Como os perpétuos on-chain liquidam: o livro de ordens da Hyperliquid

Porque é que um livro de ordens numa blockchain é sequer possível

Durante a maior parte da história da DeFi, as exchanges on-chain usaram o modelo de automated market maker (AMM) popularizado pela Uniswap. Os AMMs são simples: um smart contract detém dois tokens numa proporção, e uma fórmula define o preço. Não há livro de ordens, nem ofertas de compra e venda, nem prioridade por tempo. Essa simplicidade é exatamente a razão pela qual os AMMs venceram as primeiras guerras das exchanges on-chain: um market maker de função constante tem muito poucas peças móveis e pode ser implementado como um único smart contract.

Os perpetuals mudaram o cálculo. Um perpetual é um contrato sintético que acompanha um ativo subjacente através de pagamentos de funding entre longs e shorts. Para o precificar de forma justa e permitir que os traders expressem uma visão, são necessários spreads reduzidos, baixa latência e uma noção clara de lucros e perdas mark-to-market. Os AMMs têm dificuldade nos três pontos. Um market maker de função constante não consegue replicar facilmente uma curva de futures, não consegue casar ordens grandes sem slippage enorme e não consegue canalizar de forma eficiente bónus de liquidação para bots.

A Hyperliquid seguiu um caminho diferente. Em vez de tentar fazer com que um AMM se comportasse como uma exchange de futures, a equipa construiu uma blockchain feita à medida cujo único trabalho é executar um central limit order book para perpetuals. A chain tem um único sequencer que produz blocos na ordem das centenas de milissegundos, e esse sequencer corre num centro de dados próximo dos utilizadores e do conjunto de validators. Como a rede é pequena e a geografia é controlada, o sistema consegue colocar, casar e cancelar ordens em milissegundos, com finalidade em poucos segundos, enquanto cada execução continua a ser publicada on-chain e verificável por qualquer pessoa.

Esta é a parte da história que muitas vezes é embrulhada em linguagem de marketing. A versão honesta é mais simples: os livros de ordens on-chain funcionam porque a chain é rápida e o conjunto de validators é pequeno, não por causa de qualquer avanço criptográfico engenhoso. Abdica-se de descentralização, no sentido de mil produtores de blocos anónimos, em troca de um CLOB que, para um trader, parece uma exchange centralizada.

O que o motor de matching faz realmente

No essencial, o motor de matching é o mesmo código que uma exchange centralizada executa: uma lista ordenada de ordens de compra e uma lista ordenada de ordens de venda, com a melhor compra a encontrar a melhor venda sempre que os preços se cruzam. Na Hyperliquid, este motor é compilado no binário do validator em vez de viver num smart contract Solidity. Isso é importante, porque um livro de ordens baseado em Solidity seria demasiado lento e demasiado caro em gas para ser atualizado a cada tick.

Da perspetiva de um trader, o fluxo parece familiar. Assina uma ordem que diz, na prática, 'quero ficar long em ETH ao preço X, tamanho Y, com alavancagem Z e um stop loss em W.' A ordem assinada é transmitida para o mempool da chain, que está mais próximo de uma rede de gossip do que de um mempool público da Ethereum. O sequencer recolhe-a, tenta casá-la com ordens em repouso e, se não a conseguir executar totalmente, coloca o remanescente no livro. Quando duas ordens casam, o motor regista uma negociação, atualiza a conta de cada trader e debita ou credita collateral.

Há uma subtileza que surpreende quem é novo no sistema. O livro de ordens é a fonte da verdade para ordens em repouso, mas a posição efetiva e o collateral do utilizador vivem numa estrutura de estado separada. Quando a sua ordem casa, o motor não transfere saldos de tokens como aconteceria numa negociação spot. Apenas atualiza um registo de posição associado à sua wallet, marca a negociação contra o seu collateral e recalcula o seu PnL não realizado face ao mark price. A liquidação é conceptual, não ao nível dos tokens, e é por isso que a chain consegue processar tantas negociações por segundo.

