リスク

BBOのジッターリスク

約定価格は、直接読み取ったHyperliquidの最良気配です。BTCとETHのスプレッドは狭いもののゼロではなく、その内側には誰でも、約定させる必要のない小さな指値注文を置けます。板の最上位に置くだけで最良買い気配か最良売り気配が動き、それに合わせてミッド価格も一、二ティック動きます。

このように板を動かす人は、ゆがんだミッド価格でここで新規建てや決済を行い、気配が元に戻ったときに利益を得られるかもしれません。これは現実の、未解決のリスクです。価格決定には、気配を退けるための独立した基準価格がありません。

経済的な摩擦とエクスポージャーの管理

四つの管理が働きます。どれも、操作が不可能であることや割に合わないことを証明するものではありません。

1. デッドバンド。 勝ち決済で、エントリー価格の0.002%より小さな利益は、インパクトカーブの前にゼロになり、それより大きな利益も、まずその分を差し引かれます。
2. 非対称インパクトカーブ。 勝ち決済に対する差し引きは値動きが小さいほど大きくなるため、板をほかの価格と比べることなく、小さなゆがみから得られる利益を減らします。
3. 方向別の建玉上限。 各マーケットにはロングとショートで別々の上限があり、その側の上限を超える新規建てはリバートします。キーパーは、各上限をその側の建玉に、現在のミッド価格で評価した余裕Hを加えた水準に保ちます。余裕がHの10%以内にある間は触らず、上限が増える速さも制限します。Hはローンチ段階ごとに設定されます（下記）。これらの上限は片側ごとの新しいエクスポージャーを制限するもので、建玉全体や損失の上限ではありません。
4. 建てたばかりのポジションの決済保留。 建てたばかりのポジションの決済は、リレイヤーが最大6秒保留します。一つの古いスナップショットで新規建てと決済を一度に行えないようにするためです。

これらを組み合わせると利益が減り、上限の下に収まる新しいエクスポージャーも限られます。それでも、操作されていてもゼロではなくクロスもしていない板は通るので、操作のリスクとLPの損失のリスクは残ります。

運用上のガード

• 監視するキーパー。 当社のキーパーは、板、建玉、すべてのポジションの健全性を監視し、毎ブロック清算とハーベストを実行します。センチネルが、止まった板や異常なフローを監視し、運営者に警告します。
• マーケットの廃止、取引の一時停止。 何かがおかしいと見えたとき、ガーディアンはマーケットIDを廃止できます。以後そのマーケットは新規建てを一切受け付けず、ポジションは廃止時に凍結された板で引き続き決済できます。廃止は元に戻せませんが、後で新しいIDで改めて上場することはできます。取引の一時停止は、全マーケットの新規建てを止める、元に戻せる方法です。一時停止はガーディアンができ、解除できるのは所有者だけです。
• 上限キーパー。 マーケットキーパーは、上限の方針を各側に個別に適用し、余裕がその幅から外れたときにだけ上限を変えます。

誰でも使える部分と制限された部分

取引は当社のリレイヤーを通ります。新規建て、決済、セッションキーの登録、ステーキングの操作は、設定されたリレイヤーの鍵がBatchExecutorを通じて送信します。それでも、どれにもあなたのウォレットかセッションキーの署名が含まれ、オンチェーンで検証されるので、リレイヤーが署名なしにアカウントの代わりに動くことはできません。

出金はあなたの手の中にあります。ウォレットからwithdrawToCoreを呼べますし、署名済みのwithdrawToCoreBySigは誰でも送信できますが、あなた自身のウォレットの署名が必要です。清算、ハーベスト、入金のスイープとその確定、遅延した発行の再実行は、公開のメンテナンス呼び出しです。ステーカー手数料の取り込みはステーキングコントラクト専用で、分配のたびに行われます。入金プロキシのデプロイは、リレイヤーのデプロイ用鍵とアカウント自身ができます。ステーキングの分配の起動は、分配キーパーか、リレイヤー経由の署名済みリクエストに限られます。ユーザーの残高に対する管理者用のスイッチはありません。

