Riscos

Risco de oscilação do BBO

O preço de execução é a melhor oferta de compra e de venda da Hyperliquid, lida diretamente. Em BTC e ETH o spread é apertado, mas não é zero, e dentro dele qualquer pessoa pode colocar uma pequena ordem limitada que nunca precisa ser executada: só de ficar no topo do livro, ela move a melhor oferta de compra ou de venda, e com ela o preço médio, em um ou dois ticks.

Quem move o livro desse jeito pode conseguir abrir ou fechar aqui a um preço médio distorcido e lucrar quando a cotação volta ao normal. Esse é um risco real e em aberto: a formação de preço não tem um preço de referência independente para rejeitar uma cotação.

Atritos econômicos e controles de exposição

Quatro controles se aplicam. Nenhum deles prova que a manipulação é impossível ou não lucrativa.

1. A zona morta. Num fechamento com ganho, um ganho menor que 0.002% do preço de entrada é zerado antes de a curva de impacto entrar, e ganhos maiores perdem esse valor primeiro.
2. A curva de impacto assimétrico. O desconto sobre fechamentos com ganho é mais forte nos menores movimentos, o que reduz o ganho com pequenas distorções sem comparar o livro com nenhum outro preço.
3. Tetos de contratos em aberto por direção. Cada mercado tem tetos separados para long e para short; uma abertura que passaria do teto do seu lado é revertida. Um keeper mantém cada teto nos contratos em aberto do lado mais uma folga H avaliada ao preço médio atual, não mexe nele enquanto a folga ficar dentro de 10% de H e limita a velocidade com que os tetos podem crescer. H é definido por etapa de lançamento (abaixo). Esses tetos limitam a nova exposição por lado; não são um teto para o total de contratos em aberto nem para as perdas.
4. A retenção de fechamentos recentes. Quando a posição acabou de ser aberta, o relayer segura o fechamento por até 6 segundos, para que não dê para abrir e fechar de uma vez sobre uma única leitura desatualizada.

Juntos, eles reduzem os ganhos e limitam quanta exposição nova cabe sob os tetos. Um livro manipulado, mas diferente de zero e não cruzado, ainda passa, então o risco de manipulação e de perda do LP continua.

Proteções operacionais

• Keepers de olho. Nossos keepers monitoram os livros, os contratos em aberto e a saúde de cada posição, e executam liquidações e coletas a cada bloco. Um sentinela vigia livros parados e fluxos anormais e alerta os operadores.
• Retirar um mercado, pausar o trading. O guardião pode retirar um id de mercado quando algo parece errado: ele nunca mais aceita aberturas, e as posições dele continuam podendo ser fechadas no livro congelado na retirada. A retirada não pode ser desfeita; o mercado pode ser listado de novo mais tarde com um id novo. Pausar o trading é o jeito reversível de interromper as aberturas em todos os mercados; o guardião pode pausar, e só o dono pode retomar.
• O keeper de tetos. O keeper de mercados aplica a política de tetos a cada lado separadamente e só muda um teto quando a folga sai da faixa.

Superfícies abertas e restritas

O trading passa pelo nosso relayer: aberturas, fechamentos, registro de chaves de sessão e ações de staking são enviados pelas chaves de relayer configuradas por meio do BatchExecutor. Cada uma ainda traz a assinatura da sua carteira ou da sua chave de sessão, verificada on-chain, então o relayer não pode agir por uma conta sem a assinatura dela.

Os saques continuam nas suas mãos: você pode chamar withdrawToCore da sua carteira, e um withdrawToCoreBySig assinado pode ser enviado por qualquer pessoa, mas exige a assinatura da sua própria carteira. Liquidações, coletas, varreduras de depósito e sua finalização, e a reexecução de cunhagens adiadas são chamadas públicas de manutenção; empurrar as taxas dos stakers é reservado ao contrato de staking, que faz isso a cada distribuição. Implantar um proxy de depósito é permitido à chave de implantação do relayer e à própria conta; disparar uma distribuição de staking é reservado ao keeper distribuidor ou a um pedido assinado enviado pelo relayer. Não existe nenhuma chave de administração sobre os saldos dos usuários.

