Introduction
Perpetual futures are the most-traded instrument in crypto, and for most of their history they lived inside centralized exchanges with opaque risk engines and well-capitalized insurance funds. The recent migration of perp volume on-chain — led by Hyperliquid and a cohort of order-book DEXes — has been treated mostly as a UX and custody story. Self-custodied collateral, on-chain order books, transparent funding rates. The risk story is less flattering.
Beneath the user interface of an on-chain perpetual exchange sits a community-funded liquidity vault. On Hyperliquid this is the HLP vault; on GMX it was the GLP pool; dYdX, Drift, and others run variants on the same idea. The vault makes markets, absorbs liquidations, and — crucially — sits as the residual counterparty when a position blows past its margin faster than the book can clear it. When markets behave, depositors earn fees and funding. When a single position is large enough to dislocate the market it trades against, the vault eats the difference.
The JELLY-style episode on Hyperliquid in March 2025, in which a thinly-traded listed token was manipulated into an oversized short against the HLP vault, made the structural question concrete: what exactly is the loss-absorption stack of an on-chain perp DEX, and how does it compare with the clearinghouse model that CeFi venues spent a decade refining? This note works through the mechanics — auto-deleveraging, socialized loss, vault-as-market-maker, insurance funds — and asks where the on-chain model is genuinely robust and where it is structurally fragile.
The vault as residual counterparty
A perpetual exchange is not a market in the equity sense. It is a clearing system that pairs longs against shorts on a synthetic instrument and uses funding payments to keep the perp price tethered to a spot reference. For the system to remain solvent, every losing position must close — by liquidation if necessary — before its losses exceed posted margin. The hard part is what happens when that fails.
On a CeFi venue, the loss-absorption stack runs roughly: trader margin, then the exchange’s insurance fund, then auto-deleveraging (ADL) of profitable counterparties, then, in extremis, a socialized clawback. The insurance fund is the shock absorber: it is sized to absorb most tail liquidations without touching profitable traders, and it is replenished from liquidation penalties charged on every forced close.
On Hyperliquid and similar venues, the architecture is similar in spirit but the funding source is different. The HLP vault — Hyperliquid’s protocol-owned liquidity pool — performs three functions simultaneously. It runs market-making strategies on listed perpetuals, takes the opposite side of liquidations through the liquidator mechanism, and acts as the backstop when ADL is invoked. Depositors are paid in the system’s revenue share and in the PnL of these strategies.
This combination is what makes the on-chain design distinctive. The vault is not a passive insurance fund sitting on stablecoins. It is an active market participant whose book is, by design, correlated with the very stress events that an insurance fund is supposed to absorb. When a sudden move forces a large liquidation, the vault both inherits the position and discovers that its market-making inventory was already leaning the wrong way.
Why the vault model exists at all
The vault exists because an order-book DEX cannot easily bootstrap professional market-maker depth on long-tail perpetuals. CeFi venues rely on dedicated MM firms with tight integrations, latency advantages, and cross-venue hedging desks. An on-chain venue, especially one that lists assets aggressively, cannot assume that depth will arrive for every market on day one. The vault fills the void: it provides quotes, narrows spreads, and earns the carry. Depositors are, in effect, retail-funding the market-maker function that elsewhere is performed by specialist firms.
This is an honest tradeoff in normal conditions. Where it strains is in the tail.
How liquidations are supposed to work
A clean liquidation looks like this. A trader’s margin falls below maintenance. The exchange’s risk engine cancels their open orders, takes over the position, and posts it as a market order against the book. The book absorbs it. The liquidation penalty — a small percentage of notional — flows to the insurance fund. The exchange records a profit-neutral close.
This works when two conditions hold. First, the book is deep enough at the liquidation price that the takeover order fills without significant slippage. Second, the mark price the risk engine uses to trigger liquidation tracks an external reference that cannot be cheaply manipulated.
Both conditions are weaker on-chain than off, and weaker still for long-tail listings.
Thin books and the slippage problem
A perpetual on a newly-listed, low-cap token may have a few hundred thousand dollars of resting depth within 1% of mid. A position of even moderate size, when forced to market-out, will move the price by multiples of the maintenance margin. The shortfall — the gap between liquidation trigger price and actual fill price — has to be absorbed somewhere. On CeFi venues, this is the insurance fund’s primary purpose. On Hyperliquid, the HLP vault is the bag-holder by construction: as the dominant resting liquidity on many books, it is what the liquidation actually fills against, and the slippage is its loss.
Oracle and mark-price design
The mark price used to trigger liquidations is a second pressure point. If the mark is derived from the exchange’s own order book, it is manipulable: an attacker can push the book to trigger liquidations of their own short, or to avoid liquidation of an attacking position. If it is derived from external spot venues, those venues themselves may be thin enough to be moved by the same actor. Hyperliquid and peers have iterated on oracle composition — weighted external references, sanity bands, time-averaging — but the core problem does not disappear: for a long-tail asset, every price reference is thin, and the cost of moving all of them simultaneously is bounded.
The JELLY-style episode demonstrated this concretely. A coordinated open of a very large position in a perpetual on an asset with shallow spot liquidity, combined with spot-market manipulation to move the oracle, forced the exchange into a position where unwinding the trade cleanly was not possible at any price the book offered. The vault, holding the other side, faced a mark-to-market loss that grew with the manipulator’s ability to push the reference further.
ADL and the socialization of loss
When liquidation cannot clear cleanly and the insurance buffer is inadequate, exchanges fall back on auto-deleveraging. ADL forcibly closes the most-profitable, highest-leverage counterparties to the bankrupt position at the bankruptcy price. It is, in effect, an involuntary settlement: profitable traders are handed a closed position and the system’s books are balanced.
ADL is universally disliked. It penalizes the traders who were right. It is opaque — most users do not check their ADL queue ranking until they have been deleveraged. And it creates a perverse incentive: if your winning trade is large enough, the exchange will close it for you at a worse price than the market would.
On-chain perp DEXes have inherited ADL with few modifications. The mechanism is necessary because the alternative — letting the system go bankrupt — is worse. But the on-chain context changes its character.
The vault as ADL counterparty
On a CeFi venue, ADL is between traders. The exchange acts as a matching engine. On Hyperliquid, the vault is itself a major position-holder, often a large counterparty to the very position being unwound. ADL therefore performs a more complicated function: it not only socializes residual loss across profitable traders, it also unwinds the vault’s exposure into the market it was making.
The result is that depositors in the vault face a layered loss. The vault first eats the slippage from the failed liquidation. Then, if ADL is invoked, the vault’s exposure is partially closed at the bankruptcy price — which by definition is worse than mark. Then, if even that is insufficient, the residual loss is reflected in the vault’s net asset value, and depositors take a permanent haircut.
This is not socialization across all users of the exchange. It is socialization concentrated on the vault depositors. Traders who never deposited into HLP do not contribute. The vault is the de facto insurance fund, but it is funded by a self-selected subset of the user base who joined to earn yield, not to underwrite tail risk.
The information asymmetry problem
A CeFi exchange’s insurance fund is, in theory, accountable to the exchange’s risk team. The fund’s size is public, its drawdowns are reported, and its replenishment policy is known. A retail depositor in an on-chain vault is in a different position. They see an aggregate APR, a NAV, and a position summary. They do not, in most cases, see the individual market exposures broken down by listing age, oracle quality, and book depth. They do not know which of the dozens of listed perpetuals could, in a tail scenario, hand the vault a position larger than the vault wants to hold.
The depositor is, in practice, writing tail-risk insurance on the long-tail listings policy of the exchange. The premium is the yield. The strike is determined by the exchange’s risk parameters. And the depositor has limited input into either side of that contract.
The CeFi clearinghouse comparison
It is worth pausing on what a mature clearinghouse model actually does, because the on-chain debate often misrepresents it.
A CeFi perpetual exchange — Binance Futures, Bybit, OKX, the now-departed FTX — operates a multi-layered risk system that is conceptually closer to a futures clearinghouse than to an order book. The layers, in roughly the order they absorb loss:
- Initial and maintenance margin, set per-asset, with tiered requirements that scale with position size.
- Liquidation penalty, charged on forced closes, that flows directly into the insurance fund.
- Insurance fund, capitalized over years from penalty income, sized to absorb routine tail events. Major venues run insurance funds in the hundreds of millions of dollars.
- ADL queue, ordered by profit and leverage, invoked only when the insurance fund is depleted for a given asset.
- Socialized clawback, an option-of-last-resort that has been exercised rarely and is reputationally catastrophic when it is.
What makes this work, when it works, is the combination of conservative listing policy on high-leverage assets, a well-capitalized insurance fund, and a risk team with discretion to halt trading, widen margin requirements, or delist instruments in real time. None of these are technical features. They are operational decisions made by humans with accountability.
What the on-chain model lacks — and what it gains
The on-chain model has clear advantages. Collateral is self-custodied. The order book is verifiable. Funding rates and oracle inputs are observable. The vault’s positions are public; depositors can in principle audit what they are exposed to. None of this is true of a CeFi venue, where the insurance fund balance is a number the exchange publishes and users either believe or do not.
What it lacks is the operational discretion. An on-chain exchange that automates everything also automates its risk parameters. Raising margin requirements mid-event, halting a single market, or delisting a manipulated instrument requires governance — and governance is, by design, slower and more public than a risk team’s intraday decision. In the JELLY episode, Hyperliquid’s response involved delisting the contested instrument and adjusting parameters. That response was both effective and controversial precisely because it required the exchange to act non-automatically, which sits uncomfortably with the credibly-neutral framing of an on-chain protocol.
There is no clean answer here. A perpetual exchange that cannot pause or intervene is a perpetual exchange that gets drained by the first sufficiently-funded attacker. A perpetual exchange that can pause and intervene is one whose decentralization story has an asterisk.
Capitalization comparison
A useful quantitative frame: a CeFi major’s insurance fund, in mature periods, is sized in the high hundreds of millions of dollars and is dedicated capital not earning yield on directional positions. An on-chain vault of comparable absolute size is, by design, not idle — it is deployed as market-making inventory, and its mark-to-market changes minute-to-minute with the markets it makes. The vault’s loss-absorption capacity is therefore both smaller in stress (because part of it is already in losing positions) and harder to size in advance.
If a CeFi insurance fund is a reservoir, the on-chain vault is a working capital account. They are not the same thing, even if the headline number is similar.
Listing policy and the attacker’s calculus
The structural weak point of the on-chain perp vault is not the vault itself; it is the listing policy that determines what the vault is forced to make markets in.
A perpetual exchange that lists only BTC, ETH, and a handful of large-caps faces a manageable problem. Books are deep, oracles are robust, and the slippage on any single liquidation is small relative to vault capitalization. The same exchange, listing perpetuals on dozens of long-tail tokens, has greatly expanded its attack surface. Each new listing is an option granted to the rest of the world: an option to construct a manipulation trade where the cost of moving the underlying is less than the payoff from the perp position.
The attacker’s calculus is straightforward. Identify a listed perpetual where (a) the spot float of the underlying is small, (b) the perp open-interest cap is large relative to that float, and (c) the oracle composition can be moved by trades within the attacker’s capital. Open a large position in the perp. Manipulate the spot. Either force the vault into an inherited position at a bad price, or extract the position’s mark-to-market profit before the exchange can react.
This is not a theoretical playbook. It has been the recipe for most of the high-profile on-chain perp losses of the past two years, on Hyperliquid and elsewhere. The defenses are familiar: open-interest caps, listing diligence, oracle composition, dynamic margin requirements. The problem is that each defense has a competitive cost. Lower OI caps mean less yield for the vault. Stricter listing means slower growth. More conservative oracles mean more false-positive liquidations in volatile markets.
The exchange is therefore optimizing a tradeoff between vault safety and the user experience that drives volume. As long as volume rewards permissive listing, the equilibrium drifts toward more listings and thinner buffers, until the next tail event resets the parameters.
