Riesgos

Riesgo de oscilación del BBO

El precio de ejecución es el mejor precio de compra y de venta de Hyperliquid, leído directamente. En BTC y ETH el spread es estrecho pero no nulo, y dentro de él cualquiera puede poner una pequeña orden límite que nunca necesita ejecutarse: con solo estar en la cima del libro mueve el mejor precio de compra o de venta, y con él el precio medio, uno o dos ticks.

Quien mueve el libro así puede llegar a abrir o cerrar aquí a un precio medio distorsionado y ganar cuando la cotización vuelve a la normalidad. Es un riesgo real y abierto: la fijación de precios no tiene un precio de referencia independiente con el que rechazar una cotización.

Fricciones económicas y controles de exposición

Se aplican cuatro controles. Ninguno demuestra que la manipulación sea imposible o no rentable.

1. La zona muerta. En un cierre ganador, una ganancia menor que el 0.002% del precio de entrada se pone en cero antes de aplicar la curva de impacto, y las ganancias mayores pierden primero ese monto.
2. La curva de impacto asimétrico. El recorte sobre los cierres ganadores es más fuerte en los movimientos más pequeños, lo que reduce la ganancia de las distorsiones pequeñas sin comparar el libro con ningún otro precio.
3. Topes de interés abierto por dirección. Cada mercado tiene topes separados para long y para short; una apertura que superaría el tope de su lado se revierte. Un keeper mantiene cada tope en el interés abierto del lado más un margen H valorado al precio medio actual, no lo toca mientras el margen se mantenga dentro del 10% de H, y limita lo rápido que pueden crecer los topes. H se fija para cada etapa de lanzamiento (abajo). Estos topes limitan la nueva exposición por lado; no son un techo para el interés abierto total ni para las pérdidas.
4. La retención de cierres recientes. Si una posición se abrió hace un instante, el relayer retiene su cierre hasta 6 segundos, para que no se pueda abrir y cerrar de una vez sobre una sola foto desactualizada.

Juntos reducen las ganancias y limitan cuánta exposición nueva cabe bajo los topes. Un libro manipulado pero distinto de cero y no cruzado sigue pasando, así que el riesgo de manipulación y de pérdida del LP se mantiene.

Protecciones operativas

• Keepers vigilando. Nuestros keepers monitorean los libros, el interés abierto y el estado de cada posición, y ejecutan liquidaciones y recolecciones en cada bloque. Un centinela vigila libros detenidos y flujos anómalos y alerta a los operadores.
• Retirar un mercado, pausar el trading. El guardián puede retirar un id de mercado cuando algo parece andar mal: no vuelve a aceptar aperturas, y sus posiciones se pueden seguir cerrando con el libro congelado en el momento del retiro. El retiro no se puede deshacer; el mercado puede volver a listarse más adelante con un id nuevo. Pausar el trading es la forma reversible de detener las aperturas en todos los mercados; el guardián puede pausar y solo el dueño puede reanudar.
• El keeper de topes. El keeper de mercados aplica la política de topes a cada lado por separado y cambia un tope solo cuando el margen sale de su banda.

Superficies abiertas y restringidas

El trading pasa por nuestro relayer: las aperturas, los cierres, el registro de claves de sesión y las acciones de staking los envían las claves de relayer configuradas a través del BatchExecutor. Cada una lleva igualmente la firma de tu billetera o de tu clave de sesión, comprobada on-chain, así que el relayer no puede actuar por una cuenta sin su firma.

Los retiros siguen en tus manos: puedes llamar a withdrawToCore desde tu billetera, y cualquiera puede enviar un withdrawToCoreBySig firmado, pero necesita la firma de tu propia billetera. Las liquidaciones, las recolecciones, los barridos de depósitos y su finalización, y la reproducción de acuñaciones diferidas son llamadas de mantenimiento públicas; empujar las comisiones de los stakers está reservado al contrato de staking, que lo hace en cada distribución. Desplegar un proxy de depósito está abierto a la clave de despliegue del relayer y a la propia cuenta; disparar una distribución de staking está reservado al keeper distribuidor o a una solicitud firmada a través del relayer. No hay ningún interruptor de administración sobre los saldos de los usuarios.

