Oracle定义与市场稳定性：在HIP-3上构建可信赖的永续市场

永续合约的推出方式已经发生了根本性的转变。曾经由平台控制哪些资产可以交易以及交易条件的方式，已被HIP-3重新分配给在定义参数范围内运营的合格构建者。自主网部署以来，超过130亿美元的交易量通过第三方运营的市场流通，标志着市场创建的真正民主化。然而，这种从门控者到规则基础系统的转变也带来了一个关键的悖论：更大的市场灵活性需要更严格的操作纪律。这个挑战的核心是一个看似简单但后果巨大的概念——预言机定义。

去中心化上市背后的架构：从审批到标准的转变

传统的中心化交易所通过不透明的内部流程控制永续合约的上市。产品团队评估资产，做出商业决策，然后部署。风险控制由交易所基础设施内部管理。而HIP-3则颠倒了这一模型。它不维护一个经过筛选的资产目录，而是提供基础设施——HyperCore负责大规模匹配和结算，HyperEVM运行智能合约——并邀请构建者在其之上层叠市场。

表面上机制非常简单：质押50万HYPE代币，部署一个去中心化交易所（持有自己的保证金和订单簿），免费上线三个市场，然后通过荷兰拍卖获取额外的市场位置。但这种结构的简单掩盖了执行中的深刻复杂性。现在，构建者不仅拥有市场创建的责任，还承担市场运营——价格喂价、参数管理、持续稳定性监控。曾经由平台负责的任务，变成了构建者的责任。

这种转变暴露出一个核心矛盾：去中心化需要标准化。系统必须建立明确的接口和约束，否则风险不会消失，而是分散到数十个能力各异的独立运营者中。

预言机定义：关键的第一步决策

当构建者启动市场创建时，第一个也是最关键的决策是预言机的定义。这不仅仅是选择一个价格喂价源，而是涉及市场参与者如何判断其仓位是否盈利、是否面临清算或触发应急机制的整个概念框架。

预言机定义实际上规定了什么：

HIP-3中的预言机定义包括三个部分：oraclePx（来自外部源的原始价格）、可选的markPx（构建者提供的自定义标记价格）以及externalPerpPx（来自集中交易所永续合约价格的加权中位数）。这些不是可互换的输入——它们在HIP-3的风险计算层级中具有不同的功能。

oraclePx作为资金费率的锚点，也是价格界限的参考。markPx由构建者的中继结合链上和链下信号计算得出。externalPerpPx提供备用参考。HIP-3随后通过中位数计算将这些合成为实际的标记价格：首先是本地订单簿的中位数，然后结合构建者提供的外部标记，最后与externalPerpPx比较。这种多源方法理论上可以防止任何单一价格源主导清算。

理论上如此。

为什么预言机定义比技术更重要：

预言机定义的技术组成不如构建者维护它的操作能力重要。选择依赖集中中继服务器的预言机定义，意味着继承了该服务器的可用性、安全性和更新频率的限制。如果中继的私钥被攻破，或DDoS攻击阻止价格更新，oraclePx就会停滞。此时，标记价格无法更新，系统会退回到本地订单簿中位数——正是在流动性最薄弱、操控风险最高的时刻。

2025年12月14日trade.xyz的事件就展示了这种动态。攻击者累计了约398份XYZ100合约的空头仓位（约1000万美元），故意制造失衡。由于订单簿深度不足，价格与外部源脱钩。多头仓位持有者面临连锁清算，约有1300万美元的仓位被平仓。机制在技术上是有效的——清算执行了，但系统将损失转嫁给了最准备不足的参与者，而非阻止最初的失衡。

当预言机定义假设在非交易时间外外部价格锚点稳定时，这种情况变得更可能发生。

24/7资产与非24/7资产的分界：预言机定义的关键性

HIP-3的灵活性允许列出任何资产，这在预言机定义要求上形成了类别差异。

24/7资产（永续加密货币）：

对于比特币、以太坊等全天交易的资产，预言机定义可以依赖多个中心化交易所/去中心化交易所的价格喂价源，结合像Pyth这样的专业预言机服务。这些资产在多个场所持续交易。构建者可以聚合多个价格源，应用中位数计算，检测异常值。当某一源偏离时，其他源提供即时锚定。

