Introduction
Perpetual futures have been the most contested product surface in crypto for the better part of three years. The reason is structural: perps generate fees that scale with volatility, they attract leverage-seeking flow that spot venues cannot capture, and they are the natural settlement layer for any token that has not yet earned a deep spot market. Whoever owns the perp orderbook owns the most lucrative slice of on-chain trading.
For most of 2023 and 2024, the on-chain share of that pie was small. Centralized venues — Binance, Bybit, OKX — handled the overwhelming majority of perp volume, with on-chain alternatives competing for what was left over. That balance has shifted. By late 2025, Hyperliquid had captured a share of global perp volume that no decentralized venue had previously approached, with monthly volumes reported in the tens of billions of dollars on its newer listing tier alone.
The mechanism behind that shift is HIP-3, Hyperliquid’s permissionless perp listing standard. HIP-3 is interesting not because it is a new orderbook — Hyperliquid already had one — but because it reframes the question of who provides liquidity for a long-tail perp market and on what terms. It treats market-making as a vault-backed primitive that any deployer can compose against, collapsing the distinction between “listing a market” and “underwriting a market.”
This piece dissects HIP-3 at the protocol-design layer. We work through what the mechanism actually is, how it differs from the AMM and pure-orderbook lineages it inherits from, why the design has translated into market share, and where the structural fragilities sit. Our prior coverage of the Hyperliquid vault incident addressed a specific failure; here we are interested in the architecture that makes such failures possible — and, in some readings, inevitable at sufficient scale.
Where HIP-3 sits in the perp design space
To see what HIP-3 changes, it helps to be precise about what Hyperliquid was before it.
Hyperliquid’s base layer is a purpose-built L1 running a central limit orderbook (CLOB) for perpetuals. Orders are matched on-chain, with block times tight enough that the user experience approximates a centralized matching engine. This is the part most users see: a familiar perp UI with tight spreads on majors like BTC and ETH, funded by professional market makers who post quotes directly to the book.
Alongside the orderbook, Hyperliquid runs a system of vaults. The flagship vault — historically the Hyperliquidity Provider, or HLP — accepts user deposits and uses them as the balance sheet for an automated market-making strategy that quotes into the same orderbook. Depositors earn the spread, the funding, and the liquidations that the vault captures; they also absorb its losses. In effect, the vault is a tokenized, passively-funded prop desk whose P&L is socialized across LPs.
HIP-3 extends this pattern. Rather than the protocol team curating which perp markets exist, HIP-3 lets a deployer stake the native token, post a market specification, and bring up a new perp market — with its own liquidity vault, its own oracle configuration, and its own fee parameters. The deployer becomes something between a market operator and a bond issuer: they put up capital that can be slashed for misbehavior, they set the terms, and they are entitled to a share of the fees the market generates.
What HIP-3 actually specifies
The mechanism has three composable parts.
First, the listing right. A deployer locks a meaningful amount of HYPE — large enough that frivolous listings are economically deterred — and gains the right to instantiate a perpetual market with parameters they choose: oracle source, contract size, leverage caps, funding interval, and so on. Slashing conditions are tied to malformed oracle feeds, market manipulation, and other failures attributable to the deployer.
Second, the liquidity vault. Each HIP-3 market is paired with a vault contract that accepts deposits and runs a market-making program against the orderbook for that market. The vault is the residual counterparty: when retail flow is one-sided, the vault is on the other side. Its strategy is constrained by the protocol but parameterizable by the deployer, and its P&L flows back to depositors net of fees taken by the deployer and the protocol.
Third, the shared matching engine. The new market is not a separate venue — it is another book on the same L1, matched by the same engine, settled into the same margin system as the existing perps. From a trader’s perspective, opening a position on a HIP-3 market feels indistinguishable from opening one on the BTC book.
That last point matters more than it appears. It means the HIP-3 market inherits Hyperliquid’s risk engine, liquidation infrastructure, and cross-margining — the parts of a perp venue that are hardest to build from scratch. The deployer is responsible for liquidity and oracle, not for the matching and settlement layer.
How this differs from AMM perps and pure orderbooks
Decentralized perpetuals have evolved along two main lineages, and HIP-3 is best understood as a deliberate hybrid of both.
The AMM-perp lineage
The first lineage runs through GMX, Gains Network, and their derivatives. These designs use a pooled-liquidity model: LPs deposit assets into a shared pool, and traders open positions against the pool using a price feed (typically a Chainlink-based oracle) rather than a matched counterparty. There is no orderbook. The pool is always willing to take the other side at the oracle price, subject to skew limits and funding adjustments.
The strengths of this design are well-known. LPs earn a yield that is simple to underwrite — fees and trader losses, minus trader wins. There is no need for active market makers. Spreads, in a sense, are zero, because there are no quotes; there is only the oracle.