The role of the vault depositor
In this equilibrium, the vault depositor is the marginal participant whose risk tolerance sets the price. If depositors flee after a tail loss, the vault shrinks, OI caps must come down, and the listing-driven growth strategy slows. If depositors stay — attracted by post-loss yields that have risen to compensate for the demonstrated risk — the exchange can continue.
The Hyperliquid response to the JELLY-style episode, including the delisting and the absorption of the loss within the protocol’s broader balance, was in part a depositor-retention move. Forcing the vault to take a clean haircut would have communicated the risk honestly but might have accelerated outflows. Socializing the loss across the protocol’s other revenue lines preserved the vault’s NAV at the cost of communicating, perhaps too softly, that the vault is in fact backstopped — which it is not, in any contractually-enforceable sense, for the next event.
This is the on-chain analogue of a CeFi venue tapping its corporate balance sheet to top up an insurance fund. It works once. It works twice. It is not a sustainable risk model.
What this means going forward
The on-chain perpetual exchange is a genuine innovation, and the vault model is a reasonable answer to the bootstrapping problem of providing depth on a long tail of listings. It is not, however, a substitute for the clearinghouse function, and treating it as one is the error to watch.
Several things follow if we take the structural analysis seriously.
First, vault depositors should be priced as sellers of out-of-the-money insurance on the exchange’s listing policy, not as passive LPs. The relevant yield comparison is not against stablecoin lending rates but against the implied premium on writing tail-risk options on a basket of long-tail tokens. By that benchmark, current vault yields may be fair, generous, or stingy depending on the specific exchange and its listing aggressiveness — but the comparison is the right one, and it is not how the products are currently marketed.
Second, the on-chain perp segment will likely bifurcate. Some venues will optimize for blue-chip depth and tight risk parameters, with smaller vaults and lower yields, occupying a niche close to a CeFi venue’s risk profile minus the custody. Others will continue with permissive listing and higher yields, accepting that vault drawdowns are part of the business model and pricing them accordingly. The middle position — broad listings with implicit safety — is the one that fails, because it relies on the exchange’s willingness to absorb losses from somewhere other than the vault, and that willingness has a finite balance.
Third, the operational-discretion question will not be resolved by code. Every on-chain exchange that has faced a real tail event has intervened off-protocol: delisting, parameter changes, ad-hoc backstops. The honest framing is that these are clearinghouses with on-chain settlement and off-chain risk management, and the off-chain risk management is becoming the differentiator. Users who care about credible neutrality should look not at the marketing but at the track record of intervention and the governance pathway that authorizes it.
Finally, the open question we would watch is whether any of the major on-chain perp venues moves to separate the market-making function from the insurance function. A protocol-owned vault that exclusively makes markets, paired with a separately-capitalized insurance fund that exclusively absorbs tail losses, would more closely resemble the CeFi clearinghouse architecture and would make the depositor’s risk legible. It would also reduce yields, which is why no major venue has fully committed to the split. Whether competitive pressure or another tail event forces that decomposition is the structural question for the next cycle of on-chain perpetual design.
들어가며
영구선물은 크립토에서 가장 많이 거래되는 상품이다. 오랜 기간 동안 영구선물은 불투명한 리스크 엔진과 자본력 있는 보험 기금을 갖춘 중앙화 거래소 내부에 머물러 있었다. 최근 Hyperliquid를 필두로 한 오더북 기반 DEX 진영이 주도하면서 퍼프 거래량이 온체인으로 이동하는 흐름이 나타나고 있는데, 시장의 논의는 대부분 UX와 커스터디 개선에 집중되어 왔다. 직접 담보를 보관하고, 오더북이 온체인에 기록되며, 펀딩비가 투명하게 공개된다는 식이다. 그런데 리스크 관점에서 들여다보면 이야기가 사뭇 달라진다.
온체인 영구선물 거래소의 UI 뒷단에는 커뮤니티가 자금을 공급하는 유동성 볼트가 자리 잡고 있다. Hyperliquid에서는 HLP 볼트, GMX에서는 GLP 풀이 그 역할을 맡고 있으며, dYdX, Drift 등도 같은 구조를 변형해 운영한다. 이 볼트는 시장을 조성하고 청산을 흡수하며, 무엇보다 포지션이 오더북이 처리할 수 있는 속도보다 빠르게 마진을 초과해 날아갈 때 최후의 거래상대방으로 기능한다. 시장이 정상적으로 움직이는 동안 예치자는 수수료와 펀딩 수익을 얻는다. 하지만 단일 포지션이 충분히 커서 거래 상대 시장을 교란할 수 있다면, 그 차액은 볼트가 고스란히 떠안는다.
2025년 3월에 Hyperliquid에서 발생한 JELLY 사태 — 유동성이 얕은 상장 토큰이 조작되어 HLP 볼트를 상대로 대규모 숏 포지션이 구축된 사건 — 는 이 구조적 질문을 현실로 만들었다. 온체인 퍼프 DEX의 손실 흡수 구조는 정확히 어떻게 작동하며, CeFi 거래소가 10년에 걸쳐 다듬어온 청산소 모델과 비교했을 때 어디서 차이가 나는가? 이 글에서는 그 메커니즘 — ADL, 손실 분담, 볼트의 시장조성자 역할, 보험 기금 — 을 하나씩 짚어보고, 온체인 모델이 실질적으로 견고한 지점과 구조적으로 취약한 지점을 구분해본다.
볼트: 최후의 거래상대방
영구선물 거래소는 주식 시장과 같은 의미의 시장이 아니다. 합성 자산을 놓고 롱과 숏을 매칭시키고, 퍼프 가격이 현물 기준가에서 이탈하지 않도록 펀딩 지급을 활용하는 청산 시스템에 가깝다. 이 시스템이 지급 능력을 유지하려면 모든 손실 포지션이 — 필요할 경우 청산을 통해서라도 — 예치 마진을 초과하기 전에 정리되어야 한다. 그리고 그게 실패했을 때가 진짜 문제다.
CeFi 거래소에서 손실 흡수 구조는 대략 이렇게 작동한다. 트레이더 마진, 그 다음 거래소 보험 기금, 그 다음 수익 중인 거래상대방의 ADL, 그리고 극단적인 상황에서는 손실 분담 환수 순이다. 보험 기금은 완충재 역할을 한다. 수익 중인 트레이더에게 손을 대지 않고도 대부분의 꼬리 청산을 흡수할 수 있도록 규모가 책정되며, 모든 강제 청산에서 부과되는 청산 페널티로 지속적으로 보충된다.
Hyperliquid와 유사 거래소들도 구조적으로는 비슷하지만, 자금 출처가 다르다. HLP 볼트 — Hyperliquid의 프로토콜 소유 유동성 풀 — 는 세 가지 기능을 동시에 수행한다. 상장된 영구선물 시장에서 시장조성 전략을 실행하고, 청산 메커니즘을 통해 청산 포지션의 반대편을 맡으며, ADL이 발동될 때 최후의 보루로 기능한다. 예치자는 시스템의 수익 배분과 이 전략들의 손익(PnL)으로 보상받는다.
이 조합이 온체인 설계를 독특하게 만드는 지점이다. 볼트는 스테이블코인을 쌓아두고 대기하는 수동적 보험 기금이 아니다. 설계 자체가 보험 기금이 흡수해야 하는 바로 그 스트레스 이벤트와 상관관계를 가지도록 만들어진 능동적 시장 참여자다. 급격한 가격 변동으로 대규모 청산이 발생하면, 볼트는 해당 포지션을 인수하는 동시에 자신의 시장조성 재고가 이미 반대 방향으로 기울어져 있었음을 뒤늦게 깨닫게 된다.
볼트 모델이 존재하는 이유
볼트가 존재하는 근본적인 이유는 오더북 기반 DEX가 롱테일 영구선물 시장에서 전문 시장조성자 깊이를 손쉽게 확보할 수 없기 때문이다. CeFi 거래소는 타이트한 연동, 레이턴시 우위, 복수 거래소 헤징 데스크를 갖춘 전문 MM 회사들에 의존한다. 온체인 거래소, 특히 공격적으로 자산을 상장하는 거래소는 모든 시장에 첫날부터 유동성이 유입될 것을 가정할 수 없다. 볼트가 그 공백을 채운다. 호가를 제시하고, 스프레드를 좁히며, 캐리를 수취한다. 예치자들은 사실상 다른 곳에서는 전문 회사들이 수행하는 시장조성 기능에 소매 자금을 제공하는 셈이다.
일반적인 상황에서 이것은 충분히 납득 가능한 트레이드오프다. 문제는 꼬리 리스크 상황에서 이 구조가 삐걱거린다는 점이다.
청산이 제대로 작동하는 방식
깔끔한 청산은 다음과 같이 진행된다. 트레이더의 마진이 유지 증거금 아래로 떨어지면, 거래소의 리스크 엔진이 미체결 주문을 취소하고 포지션을 인수한 뒤 오더북에 시장가 주문으로 제출한다. 오더북이 이를 소화한다. 청산 페널티 — 명목 금액의 소정 비율 — 는 보험 기금으로 유입된다. 거래소는 손익 중립 청산으로 기록한다.
이것이 제대로 작동하려면 두 가지 조건이 충족되어야 한다. 첫째, 청산 가격 근방에 오더북 깊이가 충분해서 인수 주문이 큰 슬리피지 없이 체결될 것. 둘째, 리스크 엔진이 청산을 촉발하는 데 사용하는 마크 가격이 손쉽게 조작할 수 없는 외부 기준가를 추적할 것.
두 조건 모두 온체인에서는 CeFi보다 더 취약하고, 롱테일 상장 자산에서는 더욱 그렇다.
얕은 오더북과 슬리피지 문제
새로 상장된 저시가총액 토큰의 영구선물은 호가 스프레드 1% 이내에 대기 중인 주문이 수십만 달러에 불과한 경우가 많다. 이런 시장에서 적당한 규모의 포지션조차 강제 청산 시 유지 증거금의 수배에 달하는 가격 이동을 유발할 수 있다. 청산 촉발 가격과 실제 체결 가격 사이의 차이 — 즉 손실분 — 는 어딘가에서 흡수되어야 한다. CeFi 거래소에서 이것이 보험 기금의 주된 존재 이유다. Hyperliquid에서는 HLP 볼트가 구조적으로 그 손실을 떠안는다. 많은 오더북에서 주요 유동성 공급자인 볼트가 바로 청산 주문이 채워지는 상대방이고, 슬리피지는 볼트의 손실이 된다.
오라클과 마크 가격 설계
청산을 촉발하는 마크 가격 역시 두 번째 취약 지점이다. 마크 가격이 거래소 자체 오더북에서 파생된다면 조작 가능성이 생긴다. 공격자가 오더북을 움직여 자신의 숏 포지션에 대한 청산을 유도하거나, 공격 포지션의 청산을 회피할 수 있다. 외부 현물 거래소에서 파생된다면, 그 거래소들 자체가 동일한 공격자에 의해 움직일 수 있을 만큼 유동성이 얕을 수 있다. Hyperliquid와 경쟁 거래소들은 오라클 구성을 계속 개선해왔다 — 가중 외부 기준가, 이상치 필터링 밴드, 시간 평균 등. 그러나 핵심 문제는 사라지지 않는다. 롱테일 자산의 경우, 모든 가격 기준점이 얕고, 동시에 여러 기준점을 움직이는 데 드는 비용은 한정되어 있다.
JELLY 사태는 이를 구체적으로 증명했다. 현물 유동성이 얕은 자산을 대상으로 영구선물에서 대규모 포지션을 조율해서 열고, 동시에 현물 시장을 조작해 오라클을 이동시켜 거래소가 어떤 호가에서도 포지션을 깔끔하게 청산할 수 없는 상황을 만들었다. 반대편을 보유한 볼트는 조작자가 기준가를 더 멀리 밀어낼수록 커지는 마크-투-마켓 손실에 노출됐다.
