Oracle 定義與市場穩定性：在 HIP-3 上建立可信的永續市場

永續合約推出方式的演變已經從根本上改變了。過去平台控制著哪些資產可以交易以及交易條件，而HIP-3則將這個權力重新分配給在特定參數範圍內運作的合格建構者。自主網部署以來，超過130億美元的交易量已經流入第三方運營的市場，這象徵著市場創建的真正民主化。然而，從門檻守門人到規則基礎系統的轉變，卻產生了一個關鍵的矛盾：更大的市場彈性需要更嚴格的操作紀律。在這個挑戰的核心，是一個看似簡單但影響巨大的概念——預言機的定義。

去中心化上市背後的架構：從審核轉向標準

傳統的中心化交易所通過不透明的內部流程控制永續合約的上市。一個產品團隊評估資產，做出商業決策，並部署上架。風險控制則由交易所基礎設施內部管理。而HIP-3則顛倒了這個模型。它不再維持一個經過篩選的資產目錄，而是由Hyperliquid提供基礎設施——HyperCore負責大規模的配對與結算，HyperEVM運行智能合約——並邀請建構者在此之上層建立市場。

表面上，機制很簡單：抵押50萬HYPE代幣，部署一個去中心化交易所（持有自己的保證金與訂單簿），免費啟動三個市場，然後透過荷蘭拍賣獲取額外的市場名額。但這種結構的簡單，掩蓋了執行上的深層複雜性。建構者現在不僅擁有市場創建的權利，也負責市場運作——價格傳遞、參數管理、持續穩定性監控。曾經屬於平台的責任，現在變成建構者的責任範圍。

這個轉變揭示了一個核心的矛盾：去中心化需要標準化。系統必須建立明確的介面與限制，否則風險不會消失，而是會碎片化在數十個能力各異的獨立運營者之間。

預言機定義：關鍵的第一個決策

當建構者啟動市場創建時，第一個也是最重要的決策是預言機的定義。這不僅僅是選擇一個價格傳遞源，而是涵蓋整個市場參與者如何判斷其持倉是否獲利、是否面臨清算或觸發緊急機制的整體概念框架。

預言機定義實際上包含以下三個部分：

• oraclePx（預言機價格）：來自外部來源的原始價格
• markPx（標記價格，可選）：建構者提供的自訂標記價格
• externalPerpPx（外部永續價格）：來自中心化交易所永續合約價格的加權中位數

這些並非可互換的輸入——它們在HIP-3的風險計算層級中扮演不同角色。oraclePx用來鎖定資金費用，作為價格範圍的參考。markPx由建構者的中繼伺服器結合鏈上與鏈下訊號計算得出。externalPerpPx則提供備用參考。HIP-3再將這些數據透過中位數計算組合成實際的標記價格：先是本地訂單簿的中位數，再結合建構者提供的外部標記，最後與externalPerpPx比較。這種多源的方式，理論上可以防止任何單一價格源主導清算。

理論上如此。

為什麼預言機定義比技術更重要：

預言機定義的技術組成較不重要，重要的是建構者維持它的操作能力。若建構者選擇依賴中心化中繼伺服器的預言機定義，就必須承擔該伺服器的可用性、安全性與更新頻率的限制。如果用來保護中繼伺服器的私鑰遭到攻擊，或DDoS攻擊阻礙價格更新，oraclePx就會停滯不前。當標記價格無法更新，系統就會回退到本地訂單簿的中位數——這正是流動性最薄弱、操控風險最高的時候。

2025年12月14日，trade.xyz的事件就展現了這個動態。攻擊者累積了約398XYZ100合約（約1000萬美元）的空頭倉位，故意造成市場失衡。由於訂單簿深度不足，價格與外部來源脫節。多頭持倉者面臨連鎖清算，約有1300萬美元的倉位被平倉。技術上，清算程序運作正常——執行了清算，但系統將損失轉嫁給了準備不足的參與者，而非阻止最初的失衡。

當預言機定義假設在非交易時間內外部價格錨穩定時，這種情況就更容易發生。

24/7資產與非24/7資產的差異：預言機定義的關鍵點

HIP-3的彈性在於可以列出任何資產，這在預言機定義上產生了分類上的差異。

24/7資產（永續加密貨幣）：

比特幣、以太坊等24小時交易的資產，可以依賴多個中心化/去中心化交易所的價格來源，結合專門的預言機服務如Pyth。這些資產在多個市場持續交易。建構者可以匯總多個價格來源，應用中位數計算，並偵測異常值。當某個來源偏離時，其他來源立即提供錨定。