对于24/7资产，预言机定义仍然具有挑战——选择加权源、管理更新频率、应对交易所故障——但基础的外部市场提供了持续的信号，即使某个单一喂价源失效。

非24/7资产（股票和商品）：

股票永续合约的预言机定义则需要根本不同的假设。在交易时段内，像Pyth这样的服务提供稳定的外部锚点。但当纽约证券交易所关闭时，构建者面临选择：要么停止价格喂价（限制交易），要么基于内部市场信号继续定价，只在“前一交易日收盘价”时参考外部数据。

目前，大多数构建者在实现非24/7资产时采用类似trade.xyz的内部定价机制——结合最后的外部预言机价格与内部订单簿动态，限制价格偏离（通常限制在1/最大杠杆波动范围内）。这是数学上合理的，但操作上危险。

在市场关闭期间，订单簿深度通常收缩。做市商减少报价，散户休眠，市场变得稀薄。将价格变动限制在“前一收盘价的1/10（10倍杠杆）”的预言机定义看似保守，但当流动性枯竭时，即使是微小的订单流也会在这个范围内引发不成比例的价格波动。当市场周一早上重新开盘，外部数据重新锚定时，就会出现跳空。这些跳空会引发连锁清算，甚至在严重情况下触发ADL（自动仓位减仓）事件，被强制平仓以弥补无力偿还的仓位损失。

构建一个有防御力的预言机定义框架

试图运营稳定市场的构建者需要制定预言机定义策略，预见潜在的失败模式，而非假设持续稳定。

市场关闭期间的补充价格锚点：

对于非24/7资产，在市场关闭期间引入外部价格信号，显著改善预言机定义。方案包括：

• **Blue Ocean ATS及盘后交易场所：**提供非交易时间的持续价格发现，比“前一收盘价”更具实时性。构建者可以在市场关闭时，将Blue Ocean ATS的数据加权入预言机定义，形成更难操控的参考点。

• **IG等提供的周末CFD报价：**预测下周开盘的市场预期。虽然不能直接替代现货价格，但作为“预期开盘跳空”的方向性锚点。

这些来源的共同特点是：在市场关闭时可用，但结构上不同于现货市场。预言机定义应将它们视为参考和风险信号，而非绝对等价。

设计透明且可审计的价格推导机制：

当前预言机定义的核心漏洞在于中继的中心化。如果价格喂价仅来自构建者的私有服务器，该服务器就成为单点故障和攻击目标。构建者应建立验证系统，允许外部方审计价格的真实性。

具体做法包括：公开披露喂价源、结合这些源的算法、每个输入的采样时间戳以及最终的标记价格。每次调用setOracle时，生成包含原始数据、计算步骤和最终输出的密码学证明（proof）。将这些证明序列化成proofHash，由中继签名。定期将这些哈希值汇总成Merkle树，并在链上发布根节点。

这种方式将预言机定义从“相信构建者的价格服务器”转变为“验证构建者的方法论”。任何用户都可以检索历史价格数据，使用公布的算法重新计算输出，验证构建者的喂价是否符合声明的源。

预言机定义失效时：监控与干预

即使设计得再完善，极端市场压力下预言机定义也可能失效。HIP-3的运营者需要建立监控体系，提前发现问题，避免风险蔓延。

价格端监控：检测预言机漂移：

预言机价格喂价失败最早表现为断点——中继停止更新。构建者应监控链上指标：如果连续两次预言机更新间隔超过10秒，系统应触发一级警报。构建者应检查中继基础设施的健康状况，必要时切换备用节点。

更隐秘的是价格脱锚：预言机价格逐渐偏离外部基准。构建者的预言机定义可能依赖Pyth等外部数据，但Pyth的输入（使用聚合交易所价格）可能与当前市场条件偏离。预言机定义变得过时却不表现为故障。监控阈值应比较多个外部源与构建者的预言机：如果两个或多个源偏离超过X%，应升级警报。