The weaknesses are also well-known. The pool is structurally short volatility: it makes a small fee on every trade and pays out the tail when traders are correctly positioned. Oracle latency creates arbitrage windows. And because pricing is exogenous to the venue, the venue cannot host markets where no reliable external oracle exists — which is to say, it cannot host the long tail.
The pure-orderbook lineage
The second lineage runs through dYdX v4, early Serum, and Hyperliquid’s own base layer. Here, prices are endogenous: they are whatever the marginal matched bid and ask say they are. Liquidity comes from professional market makers running off-chain inventory and quoting on-chain.
The strengths are price discovery and capital efficiency. Market makers can hedge elsewhere, quote tighter spreads, and respond to information faster than an oracle-driven pool can. The weaknesses are the boot-strapping problem and the long tail. A new orderbook with no makers is a graveyard of stale quotes. And professional market makers will not allocate inventory to a market without an obvious flow advantage.
What HIP-3 inherits
HIP-3 keeps the orderbook as the matching primitive — endogenous price discovery, real bids and asks — but solves the cold-start problem by guaranteeing a vault-funded maker on day one. The deployer’s vault is, in effect, an obligated market maker that quotes whether or not professional makers show up. If the market gathers organic flow, professional makers join the book and the vault becomes one liquidity source among several. If the market does not, the vault is still there, and the deployer’s slashing risk forces them to manage it responsibly.
This is a different point in the design space than either lineage occupies on its own. The vault carries the AMM-style “always-on” property, but the price the vault quotes is the orderbook’s price, not an oracle’s. The orderbook carries the price-discovery property, but it is not dependent on the goodwill of external makers to exist.
The cost of the hybrid is concentration. Both the AMM-perp model and the pure-orderbook model distribute counterparty risk: AMMs across a broad LP base, orderbooks across many independent makers. HIP-3 concentrates the counterparty risk for any given long-tail market in a single vault, whose strategy is controlled by a single deployer. When the vault is well-managed and the market is liquid, this is invisible. When it is not, it is the entire story.
Why the design has translated into market share
Market share in perps is not won by mechanism elegance alone. It is won by some combination of: listing speed, fee competitiveness, liquidity at the sizes traders actually want to execute, and the absence of the friction patterns (gas, wallet pop-ups, slow confirmations) that have historically capped on-chain venues. HIP-3 contributes to several of these simultaneously.
Listing speed and the long tail
The most direct effect is on the listing surface. Under HIP-3, a market can exist as soon as a deployer is willing to stake capital, configure an oracle, and seed a vault. There is no listing committee, no business-development cycle, no minimum-volume threshold. For new tokens — particularly tokens that are launching on-chain and have not yet earned a centralized venue listing — this is the difference between having a perp market in the first 24 hours of trading and having one in three to six weeks.
The economics of being the first-mover perp venue for a new asset are significant. Funding rates on new perp markets routinely exceed those on established ones by an order of magnitude, and the first venue to list captures a disproportionate share of the resulting flow. Hyperliquid’s reported HIP-3 monthly volume figures, on the order of tens of billions of dollars by late 2025, are consistent with a venue that is being used as the default first listing for a meaningful fraction of new on-chain assets.
Aligned deployer incentives
Because deployers earn a fee share from the markets they create, they are incentivized to bring flow to them — through integrations, partnerships, and marketing — in a way that protocol-curated listings rarely are. The protocol externalizes the work of growing each individual market to the parties best positioned to do it, while retaining the matching layer and the network effect.
This is a familiar pattern from other corners of DeFi (Uniswap’s permissionless pool creation is the obvious antecedent), but it applies unusually well to perps. Perp markets are more parameterized than spot pools, and the deployer’s parameter choices — leverage cap, funding curve, oracle configuration — are real product decisions that affect which kind of flow the market attracts. A well-designed HIP-3 market is a product, not a config.
Composability with the base venue
The single-venue, single-margin design means a trader who already holds collateral on Hyperliquid can open a position on a new HIP-3 market without bridging, without depositing, and without managing a second account. The marginal cost of entering a long-tail market is approximately zero. This is the on-chain equivalent of what centralized exchanges have done forever — list a new perp, and the existing user base can trade it immediately — but it has historically been hard to replicate on-chain, where each new venue tends to mean a new account.
The compounding effect of these three factors — speed, deployer incentives, frictionless composability — is what the volume share figures reflect. They are not evidence that HIP-3 markets are more efficient than centralized perps. They are evidence that HIP-3 markets exist when and where centralized perps do not, and that the cost of accessing them, for a user already inside the Hyperliquid system, is low enough that the trade goes there by default.
Where the structural risks live
The same design choices that produced the market-share gains create concentrated failure modes. We see three that are worth examining in detail.