對於24/7資產，預言機定義仍具挑戰——選擇加權來源、管理更新頻率、處理交易所故障——但由於外部市場持續提供一致的訊號，即使某個來源失效，也不會完全失去參考。

非24/7資產（股票與商品）：

股票永續合約的預言機定義則需要根本不同的假設。在交易時間內，像Pyth這樣的服務提供穩定的外部錨點。然而，當紐約證交所收盤時，建構者面臨兩個選擇：要麼停止價格傳遞（限制交易），要麼基於內部市場訊號繼續定價，僅在“前一個收盤價”作為外部參考。

目前多數建構者在實作非24/7資產時，會採用類似trade.xyz的內部定價機制——結合最後的外部預言機價格與內部訂單簿動態，並限制價格偏移（通常限制在1/最大槓桿波動範圍內）。這在數學上是合理的，但操作上卻危險。

在市場休市期間，訂單簿深度通常收縮。做市商減少報價，散戶休眠，市場變得稀薄。將價格變動限制在“前一收盤價的十分之一”範圍內（例如10倍槓桿）看似保守，但當流動性枯竭，即使是微小的訂單流也會在這個範圍內引發不成比例的價格波動。週一早上市場重新開盤，外部數據重新錨定時，就會出現缺口。這些缺口可能引發連鎖清算，甚至在嚴重情況下，觸發ADL（自動平倉）事件，強制平掉有利可圖的交易以彌補無力償付的倉位。

建構一個有防禦力的預言機定義框架

想要運營穩定市場的建構者，必須設計能預見失效模式的預言機策略，而非假設市場永遠穩定。

在市場休市期間引入外部價格錨點：

對於非24/7資產，即使在休市期間加入外部價格訊號，也能大幅改善預言機定義。選項包括：

• Blue Ocean ATS及盤後交易平台： 這些提供非交易時間的持續價格發現，比“前一收盤價”更即時。建構者可以在休市時將Blue Ocean ATS的數據加權進預言機定義，提供較少操控的參考點。

• IG等供應商的周末CFD報價： 這些預測下週開盤的市場預期。雖非現貨價格的直接替代，但可作為“預期開盤缺口”的方向性錨點。

這些來源的共同特點是：在市場休市時仍可獲得資訊，但結構上與現貨市場不同。預言機定義應將它們視為參考與風險訊號，而非絕對等同。

設計透明且可審計的價格推導流程：

目前預言機定義的最大弱點在於中繼伺服器的中心化。如果價格來源僅來自建構者的私有伺服器，就會成為單點故障與攻擊目標。建構者應建立驗證系統，允許外部審核價格的真實性。

這需要公開披露：提供預言機的數據來源、結合這些來源的算法、每個輸入的取樣時間戳，以及最終的標記價格。每次setOracle調用時，產生一個包含原始數據、計算步驟與最終結果的密碼證明（proof），並用proofHash簽名。定期將這些哈希值聚合成Merkle樹，並將根哈希上鏈公布。

此方法將預言機定義從“相信建構者的價格伺服器”轉變為“驗證建構者的方法論”。任何用戶都可以取回歷史價格資料，重算輸出，並確認建構者的數據是否符合聲明的來源。

預言機定義失效時：監控與干預

即使設計良好的預言機定義，在極端市場壓力下仍可能失效。運行HIP-3的建構者需要建立監控框架，提前偵測問題，避免失控。

價格端監控：偵測預言機偏移：

預言機價格失效最早表現為不連續——中繼伺服器停止更新。建構者應監控鏈上數據：若兩次連續更新間隔超過10秒，即觸發Level 1警報。建構者應檢查中繼伺服器的運作狀況，必要時切換備用節點。

更隱晦的是價格偏離：預言機價格逐漸偏離外部基準。建構者的預言機定義可能依賴Pyth，但Pyth的輸入（使用匯總交易所價格）可能與當前市場狀況脫節。若不監控，預言機可能在不被察覺的情況下過時。監控閾值應比較多個外部來源與建構者預言機的偏差：若兩個或以上偏差超過X%，即升級警報。