ADL과 손실의 사회화
청산이 깔끔하게 처리되지 못하고 보험 버퍼가 부족할 때, 거래소는 ADL(자동 디레버리지)에 의존한다. ADL은 파산 포지션의 거래상대방 중 가장 높은 수익과 레버리지를 보유한 포지션을 강제로 파산 가격에 청산한다. 사실상 강제 결제다. 수익 중인 트레이더에게 청산 완료 포지션이 전달되고 시스템의 장부가 균형을 맞춘다.
ADL은 보편적으로 외면받는다. 옳았던 트레이더에게 불이익을 준다. 불투명하다 — 대부분의 사용자는 자신이 실제로 디레버리지당하기 전까지 ADL 대기열 순위를 확인하지 않는다. 그리고 뒤틀린 인센티브를 만든다. 수익 포지션이 충분히 크면, 거래소가 시장보다 불리한 가격에 그것을 강제로 닫아버린다.
온체인 퍼프 DEX들은 큰 수정 없이 ADL을 그대로 이식했다. 이 메커니즘은 필요하다. 대안 — 시스템의 파산을 허용하는 것 — 이 더 나쁘기 때문이다. 하지만 온체인 맥락에서 그 성격이 달라진다.
볼트의 ADL 거래상대방 역할
CeFi 거래소에서 ADL은 트레이더 간에 일어난다. 거래소는 매칭 엔진 역할만 한다. Hyperliquid에서 볼트는 그 자체가 주요 포지션 보유자로, 청산 중인 포지션의 거래상대방인 경우가 많다. 따라서 ADL은 더 복잡한 기능을 수행한다. 수익 중인 트레이더들 사이에 잔여 손실을 분담할 뿐 아니라, 볼트가 시장조성 중이던 포지션 노출을 시장으로 되돌리는 작업까지 동시에 일어난다.
결과적으로 볼트 예치자들은 층층이 쌓인 손실에 직면한다. 볼트는 먼저 실패한 청산에서 발생한 슬리피지를 감수한다. 이후 ADL이 발동되면 볼트의 포지션 일부가 파산 가격 — 정의상 마크 가격보다 불리한 — 에 청산된다. 그래도 부족하면 잔여 손실은 볼트의 순자산가치(NAV)에 반영되고, 예치자들은 영구적인 원금 손실을 입는다.
이것은 거래소의 모든 사용자에 걸친 손실 사회화가 아니다. 볼트 예치자에게 집중된 손실 사회화다. HLP에 한 번도 예치한 적 없는 트레이더는 기여하지 않는다. 볼트는 사실상 보험 기금 역할을 하지만, 수익률을 얻기 위해 참여한 자발적 소수 — 꼬리 리스크를 인수하기 위해서가 아니라 yield를 위해 들어온 — 에 의해 자금이 공급된다.
정보 비대칭 문제
CeFi 거래소의 보험 기금은 이론상 거래소 리스크 팀에 책임을 진다. 기금 규모는 공개되고, 손실 내역이 보고되며, 보충 정책이 알려져 있다. 온체인 볼트에 예치한 소매 투자자는 전혀 다른 상황에 있다. 그들은 집계된 APR, NAV, 포지션 요약을 볼 수 있다. 그러나 대부분의 경우, 상장 시점, 오라클 품질, 오더북 깊이별로 분류된 개별 시장 노출 내역은 볼 수 없다. 수십 개의 상장 영구선물 중 어떤 것이 꼬리 시나리오에서 볼트가 원치 않는 수준의 포지션을 안겨줄 수 있는지도 알 수 없다.
예치자는 사실상 거래소의 롱테일 상장 정책에 대한 꼬리 리스크 보험을 매도하고 있다. 프리미엄은 수익률이다. 행사가는 거래소의 리스크 파라미터가 결정한다. 그리고 예치자는 그 계약의 어느 쪽에도 발언권이 거의 없다.
CeFi 청산소 모델과의 비교
온체인 논의에서 이를 자주 오해하는 만큼, 성숙한 청산소 모델이 실제로 어떻게 작동하는지 잠시 살펴볼 필요가 있다.
CeFi 영구선물 거래소 — 바이낸스 선물, 바이비트, OKX, 그리고 이미 사라진 FTX — 는 개념적으로 오더북보다는 선물 청산소에 훨씬 가까운 다층적 리스크 시스템을 운영한다. 손실을 흡수하는 순서에 따른 각 계층은 대략 다음과 같다.
- 초기 증거금과 유지 증거금: 자산별로 설정되며, 포지션 규모에 따라 요건이 단계적으로 확대된다.
- 청산 페널티: 강제 청산 시 부과되어 보험 기금으로 직접 유입된다.
- 보험 기금: 페널티 수입으로 수년에 걸쳐 자본화되며, 일상적인 꼬리 이벤트를 흡수할 수 있도록 규모가 결정된다. 주요 거래소들은 수억 달러 규모의 보험 기금을 운영한다.
- ADL 대기열: 수익과 레버리지 기준으로 정렬되며, 특정 자산의 보험 기금이 소진될 경우에만 발동된다.
- 손실 분담 환수: 최후의 수단으로, 실제 행사된 사례는 드물며 발동되면 거래소의 평판에 치명적이다.
이것이 제대로 작동하는 이유는 고레버리지 자산에 대한 보수적인 상장 정책, 충분히 자본화된 보험 기금, 그리고 실시간으로 거래 중단, 증거금 요건 확대, 상장 폐지 결정을 내릴 재량권을 가진 리스크 팀의 조합 덕분이다. 이 중 어느 것도 기술적 기능이 아니다. 책임을 지는 사람들이 내리는 운영상의 판단이다.
온체인 모델이 부족한 것 — 그리고 얻는 것
온체인 모델에는 분명한 장점이 있다. 담보는 직접 보관된다. 오더북은 검증 가능하다. 펀딩비와 오라클 입력값은 누구나 관찰할 수 있다. 볼트 포지션은 공개되어 있어 예치자가 원칙적으로 자신의 노출을 감사할 수 있다. 이 중 어느 것도 CeFi 거래소에는 해당하지 않는다. 거래소가 공시하는 보험 기금 잔액은 사용자가 믿거나 믿지 않거나 하는 숫자일 뿐이다.
부족한 것은 운영상의 재량권이다. 모든 것을 자동화한 온체인 거래소는 리스크 파라미터도 자동화한다. 이벤트 도중 증거금 요건을 올리거나, 단일 시장을 중단하거나, 조작된 상품을 상장 폐지하려면 거버넌스가 필요하다. 그리고 거버넌스는 설계상 리스크 팀의 당일 결정보다 느리고 더 공개적이다. JELLY 사태에서 Hyperliquid의 대응은 문제의 상품 상장 폐지와 파라미터 조정을 포함했다. 그 대응은 효과적이었지만 동시에 논란이 됐다. 정확히는 거래소가 비자동적으로 행동해야 했기 때문이다. 이는 온체인 프로토콜의 ‘신뢰 중립적(credibly neutral)’ 프레이밍과 어색하게 충돌한다.
여기에는 깔끔한 정답이 없다. 개입을 일절 할 수 없는 영구선물 거래소는 자금력 있는 첫 번째 공격자에게 탈취당하는 거래소다. 개입할 수 있는 거래소는 탈중앙화 서사에 별표가 달리는 거래소다.
자본화 비교
유용한 정량적 비교 기준이 있다. 성숙기의 주요 CeFi 거래소 보험 기금은 수억 달러 규모로, 방향성 포지션에서 수익을 추구하지 않는 전용 자본이다. 절대 규모가 비슷한 온체인 볼트는 설계상 유휴 상태가 아니다. 시장조성 재고로 배포되어 있으며 마크-투-마켓이 분 단위로 변한다. 따라서 볼트의 손실 흡수 능력은 스트레스 상황에서 더 작고 (이미 일부가 손실 포지션에 묶여 있기 때문에), 사전에 규모를 산정하기도 더 어렵다.
CeFi 보험 기금이 저수지라면, 온체인 볼트는 운전 자본 계정이다. 헤드라인 숫자가 비슷해 보여도 같은 것이 아니다.
상장 정책과 공격자의 계산
온체인 퍼프 볼트의 구조적 취약점은 볼트 자체가 아니다. 볼트가 시장을 조성해야 하는 대상을 결정하는 상장 정책이다.
비트코인, 이더리움, 그리고 소수의 대형 자산에만 영구선물을 상장하는 거래소는 관리 가능한 문제에 직면한다. 오더북이 깊고, 오라클이 견고하며, 단일 청산에서 발생하는 슬리피지는 볼트 자본화 대비 미미하다. 수십 개의 롱테일 토큰에 영구선물을 상장하는 동일한 거래소는 공격 표면을 크게 확장한 것이다. 새로운 상장 하나하나가 세상에 옵션을 부여하는 셈이다. 기초자산을 움직이는 비용이 퍼프 포지션에서 얻는 수익보다 작은 조작 거래를 구성할 수 있는 옵션 말이다.
공격자의 계산은 단순하다. (a) 기초자산의 현물 유통량이 작고, (b) 퍼프 OI 한도가 그 유통량 대비 크며, (c) 오라클 구성이 공격자의 자본 범위 내 거래로 움직일 수 있는 상장 영구선물을 찾는다. 퍼프에서 대규모 포지션을 연다. 현물을 조작한다. 거래소가 반응하기 전에 볼트가 불리한 가격에 포지션을 인수하게 만들거나, 포지션의 마크-투-마켓 수익을 먼저 회수한다.
이것은 이론적 시나리오가 아니다. 지난 2년간 Hyperliquid를 비롯한 여러 거래소에서 발생한 주요 온체인 퍼프 손실 사례 대부분의 공식이었다. 방어책은 이미 알려져 있다. OI 한도, 상장 심사, 오라클 구성, 동적 증거금 요건. 문제는 각각의 방어책에 경쟁 비용이 따른다는 점이다. OI 한도를 낮추면 볼트의 수익률이 줄어든다. 상장 심사를 강화하면 성장이 느려진다. 오라클을 더 보수적으로 운영하면 변동성 장세에서 오탐 청산이 늘어난다.
결국 거래소는 볼트 안전과 거래량을 끌어오는 사용자 경험 사이에서 트레이드오프를 최적화하는 것이다. 과도한 상장이 보상받는 한, 균형은 더 많은 상장과 더 얇은 버퍼 쪽으로 흘러가고, 다음 꼬리 이벤트가 파라미터를 리셋하기 전까지 그 상태가 지속된다.
볼트 예치자의 역할
이 균형에서 볼트 예치자는 리스크 허용 수준으로 가격을 결정하는 한계 참여자다. 꼬리 손실 이후 예치자가 이탈하면, 볼트가 줄어들고, OI 한도가 낮아져야 하며, 상장 주도 성장 전략이 둔화된다. 예치자가 남는다면 — 입증된 리스크를 보상하기 위해 상승한 사후 수익률에 끌려서 — 거래소는 계속 나아갈 수 있다.
JELLY 사태에 대한 Hyperliquid의 대응 — 상장 폐지와 프로토콜의 다른 수익원으로 손실을 흡수하는 것을 포함하여 — 은 부분적으로 예치자 유지를 위한 조치였다. 볼트가 깨끗하게 손실을 입는다면 리스크를 솔직하게 전달하는 것이었겠지만, 이탈을 가속할 수 있었다. 손실을 프로토콜의 다른 수익원으로 분산시킨 것은 볼트 NAV를 보존했지만, 대신 너무 부드럽게 전달했다. 볼트가 사실상 뒷받침을 받고 있다는 메시지를 — 하지만 법적으로 집행 가능한 어떤 의미에서도 다음 사태에 대한 보장은 아니다.