Claves de administración

Cada rol se limita a un área estrecha:

• Guardián (un multisig). Puede retirar un mercado (con el libro congelado o, en una emergencia, al precio de marca o de oráculo de Hyperliquid), pausar el trading en todos los mercados, reemplazar al keeper de mercados, cancelar operaciones programadas en el timelock y subir la asignación de gas para las lecturas de precios. No puede reanudar el trading, mover fondos, cambiar saldos ni activar ninguna defensa inactiva.
• Dueño (el timelock, programado por el multisig de gobernanza, con un retraso de 2 días). Puede cambiar las comisiones y los parámetros de impacto, listar mercados, reemplazar relayers y keepers, fijar el destinatario de las comisiones del equipo, levantar una pausa del trading, aprobar builders y fijar su tasa de comisión (como máximo 15%), mover las comisiones sin cobrar de un builder, cambiar la acuñación a la regla de parte del suministro (una vez) y actualizar los contratos. Los contratos son actualizables, así que en principio el dueño puede hacer que hagan cualquier cosa; el retraso hace que cada uno de esos cambios sea visible antes de ejecutarse. Quién tiene los roles del timelock está a su vez detrás de un segundo timelock de 7 días.
• Keeper de mercados. Mueve los topes de interés abierto por lado y fija el margen mínimo y el tamaño mínimo de posición para las aperturas. Poner en cero el tope de un lado detiene las nuevas aperturas de ese lado sin congelar ningún precio. No puede mover fondos, congelar precios ni tocar la curva de impacto.
• Keeper de fuera de horario. Cambia los cierres ganadores entre las dos curvas de pago fijadas en el contrato (PnL con impacto asimétrico), según un calendario publicado. Puede elegir una de esas dos curvas y nada más.
• Guardián de builders (el multisig de gobernanza). Puede eliminar de inmediato un builder aprobado, lo que detiene su comisión en todas las claves; las comisiones que ya ganó se pueden seguir cobrando.
• Conciliador. Puede acreditar un barrido de depósito marcado como no confirmado, solo hasta su monto registrado, solo con fondos que llegaron de forma verificable y no pertenecen a nadie, y solo dentro de 30 días.

Etapas de lanzamiento

El exchange se abre por etapas. Solo cambian palancas off-chain (quién puede operar, el margen H de los topes por lado, la orden individual más grande que acepta el relayer), nunca un parámetro on-chain. Cada etapa dura al menos su duración mínima sin un incidente grave antes de que empiece la siguiente, y cualquier palanca se puede bajar en cualquier momento.

Defensas inactivas

Los contratos incluyen defensas construidas y probadas pero desactivadas en el lanzamiento, por decisión: las ejecuciones se mantienen en el precio medio bruto, y no hay limitador de salidas ni cortacircuitos. Activar una es un cambio de parámetros con timelock que primero hay que decidir y anunciar.

Por lo tanto, no hay limitador del dinero que sale del exchange: un bug que inflara un saldo podría retirarse antes de que llegue una corrección. El indexador comprueba la contabilidad después de cada bloque y alerta de inmediato, y el relayer puede detener los retiros que pasan por él; los retiros directos no se pueden detener.

Otros riesgos

• Reclamos en cola sin respaldo. Una ganancia que el LP no puede pagar se convierte en un reclamo que se paga solo con pérdidas futuras. Nada limita la cola ni acota la espera. El LP empezó en $0, así que a los primeros ganadores se les paga a través de la cola.
• Las órdenes necesitan el relayer. Si está caído o rechaza una orden, no puedes abrir ni cerrar; tu saldo libre se puede seguir retirando desde tu billetera. Una orden firmada no tiene límite de precio y sigue siendo válida hasta su plazo, de hasta 61 minutos; revocar tus claves de sesión anula todas las órdenes que firmaron.
• Claves y phishing. Una clave de sesión puede operar pero nunca retirar; aun así, el código que corre en la página podría usarla mientras se ejecuta. Compara cada solicitud de firma con las firmas oficiales.
• El token. BACK se acuña para quienes pierden, así que la emisión se puede explotar con posiciones que se compensan entre sí. La transferencia está desactivada y no se activará sin una decisión aparte. Las recompensas no se reparten de forma continua, así que un staking hecho justo antes de una distribución participa de ella.
• Tecnología. Bugs en los contratos, caídas de HyperEVM o de HyperCore, cambios en las precompiladas de Hyperliquid y fallas de los puentes pueden causar pérdidas o demoras.
• Legal. Los términos, la política de privacidad y el aviso de riesgos se están preparando con asesoría legal y todavía no están publicados.