Perpétuels on-chain: le carnet d’ordres d’Hyperliquid

Pourquoi un carnet d’ordres sur une blockchain est même possible

Pendant la majeure partie de l’histoire de DeFi, les plateformes d’échange on-chain ont utilisé le modèle de teneur de marché automatisé (AMM) popularisé par Uniswap. Les AMM sont simples : un smart contract détient deux tokens selon un ratio, et une formule fixe le prix. Il n’y a pas de carnet d’ordres, pas d’offres d’achat et de vente, pas de priorité temporelle. Cette simplicité est précisément la raison pour laquelle les AMM ont remporté les premières batailles des plateformes d’échange on-chain : un teneur de marché à fonction constante comporte très peu de pièces mobiles et peut être déployé sous la forme d’un seul smart contract.

Les contrats perpétuels ont changé le calcul. Un perpétuel est un contrat synthétique qui suit un actif sous-jacent grâce à des paiements de financement entre positions longues et courtes. Pour le valoriser équitablement et permettre aux traders d’exprimer une opinion, il faut des spreads serrés, une faible latence et une notion claire du profit et de la perte en valeur de marché. Les AMM ont du mal avec ces trois aspects. Un teneur de marché à fonction constante ne peut pas facilement reproduire une courbe de futures, ne peut pas exécuter de gros ordres sans slippage énorme et ne peut pas canaliser efficacement les primes de liquidation vers les bots.

Hyperliquid a choisi une autre voie. Au lieu d’essayer de faire se comporter un AMM comme une plateforme de futures, l’équipe a construit une blockchain conçue sur mesure dont la seule mission est d’exploiter un carnet d’ordres à cours limité centralisé pour les contrats perpétuels. La chaîne dispose d’un seul séquenceur qui produit des blocs en quelques centaines de millisecondes, et ce séquenceur fonctionne dans un centre de données proche des utilisateurs et de l’ensemble des validateurs. Comme le réseau est petit et que la géographie est contrôlée, le système peut placer, apparier et annuler des ordres en millisecondes, avec une finalité en quelques secondes, tandis que chaque exécution reste publiée on-chain et vérifiable par tous.

C’est la partie de l’histoire qui est souvent enrobée de discours marketing. La version honnête est plus simple : les carnets d’ordres on-chain fonctionnent parce que la chaîne est rapide et que l’ensemble des validateurs est restreint, et non grâce à une percée cryptographique ingénieuse. Vous renoncez à la décentralisation, au sens de mille producteurs de blocs anonymes, en échange d’un CLOB qui donne au trader l’impression d’utiliser une plateforme centralisée.

Ce que fait réellement le moteur d’appariement

À la base, le moteur d’appariement est le même code que celui utilisé par une plateforme centralisée : une liste triée d’ordres d’achat et une liste triée d’ordres de vente, où le meilleur achat rencontre la meilleure vente dès que les prix se croisent. Sur Hyperliquid, ce moteur est compilé dans le binaire du validateur au lieu de résider dans un smart contract Solidity. C’est important, car un carnet d’ordres basé sur Solidity serait trop lent et trop coûteux en gas pour être mis à jour à chaque tick.

Du point de vue d’un trader, le flux paraît familier. Vous signez un ordre qui dit, en substance, « je veux prendre une position longue sur ETH au prix X, taille Y, avec un effet de levier Z et un stop loss à W ». L’ordre signé est diffusé vers le mempool de la chaîne, qui ressemble davantage à un réseau de gossip qu’à un mempool Ethereum public. Le séquenceur le récupère, tente de l’apparier avec des ordres en attente et, s’il ne peut pas l’exécuter entièrement, place le reliquat dans le carnet. Lorsque deux ordres s’apparient, le moteur inscrit une transaction, met à jour le compte de chaque trader et débite ou crédite le collatéral.

Il existe une subtilité qui surprend les personnes qui découvrent le système. Le carnet d’ordres est la source de vérité pour les ordres en attente, mais la position réelle de l’utilisateur et son collatéral résident dans une structure d’état distincte. Lorsque votre ordre est exécuté, le moteur ne transfère pas des soldes de tokens comme le ferait une transaction spot. Il met simplement à jour un enregistrement de position associé à votre wallet, comptabilise la transaction par rapport à votre collatéral et recalcule votre PnL non réalisé par rapport au prix de référence. Le règlement est conceptuel, pas au niveau des tokens, ce qui explique pourquoi la chaîne peut traiter autant de transactions par seconde.