이것은 CeFi 거래소가 보험 기금을 채우기 위해 자사 대차대조표를 활용하는 것과 유사한 온체인 버전이다. 한 번은 통한다. 두 번도 통한다. 하지만 지속 가능한 리스크 모델이 아니다.
앞으로의 함의
온체인 영구선물 거래소는 진정한 혁신이며, 볼트 모델은 롱테일 상장 자산의 유동성 부트스트래핑 문제에 대한 합리적인 해법이다. 그러나 청산소 기능의 대체물은 아니며, 그것을 대체물로 취급하는 것이 바로 경계해야 할 오류다.
이 구조적 분석을 진지하게 받아들이면 몇 가지가 따라온다.
첫째, 볼트 예치자는 수동적 LP가 아니라 거래소 상장 정책에 대한 외가격 보험 매도자로 포지셔닝되어야 한다. 적절한 수익률 비교 대상은 스테이블코인 대출 금리가 아니라, 롱테일 토큰 바스켓에 대한 꼬리 리스크 옵션 매도의 내재 프리미엄이다. 그 기준으로 현재 볼트 수익률이 적정한지, 과한지, 부족한지는 거래소와 상장 공격성에 따라 다르다. 하지만 그것이 올바른 비교 기준이며, 현재 제품들이 마케팅되는 방식과는 다르다.
둘째, 온체인 퍼프 세그먼트는 양극화될 가능성이 높다. 일부 거래소는 블루칩 깊이와 엄격한 리스크 파라미터에 집중하며 더 작은 볼트와 낮은 수익률로 CeFi에 가까운 리스크 프로파일을 점유할 것이다. 다른 거래소들은 볼트 손실이 사업 모델의 일부임을 인정하고 그에 맞는 가격을 책정하면서 허용적인 상장과 높은 수익률을 유지할 것이다. 중간 포지션 — 폭넓은 상장에 암묵적 안전성 — 은 실패하는 포지션이다. 볼트 외부의 어딘가에서 손실을 흡수하려는 거래소의 의지에 의존하는데, 그 의지는 한도가 있기 때문이다.
셋째, 운영 재량권 문제는 코드로 해결되지 않을 것이다. 실제 꼬리 이벤트에 직면한 모든 온체인 거래소는 프로토콜 외부에서 개입했다. 상장 폐지, 파라미터 변경, 임시 방편적 지원. 솔직한 프레이밍은 이것이다. 이들은 온체인 결제와 오프체인 리스크 관리를 결합한 청산소이며, 오프체인 리스크 관리가 점점 차별화 요소가 되고 있다. 진정한 중립성을 중요시하는 사용자라면 마케팅이 아닌 개입 이력과 이를 승인하는 거버넌스 경로를 살펴봐야 한다.
마지막으로, 우리가 주시할 열린 질문은 주요 온체인 퍼프 거래소 중 어딘가가 시장조성 기능과 보험 기능을 분리하는 방향으로 이동할지 여부다. 시장조성만 전담하는 프로토콜 소유 볼트와, 꼬리 손실만 흡수하는 별도 자본화된 보험 기금을 결합하면, CeFi 청산소 구조에 훨씬 가까워지고 예치자의 리스크가 명확하게 읽힐 것이다. 수익률이 낮아지기도 할 텐데, 그것이 바로 어떤 주요 거래소도 이 분리에 완전히 전념하지 않은 이유다. 경쟁 압력 또는 또 다른 꼬리 이벤트가 그 분리를 강제할지가 온체인 영구선물 설계의 다음 사이클에서 핵심 구조적 질문이다.
はじめに
パーペチュアル先物は暗号資産市場で最も取引量の多い金融商品であり、その歴史の大半において、不透明なリスクエンジンと潤沢な保険基金を持つ中央集権型取引所（CEX）の内側に存在してきた。Hyperliquidをはじめとするオーダーブック型DEXが牽引するかたちで、パーペチュアルの取引量がオンチェーンへと移行しつつあるが、これは主にUXとカストディの観点から語られることが多い。自己カストディによる担保、オンチェーンオーダーブック、透明な資金調達率——そうした利点が強調される一方、リスク面の話はあまり歓迎されない。
オンチェーン・パーペチュアル取引所のUIの裏側には、コミュニティが資金を出し合った流動性ボールトが存在する。Hyperliquidでは「HLPボールト」、GMXでは「GLPプール」、dYdXやDriftはそれぞれ似たような仕組みを採用している。このボールトはマーケットメイクを行い、清算を吸収し、そして決定的なことに、ポジションが証拠金を超過した際にオーダーブックがそれを処理しきれない場合の残余カウンターパーティとして機能する。市場が平穏なうちはデポジターが手数料と資金調達料を得るが、単一のポジションが相手方の市場を歪めるほど大きくなると、その差分をボールトが丸ごと引き受ける羽目になる。
2025年3月にHyperliquidで起きたJELLY型の事件——薄商いの上場トークンが操作され、HLPボールトに対する過大なショートポジションが作られた——は、この構造的な問いを具体的な形で突きつけた。オンチェーン・パーペチュアルDEXの損失吸収の仕組みとは具体的に何であり、CeFiが10年かけて磨き上げたクリアリングハウスモデルとどう比較されるのか。本稿では、自動デレバレッジ（ADL）、損失分担、マーケットメーカーとしてのボールト、保険基金といったメカニズムを掘り下げ、オンチェーンモデルが真に堅牢な部分と、構造的に脆弱な部分を明らかにする。
残余カウンターパーティとしてのボールト
パーペチュアル取引所は、株式市場のような「市場」ではない。合成商品においてロングとショートをペアにし、資金調達率によってパーペチュアル価格をスポット参照値に連動させるクリアリングシステムである。システムが支払い能力を保つためには、すべての損失ポジションが——必要であれば強制清算によって——証拠金を超過する前にクローズされなければならない。難しいのは、それが失敗したときの処理だ。
CeFiの場合、損失吸収のスタックはおおよそ次の順序で機能する。トレーダーの証拠金、次に取引所の保険基金、そして利益を上げているカウンターパーティへのADL（自動デレバレッジ）、最終手段として損失分担によるクローバック（返還請求）だ。保険基金がその核心で、大半のテールリスクの清算を、利益を上げているトレーダーに触れることなく吸収できるよう設計されており、強制クローズのたびに徴収される清算ペナルティから補充される。
Hyperliquidや類似する取引所では、アーキテクチャは精神的には似ているが、資金の出所が異なる。HLPボールト——Hyperliquidのプロトコル保有流動性プール——は三つの機能を同時に担う。上場パーペチュアルでマーケットメイク戦略を実行し、清算メカニズムを通じて清算の反対側を取り、そしてADLが発動された際のバックストップとして機能する。デポジターはシステムの収益分配とこれらの戦略のPnLとして報酬を受け取る。
この組み合わせこそが、オンチェーン設計を独特なものにしている。ボールトはステーブルコインを保有する受動的な保険基金ではない。設計上、保険基金が吸収すべきストレスイベントと相関したブックを持つ、能動的な市場参加者なのだ。急激な価格変動が大規模清算を引き起こすとき、ボールトはそのポジションを引き継ぐと同時に、マーケットメイクのインベントリがすでに逆方向に傾いていたことに気づく。
ボールトモデルが存在する理由
ボールトが存在するのは、オーダーブック型DEXがロングテールのパーペチュアルにおいてプロフェッショナルなマーケットメーカーの厚みを簡単にブートストラップできないからだ。CeFiはレイテンシー優位性とクロスベニューのヘッジデスクを持つ専業MMファームとの緊密な連携に依存している。オンチェーン取引所、特に積極的に銘柄を上場するところは、すべての市場で初日から流動性が確保されるとは想定できない。ボールトがその空白を埋める。気配値を提示し、スプレッドを縮小し、キャリーを稼ぐ。デポジターは事実上、他の場所では専門ファームが担うマーケットメイク機能に、リテールとして資金を提供しているわけだ。
これは通常時においては正直なトレードオフだ。問題はテールリスク局面において露呈する。
清算の理想的な機能
清算がクリーンに機能するとはこういうことだ。トレーダーの証拠金がメンテナンスマージンを下回る。取引所のリスクエンジンが未執行の注文をキャンセルし、ポジションを引き継いで、オーダーブックに対してマーケットオーダーとして発注する。ブックがそれを吸収する。清算ペナルティ——想定元本の数パーセント——が保険基金に流れる。取引所は損益中立のクローズを記録する。
これが機能するのは二つの条件が満たされているときだ。第一に、清算価格においてオーダーブックが十分に厚く、引き継ぎ注文が大きなスリッページなしに執行される。第二に、リスクエンジンが清算をトリガーするために使うマーク価格が、安価に操作できない外部参照を追跡している。
どちらの条件もオフチェーンより弱く、ロングテールの上場銘柄ではさらに弱くなる。
薄いオーダーブックとスリッページ問題
新規上場された低時価総額トークンのパーペチュアルは、仲値から1%以内のレスティング深度が数十万ドルしかない場合がある。中程度のサイズのポジションでも、強制的にマーケットアウトされると、メンテナンスマージンの何倍も価格を動かしてしまう。清算トリガー価格と実際の約定価格との差——この不足分はどこかが引き受けなければならない。CeFiでは、これがまさに保険基金の主たる存在意義だ。Hyperliquidでは、HLPボールトが設計上その受け皿となる。多くのオーダーブックでドミナントなレスティング流動性を提供しているため、清算が実際に約定する相手はボールトであり、スリッページはボールトの損失になる。
オラクルとマーク価格の設計
清算をトリガーするために使われるマーク価格もまた、もう一つの圧力点だ。マーク価格が取引所自身のオーダーブックから導出される場合、操作が可能になる。攻撃者はブックを動かして自分のショートの清算を引き起こしたり、攻撃的なポジションの清算を回避したりできる。外部のスポット取引所から導出される場合も、それらの取引所自体が同一アクターに動かされるほど薄い可能性がある。Hyperliquidなどは加重外部参照、サニティバンド、時間加重平均といったオラクルの構成を試行錯誤してきたが、根本的な問題は消えない。ロングテール資産では、あらゆる価格参照が薄く、同時にすべてを動かすコストには上限がある。
JELLY型の事件はこれを具体的に示した。スポット流動性が薄い資産のパーペチュアルで非常に大きなポジションを協調して開き、スポット市場を操作してオラクルを動かすことで、取引所はオーダーブックが提示するどの価格でもそのトレードをクリーンにアンワインドできない状況に追い込まれた。反対側を保有するボールトは、操作者が参照価格をさらに押し込むにつれて膨らむ含み損に直面した。
ADLと損失の社会化
清算がクリーンに処理できず、保険のバッファが不十分な場合、取引所は自動デレバレッジ（ADL）に頼る。ADLは、破産したポジションに対して最も利益を上げており最もレバレッジが高いカウンターパーティを強制的にクローズし、破産価格で決済する。これは実質的に強制決済だ。利益を上げているトレーダーはポジションをクローズされ、システムのブックがバランスされる。
ADLはどこでも嫌われる。正しかったトレーダーを罰する仕組みだ。不透明でもある——ほとんどのユーザーはデレバレッジされてからADLキュー内での自分のランキングを確認する。また、倒錯したインセンティブを生む。勝ちトレードが十分大きければ、取引所が市場より悪い価格でそれをクローズしてしまうのだ。
オンチェーン・パーペチュアルDEXはADLをほぼそのまま引き継いでいる。代替手段——システムを破産させること——の方が悪いので、このメカニズムは必要だ。しかし、オンチェーンという文脈はその性格を変える。
ADLのカウンターパーティとしてのボールト
CeFiでは、ADLはトレーダー間で行われ、取引所はマッチングエンジンとして機能する。Hyperliquidでは、ボールト自体が主要なポジション保有者であり、アンワインドされるポジションに対してしばしば大きなカウンターパーティとなっている。そのためADLはより複雑な機能を果たす。残余損失を利益トレーダー間に社会化するだけでなく、ボールトのエクスポージャーを、それが作っていた市場へとアンワインドする。
その結果、ボールトのデポジターは重層的な損失に直面する。ボールトはまず清算失敗によるスリッページを被る。次にADLが発動されると、ボールトのエクスポージャーが破産価格で部分的にクローズされる——定義上、これはマーク価格より悪い。さらにそれでも不足する場合、残余損失はボールトのNAVに反映され、デポジターが恒久的なヘアカットを受ける。
これは取引所の全ユーザーに対する社会化ではない。ボールトのデポジターに集中した社会化だ。HLPに預け入れていないトレーダーは何も負担しない。ボールトは事実上の保険基金だが、その資金はテールリスクを引き受けるためではなく利回りを得るために参加した、ユーザーベースの一部分によって賄われている。
情報の非対称性という問題
CeFiの保険基金は、理論的には取引所のリスクチームに対して説明責任を負う。基金の規模は公開され、ドローダウンが報告され、補充ポリシーが明示されている。オンチェーンボールトのリテールデポジターは異なる立場にある。集計APR、NAV、ポジションサマリーは見えるが、上場年齢・オラクル品質・ブック深度で分解された個別市場のエクスポージャーは、ほとんどの場合見えない。上場されている数十のパーペチュアルのどれが、テールシナリオにおいてボールトが保有したいサイズを超えるポジションをボールトに引き渡す可能性があるかも、わからない。
デポジターは実質的に、取引所の上場ポリシーに対するテールリスク保険を書いている。プレミアムは利回りであり、ストライクは取引所のリスクパラメータによって決まる。デポジターはその契約のどちらの側にも、限られた影響力しか持たない。
CeFiクリアリングハウスとの比較
成熟したクリアリングハウスモデルが実際に何をするものなのか、一度立ち止まって考える価値がある。オンチェーンの議論はしばしばこれを誤って描写するからだ。
CeFiのパーペチュアル取引所——Binance Futures、Bybit、OKX、そして今は存在しないFTX——は、オーダーブックというよりも先物クリアリングハウスに概念的に近い、多層的なリスクシステムを運営している。損失を吸収する順序でその層を挙げると：
- 初期証拠金とメンテナンスマージン：資産ごとに設定され、ポジションサイズに応じて段階的に要件が上がる。
- 清算ペナルティ：強制クローズのたびに徴収され、保険基金に直接流入する。
- 保険基金：長年にわたるペナルティ収入から積み立てられ、日常的なテールイベントを吸収できるよう設計されている。主要取引所の保険基金は数億ドル規模に達する。
- ADLキュー：利益とレバレッジによって順位付けされ、特定資産の保険基金が枯渇した場合にのみ発動される。
- 損失分担によるクローバック：最終手段であり、実際に行使されることは稀で、行使されれば評判に壊滅的なダメージをもたらす。