在Level 1警報時，可限制未平倉上限（setOpenInterestCaps）。在Level 2（持續偏差）時，逐步調整保證金層級，降低最大槓桿。Level 3則啟動緊急停止（haltTrading）。

訂單簿監控：偵測流動性崩潰：

預言機定義的有效性取決於市場的流動性結構。若訂單簿收縮、價差擴大、激進訂單影響增加，即使價格正確，也變得危險。建構者應追蹤depth_band（±x%中間價的累計成交量）、spread（最佳買賣價差）與impact_ratio（激進成交量/深度範圍）。當深度縮減而價差與影響比同時擴大，清算風險急劇上升。

在Level 1，限制未平倉增長。在Level 2，強制降低高風險倉位的槓桿。

持倉集中度監控：偵測投機連鎖：

最後，監控市場是否由真正的避險轉向純粹投機。追蹤未平倉名義金額與24小時交易量的比率。當未平倉快速增長而交易量未同步上升，代表市場偏向單邊暴露。結合極端的盈虧比例，這預示著清算連鎖的來臨。建構者應在比率突破閾值時發出警示；若持續，則降低未平倉上限。

透過治理與抵押：預言機定義決策的責任追究

HIP-3的責任追究機制核心在於抵押。建構者必須始終維持50萬HYPE的抵押金。驗證者可以投票削減抵押金，若建構者的行為造成市場狀態不合法、長時間停擺或性能下降。

這個抵押機制使預言機定義的決策具有具體的財務後果。若建構者採用疏忽的預言機定義——接受單一中心化價格源、未監控偏移、忽略非交易時間的價格風險——就可能引發連鎖清算。驗證者若觀察到反覆失誤或市場崩潰，且明顯與預言機定義有關，便可投票削減其全部抵押。

這將預言機定義從純技術決策，轉變為治理決策。驗證者透過削減投票，間接批准或懲罰建構者的預言機選擇。長期來看，這會形成演化壓力：實施穩健預言機定義的建構者能存活，而投機取巧者則逐漸被淘汰。

當然，這個機制並非完美——驗證者可能缺乏技術判斷能力，或投票行為與實際操作品質無關。但它建立了一個最低的責任門檻。

更廣泛的意義：去中心化即風險再分配

HIP-3的核心創新，不在於消除風險，而在於重新分配風險。中心化交易所內化操作風險（維護價格來源、防止操控、管理清算），而HIP-3則將這些責任外包給建構者。協議提供基礎設施，建構者則負責操作的卓越。

這只有在建構者真正理解自己承擔的責任時才成立。預言機定義是最被低估的攻擊面之一。它看似簡單——選擇一個價格源——但實際上涵蓋了源的選擇、中繼管理、非交易時間的定價、備援機制、驗證框架、持續監控與治理責任。

建立在草率預言機定義上的市場，終將失敗。建立在深思熟慮的預言機定義、完善監控與透明驗證機制之上的市場，則能支撐大量交易。HIP-3市場的130億美元交易量已經證明有合格建構者存在。但每一個失敗的市場——每一個可追溯到預言機定義失誤的清算連鎖——都在將資金從毫無戒心的交易者轉移到平台運營者與高級套利者手中。

進入HIP-3的建構者，應將預言機定義視為一個架構性決策，而非單純的技術實作細節，因為它決定了市場是否能以誠信運作或在壓力下崩潰。

未來的方向：走向穩健的預言機設計

對於設計市場接入、參數模板、警示系統與緊急應變流程的建構者來說，成功的關鍵在於將預言機定義視為一個第一原則的設計問題。這意味著明確模擬在各種情境下預言機的行為：交易所故障、DDoS攻擊你的中繼伺服器、非交易時間內內外價格差距、以及在流動性稀薄時的清算連鎖。

它還意味著實作驗證框架，允許外部審核你的價格方法論。建立監控閾值與升級規則，並明確決策流程。最重要的是，要認識到在壓力下維持可信預言機定義的複雜性並未消失——它只是從交易所轉移到建構者身上。

那些認真對待預言機定義的人，將能運營穩定、值得信賴的市場；而那些忽視者，則將成為去中心化系統失敗的反面教材。