风险

BBO 抖动风险

成交价直接读取 Hyperliquid 的最优买卖价。BTC 和 ETH 的价差很窄但不为零，任何人都可以在价差之内挂一笔永远不需要成交的小额限价单：只要挂在订单簿最前面，就能让最优买价或卖价连同中间价移动一两个最小报价单位。

以这种方式推动订单簿的人，可能在这里以被扭曲的中间价开仓或平仓，并在报价恢复正常时获利。这是一个真实存在且尚未解决的风险：定价没有独立的参考价格可以用来拒绝异常报价。

经济摩擦与敞口控制

共有四项控制措施。它们都不能证明操纵不可能发生或无利可图。

1. 死区。盈利平仓时，小于开仓价 0.002% 的收益会在计算冲击系数之前清零，更大的收益则先减去这一数额。
2. 非对称冲击曲线。盈利平仓的冲击系数折减在价格变动最小时最重，从而在不把订单簿与任何其他价格比较的前提下，压低小幅扭曲带来的收益。
3. 分方向的未平仓量上限。每个市场的多头和空头各有独立的上限；会使该方向超出上限的开仓会被回退。维护程序把每个上限保持在该方向的未平仓量加上按当前中间价计价的余量 H，只要余量与 H 的偏差不超过 10% 就不调整，并限制上限的增长速度。H 按上线阶段设定（见下文）。这些上限限制的是每个方向的新增敞口，并不是总未平仓量或亏损的上限。
4. 新仓平仓暂缓。中继会把刚开不久的仓位的平仓暂缓最多 6 秒，这样就无法在同一个过时的快照上同时开仓和平仓。

这些措施共同压低了收益，并限制了上限之下能容纳的新增敞口。但一个被操纵、却非零且未交叉的订单簿仍然会被接受，因此操纵风险和 LP 损失风险依然存在。

运营防护

• 持续监控的维护程序。我们的维护程序监控订单簿、未平仓量和每个仓位的健康状况，并在每个区块执行爆仓和结算。一个哨兵程序监视停摆的订单簿和异常资金流，并向运营人员告警。
• 下架市场、暂停交易。发现异常时，守护者可以下架某个市场编号：它不再接受任何开仓，其仓位仍可按下架时冻结的订单簿平仓。下架不可撤销；该市场之后可以用新编号重新上线。暂停交易是停止所有市场开仓的可逆方式；守护者可以暂停，只有所有者才能恢复。
• 上限维护程序。市场维护程序对每个方向独立执行上限策略，只有当余量超出其区间时才调整上限。

无需许可与受限的调用

交易经由我们的中继：开仓、平仓、会话密钥登记和质押操作，都由配置好的中继密钥通过 BatchExecutor 提交。每一笔仍带有你的钱包或会话密钥的签名，并在链上校验，因此中继无法在没有签名的情况下代表某个账户操作。

提现始终掌握在你手中：你可以用钱包调用 withdrawToCore；已签名的 withdrawToCoreBySig 任何人都可以提交，但需要你钱包本身的签名。爆仓、结算、充值归集及其确认，以及补铸延迟的铸造，都是公开的维护调用；推送质押者手续费仅限质押合约调用，它在每次分配时执行。部署充值代理合约只对中继的部署者和账户本人开放；触发质押分配仅限分配维护程序，或经由中继提交的签名请求。没有任何能控制用户余额的管理开关。

管理密钥

每个角色只能触及很窄的范围：

• 守护者（一个多签）。可以下架市场（按冻结的订单簿，紧急情况下按 Hyperliquid 的标记价或预言机价），暂停所有市场的交易，更换市场维护程序，取消时间锁上已排期的操作，以及提高价格读取的 gas 额度。它不能恢复交易、转移资金、修改余额，也不能开启任何休眠的防护机制。
• 所有者（时间锁，由治理多签排期，延迟为 2 天）。可以修改手续费和冲击参数、上线市场、更换中继和维护程序、设置团队的手续费接收地址、解除交易暂停、批准构建者并设定其费率（最高 15%）、转移构建者未领取的费用、把铸造切换为供应份额规则（仅一次），以及升级合约。合约是可升级的，因此原则上所有者可以让它们做任何事；延迟让每一项这样的修改在执行前都公开可见。谁持有时间锁的各项角色，本身又由第二个时间锁控制，延迟为 7 天。
• 市场维护程序。调整每个方向的未平仓量上限，并设置开仓的最低保证金和最小仓位规模。把某个方向的上限设为零，会停止该方向的新开仓，但不冻结任何价格。它不能转移资金、冻结价格，也不能改动冲击曲线。
• 非交易时段维护程序。按公布的时间表，让盈利平仓在合约中固定的两条派付曲线之间切换（见非对称冲击盈亏）。它只能在这两条曲线中选择，不能做其他任何事。
• 构建者守护者（治理多签）。可以立即移除一个已获批准的构建者，所有密钥都随即不再向它付费；它已经赚到的费用仍可领取。
• 核对人。可以为被标记为未确认的充值归集入账，但金额不超过记录值，只能来自可验证已到账且不属于任何人的资金，并且必须在 30 天 之内。

上线阶段

交易所分阶段开放。各阶段只调整链下参数（谁可以交易、每个方向的上限余量 H、中继接受的单笔订单上限），从不改变链上参数。每个阶段至少要在没有严重事故的情况下运行其最短持续时间，才会进入下一阶段；任何参数都可以随时调低。

休眠的防护机制

合约中包含已实现、已测试，但按决定在上线时关闭的防护机制：成交保持在原始中间价，没有资金流出限速，也没有熔断机制。开启任何一项都是需经时间锁的参数修改，并且必须先作出决定并公告。

因此，资金离开交易所没有任何限速：如果某个漏洞虚增了余额，在修复上线之前它可能被提走。索引服务在每个区块后检查账目并立即告警，中继可以停止经由中继的提现；但直接发起的提现无法阻止。

其他风险

• 无资金支持的排队待付款。LP 无法支付的盈利会成为只由未来亏损支付的待付款。队列规模没有上限，等待时间也没有保证。LP 的初始资金为 $0，因此早期的盈利通过队列支付。
• 订单依赖中继。如果中继停止运行或拒绝订单，你就无法开仓或平仓；你的可用余额仍可用钱包提走。已签名的订单没有价格限制，在截止时间前一直有效，截止时间最长为 61 分钟 之后；撤销会话密钥会使它们签署的所有订单失效。
• 密钥与钓鱼。会话密钥可以交易，但不能提现；不过在页面中运行的代码在运行期间仍可能使用它。请把每个签名请求与官方签名核对。
• 代币。TOKEN 铸造给亏损方，因此可以通过对冲仓位刷取代币。转账功能未开启，没有单独的决定就不会开启。收益不随时间线性释放，因此在分配前不久质押也能分到这次分配。
• 技术。合约漏洞、HyperEVM 或 HyperCore 故障、Hyperliquid 预编译合约的变更以及跨链桥故障，都可能造成损失或延迟。审计报告将列在审计页面。
• 法律。服务条款、隐私政策和风险披露正在与法律顾问一同准备，尚未发布。