これが機能するとき、それは以下の組み合わせによる。高レバレッジ資産に対する保守的な上場ポリシー、十分に資本化された保険基金、そしてリアルタイムで取引を停止し、証拠金要件を引き上げ、または商品をデリストする裁量を持つリスクチーム。これらはいずれも技術的な機能ではない。説明責任を持つ人間によるオペレーショナルな意思決定だ。
オンチェーンモデルに欠けているもの、そして得ているもの
オンチェーンモデルには明確な優位点がある。担保は自己カストディされる。オーダーブックは検証可能だ。資金調達率とオラクルのインプットは観察できる。ボールトのポジションは公開されており、デポジターは原理的に自分のエクスポージャーを監査できる。これらはいずれもCeFiでは成立しない——CeFiの保険基金残高は取引所が公表する数字であり、ユーザーはそれを信じるか信じないかの二択だ。
欠けているのはオペレーショナルな裁量だ。すべてを自動化するオンチェーン取引所は、リスクパラメータも自動化している。イベントの最中に証拠金要件を引き上げ、単一市場を停止し、操作された銘柄をデリストするにはガバナンスが必要だ——そしてガバナンスは設計上、リスクチームの当日中の意思決定より遅く、より公開されている。JELLYの事件では、Hyperliquidの対応は問題のある銘柄のデリストとパラメータ調整を伴った。その対応は有効でありながら物議を醸した。まさに、取引所が非自動的に行動する必要があったからだ。これはオンチェーンプロトコルの「中立性」という額縁と、居心地悪く同居する。
ここにクリーンな答えはない。一時停止も介入もできないパーペチュアル取引所は、十分な資金力を持つ最初の攻撃者に枯らされる。一時停止も介入もできるパーペチュアル取引所は、その分散化の物語にアスタリスクが付く。
資本力の比較
有用な定量的枠組みとして：成熟期のCeFi大手の保険基金は数億ドル規模であり、方向性のあるポジションで利回りを稼いでいない専用資本だ。絶対額が同程度のオンチェーンボールトは、設計上アイドル状態ではない——マーケットメイクのインベントリとして展開されており、そのマーク価格は取引する市場とともに分単位で変動する。ボールトの損失吸収能力は、ストレス時には（すでに含み損のポジションがあるため）より小さく、事前に測定することも難しい。
CeFiの保険基金が貯水池だとすれば、オンチェーンボールトは運転資金口座だ。ヘッドラインの数字が似ていても、両者は同じものではない。
上場ポリシーと攻撃者の計算
オンチェーン・パーペチュアルボールトの構造的な弱点はボールト自体にあるのではなく、ボールトが強制的にマーケットメイクさせられるものを決める上場ポリシーにある。
BTCとETHと少数の大型銘柄だけを上場するパーペチュアル取引所が直面する問題は管理可能だ。オーダーブックは厚く、オラクルは堅牢で、単一の清算によるスリッページはボールトの資本規模に対して小さい。同じ取引所が数十のロングテールトークンでパーペチュアルを上場すると、攻撃対象面は大幅に拡大する。新規上場はそのたびに世界に対してオプションを付与する——原資産を動かすコストがパーペチュアルポジションの利益より少なくなる操作トレードを構築するオプションだ。
攻撃者の計算は単純だ。（a）原資産のスポット流通量が少なく、（b）パーペチュアルのオープンインタレスト上限がその流通量に対して大きく、（c）オラクルの構成が攻撃者の資本内の取引で動かせる上場パーペチュアルを特定する。パーペチュアルで大きなポジションを建てる。スポットを操作する。そして、ボールトを悪い価格で引き継がせるか、取引所が反応する前にポジションの含み益を抽出する。
これは理論的な話ではない。過去2年間でHyperliquidおよびその他の取引所における高プロファイルのオンチェーン・パーペチュアル損失のほとんどがこのレシピによるものだ。防御策は知られている。オープンインタレスト上限、上場審査、オラクルの構成、動的証拠金要件。問題は、それぞれの防御策に競争上のコストがあることだ。OI上限を下げればボールトの利回りが下がる。上場基準を厳しくすれば成長が鈍化する。より保守的なオラクルを採用すれば、ボラタイルな市場でフォルスポジティブな清算が増える。
取引所はボールトの安全性と取引量を駆動するユーザー体験のトレードオフを最適化している。取引量が寛容な上場ポリシーを報いる限り、均衡はより多くの上場とより薄いバッファへとドリフトし、次のテールイベントがパラメータをリセットするまで続く。
ボールトデポジターの役割
この均衡において、ボールトのデポジターは価格を決定するマージナルな参加者だ。テール損失後にデポジターが逃げ出せば、ボールトは縮小し、OI上限は下がらざるを得ず、上場主導の成長戦略は鈍化する。もしデポジターが留まるなら——実証されたリスクを補償するために上昇したポスト損失の利回りに引き寄せられて——取引所は続けられる。
JELLYに類似した事件に対するHyperliquidの対応、すなわちデリストとプロトコルの広範な収益によるバランスシートでの損失吸収は、一部においてデポジターの維持を目的とした行動だった。ボールトにクリーンなヘアカットを被らせれば、リスクを正直に伝えることになるが、資金流出を加速させたかもしれない。損失をプロトコルの他の収益ラインに社会化することでボールトのNAVは保全されたが、代わりにボールトが事実上バックストップされているというメッセージを——おそらく不十分な形で——伝えた。次のイベントに対して、それは法的に強制可能な意味では保証されていないにもかかわらず。
これはCeFi取引所が保険基金を補充するために企業のバランスシートを使うことのオンチェーン版だ。一度は機能する。二度も機能するかもしれない。しかし持続可能なリスクモデルではない。
これから先の示唆
オンチェーン・パーペチュアル取引所は真のイノベーションであり、ボールトモデルはロングテール上場のデプス確保というブートストラップ問題に対する合理的な解答だ。しかし、それはクリアリングハウスの代替ではなく、そう扱うことこそが注意すべき誤りだ。
この構造的な分析を真剣に受け止めると、いくつかのことが導かれる。
第一に、ボールトのデポジターは、受動的なLPではなく、取引所の上場ポリシーに対するアウト・オブ・ザ・マネーな保険の売り手として価格付けされるべきだ。適切な利回りの比較対象はステーブルコインのレンディングレートではなく、ロングテールトークンバスケットに対するテールリスクオプションを書くことで得られる想定プレミアムだ。その基準で測れば、現在のボールト利回りが公正なのか、割高なのか、割安なのかは取引所とその上場積極性次第で異なる——しかし、比較すべき対象はそれであり、現在のプロダクトのマーケティングはそうなっていない。
第二に、オンチェーン・パーペチュアルのセグメントは二分化する可能性が高い。一部の取引所はブルーチップの深みと厳格なリスクパラメータを最適化し、より小さなボールトと低い利回りで、カストディリスクを除いたCeFiのリスクプロファイルに近いニッチを占める。他は寛容な上場と高い利回りを続け、ボールトのドローダウンをビジネスモデルの一部として受け入れ、それを適切に価格付けする。失敗するのは中間のポジション——広範な上場と暗黙の安全性の組み合わせ——だ。なぜなら、それはボールト以外のどこかから損失を吸収する取引所の意思に依存しており、その意思には限りがあるからだ。
第三に、オペレーショナルな裁量の問題はコードによって解決されない。実際のテールイベントに直面したすべてのオンチェーン取引所は、プロトコル外で介入してきた——デリスト、パラメータ変更、アドホックなバックストップ。正直な表現は、これらはオンチェーン決済とオフチェーンのリスク管理を組み合わせたクリアリングハウスであり、オフチェーンのリスク管理こそが差別化要因になりつつあるということだ。中立性の信頼性を重視するユーザーは、マーケティングではなく、介入の実績とそれを許可するガバナンスの経路を見るべきだ。
最後に、私たちが注目している未解決の問いは、主要なオンチェーン・パーペチュアル取引所のいずれかが、マーケットメイク機能と保険機能を分離する動きを見せるかどうかだ。テールリスクの吸収だけを専担する別途資本化された保険基金と対になった、マーケットメイクだけを行うプロトコル保有ボールトは、CeFiのクリアリングハウスアーキテクチャにより近く、デポジターのリスクを明確にするだろう。その代わり利回りが下がるため、どの主要取引所もこの分離に完全にコミットしていない。競争圧力または次のテールイベントがその分解を強制するかどうかが、オンチェーン・パーペチュアル設計の次のサイクルにおける構造的な問いだ。
引言
永续合约是加密市场交易量最大的工具。在其大部分发展历史中，它们存在于中心化交易所内部，依托不透明的风险引擎和资金充裕的保险基金运转。近期，以 Hyperliquid 为代表的订单簿 DEX 推动了永续合约交易量向链上迁移，外界的讨论大多聚焦于用户体验与资产托管层面：自托管抵押品、链上订单簿、透明的资金费率。然而，风险层面的故事却远没有那么光鲜。
在链上永续合约交易所的用户界面之下，坐落着一个由社区资金支撑的流动性金库。在 Hyperliquid，这是 HLP 金库；在 GMX，是 GLP 资金池；dYdX、Drift 及其他平台也运行着大同小异的变体。金库负责做市、承接清算，并且——至关重要的是——当某个仓位的亏损速度超过订单簿的消化能力时，它充当最后的交易对手。市场平稳时，存款人赚取手续费和资金费率；而当某个仓位大到足以扰乱其所交易市场的价格时，金库就要吞下这个缺口。
2025 年 3 月 Hyperliquid 发生的 JELLY 事件——一个流动性稀薄的已上线代币被操纵，在 HLP 金库积累了规模失控的空头——让这一结构性问题变得具体而清晰：链上永续合约 DEX 的损失吸收机制究竟是什么？与 CeFi 平台花了十年精心打磨的清算所模型相比，差距又在哪里？本文将深入剖析其中的机制——自动减仓（ADL）、社会化损失、金库即做市商、保险基金——并追问：链上模型在哪些方面具备真正的韧性，在哪些方面存在结构性脆弱。
金库：最终交易对手
永续合约交易所并非股权意义上的市场，而是一套清算系统——它将多空双方在合成工具上撮合配对，并通过资金费率将永续合约价格锚定于现货参考价。要维持系统偿付能力，每一个亏损仓位都必须在损失超出已缴保证金之前平仓，必要时强制清算。难点在于清算失败时该如何处置。
CeFi 平台的损失吸收层级大致如下：首先是交易者保证金，其次是交易所保险基金，再次是对盈利方的自动减仓（ADL），最极端的情况下才会实施社会化追缴。保险基金是这套机制的核心缓冲器：其规模足以吸收大多数尾部清算，无需触动盈利交易者，且通过对每次强制平仓收取的清算罚金持续补充。
Hyperliquid 及同类平台的架构在理念上相似，但资金来源不同。HLP 金库——Hyperliquid 的协议自有流动性池——同时承担三项职能：在已上线的永续合约上执行做市策略、通过清算机制承接被清算仓位的对手方，以及在触发 ADL 时充当最后兜底方。存款人获得的回报来自系统的收入分成和上述策略的盈亏。
这一组合正是链上设计的独特之处。金库并非一个安静躺着稳定币的被动保险基金，而是一个主动的市场参与者——其持仓，从设计上看，与保险基金本应吸收的压力事件高度相关。当市场骤变引发大规模清算时，金库既要继承被清算的仓位，又会发现自身的做市库存早已偏向了错误的方向。
金库模型为何存在
金库的存在，是因为订单簿 DEX 很难为长尾永续合约自发吸引专业做市商提供足够深度。CeFi 平台依赖专职做市商，这些机构拥有深度接入、延迟优势和跨平台对冲团队。链上平台，尤其是积极上线资产的平台，无法假设每个市场从第一天起就有充足深度。金库填补了这一空白：提供报价、收窄价差、赚取利差收益。存款人实际上是在用零售资金承担做市职能，而这一职能在其他地方由专业机构完成。
在正常市况下，这是一个坦诚的权衡。问题出在尾部事件中。
清算的理想运作方式
一次干净的清算应该是这样的：交易者保证金跌破维持保证金要求，交易所风险引擎取消其挂单，接管仓位，并将其作为市价单挂入订单簿。订单簿吸收成交，清算罚金流入保险基金，交易所记录损益中性的平仓。
这一流程成立，需要两个条件同时满足：第一，清算价格附近的订单簿足够深，接管的市价单能够在不产生显著滑点的情况下成交；第二，风险引擎用于触发清算的标记价格追踪的外部参考不能被轻易操纵。
这两个条件在链上都比链下更脆弱，在长尾标的上尤为如此。
薄弱的订单簿与滑点问题
一个新上线的低市值代币永续合约，在中间价 1% 范围内可能只有几十万美元的挂单深度。即便是规模适中的仓位被强制平仓，也会将价格推动数倍于维持保证金水平。亏空——即清算触发价与实际成交价之间的差额——必须由某处吸收。在 CeFi 平台，这正是保险基金的核心用途。在 Hyperliquid，HLP 金库从设计上就是这个”接盘方”：作为许多订单簿上最大的挂单流动性来源，清算实际上是砸向它的，滑点也由它承担。
预言机与标记价格设计
用于触发清算的标记价格是另一个压力点。如果标记价格来自交易所自身的订单簿，则存在可操纵性：攻击者可以推动订单簿，触发自己空头仓位的清算，或避免被攻击仓位遭到清算。如果标记价格来自外部现货平台，这些平台本身的流动性可能同样稀薄，足以被同一行为者推动。Hyperliquid 及同行已在预言机构成上持续迭代——加权外部参考、合理性区间、时间加权均价——但核心问题并未消失：对于长尾资产，每一个价格参考都是稀薄的，同时推动所有参考的成本是有上限的。
JELLY 事件具体呈现了这一点。攻击者在一个现货流动性极浅的资产永续合约上开设超大仓位，同时操纵现货市场移动预言机价格，迫使交易所陷入无法以订单簿提供的任何价格干净平仓的境地。持有对手方仓位的金库面临的账面亏损，随着操纵者持续推动参考价格而不断扩大。
ADL 与损失社会化
当清算无法干净完成、保险缓冲又不足时，交易所会退而求其次，启用自动减仓（ADL）。ADL 强制平仓破产仓位中盈利最丰、杠杆最高的对手方，平仓价格为破产价格。实质上，这是一种强制结算：盈利交易者的仓位被强制关闭，系统账目得以平衡。
ADL 普遍不受欢迎。它惩罚了判断正确的交易者，过程不透明——大多数用户直到被减仓才会去查看自己的 ADL 队列排名。它还制造了一种扭曲的激励：如果你的盈利仓位足够大，交易所会以比市场更差的价格替你平掉。
链上永续合约 DEX 几乎原封不动地继承了 ADL 机制，别无他法，因为替代方案——让系统破产——更糟糕。但链上场景改变了它的性质。
金库作为 ADL 的对手方
在 CeFi 平台，ADL 发生在交易者之间，交易所充当撮合引擎。在 Hyperliquid，金库本身就是主要的持仓方，往往是被平仓仓位的重要对手方。因此，ADL 的作用更为复杂：它不仅将残余损失社会化给盈利交易者，还将金库的敞口平仓进入它本身正在做市的市场。
