HIP-3 建設者指南：為何預言機定義塑造您的永續市場命運

當 Hyperliquid 推出 HIP-3 時，徹底改變了永續合約市場的產生方式。它不再將市場掛牌權限封鎖在中心化的審核流程背後，而是開放給合格的建構者——但這份自由伴隨著一個陷阱：建構者現在要承擔操作風險。這份責任的基石始於一個經常被低估的決策：你的預言機（oracle）定義。

自主網上線以來超過三個月，基於 HIP-3 建立的市場已累積超過 $13 十億的交易量。這個規模不是偶然的，它反映了協議的創新，也展現了成功駕馭其複雜性的建構者的能力。然而，每個成功的市場背後，都有一個警示故事——例如 2025 年 12 月在 trade.xyz 發生的事件，一名攻擊者利用弱預言機定義，對非 24/7 資產進行價格操縱，從多頭倉位中抽走 $13 百萬的資金。

本指南將帶你了解架構、風險，以及已證明的控制策略，這些策略能幫助你區分繁榮的市場與陷入清算連鎖與 ADL（自動減槓桿）觸發的市場。

理解 Hyperliquid 的基礎架構：預言機定義的根基

Hyperliquid 不要求建構者重新發明輪子，而是提供一個雙層基礎設施：

HyperCore：一個為永續交易優化的定制 Layer 1 區塊鏈，能處理每秒 200,000 筆訂單，並具有確定性最終性。配對、清算與結算全部在協議層完成——意味著建構者不需從零建立交易引擎。

HyperEVM：運行智能合約的應用層，與現有的以太坊工具相容。

透過重用這些基礎層，建構者可以專注於真正重要的事：市場定義與操作紀律。原生的 Hyperliquid 永續市場仍遵循傳統的中心化交易所（CEX）掛牌流程——驗證者投票決定哪些合約被納入。但 HIP-3 顛倒了這個模式：任何符合門檻的建構者都可以啟動。

要在 HIP-3 下啟動，必須質押 500,000 個 HYPE 代幣。前三個市場部署免費；額外的市場則需在一個 (31 小時循環的荷蘭拍賣中競標，起價為上一輪的最終價格的 2x)。即使暫停所有市場，質押要求仍持續 30 天——這不是可選的保險，而是你的責任機制。

你作為建構者的角色：兩個不同的責任

HIP-3 將建構者的工作分為兩個階段：市場定義與市場運營。

市場定義：從第一天就要做對。你必須明確規定：

1. 預言機定義：哪個資料來源將作為價格的錨點？你的初始預言機價格 (oraclePx) 是多少？對於股票永續合約，是用 Pyth 嗎？對於流動性較低的山寨幣，是用中心化交易所的價格？這個決策一旦交易者進入倉位後就無法逆轉。

2. 合約規格：符號、最小訂單量、最大槓桿、抵押資產 (USDC)，以及將槓桿限制與倉位大小綁定的保證金表。

市場運營：持續保持警覺：

• 價格傳送：你需反覆呼叫 setOracle 提交預言機價格。呼叫間隔至少 2.5 秒；如果在 10 秒內未更新標記價格 (optional)，系統會回退到本地訂單簿價格。
• 槓桿調整：你將保證金表與市場綁定，根據名義倉位設定分層槓桿限制。
• 緊急控制：你可以呼叫 haltTrading 來暫停市場、取消所有訂單，並以當前標記價格結算倉位。

協議設有防護措施——標記價格每次更新不能超過 ±1%，所有價格限制在日初價的 10 倍範圍內。但這些限制不是枷鎖。在這些範圍內，你的選擇決定了市場是繁榮還是崩潰。

預言機定義：市場穩定的關鍵決策點

預言機定義是你市場命運的分水嶺。它是你設定的第一個，也是最難修正的。這就是為什麼它如此重要。

預言機定義的真正意義

在 HIP-3 中，預言機定義涵蓋三個層面：

1. OraclePx (必須)：主要的價格錨點。通常來自你的中繼伺服器，匯總外部資料源 (Pyth、DEX AMMs、CEX 價格)。這是你的單點故障點——如果中繼伺服器崩潰或遭受 DDoS 攻擊。

2. MarkPx (可選)：你提交的自訂標記價格（最多兩組），用來計算實際的清算基準。這是擁有專屬定價模型的建構者的亮點，但也是決策失誤導致市場崩潰的關鍵。

3. ExternalPerpPx (必須)：來自多個 CEX 的永續中價的加權中位數。作為理智檢查，防止你的孤立市場偏離更廣泛市場共識太遠。

系統將這些層級結合成最終的標記價格：本地訂單簿中價的中位數、你提交的 (oraclePx) 和 externalPerpPx###。若任何一層失效，系統會向下一層傳遞；若全部失效，你的交易將變得盲目。

