、休市期间的虚假波动
• 阈值：相对严格（脱锚>1%就告警）
• 参考源：Blue Ocean ATS盘后报价或周末CFD报价
• 特殊处理：在高风险时段（收盘前1小时、开盘后30分钟）强制降低max leverage

清算与ADL：理解极端情形下的风险链条

清算本身不是风险，风险在于清算引发的连锁反应。

HIP-3沿用HyperCore的清算逻辑：当仓位净值不足以覆盖维持保证金时触发清算。系统优先通过订单簿用市价单平仓，但如果订单簿深度不足，实际平仓成交价会显著偏离mark price，形成"清算缺口"。

当缺口出现时，ADL（自动去杠杆）机制启动：

• 从对手盘中选择盈利仓位
• 按上一笔mark price强制减仓
• 用对手盘的盈利填补缺口，保证系统不出现坏账

**但ADL的触发意味着市场已经进入极端状态。**一旦ADL启动，盈利方被迫少赚，这会动摇市场信心，可能引发进一步的风险事件。

Builder如何识别ADL即将触发？

• 监测：仓位集中度、OI规模、订单簿深度
• 信号：OI_notional / depth_band的比值快速上升
• 预防：提前降低max leverage，限制新仓位，防止极端情形

可追责的未来：标准化、验证与监督的三位一体

HIP-3的核心创新在于：把权力下沉，但把责任写进协议。

验证者可以对运营失当的Builder投票罚没，罚没比例由严重程度决定：

• 导致无效状态或长时间宕机：最高100%罚没
• 短暂宕机：最高50%罚没
• 性能退化：最高20%罚没

被罚没的质押代币会被销毁，而不是补偿给受影响用户。这意味着什么？Builder的名誉和代币资产都会受损，这是制约运营失当的最强激励。

但罚没机制要有效，前提是：

1. 风险必须可观测：完整的监控体系能及时发现异常
2. 责任必须可追踪：可验证的喂价证明能追溯问题源头
3. 判定必须可执行：验证者投票机制必须高效透明

总结：从"能部署"到"能跑稳"

HIP-3用开放接口替代了平台审批，第三方市场的成交量突破130亿美元证明了这个方向的可行性。但开放的代价是：原来由平台风控兜底的部分，现在更多落在Builder的输入与运维质量上。

从Builder的角度，需要掌握的不仅是"怎样部署市场"，更关键的是"怎样识别市场风险"与"怎样及时应对"。这需要：

1. 理解风险来源：从架构、定价、参数、流动性的多个维度认识风险
2. 建立监控体系：从价格、盘口、仓位的全维度实时预警
3. 实施验证机制：让喂价过程透明可复算，建立可追责的证据链
4. 准备应急预案：何时降杠杆、何时限制OI、何时停止市场

长期安全的关键在于：Builder能否落实可靠的预言机方案、合理的参数配置、以及持续有效的市场状态监控。

HIP-3不是让上新更自由，而是让上新更标准化——能部署、能运营、能追责。而这个标准化体系要真正跑稳，最终还取决于Builder对风险的深度理解与执行力。

如果你在基于HIP-3设计市场准入规范、制定参数模板、构建预警系统，或需要风险审计与持续安全支持，BlockSec等专业安全团队可以提供深度的技术咨询与审计服务。