结果是，金库存款人面临分层亏损。金库首先承受清算失败的滑点损失；如果随后触发 ADL，金库的敞口以破产价格部分平仓——而破产价格从定义上就比标记价格更差；如果这仍不足以弥补缺口，残余损失则体现在金库的净资产价值中，存款人遭受永久性损失。
这不是将损失社会化给交易所所有用户，而是将损失集中在金库存款人身上。从未向 HLP 存款的交易者无需分担。金库是事实上的保险基金，但它由用户群中的一个自我选择的子集提供资金——这些人加入是为了赚取收益，而非承保尾部风险。
信息不对称问题
从理论上看，CeFi 交易所的保险基金对交易所风险团队负责：基金规模公开，回撤情况有报告，补充政策也是已知的。链上金库的零售存款人则处于不同的处境。他们看到的是综合年化收益率、净资产价值和仓位摘要，但在大多数情况下，看不到按上线时间、预言机质量和订单簿深度细分的各项市场敞口。他们不知道哪个已上线的永续合约，在尾部情景下，可能会给金库塞入一个超出其承受能力的仓位。
存款人在实践中，是在为交易所的长尾上线策略兜售尾部风险保险。收益率是保费，行权价由交易所的风险参数决定，而存款人对这份合约的两端都几乎没有话语权。
与 CeFi 清算所的对比
有必要先厘清成熟清算所模型的实际运作，因为围绕链上方案的讨论常常误读了它。
CeFi 永续合约平台——币安合约、Bybit、OKX，以及已倒闭的 FTX——运行的是一套多层风险体系，在概念上更接近期货清算所，而非普通订单簿。各层级吸收损失的大致顺序如下：
- 初始保证金与维持保证金：按资产设定，随仓位规模分级递增。
- 清算罚金：强制平仓时收取，直接流入保险基金。
- 保险基金：多年来靠罚金收入积累，规模足以吸收常规尾部事件。主流平台的保险基金规模达数亿美元。
- ADL 队列：按盈利与杠杆排序，仅在特定资产的保险基金耗尽时启用。
- 社会化追缴：最后手段，历史上极少动用，一旦使用声誉代价极高。
这套体系之所以有效，在于三者的结合：对高杠杆资产采取保守的上线政策、资金充裕的保险基金，以及拥有实时暂停交易、收紧保证金要求或下线合约权限的风险团队。这些都不是技术功能，而是有人承担责任的运营决策。
链上模型的得与失
链上模型有显而易见的优势：抵押品自托管、订单簿可验证、资金费率和预言机输入可观察，金库仓位公开，存款人原则上可自行审计自己承受的风险敞口。以上这些在 CeFi 平台均不成立——保险基金余额只是交易所公布的一个数字，用户选择相信与否。
链上模型缺少的是运营层面的自由裁量权。将一切自动化的链上交易所，同时也将其风险参数自动化了。在事件发生过程中上调保证金要求、暂停单个市场、下线被操纵的合约，都需要经过治理——而治理从设计上就比风险团队的盘中决策更慢、更公开。在 JELLY 事件中，Hyperliquid 的应对包括下线争议合约、调整参数。这一响应既有效，又颇具争议，恰恰是因为它要求交易所采取非自动化的行动，这与链上协议”可信中立”的叙事框架之间存在张力。
这里没有干净的答案。一个无法暂停或介入的永续合约交易所，会被第一个资金够用的攻击者掏空；一个可以暂停并介入的永续合约交易所，其去中心化叙事则带有星号。
资本规模对比
一个有用的量化参照：成熟阶段主流 CeFi 平台的保险基金规模在数亿美元级别，且是专项资本，不参与方向性仓位的收益博弈。规模相当的链上金库，从设计上恰恰相反——它被部署为做市库存，其账面价值随所做市场逐分钟变化。因此，金库的损失吸收能力在压力时刻既更小（因为部分资金已处于亏损仓位），又更难事先量化。
如果说 CeFi 保险基金是一座蓄水池，链上金库则是一个流动资金账户。即便账面数字相近，两者也截然不同。
上线策略与攻击者的算盘
链上永续合约金库的结构性弱点，并不在金库本身，而在于决定金库被迫做市标的的上线策略。
一个只上线 BTC、ETH 及少数大市值代币永续合约的交易所面临的问题可控：订单簿够深、预言机够健壮、任何单次清算的滑点相对于金库资本都微不足道。同一交易所若上线几十个长尾代币的永续合约，攻击面则大幅扩大。每一个新上线的合约，都是向全市场售出的一个期权：一个构建操纵交易的期权——移动底层资产的成本，低于永续合约仓位的收益。
攻击者的算盘直截了当：找到一个已上线的永续合约，满足以下条件——（a）底层资产的现货流通盘规模小，（b）永续合约的持仓量上限相对于该流通盘较大，（c）预言机构成可以通过攻击者资金范围内的交易来移动。在永续合约上开设大仓位，操纵现货，要么迫使金库以不利价格继承仓位，要么在交易所作出反应之前将仓位的账面盈利提走。
这不是理论上的攻击手册，而是过去两年间 Hyperliquid 及其他平台大多数高关注度链上永续合约损失事件的共同底层逻辑。防御手段众所周知：持仓量上限、上线尽职调查、预言机构成、动态保证金要求。问题在于，每项防御都有竞争层面的代价。降低持仓量上限意味着金库收益减少，严格上线意味着增长放缓，更保守的预言机意味着市场波动时更多误触发的清算。
因此，交易所在金库安全与驱动交易量的用户体验之间不断优化权衡。只要交易量激励宽松的上线策略，均衡点就会持续向”更多上线、更薄缓冲”方向漂移，直到下一次尾部事件重置参数。
金库存款人的角色
在这一均衡中，金库存款人是边际参与者，其风险承受能力决定了价格。如果存款人在尾部损失后出逃，金库萎缩，持仓量上限被迫下调，以上线驱动的增长策略随之放缓。如果存款人留下来——被损失后上升的收益率所吸引，视之为对已验证风险的补偿——交易所则可以继续。
Hyperliquid 对 JELLY 事件的应对，包括下线合约、将损失在协议更广泛的收入中消化，部分上是一种存款人留存举措。若让金库直接承担净损失，固然如实传达了风险，却可能加速资金外流。将损失社会化到协议其他收入线，保住了金库的净资产价值，代价是传递了一个或许过于含糊的信号——金库是有兜底的。而在任何具有合同约束力的意义上，对于下一次事件，它并没有。
这是 CeFi 平台动用公司资产负债表补充保险基金的链上翻版。一次管用，两次管用，但并非可持续的风险模型。
前瞻
链上永续合约交易所是真正意义上的创新，金库模型对于长尾上线的深度引导问题也是合理的解答。然而，它不能替代清算所职能，将其视为等价物，正是需要警惕的误判。
认真对待结构性分析，可以得出以下几点推论。
第一，金库存款人应当被理解为交易所上线策略上的虚值保险卖方，而非被动的流动性提供者。正确的收益率参照系，不是稳定币借贷利率，而是在一篮子长尾代币上卖出尾部风险期权的隐含保费。用这个标准衡量，当前金库收益率究竟是公允、丰厚还是偏低，取决于具体交易所及其上线激进程度——但这才是正确的比较框架，而非目前产品的营销方式。
第二，链上永续合约赛道很可能走向分化。部分平台将专注于蓝筹深度与严格风险参数，金库规模更小、收益率更低，风险特征接近于没有托管风险的 CeFi；另一些平台将继续宽松上线、提供较高收益，坦然接受金库回撤是商业模式的一部分，并据此定价。两者之间的中间状态——广泛上线却暗示安全性——才是会失败的那种，因为它依赖交易所从非金库来源吸收损失的意愿，而这种意愿的余额有限。
第三，运营自由裁量权的问题无法通过代码解决。每一个遭遇真实尾部事件的链上交易所，都已在协议之外进行了干预：下线、调参、临时兜底。诚实的表述是：这些平台是链上结算、链下风险管理的清算所，而链下风险管理正在成为真正的差异化因素。关心可信中立性的用户，不应看营销材料，而应看干预的历史记录以及授权干预的治理路径。
最后，我们将持续关注的开放性问题是：主流链上永续合约平台中是否会有人将做市职能与保险职能剥离。一个专门做市的协议自有金库，加上一个专门吸收尾部损失的独立资本化保险基金，将更接近 CeFi 清算所的架构，也将使存款人的风险清晰可读。但这也意味着收益率下降，这正是迄今为止没有主流平台完全落地这一分拆方案的原因。竞争压力还是又一次尾部事件，将迫使这一拆解最终实现，是下一轮链上永续合约设计周期最核心的结构性问题。
Introducción
Los futuros perpetuos son el instrumento más negociado en el mundo cripto y, durante la mayor parte de su historia, vivieron dentro de exchanges centralizados con motores de riesgo opacos y fondos de seguros bien capitalizados. La migración reciente del volumen de perpetuos hacia la cadena —liderada por Hyperliquid y una cohorte de DEXes con libro de órdenes— se ha interpretado principalmente como una cuestión de experiencia de usuario y custodia: colateral en autocustodia, libros de órdenes on-chain, tasas de financiación transparentes. La historia del riesgo es menos halagüeña.
Bajo la interfaz de un exchange de perpetuos on-chain yace un vault de liquidez financiado por la comunidad. En Hyperliquid es el vault HLP; en GMX fue el pool GLP; dYdX, Drift y otros operan variantes de la misma idea. El vault hace mercado, absorbe liquidaciones y —crucialmente— actúa como contraparte residual cuando una posición supera su margen más rápido de lo que el libro puede compensar. Cuando los mercados se comportan con normalidad, los depositantes perciben comisiones y financiación. Cuando una posición individual es lo suficientemente grande como para dislocar el mercado en el que opera, el vault absorbe la diferencia.
El episodio estilo JELLY en Hyperliquid en marzo de 2025 —en el que un token listado con escasa liquidez fue manipulado para crear un short sobredimensionado contra el vault HLP— planteó la pregunta estructural de forma concreta: ¿cuál es exactamente la cadena de absorción de pérdidas de un DEX de perpetuos on-chain, y cómo se compara con el modelo de cámara de compensación que los exchanges de CeFi pasaron una década refinando? Esta nota analiza la mecánica —auto-deleveraging, pérdida socializada, vault como creador de mercado, fondos de seguros— y examina dónde el modelo on-chain es genuinamente robusto y dónde es estructuralmente frágil.
El vault como contraparte residual
Un exchange de perpetuos no es un mercado en el sentido bursátil. Es un sistema de compensación que empareja posiciones largas contra cortas en un instrumento sintético y utiliza pagos de financiación para mantener el precio del perpetuo anclado a una referencia de spot. Para que el sistema permanezca solvente, toda posición perdedora debe cerrarse —mediante liquidación si es necesario— antes de que sus pérdidas superen el margen depositado. Lo difícil es lo que ocurre cuando eso falla.
En un exchange de CeFi, la cadena de absorción de pérdidas funciona aproximadamente así: primero el margen del trader, luego el fondo de seguros del exchange, después el auto-deleveraging (ADL) de las contrapartes rentables y, en situación extrema, una devolución socializada. El fondo de seguros es el amortiguador: está dimensionado para absorber la mayoría de las liquidaciones en la cola sin tocar a los traders rentables, y se repone con las penalizaciones de liquidación cobradas en cada cierre forzado.