Chaves de administração

Cada papel é limitado a uma área estreita:

• Guardião (um multisig). Pode retirar um mercado (no livro congelado ou, numa emergência, ao preço de marcação ou de oráculo da Hyperliquid), pausar o trading em todos os mercados, substituir o keeper de mercados, cancelar operações agendadas no timelock e aumentar a cota de gas das leituras de preço. Não pode retomar o trading, mover fundos, mudar saldos nem ligar nenhuma defesa inativa.
• Dono (o timelock, agendado pelo multisig de governança, com um atraso de 2 dias). Pode mudar as taxas e os parâmetros de impacto, listar mercados, substituir relayers e keepers, definir o destinatário das taxas da equipe, suspender uma pausa do trading, aprovar builders e definir a taxa deles (no máximo 15%), mover as taxas não resgatadas de um builder, trocar a cunhagem para a regra de fração da oferta (uma vez) e atualizar os contratos. Os contratos são atualizáveis, então em princípio o dono pode fazê-los fazer qualquer coisa; o atraso torna cada uma dessas mudanças visível antes de ser executada. Quem detém os papéis do timelock fica, por sua vez, atrás de um segundo timelock de 7 dias.
• Keeper de mercados. Ajusta os tetos de contratos em aberto por lado e define a margem mínima e o tamanho mínimo de posição para aberturas. Zerar o teto de um lado interrompe as novas aberturas desse lado sem congelar nenhum preço. Não pode mover fundos, congelar preços nem mexer na curva de impacto.
• Keeper de fora do horário. Alterna os fechamentos com ganho entre as duas curvas de pagamento fixadas no contrato (PnL com impacto assimétrico), segundo um cronograma publicado. Pode escolher uma dessas duas curvas e nada mais.
• Guardião de builders (o multisig de governança). Pode remover na hora um builder aprovado, o que interrompe a taxa dele em todas as chaves; as taxas que ele já ganhou continuam resgatáveis.
• Conciliador. Pode creditar uma varredura de depósito marcada como não confirmada, só até o valor registrado, só com fundos que comprovadamente chegaram e não pertencem a ninguém, e só dentro de 30 dias.

Etapas de lançamento

A exchange abre em etapas. Elas só mudam alavancas off-chain (quem pode operar, a folga H dos tetos por lado, a maior ordem individual que o relayer aceita), nunca um parâmetro on-chain. Cada etapa dura pelo menos o seu prazo mínimo sem um incidente grave antes de a seguinte começar, e qualquer alavanca pode ser baixada a qualquer momento.

Defesas inativas

Os contratos incluem defesas construídas e testadas, mas desligadas no lançamento, por decisão: as execuções ficam no preço médio bruto, e não há limitador de saídas nem disjuntor. Ligar uma delas é uma mudança de parâmetro com timelock que precisa ser decidida e anunciada antes.

Por isso, não há limitador para o dinheiro que sai da exchange: um bug que inflasse um saldo poderia ser sacado antes de uma correção chegar. O indexador confere a contabilidade depois de cada bloco e alerta na hora, e o relayer pode interromper os saques que passam por ele; saques diretos não podem ser interrompidos.

Outros riscos

• Créditos na fila sem lastro. Um ganho que o LP não consegue pagar vira um crédito pago só com perdas futuras. Nada limita a fila nem o tempo de espera. O LP começou em $0, então os primeiros ganhadores são pagos pela fila.
• As ordens precisam do relayer. Se ele estiver fora do ar ou recusar uma ordem, você não consegue abrir nem fechar; o seu saldo livre continua podendo ser sacado pela sua carteira. Uma ordem assinada não tem limite de preço e continua válida até o prazo dela, de até 61 minutos; revogar as suas chaves de sessão anula todas as ordens assinadas por elas.
• Chaves e phishing. Uma chave de sessão pode operar, mas nunca sacar; mesmo assim, código rodando na página poderia usá-la enquanto roda. Confira cada pedido de assinatura com as assinaturas oficiais.
• O token. BACK é cunhado para quem perde, então a emissão pode ser explorada com posições que se compensam. O recurso de transferência está desativado e não será ativado sem uma decisão à parte. As recompensas não são distribuídas de forma contínua, então um stake feito logo antes de uma distribuição participa dela.
• Tecnologia. Bugs nos contratos, quedas da HyperEVM ou da HyperCore, mudanças nas precompiladas da Hyperliquid e falhas de pontes podem causar perdas ou atrasos.
• Jurídico. Os termos, a política de privacidade e o aviso de riscos estão sendo preparados com assessoria jurídica e ainda não foram publicados.