( 24/7 與非 24/7 資產：兩種不同的預言機定義

對於 24/7 資產 )BTC、ETH、大多數山寨幣(：預言機定義較為直接。Pyth、Chainlink 或直接的 CEX 資料源提供連續且流動的價格信號。你的中繼伺服器匯總它們。操縱成本高昂，因為立即辨識多個外部市場的錯價非常容易。

對於非 24/7 資產 )股票、指數、商品(：預言機定義變得生死攸關。以 NASDAQ 股票為例，交易時間內，Pyth 提供乾淨的價格。收盤後，沒有外部價格。你的預言機定義必須在真空中存活。

陷阱在於：非交易時間，你的 setOracle 機制無法取得真實的市場價格。你只能退而求其次，用“最後收盤價 + 內部訂單簿壓力”。但沒有外部錨點，內部壓力就像一面鏡子——只反映你市場內部的狀況，而非資產的真實價值。

協議對價格變動設有限制——±1%/最大槓桿。例如，10 倍槓桿最大波動為 10%。在正常交易時間內，這合理；但在低流動性股票的週末，沒有外部價格支撐，10% 的波動就足以清算整個倉位，甚至引發 ADL 連鎖。

清算與 ADL：預言機定義如何影響連鎖風險

倉位一旦開啟，預言機定義決定何時會被追繳保证金。

) 清算觸發點

當你的孤立倉位價值低於維持保证金要求時，就會觸發清算。此時用的不是交易的實際成交價，而是根據你的預言機定義計算的標記價格 ###calculated from your oracle definition(。數學公式如下：

清算價格 = )名義值 × marginRequirement( / 倉位大小

維持保证金要求是分層的——槓桿越高，要求越嚴，清算越早。你的保證金表將這些層級與市場綁定，如果在低流動性市場設定過高的槓桿，清算事件會集中爆發。

) 何時清算變成 ADL

真正的恐怖在於：當清算訂單找不到買家時。想像你的標記價格顯示 $3,000 ###根據預言機定義計算(，但訂單簿深度很淺。清算訂單以 $2,910 的價格成交——差距 3%。如果這個差距足夠大，使得清算損失超過交易者的保证金，你就創造了“壞債”。

系統不容許壞債，會觸發 ADL )自動減槓桿(：在前一個標記價格 )$3,000( 強制平倉對手方的盈利倉位，而非當前市場價。盈利被抽回來填補差額，將損失轉嫁給贏家。

從建構者角度看，ADL 是一個傳染警訊。每次 ADL 事件都代表你的市場處於壓力之下——要麼你的預言機定義出了問題，要麼你的槓桿設置過高，讓淺層訂單簿承擔過多風險。

重要參數：為你的市場配置預言機定義與槓桿

你的 setOracle 實作是一個調整旋鈕，具有巨大槓桿。錯誤會連鎖放大。

) 預言機頻率與更新規則

你必須每 10 秒至少呼叫一次 setOracle，否則系統會回退到本地訂單簿價格 ###如果你的資料源更可靠(。大多數建構者在波動期間每 2-5 秒更新一次。

但問題在於：每次 setOracle 最多只能讓標記價格變動 ±1%。如果市場條件在一秒內變動超過 5% )例如低市值山寨幣或黑天鵝事件(，你的預言機定義就必須過時。清算者會看到過時的價格，並猛烈打擊市場。

) 非 24/7 資產預言機定義：週末問題

股票和傳統資產不在週末交易。規劃股票永續合約的建構者，必須決定：週六早上沒有交易所開放時，預言機價格該如何定義？

目前的做法：

方案 1：保守派——在非交易時間暫停交易或清算。Lighter protocol 和 Optium 就是這樣做。交易者失去 24/7 的存取權，但市場較為穩定。

方案 2：內部定價——用“最後外部價格 + 內部訂單簿”來維持運作。這是 trade.xyz 在 12 月事件前的做法。

方案 2 揭示了預言機定義的關鍵弱點：±1%/最大槓桿的價格底線變成了風險的天花板。在週日低流動性股票中，即使只有少量大單，也可能引發 10% 的價格波動。你的預言機定義必須防範這種情況，但防護措施並不夠嚴密。