En Hyperliquid y exchanges similares, la arquitectura es similar en espíritu, pero la fuente de financiación es diferente. El vault HLP —el pool de liquidez propiedad del protocolo de Hyperliquid— cumple tres funciones simultáneamente. Ejecuta estrategias de creación de mercado en los perpetuos listados, toma el lado opuesto de las liquidaciones a través del mecanismo de liquidador y actúa como respaldo cuando se invoca el ADL. Los depositantes son remunerados con la participación en ingresos del sistema y con el PnL de estas estrategias.
Esta combinación es lo que hace distintivo el diseño on-chain. El vault no es un fondo de seguros pasivo aparcado en stablecoins. Es un participante de mercado activo cuyo libro está, por diseño, correlacionado con los mismos eventos de estrés que un fondo de seguros supuestamente debe absorber. Cuando un movimiento brusco fuerza una liquidación masiva, el vault hereda la posición y al mismo tiempo descubre que su inventario de creación de mercado ya estaba inclinado en la dirección equivocada.
Por qué existe el modelo de vault
El vault existe porque un DEX con libro de órdenes no puede hacer crecer fácilmente la profundidad de creadores de mercado profesionales en perpetuos de largo alcance. Los exchanges de CeFi dependen de firmas especializadas en MM con integraciones a medida, ventajas de latencia y mesas de cobertura multimercado. Un exchange on-chain, especialmente uno que lista activos de forma agresiva, no puede asumir que esa profundidad llegará para cada mercado desde el primer día. El vault llena ese vacío: proporciona cotizaciones, estrecha los spreads y captura el carry. Los depositantes están, en efecto, financiando a escala minorista la función de creación de mercado que en otros contextos desempeñan firmas especializadas.
Es un intercambio honesto en condiciones normales. Donde se tensa es en la cola de distribución.
Cómo se supone que funcionan las liquidaciones
Una liquidación limpia tiene este aspecto. El margen de un trader cae por debajo del nivel de mantenimiento. El motor de riesgo del exchange cancela sus órdenes abiertas, toma el control de la posición y la publica como orden de mercado contra el libro. El libro la absorbe. La penalización de liquidación —un pequeño porcentaje del nocional— va al fondo de seguros. El exchange registra un cierre con resultado neutro.
Esto funciona cuando se cumplen dos condiciones. Primero, que el libro tenga suficiente profundidad al precio de liquidación para que la orden de toma de control se ejecute sin un deslizamiento significativo. Segundo, que el precio mark que utiliza el motor de riesgo para activar la liquidación siga una referencia externa que no pueda manipularse a bajo coste.
Ambas condiciones son más débiles on-chain que fuera de ella, y más débiles aún en listings de largo alcance.
Libros delgados y el problema del deslizamiento
Un perpetuo sobre un token recién listado y de baja capitalización puede tener unos pocos cientos de miles de dólares de profundidad en reposo dentro del 1% del mid. Una posición de tamaño incluso moderado, cuando se fuerza a liquidar en mercado, moverá el precio en múltiplos del margen de mantenimiento. El déficit —la brecha entre el precio de activación de la liquidación y el precio de ejecución real— tiene que ser absorbido en algún lugar. En los exchanges de CeFi, ese es el propósito principal del fondo de seguros. En Hyperliquid, el vault HLP es, por construcción, quien se queda con la bolsa: como liquidez en reposo dominante en muchos libros, es contra lo que la liquidación realmente se ejecuta, y el deslizamiento es su pérdida.
Diseño del oráculo y del precio mark
El precio mark utilizado para activar las liquidaciones es otro punto de presión. Si se deriva del propio libro de órdenes del exchange, es manipulable: un atacante puede mover el libro para forzar liquidaciones de su propio short, o para evitar la liquidación de una posición atacante. Si se deriva de exchanges de spot externos, esos exchanges también pueden ser lo suficientemente delgados como para ser movidos por el mismo actor. Hyperliquid y sus homólogos han iterado en la composición de oráculos —referencias externas ponderadas, bandas de seguridad, medias temporales— pero el problema de fondo no desaparece: para un activo de largo alcance, toda referencia de precio es delgada, y el coste de moverlas todas simultáneamente tiene un límite.
El episodio estilo JELLY lo demostró de forma concreta. La apertura coordinada de una posición muy grande en un perpetuo sobre un activo con escasa liquidez spot, combinada con la manipulación del mercado spot para mover el oráculo, colocó al exchange en una situación en la que deshacer la operación de forma limpia no era posible a ningún precio que ofreciera el libro. El vault, que mantenía el lado opuesto, se enfrentó a una pérdida mark-to-market que crecía con la capacidad del manipulador de empujar la referencia aún más lejos.
El ADL y la socialización de la pérdida
Cuando la liquidación no puede completarse de forma limpia y el buffer de seguros es insuficiente, los exchanges recurren al auto-deleveraging. El ADL cierra forzosamente a las contrapartes más rentables y con mayor apalancamiento frente a la posición quebrada, al precio de quiebra. Es, en efecto, una liquidación involuntaria: a los traders rentables se les entrega una posición cerrada y los libros del sistema quedan equilibrados.
El ADL es universalmente detestado. Penaliza a los traders que tenían razón. Es opaco —la mayoría de los usuarios no comprueban su posición en la cola de ADL hasta que ya han sido deleverageados—. Y crea un incentivo perverso: si tu operación ganadora es suficientemente grande, el exchange la cerrará por ti a un precio peor que el de mercado.
Los DEXes de perpetuos on-chain han heredado el ADL con pocas modificaciones. El mecanismo es necesario porque la alternativa —dejar que el sistema quiebre— es peor. Pero el contexto on-chain cambia su naturaleza.
El vault como contraparte del ADL
En un exchange de CeFi, el ADL ocurre entre traders. El exchange actúa como motor de emparejamiento. En Hyperliquid, el vault es en sí mismo un tenedor de posiciones relevante, frecuentemente una contraparte significativa de la misma posición que se está deshaciendo. El ADL realiza por tanto una función más compleja: no solo socializa la pérdida residual entre los traders rentables, sino que también deshace la exposición del vault en el mercado que estaba creando.