Mecânica da taxa de funding, o verdadeiro motor da precificação dos perpétuos

O funding é a parte dos contratos perpétuos que os iniciantes subestimam e que os engenheiros muitas vezes interpretam mal numa primeira leitura. Um perpétuo não tem vencimento, por isso, para manter o seu preço ligado ao preço à vista do ativo subjacente, a exchange executa um pagamento periódico entre posições long e short. Quando o perpétuo é negociado acima do índice, as posições long pagam às posições short. Quando é negociado abaixo, as posições short pagam às posições long. O pagamento é pequeno por período, mas acumula, e é a principal razão pela qual um perpétuo não se afasta lentamente do valor justo.

A Hyperliquid recalcula o funding numa cadência curta, normalmente de hora a hora nos principais mercados, comparando dois preços. O primeiro é o preço de marcação, que é a referência interna do motor para o contrato e o valor usado para calcular PnL não realizado e acionar liquidações. O segundo é um preço de índice, agregado a partir de várias fontes externas de oráculos, como feeds agregados de CEX e preços de referência on-chain. A taxa de funding é, essencialmente, uma função de quanto o preço de marcação se afastou do índice, suavizada para que a taxa não oscile bruscamente com uma única cotação.

A parte honesta que a documentação tende a omitir: a taxa de funding não é um preço de mercado descoberto pelos traders. É um parâmetro produzido pelo motor, e os traders aprendem a antecipá-lo. Quando o funding é elevado e positivo, traders experientes sabem que o contrato está sobrelotado de posições long, e vão vender à vista ou abrir short no perpétuo para capturar o pagamento. É essa pressão de arbitragem que, na prática, puxa o preço de marcação de volta para o índice. O funding é menos um sinal de preço e mais uma penalização autocorretiva sobre posicionamento unilateral, aplicada segundo um relógio.

Preço de marcação, preço de índice e o problema dos oráculos

Como os perpétuos são alavancados, um único preço errado pode liquidar milhões de dólares em posições em segundos. Para evitar isso, o motor nunca o liquida com base no último preço de negociação impresso pelo motor de correspondência. Em vez disso, usa um preço de marcação construído para ser difícil de manipular a partir de uma única plataforma.

A construção costuma parecer uma combinação ponderada do preço mediano de vários feeds de CEX e de uma referência on-chain, com uma média móvel para suavizar picos. O preço de marcação é atualizado com mais frequência do que o funding e é o número que o motor usa para decidir se a sua posição está abaixo da margem de manutenção. Em contraste, o último preço de negociação no livro de ordens pode mover-se bruscamente com uma única ordem de mercado grande, e confiar nele para liquidações seria uma receita para movimentos em cascata.

É também aqui que é preciso confiar na exchange, mesmo numa cadeia 'descentralizada'. Os dados dos oráculos são assinados por um conjunto conhecido de publicadores de preços. Os pesos e os parâmetros de suavização são definidos pela equipa do protocolo. Se esses dados estiverem corrompidos ou se os pesos estiverem mal configurados, o preço de marcação pode estar errado, e as posições podem ser liquidadas a preços artificiais. A blockchain pode continuar a ser trustless, mas o oráculo é um conjunto pequeno e identificado de dependências, e isso é uma superfície de ataque real que um trader cuidadoso deve incorporar no preço.

Liquidações e o jogo de MEV à volta delas

Quando o rácio de margem da sua posição cruza o limiar de manutenção, o motor não espera que reforce a conta. Marca a posição para liquidação e abre-a a um processo público. Qualquer pessoa pode submeter uma transação de 'liquidate' contra a posição, e o motor paga-lhe um pequeno bónus a partir da garantia restante da posição, semelhante a uma recompensa de keeper.

Como estas transações de liquidação são públicas antes de serem executadas, forma-se um mercado competitivo à sua volta. Searchers monitorizam a mempool à procura de posições prestes a ficar submersas, competem para serem os primeiros a submeter a transação de liquidação e pagam uma gorjeta aos produtores de blocos para serem incluídos à frente dos concorrentes. Isto é maximal extractable value clássico, e numa cadeia em que o conjunto de validadores é pequeno e conhecido, o mesmo punhado de intervenientes sofisticados tende a ganhar a maioria das corridas. O resultado final é que o bónus é capturado em grande parte por searchers e validadores, em vez de pelo protocolo, e a liquidação continua a acontecer ao preço correto.