更佳的非 24/7 資產預言機定義應加入補充錨點：

• Blue Ocean ATS：提供盤後股價。流動性不如正常交易時間，但是真實市場價格，不是內部訂單簿估算。
• IG 週末 CFD 報價：提供“預期開盤波動”信號。結合最後收盤價 + Blue Ocean ATS 中價 + 內部價格，讓預言機定義有較大機率保持錨定。

這些補充並非取代嚴謹的預言機設計，而是增強它。你的預言機定義應該是：“交易時間用 Pyth，非交易時間用最後 Pyth 收盤價，調整後加入 Blue Ocean ATS 中價 + 內部訂單簿壓力，並限制在 ±X% 內。”

預言機風險控制：實時監控策略確保價格資料穩定

理論與實務的結合。你的預言機定義只有在良好的監控系統下才有價值。

價格資料失效偵測

你的中繼伺服器是單點故障。如果崩潰或失聯，setOracle 就會停止。10 秒內系統會回退到純訂單簿價格。對於流動性高、價差緊密的市場，這還能接受；但其他情況則可能陷入清算陷阱。

行動方案：

• Level 1 警示：資料源中斷超過 2.5 秒。立即檢查中繼伺服器狀況，切換備援基礎設施，並發布狀態報告。
• Level 2 警示：資料源中斷超過 10 秒。呼叫 setOpenInterestCaps 限制新倉，已存在的倉位仍可平倉。避免連鎖清算，等待修復。

價格錨點偏離：預言機定義漂移

即使中繼伺服器正常，預言機價格仍可能偏離真實。原因包括：

• Pyth 資料稍微滯後 ###高峰期可能發生(。
• 內部訂單簿中價因低流動性而偏離。
• 外部 CEX 價格 )用於 externalPerpPx(，變動速度快於更新頻率。

定義偏離的量化標準：

• 閾值 A：|oraclePx - externalPerpPx| > 2%
• 閾值 B：|markPx - 本地訂單簿中價| > 1%
• 閾值 C&D：持續超過 5 秒的偏差

行動方案：

• Level 1：若觸發 2+ 閾值，呼叫 setOpenInterestCaps 限制新倉。
• Level 2：逐步調整保證金表，降低最大槓桿，啟用 ±1% clamp 作為安全措施。
• Level 3：持續 Level 2 的措施並發出警示。偏差持續超過 30 秒，最後可呼叫 haltTrading 作為最後手段。

) 訂單簿退化：偵測淺層市場

流動性可能在預言機未失效的情況下消失。監控指標：

• 深度範圍 (±x%)：距中價 x% 範圍內的訂單總量。典型值：±0.5% 深度。
• 價差：bestAsk - bestBid。健康值：<0.1%；危險：>1%。
• 激進成交量：在 Δt 秒內的 Taker 交易量。如果超過深度範圍，代表市場可能淺薄。

深度崩潰且激進成交量激增時，清算訂單會產生滑點。這是你提前降低開倉上限，避免 ADL 連鎖的信號。

非 24/7 資產：市場休市期間的預言機定義

特別要注意：例如週五晚上股票永續合約。市場在下午 4 點 ET 收盤。你的建構者設定的預言機定義，必須支撐整個週末。

2025 年 12 月 Trade.xyz 崩潰事件

2025 年 12 月 14 日，攻擊者利用了這個場景。他們在市場流動性不足時，建立了 XYZ100 (一個 NASDAQ-100 指數永續合約)的空頭倉位。攻擊流程：

1. 非交易時間倉位建立：收盤後，外部價格錨點少，訂單簿稀疏，他們大量賣出。
2. 預言機定義失效：內部標記價格 ###基於有限的內部交易 + 最後外部價格(，出現偏離，向上偏移，與買方實際存在的價格不符。
3. 清算連鎖：多頭倉位被追繳，價格被人工抬高，觸發連鎖反應。
4. ADL 連鎖：系統強制平倉盈利的空頭倉位 )包括攻擊者的(，在過時的標記價格下，差距巨大，導致連鎖反應。