La mécanique du taux de funding, le véritable moteur du prix des perps

Le funding est la partie des perpetuals que les débutants sous-estiment et que les ingénieurs comprennent souvent mal à la première lecture. Un perpetual n’a pas d’échéance. Pour maintenir son prix arrimé au prix spot de l’actif sous-jacent, l’exchange organise donc un paiement périodique entre longs et shorts. Quand le perpetual se négocie au-dessus de l’indice, les longs paient les shorts. Quand il se négocie en dessous, les shorts paient les longs. Le paiement est faible à chaque période, mais il se cumule, et c’est la principale raison pour laquelle un perpetual ne s’éloigne pas lentement de sa juste valeur.

Hyperliquid recalcule le funding à une cadence courte, généralement toutes les heures pour les grands marchés, en comparant deux prix. Le premier est le mark price, qui est la référence interne du moteur pour le contrat et la valeur utilisée pour calculer le PnL non réalisé et déclencher les liquidations. Le second est un prix d’indice, agrégé à partir de plusieurs sources d’oracle externes, comme des flux CEX agrégés et des prix de référence on-chain. Le taux de funding est essentiellement une fonction de l’écart entre le mark et l’indice, lissée afin que le taux ne parte pas dans tous les sens à cause d’une seule cotation.

La partie honnête que la documentation survole est la suivante : le taux de funding n’est pas un prix de marché découvert par les traders. C’est un paramètre produit par le moteur, et les traders apprennent à l’anticiper. Quand le funding est élevé et positif, les traders expérimentés savent que le contrat est saturé de positions longues, et ils vont shorter le spot ou shorter le perp pour capter le paiement. C’est cette pression d’arbitrage qui ramène réellement le mark vers l’indice. Le funding est moins un signal de prix qu’une pénalité autocorrectrice appliquée à intervalles réguliers aux positionnements trop unilatéraux.

Mark price, prix d’indice et problème de l’oracle

Comme les perpetuals utilisent l’effet de levier, un seul mauvais prix peut liquider des millions de dollars de positions en quelques secondes. Pour éviter cela, le moteur ne vous liquide jamais sur le dernier prix d’échange affiché par le moteur de matching. Il utilise plutôt un mark price construit pour être difficile à manipuler depuis une seule plateforme.

La construction ressemble généralement à un mélange pondéré du prix médian provenant de plusieurs flux CEX et d’une référence on-chain, avec une moyenne mobile pour lisser les pics. Le mark est mis à jour plus souvent que le funding, et c’est le chiffre que le moteur utilise pour décider si votre position est passée sous la marge de maintenance. À l’inverse, le dernier prix d’échange dans le carnet d’ordres peut bouger brutalement sur un seul gros ordre au marché, et s’y fier pour les liquidations serait la recette parfaite pour provoquer des mèches en cascade.

C’est aussi là que l’exchange doit être digne de confiance, même sur une chaîne dite « décentralisée ». Les entrées de l’oracle sont signées par un ensemble connu de fournisseurs de prix. Les pondérations et les paramètres de lissage sont fixés par l’équipe du protocole. Si ces entrées sont corrompues ou si les pondérations sont mal configurées, le mark price peut être faux, et des positions peuvent être liquidées à des prix artificiels. La blockchain peut rester trustless, mais l’oracle est un petit ensemble nommé de dépendances, et c’est une vraie surface d’attaque qu’un trader prudent doit intégrer dans ses prix.

Les liquidations et le jeu MEV qui les entoure

Quand le ratio de marge de votre position franchit le seuil de maintenance, le moteur n’attend pas que vous ajoutiez des fonds. Il marque la position pour liquidation et l’ouvre à un processus public. N’importe qui peut soumettre une transaction « liquidate » contre la position, et le moteur lui verse un petit bonus prélevé sur le collatéral restant de la position, à la manière d’une récompense de keeper.

Comme ces transactions de liquidation sont publiques avant d’être exécutées, un marché concurrentiel se forme autour d’elles. Les searchers surveillent le mempool pour repérer les positions qui sont sur le point de passer sous l’eau, se font concurrence pour être les premiers à soumettre la transaction de liquidation et paient un pourboire aux producteurs de blocs pour être inclus avant leurs concurrents. C’est du maximal extractable value classique, et sur une chaîne où l’ensemble des validateurs est petit et connu, la même poignée d’acteurs sophistiqués a tendance à gagner la plupart des courses. Au final, le bonus est largement capté par les searchers et les validateurs plutôt que par le protocole, et la liquidation se produit tout de même au bon prix.