在一级警报时，限制未平仓合约规模（setOpenInterestCaps）。在二级（持续偏离）时，逐步降低最大杠杆。三级时，触发紧急停止（haltTrading）。

订单簿监控：检测流动性崩溃：

预言机定义的有效性取决于市场的流动性结构。订单簿变窄、价差扩大、激进订单影响增加，即使价格准确，也变得危险。构建者应追踪：深度范围（±x%中枢价的累计成交量）、价差（最佳卖价-最佳买价）和影响比（激进成交量/深度范围）。当深度缩减而价差和影响比同时扩大时，清算风险急剧上升。

在一级时，限制未平仓规模增长。在二级时，强制降低高风险仓位的杠杆。

仓位集中度监控：检测投机连锁：

最后，应监控市场是否从真实对冲转向纯投机。追踪未平仓合约名义价值与24小时交易量的比率。当未平仓规模远快于交易量增长，表明市场逐渐积累单边敞口。结合极端的盈亏比例，这预示着清算连锁的到来。构建者应在比率突破阈值时发出警报；若持续，应降低未平仓规模上限。

通过质押实现治理：对预言机定义决策的责任追究

HIP-3的责任追究机制核心是质押。构建者必须始终保持50万HYPE的质押。验证者可以投票削减（slash）其质押，如果构建者的行为导致市场状态无效、长时间宕机或性能下降。

这一机制使预言机定义的选择具有具体的财务后果。若构建者采用疏忽的预言机定义——接受单一集中喂价源、未监控漂移、忽视非交易时间的价格风险——就可能引发清算连锁。验证者观察到反复失败或市场崩溃，且可追溯到预言机定义不足时，可以投票削减其全部质押。

这将预言机定义从技术决策转变为治理决策。验证者通过slash投票隐式认可或惩罚构建者的预言机选择。随着时间推移，这会形成演化压力：采用稳健预言机定义的构建者得以存活；而偷工减料者则逐渐被削减。

当然，这一机制并非完美——验证者可能缺乏技术判断能力，或投票动机与实际操作质量无关。但它确立了最低的责任门槛。

更广泛的意义：去中心化即风险再分配

HIP-3的核心创新不在于消除风险，而在于风险的再分配。中心化交易所将操作风险（维护价格喂价、阻止操控、管理清算）内部化，而HIP-3则将这些责任外包给构建者。协议提供基础设施，构建者负责操作卓越。

这只有在构建者理解自己实际承担了什么责任时才行。预言机定义是最被低估的攻击面之一。它看似简单——选择一个价格喂价源——但实际上涵盖了喂价源选择、中继管理、非交易时间定价、备用机制、验证框架、持续监控和治理责任。

建立在疏忽预言机定义上的市场必然失败。建立在深思熟虑的预言机定义、完善监控和透明验证机制上的市场，可以支撑大量交易。通过HIP-3市场的130亿美元交易量表明，存在合格的构建者。但每一个失败的市场——每一次由预言机定义失误引发的清算连锁——都在将资本从毫无戒备的交易者转移到平台运营者和高阶套利者手中。

进入HIP-3的构建者应将预言机定义视为一项基础架构决策，而非技术细节，决定其市场是否能以诚信运营或在压力下崩溃。

未来的路径：理清设计原则

对于设计市场准入、参数模板、警报系统和应急响应方案的构建者来说，成功的关键在于将预言机定义作为第一性原理的设计问题。这意味着明确模拟在以下场景下的行为：交易所故障、DDoS攻击中继、非交易时间的价格差距、以及在流动性稀薄时的清算连锁。

还意味着建立验证框架，允许外部审计你的价格方法论。制定监控阈值和升级流程，明确决策规则。最重要的是，要认识到在压力下维护可信预言机定义的复杂性并未消失——它只是从交易所转移到了构建者身上。

那些认真对待预言机定义的，将运营稳定可信的市场；那些忽视的，最终会成为去中心化系统失败的典型案例。