根本原因：非 24/7 資產的預言機定義過於鬆散。10% 的槓桿價格上限在正常交易中看似嚴格，但在低流動性股票的週末，僅靠少量大單就可能引發 2-3% 的真實價格波動。

) 改進的非 24/7 預言機定義

你的非 24/7 資產預言機定義應包括：

1. 交易時間內的主要錨點：Pyth 或交易所資料。
2. 非交易時間的補充錨點：Blue Ocean ATS 或 IG CFD 報價，預示開盤缺口。
3. 內部合理性檢查：若內部訂單簿中價偏離補充錨點超過 X%，觸發警示並降低槓桿。
4. 非對稱風險管理：交易時間內可用 10 倍槓桿，非交易時間降低到 2-5 倍。這樣能降低在預言機缺乏外部價格支撐時的清算連鎖風險。

建立你的風險監控儀表板：價格、深度與倉位監控

專業建構者同時運用三個監控渠道：

( 通道 1：價格端指標

每 1-2 秒追蹤預言機健康：

• 資料延遲 )距上次 setOracle 的時間$13M
• 價格偏離外部基準
• clamp 違反情況 ###價格超出 ±1% 限制持續###

( 通道 2：訂單簿指標

每 5-10 秒監控深度與價差：

• ±0.5%、±1%、±2% 深度範圍內的訂單量
• 買賣價差趨勢
• 激進買賣成交量與深度的相關性

激進成交量高且深度崩潰，代表市場可能即將清算，需提前調整開倉上限。

) 通道 3：倉位指標

每小時追蹤未平倉合約與集中度：

• 總名義未平倉與 24 小時交易量比率 (升高代表投機氛圍)
• 最大倉位佔可用保證金的比例
• 多頭與空頭的未實現盈虧佔比

當多頭或空頭的盈虧超過 80-90% 的保證金，任何市場震盪都可能觸發 ADL。

多數建構者以反應式方式運用這些儀表板——警示觸發後再行應對。進階者則會自動化反應：

• 資料源中斷超過 10 秒 → 自動降低未平倉上限至 50%
• 深度崩潰 + 激進成交量高 → 自動降低槓桿層級
• 多頭盈虧超過 80% → 發出警示，考慮市場暫停

從預言機定義到市場穩定：建構者的責任框架

HIP-3 給了建構者自主權，也賦予他們責任。

若你的市場出現問題——不論是預言機定義不佳、槓桿過高，或監控不足——驗證者可以投票撤銷你的 50 萬 HYPE 抵押金。協議不會區分惡意與疏忽，只會根據結果判斷：倉位是否正確平倉？預言機價格是否正確錨定？市場是否穩定？

建構者的未來之路是透過標準化來負責任：

1. 公開你的預言機定義：詳細披露資料來源、更新頻率與備援邏輯。透明度建立信任，也能在崩盤前揭露缺陷。

2. 實作證明系統：每次 setOracle 呼叫都產生證明 ###資料來源、計算步驟、輸出###。簽署並將證明提交到鏈上每小時一份 Merkle 樹，方便公開審計。

3. 嚴密監控：建立實時儀表板追蹤價格、深度與倉位健康。設置自動斷路器，在壓力升高前自動降低未平倉上限與槓桿。

4. 謹慎設計非 24/7 資產：若推出股票永續合約，加入補充預言機錨點 (Blue Ocean ATS、CFD 報價)，並採用較低的離線槓桿 (降低風險)。借鏡 trade.xyz 12 月崩潰事件。

5. 建立升級程序：明確記錄何時何地啟動 haltTrading。切勿將其視為隨意操控的工具——它是市場的緊急剎車。

HIP-3 的創新不在於讓部署變得毫無阻礙，而在於標準化部署——讓存取、操作與責任變得可追蹤。你的市場能否存活，取決於你如何嚴格執行預言機定義、監控價格資料，以及早期警示的反應。

建構者部署的數十億交易量證明了機會所在，trade.xyz 的事件則提醒我們風險所在。你的成功取決於將預言機定義視為一個技術勾選框之外的根本承諾——它決定你是在經營一個市場，還是在經營一個清算農場。

若要獲得持續的安全支援、審計準備與風險監控基礎建設，建議與專業公司如 BlockSec 合作，協助將這些原則轉化為實務系統。諮詢費用遠低於一次精心策劃的攻擊可能造成的損失。