Pour un trader, la leçon pratique est qu’être liquidé sur Hyperliquid n’a rien de discret. Votre position sera clôturée contre le mark price par un bot qui la surveillait, et l’impact de la clôture sur le prix sera visible dans les quelques transactions suivantes. Si vous avez raison sur la direction mais tort sur le timing, vous pouvez être sorti avant que le marché ne bouge en votre faveur, et le bonus versé au liquidateur est de l’argent prélevé sur votre collatéral.

Le fonds d’assurance, et pourquoi l’ADL est une taxe cachée sur les gagnants

Toutes les liquidations ne peuvent pas être absorbées proprement. Si le marché franchit brutalement le mark price, une position qui aurait dû être liquidée à un certain prix peut au contraire se retrouver en equity négative. À ce moment-là, le moteur fait face à un déficit : le trader doit plus que le collatéral qu’il a déposé. La première ligne de défense est le fonds d’assurance, une réserve de tokens détenue par le protocole et alimentée par une part des frais. Le fonds paie le déficit, et le système reste solvable.

Quand le fonds d’assurance est épuisé, le protocole doit récupérer les pertes quelque part, et ce quelque part est la file d’auto-deleveraging (ADL). L’ADL est une liste classée de traders profitables situés du côté opposé du marché. Le moteur clôture de force leurs positions au prix de faillite, en utilisant le produit pour couvrir le déficit. Autrement dit, l’exchange vous retire votre trade gagnant pour payer le trade perdant de quelqu’un d’autre.

C’est la partie de la conception qui est présentée comme une fonction de sécurité, et elle l’est, mais c’est aussi un coût caché. Si vous êtes régulièrement du bon côté d’un marché unilatéral, vous avez plus de chances de vous retrouver près du sommet de la file ADL, car le système vous classe selon le profit et le levier. La probabilité que votre position soit clôturée de force ne dépend pas du fait que vous ayez fait quelque chose de mal. Elle dépend du fait que l’autre côté du marché ait explosé et que le fonds d’assurance soit à sec. Pour les traders sophistiqués, c’est un risque réel qui doit être intégré aux prix au même titre que les frais et le funding.

Ce que cela signifie pour les traders et les développeurs

Pour un trader, les enseignements pratiques sont concrets. Utilisez des ordres limit plutôt que des ordres au marché lorsque vous le pouvez, car le carnet d’ordres est réel et serré sur les marchés liquides. Surveillez le taux de financement, car il vous indique à quel point le marché est déséquilibré dans un sens. Placez vos stops en fonction du prix de référence, et non de la dernière transaction, car c’est ce prix de référence qui déclenche les liquidations. Et comprenez que l’ADL n’est pas théorique : lors d’événements extrêmes, des positions rentables peuvent être clôturées sans votre consentement.

Pour un développeur, les enseignements portent sur les compromis, pas sur l’idéologie. Un CLOB sur une app-chain rapide vous donne les sensations d’une plateforme d’échange centralisée avec un règlement on-chain, mais vous héritez du problème des oracles, du problème du MEV et du problème des petits validateurs. Un AMM vous donne un système plus simple, avec une exécution moins bonne et des mécanismes de liquidation moins efficaces, mais moins de pièces mobiles. Il n’y a pas de solution miracle, et la bonne réponse dépend du type de marché pour lequel vous construisez. Voyez, par exemple, comment une comparaison sur la manière dont les perpétuels on-chain se compensent réellement se joue face aux protocoles de perpétuels basés sur des AMM, qui s’appuient souvent sur des AMM virtuels et des liquidations pilotées par des keepers plutôt que sur un véritable carnet d’ordres.

Comment suivre intelligemment les marchés perpétuels de Hyperliquid

Les marchés perpétuels évoluent vite, et les signaux importants, le financement, l’écart entre prix de référence et indice, l’intérêt ouvert et la taille du fonds d’assurance, peuvent changer en quelques minutes. Les surveiller manuellement sur des tableaux de bord, Twitter et Discord est une bataille perdue d’avance. Zippfeed fait remonter les actualités de Hyperliquid et plus largement des perpétuels avec un score de sentiment (bullish, neutral ou bearish) et une note d’importance, afin que vous puissiez réagir aux changements de financement, de configurations d’oracles et de risque d’ADL avant le reste du marché.