管理者鍵

各ロールができることは、狭い範囲に限られています。

• ガーディアン（マルチシグ）。マーケットの廃止（凍結された板で、または緊急時にはHyperliquidのマーク価格かオラクル価格で）、全マーケットの取引の一時停止、マーケットキーパーの交代、タイムロックに予約された操作の取り消し、価格読み取りのガス枠の引き上げができます。一時停止の解除、資金の移動、残高の変更、休止中の防御の有効化はできません。
• 所有者（ガバナンス・マルチシグが予約するタイムロック、遅延2日）。手数料とインパクトのパラメーターの変更、マーケットの上場、リレイヤーとキーパーの交代、チームの手数料の受取先の設定、取引の一時停止の解除、ビルダーの承認とその手数料率の設定（上限15%）、ビルダーの未受け取り手数料の移動、発行の供給量シェア方式への切り替え（一度だけ）、コントラクトのアップグレードができます。コントラクトはアップグレード可能なので、原理的には所有者はコントラクトに何でもさせられます。遅延によって、そうした変更はすべて実行前に見えるようになります。タイムロックのロールを誰が持つかも、遅延7日の二つ目のタイムロックで管理されています。
• マーケットキーパー。 片側ごとの建玉上限を動かし、新規建ての最小証拠金と最小ポジションサイズを設定します。ある側の上限をゼロにすると、価格を凍結せずにその側の新規建てを止められます。資金の移動、価格の凍結、インパクトカーブの変更はできません。
• 時間外キーパー。 公開されたスケジュールに沿って、勝ち決済に使う支払いカーブを、コントラクトに固定された二つの間で切り替えます（非対称インパクトPnL）。選べるのはその二つのカーブのどちらかだけです。
• ビルダー・ガーディアン（ガバナンス・マルチシグ）。承認済みのビルダーを即座に削除でき、そのビルダーの手数料はすべての鍵で止まります。すでに得た手数料は引き続き受け取れます。
• 照合担当。 未確認とされた入金のスイープを反映できますが、記録された金額までに限られ、到着が検証でき誰のものでもない資金からだけで、しかも30日以内に限られます。

ローンチ段階

取引所は段階的に開きます。段階で変わるのはオフチェーンの手段（誰が取引できるか、片側ごとの上限の余裕H、リレイヤーが受け付ける一回の注文の最大サイズ）だけで、オンチェーンのパラメーターは変わりません。各段階は、重大なインシデントなしに最低期間を経てから次の段階に進み、どの手段もいつでも引き下げられます。

休止中の防御

コントラクトには、作られテストもされているものの、ローンチ時には判断によってオフにしている防御があります。約定は生のミッド価格のままで、流出の制限もサーキットブレーカーもありません。どれかを有効にするには、タイムロックを経たパラメーター変更が必要で、事前に決定し、告知しなければなりません。

そのため、取引所から出ていく資金に制限はありません。残高を水増しするバグがあれば、修正が入る前に出金されてしまうおそれがあります。インデクサーは毎ブロックの後に会計を確認してすぐに警告し、リレイヤーは自分が中継する出金を止められます。直接の出金は止められません。

そのほかのリスク

• 裏付けのないキューの請求。 LPが支払えない勝ちは、将来の損失からしか支払われない請求になります。キューの大きさにも待ち時間にも上限はありません。LPは$0から始まったので、初期の勝ちはキューを通じて支払われます。
• 注文にはリレイヤーが必要。 リレイヤーが止まっていたり注文を拒否したりすると、新規建ても決済もできません。空き残高はウォレットから引き続き出金できます。署名済みの注文には価格の制限がなく、期限（最長で61分後）まで有効です。セッションキーを取り消すと、その鍵が署名した注文はすべて無効になります。
• 鍵とフィッシング。 セッションキーは取引できても出金は決してできません。ただし、ページ内で動くコードは、動いている間それを使える可能性があります。署名を求められたら、必ず公式署名と照らし合わせてください。
• トークン。 BACKは負けた人に発行されるので、互いに相殺するポジションで発行を稼ぐことができます。送金機能は無効で、別途の判断なしに有効になることはありません。報酬は継続的に配られるわけではないので、分配の直前にしたステークもその分配の対象になります。
• 技術。 コントラクトのバグ、HyperEVMやHyperCoreの障害、Hyperliquidのプリコンパイルの変更、ブリッジの障害は、いずれも損失や遅延の原因になりえます。
• 法務。 利用規約、プライバシーポリシー、リスクの開示は弁護士とともに準備中で、まだ公開していません。