Para um trader, a conclusão prática é que ser liquidado na Hyperliquid não é um acontecimento discreto. A sua posição será fechada contra o preço de marcação por um bot que a estava a vigiar, e o impacto no preço do fecho será visível nas negociações seguintes. Se estiver certo quanto à direção, mas errado quanto ao momento, pode ser retirado do mercado antes de este se mover a seu favor, e o bónus que vai para o liquidator é dinheiro que saiu da sua garantia.

O fundo de seguro, e porque o ADL é um imposto oculto sobre os vencedores

Nem todas as liquidações podem ser absorvidas de forma limpa. Se o mercado saltar para lá do preço de marcação, uma posição que deveria ter sido liquidada a um determinado preço pode, em vez disso, passar a ter capital próprio negativo. Nesse momento, o motor tem um défice: o trader deve mais do que a garantia que depositou. A primeira linha de defesa é o fundo de seguro, um conjunto de tokens detido pelo protocolo e reforçado por uma fatia das taxas. O fundo paga o défice, e o sistema mantém-se íntegro.

Quando o fundo de seguro se esgota, o protocolo tem de recuperar as perdas de algum lado, e esse lado é a fila de auto-deleveraging (ADL). O ADL é uma lista ordenada de traders lucrativos no lado oposto do mercado. O motor fecha à força as suas posições ao preço de falência, usando os proveitos para cobrir o défice. Por outras palavras, a exchange tira-lhe a sua negociação vencedora para pagar a negociação perdedora de outra pessoa.

Esta é a parte do desenho que é apresentada como uma funcionalidade de segurança, e é-o, mas também é um custo oculto. Se estiver consistentemente do lado certo de um mercado unilateral, é mais provável que fique perto do topo da fila de ADL, porque o sistema o classifica por lucro e alavancagem. A probabilidade de a sua posição ser fechada à força não depende de ter feito algo errado. Depende de o outro lado do mercado ter rebentado e de o fundo de seguro se ter esgotado. Para traders sofisticados, esse é um risco real que deve ser incorporado no preço juntamente com taxas e funding.

O que isto significa para traders e builders

Para um trader, as lições práticas são concretas. Usa ordens limit em vez de ordens de mercado sempre que puderes, porque o livro de ordens é real e apertado em mercados líquidos. Observa a funding rate, pois mostra-te quão unilateral está a multidão. Define stops tendo em conta o mark price, não a última transação, porque é o mark que aciona as liquidações. E compreende que o ADL não é teórico: em eventos extremos, posições lucrativas podem ser fechadas sem o teu consentimento.

Para um builder, as lições são sobre compromissos, não sobre ideologia. Um CLOB numa app-chain rápida dá-te a sensação de uma exchange centralizada com liquidação on-chain, mas herdas o problema dos oracles, o problema de MEV e o problema dos pequenos validadores. Um AMM dá-te um sistema mais simples, com pior execução e piores mecânicas de liquidação, mas com menos peças móveis. Não há almoços grátis, e a resposta certa depende do tipo de mercado para o qual estás a construir. Vê, por exemplo, como uma comparação sobre como os perpetuals on-chain são realmente compensados se desenrola face a protocolos de perps baseados em AMM, que muitas vezes dependem de AMMs virtuais e liquidações conduzidas por keepers em vez de um verdadeiro livro de ordens.

Como acompanhar os mercados perpétuos da Hyperliquid de forma inteligente

Os mercados perpétuos movem-se depressa, e os sinais que importam, funding, mark versus index, open interest e dimensão do fundo de seguro, podem mudar em minutos. Acompanhá-los manualmente em dashboards, Twitter e Discord é uma batalha perdida. Zippfeed destaca notícias da Hyperliquid e do mercado mais amplo de perps com pontuação de sentimento (bullish, neutral ou bearish) e uma classificação de importância, para que possas reagir a mudanças no funding, nas configurações de oracles e no risco de ADL antes do resto do mercado.