El resultado es que los depositantes del vault enfrentan una pérdida en capas. El vault primero absorbe el deslizamiento de la liquidación fallida. Luego, si se invoca el ADL, la exposición del vault se cierra parcialmente al precio de quiebra —que por definición es peor que el mark—. Y si incluso eso resulta insuficiente, la pérdida residual se refleja en el valor liquidativo del vault y los depositantes sufren una quita permanente.
Esto no es socialización entre todos los usuarios del exchange. Es una socialización concentrada en los depositantes del vault. Los traders que nunca depositaron en HLP no contribuyen. El vault es el fondo de seguros de facto, pero está financiado por un subconjunto autoseleccionado de la base de usuarios que se unió para obtener rendimiento, no para suscribir riesgo de cola.
El problema de la asimetría informativa
El fondo de seguros de un exchange de CeFi es, en teoría, responsable ante el equipo de riesgo del exchange. El tamaño del fondo es público, sus caídas se reportan y su política de reposición es conocida. Un depositante minorista en un vault on-chain se encuentra en una posición diferente. Ve un APR agregado, un NAV y un resumen de posiciones. En la mayoría de los casos, no ve las exposiciones individuales por mercado desglosadas por antigüedad del listing, calidad del oráculo y profundidad del libro. No sabe cuál de las decenas de perpetuos listados podría, en un escenario de cola, entregar al vault una posición mayor de la que este desearía mantener.
El depositante está, en la práctica, vendiendo seguros de riesgo de cola sobre la política de listings del exchange. La prima es el rendimiento. El strike lo determinan los parámetros de riesgo del exchange. Y el depositante tiene una influencia limitada en ambos lados de ese contrato.
La comparación con la cámara de compensación de CeFi
Vale la pena detenerse en lo que hace realmente un modelo de cámara de compensación maduro, porque el debate on-chain a menudo lo representa de forma errónea.
Un exchange de perpetuos de CeFi —Binance Futures, Bybit, OKX, el ya desaparecido FTX— opera un sistema de riesgo multicapa que conceptualmente se asemeja más a una cámara de compensación de futuros que a un libro de órdenes. Las capas, aproximadamente en el orden en que absorben pérdidas:
- Margen inicial y de mantenimiento, fijado por activo, con requisitos escalonados que escalan con el tamaño de la posición.
- Penalización de liquidación, cobrada en los cierres forzados, que fluye directamente al fondo de seguros.
- Fondo de seguros, capitalizado a lo largo de años con ingresos por penalizaciones, dimensionado para absorber eventos de cola rutinarios. Los principales exchanges gestionan fondos de seguros de cientos de millones de dólares.
- Cola de ADL, ordenada por rentabilidad y apalancamiento, que se invoca solo cuando el fondo de seguros se agota para un activo determinado.
- Devolución socializada, una opción de último recurso que se ha ejercido raramente y que resulta reputacionalmente catastrófica cuando se aplica.
Lo que hace que esto funcione, cuando funciona, es la combinación de una política de listing conservadora para activos de alto apalancamiento, un fondo de seguros bien capitalizado y un equipo de riesgo con discrecionalidad para detener la negociación, ampliar los requisitos de margen o deslistar instrumentos en tiempo real. Ninguna de estas es una característica técnica. Son decisiones operativas tomadas por personas con responsabilidad.
Lo que le falta al modelo on-chain — y lo que aporta
El modelo on-chain tiene ventajas claras. El colateral está en autocustodia. El libro de órdenes es verificable. Las tasas de financiación y los datos del oráculo son observables. Las posiciones del vault son públicas; los depositantes pueden en principio auditar a qué están expuestos. Nada de esto ocurre en un exchange de CeFi, donde el saldo del fondo de seguros es un número que publica el exchange y que los usuarios creen o no creen.
Lo que le falta es la discrecionalidad operativa. Un exchange on-chain que automatiza todo automatiza también sus parámetros de riesgo. Elevar los requisitos de margen en medio de un evento, detener un único mercado o deslistar un instrumento manipulado requiere gobernanza —y la gobernanza es, por diseño, más lenta y más pública que la decisión intradía de un equipo de riesgo—. En el episodio JELLY, la respuesta de Hyperliquid implicó deslistar el instrumento impugnado y ajustar parámetros. Esa respuesta fue tanto efectiva como controvertida precisamente porque requirió que el exchange actuara de forma no automática, lo que encaja mal con el marco de neutralidad creíble de un protocolo on-chain.
No hay una respuesta limpia aquí. Un exchange de perpetuos que no puede pausar ni intervenir es uno que acabará siendo vaciado por el primer atacante con fondos suficientes. Un exchange de perpetuos que puede pausar e intervenir es uno cuya narrativa de descentralización lleva un asterisco.
Comparación de capitalización
Un marco cuantitativo útil: el fondo de seguros de un gran exchange de CeFi, en períodos de madurez, se sitúa en cientos de millones de dólares en su parte alta y es capital dedicado que no genera rendimiento en posiciones direccionales. Un vault on-chain de tamaño absoluto comparable no está, por diseño, inactivo —está desplegado como inventario de creación de mercado, y su valor mark-to-market cambia minuto a minuto con los mercados que crea—. La capacidad de absorción de pérdidas del vault es, por tanto, tanto menor en situaciones de estrés (porque parte ya está en posiciones perdedoras) como más difícil de dimensionar de antemano.
Si el fondo de seguros de CeFi es un embalse, el vault on-chain es una cuenta de capital de trabajo. No son lo mismo, aunque el número titular sea similar.
Política de listing y el cálculo del atacante
El punto débil estructural del vault de perpetuos on-chain no es el vault en sí; es la política de listing que determina en qué mercados el vault está obligado a crear liquidez.
Un exchange de perpetuos que lista solo BTC, ETH y un puñado de activos de gran capitalización enfrenta un problema manejable. Los libros son profundos, los oráculos son robustos y el deslizamiento en cualquier liquidación individual es pequeño en relación con la capitalización del vault. El mismo exchange, listando perpetuos sobre decenas de tokens de largo alcance, ha ampliado enormemente su superficie de ataque. Cada nuevo listing es una opción concedida al resto del mundo: una opción para construir una operación de manipulación donde el coste de mover el subyacente es menor que el beneficio de la posición en el perpetuo.
El cálculo del atacante es directo. Identificar un perpetuo listado donde (a) el float spot del subyacente es pequeño, (b) el límite de interés abierto en el perpetuo es grande en relación con ese float, y (c) la composición del oráculo puede ser movida con operaciones dentro del capital del atacante. Abrir una posición grande en el perpetuo. Manipular el spot. O forzar al vault a heredar una posición a un precio desfavorable, o extraer el beneficio mark-to-market de la posición antes de que el exchange pueda reaccionar.
No es un manual teórico. Ha sido la receta de la mayoría de las pérdidas más sonadas en perpetuos on-chain de los últimos dos años, en Hyperliquid y en otros exchanges. Las defensas son conocidas: límites de interés abierto, diligencia en los listings, composición del oráculo, requisitos de margen dinámicos. El problema es que cada defensa tiene un coste competitivo. Límites de OI más bajos significan menos rendimiento para el vault. Listings más estrictos significan crecimiento más lento. Oráculos más conservadores significan más liquidaciones de falso positivo en mercados volátiles.
El exchange está, por tanto, optimizando un trade-off entre la seguridad del vault y la experiencia de usuario que genera volumen. Mientras el volumen recompense los listings permisivos, el equilibrio derivará hacia más listings y buffers más delgados, hasta que el siguiente evento de cola restablezca los parámetros.
El papel del depositante del vault
En este equilibrio, el depositante del vault es el participante marginal cuya tolerancia al riesgo fija el precio. Si los depositantes huyen tras una pérdida de cola, el vault se contrae, los límites de OI deben reducirse y la estrategia de crecimiento impulsada por listings se ralentiza. Si los depositantes se quedan —atraídos por rendimientos post-pérdida que han aumentado para compensar el riesgo demostrado—, el exchange puede continuar.
La respuesta de Hyperliquid al episodio estilo JELLY, incluyendo el delisting y la absorción de la pérdida dentro del balance más amplio del protocolo, fue en parte una maniobra de retención de depositantes. Forzar al vault a asumir una quita limpia habría comunicado el riesgo de forma honesta, pero podría haber acelerado las salidas de capital. Socializar la pérdida en otras líneas de ingresos del protocolo preservó el NAV del vault al precio de comunicar, quizás con demasiada suavidad, que el vault está de hecho respaldado —algo que no lo está, en ningún sentido contractualmente exigible, para el próximo evento.
Este es el análogo on-chain de un exchange de CeFi que recurre a su balance corporativo para reponer un fondo de seguros. Funciona una vez. Funciona dos veces. No es un modelo de riesgo sostenible.
Lo que esto implica de cara al futuro
El exchange de perpetuos on-chain es una innovación genuina, y el modelo de vault es una respuesta razonable al problema de bootstrapping de proporcionar profundidad en un largo catálogo de listings. Sin embargo, no es un sustituto de la función de cámara de compensación, y tratarlo como tal es el error que hay que vigilar.
Varias conclusiones se derivan si tomamos en serio el análisis estructural.
En primer lugar, los depositantes del vault deberían ser valorados como vendedores de opciones out-of-the-money sobre la política de listings del exchange, no como LPs pasivos. La comparación de rendimiento relevante no es con las tasas de préstamo en stablecoins, sino con la prima implícita de vender opciones de riesgo de cola sobre una cesta de tokens de largo alcance. Con ese parámetro de referencia, los rendimientos actuales de los vaults pueden ser justos, generosos o insuficientes dependiendo del exchange específico y la agresividad de su política de listings —pero esa es la comparación correcta, y no es la forma en que actualmente se comercializan estos productos.
En segundo lugar, el segmento de perpetuos on-chain probablemente se bifurcará. Algunos exchanges optimizarán para profundidad en activos blue-chip y parámetros de riesgo estrictos, con vaults más pequeños y rendimientos más bajos, ocupando un nicho cercano al perfil de riesgo de un exchange de CeFi pero sin la custodia centralizada. Otros continuarán con listings permisivos y rendimientos más altos, aceptando que las caídas del vault son parte del modelo de negocio y poniéndoles precio en consecuencia. La posición intermedia —listings amplios con seguridad implícita— es la que fracasa, porque depende de la disposición del exchange a absorber pérdidas desde algún lugar distinto al vault, y esa disposición tiene un saldo finito.
En tercer lugar, la cuestión de la discrecionalidad operativa no se resolverá mediante código. Todo exchange on-chain que ha enfrentado un evento de cola real ha intervenido fuera del protocolo: delisting, cambios de parámetros, respaldos ad-hoc. El encuadre honesto es que son cámaras de compensación con liquidación on-chain y gestión de riesgo off-chain, y la gestión de riesgo off-chain está convirtiéndose en el diferenciador. Los usuarios que valoran la neutralidad creíble deberían fijarse no en el marketing sino en el historial de intervenciones y en la vía de gobernanza que las autoriza.
Por último, la pregunta abierta que seguiríamos de cerca es si alguno de los principales exchanges de perpetuos on-chain se mueve hacia la separación de la función de creación de mercado de la función de seguro. Un vault propiedad del protocolo que exclusivamente crea mercado, combinado con un fondo de seguros capitalizado por separado que exclusivamente absorbe pérdidas de cola, se parecería más a la arquitectura de la cámara de compensación de CeFi y haría legible el riesgo del depositante. También reduciría los rendimientos, que es la razón por la que ningún exchange importante se ha comprometido plenamente con esa división. Si la presión competitiva o un nuevo evento de cola fuerza esa descomposición es la pregunta estructural para el próximo ciclo de diseño de perpetuos on-chain.