Vault insolvency under directional flow
A HIP-3 vault is, by construction, the residual counterparty to the market it backs. In normal conditions, this is a profitable role: the vault collects spread, funding when positioning is one-sided in its favor, and a share of liquidation cascades. In abnormal conditions — a sustained one-way move where the vault is on the wrong side, or a coordinated push by sophisticated traders who recognize the vault’s quoting pattern — it is a structurally losing role.
The vault has finite capital. If it loses faster than depositors can withdraw, or faster than the deployer can recapitalize, the vault’s quotes either widen to uneconomical levels (killing the market) or are funded from a position that cannot meet its obligations (creating bad debt). In the first case the market dies; in the second the loss is socialized — to vault depositors first, and depending on protocol design, potentially to the broader margin system if liquidations cannot be cleared at the marked price.
This is not a hypothetical concern. The pattern has been observed in pooled-liquidity perp systems repeatedly: GMX’s GLP took meaningful drawdowns when traders were correctly positioned during major moves, and HLP itself has had episodes that surfaced the same dynamic. HIP-3 multiplies the surface area of this risk by the number of markets it enables.
Oracle manipulation in thin markets
Every HIP-3 market needs a reference price for funding calculations, liquidations, and the vault’s own quoting logic. For majors with deep external markets, oracle configuration is a solved problem. For long-tail assets — the precise category HIP-3 most enables — it is not.
If the oracle reads from a thin spot market, that spot market becomes the manipulation target. An attacker who can move the spot price by 10% on low volume can trigger liquidations on a much larger perp position, harvesting the gap. If the oracle reads from the HIP-3 market’s own midprice, the attacker can manipulate the perp directly, with the vault often the counterparty absorbing the loss.
Slashing of the deployer’s stake is the protocol’s primary mitigation. But slashing is a post-hoc penalty; it does not prevent the manipulation, it only redistributes the loss after the fact. And it presupposes that the deployer is identifiable, solvent, and not the attacker themselves. In a permissionless listing system, none of those are guaranteed.
Liquidation cascades across the shared margin system
The composability that makes HIP-3 attractive — shared matching, shared margin — also creates a contagion path. A trader who is cross-margined across BTC, ETH, and a long-tail HIP-3 market does not have separate buckets of collateral for each. A liquidation triggered by a HIP-3 market’s price action can force the closure of positions on the major markets, and vice versa.
In isolation, this is just how cross-margining works. In aggregate, across thousands of accounts and a growing number of HIP-3 markets, it creates a network of forced-liquidation links between markets that would otherwise be unconnected. A manipulation event on a small HIP-3 market can, in principle, transmit a liquidation impulse to the BTC orderbook through accounts whose margin depends on both.
Hyperliquid’s risk engine is designed to contain this — auto-deleveraging, insurance-fund top-ups, and margin requirements that discourage extreme cross-positioning. But the parameters are calibrated against a market structure that is itself a moving target. As the number of HIP-3 markets grows and their aggregate notional becomes a larger fraction of the total, the parameters need to be recalibrated against a state of the world that did not exist when they were set.
The aggregate question: how much risk is on-chain versus visible
The deeper structural question is not any single failure mode but the aggregate one. HIP-3 makes it cheap to list a market, which means the venue’s total notional outstanding can grow faster than the risk-management infrastructure scales. The vaults absorb the first-order risk, the shared margin system absorbs the second-order risk, and the protocol’s insurance fund and slashing mechanisms absorb the third-order risk. Each layer has finite depth.
Centralized venues face the same problem but solve it with discretion: a risk team can pull a market, halt trading, or socialize a loss outside the orderbook. A permissionless venue cannot, or chooses not to. That is a feature for the user who values neutrality, and a bug for the user who is the residual claimant on a vault that just took a 30% drawdown.
What to watch from here
HIP-3 is the most economically consequential perp-listing mechanism currently deployed on-chain. Its market-share trajectory through 2025 suggests that the combination of vault-underwritten liquidity, permissionless listing, and shared-margin composability is a genuine improvement over the prior on-chain perp designs, not a transient artifact of incentives or narrative.
The question for the next phase is whether the architecture can scale without the failure modes scaling with it. Three observables seem most informative.
The first is the distribution of vault P&L across HIP-3 markets. If most vaults are profitable in most months, the system is working as intended. If a long tail of vaults is consistently losing — and if those losses are increasingly socialized rather than absorbed by deployer stake — the slashing-based discipline is not doing the work it was designed to do.
The second is the share of HIP-3 volume coming from a small number of high-flow markets versus the long tail. A healthy permissionless venue should show a Pareto distribution: a few large markets with deep liquidity and many small ones with thin liquidity. If volume is concentrated in a handful of markets, the permissionless mechanism is doing less work than it appears to. If it is broadly distributed, the long-tail strategy is genuinely scaling.
The third is the behavior of the system under stress. The interesting test is not whether HIP-3 markets work in calm conditions — pooled-liquidity perps have always worked in calm conditions — but whether the combination of vault, oracle, and shared-margin mechanisms holds together when one of the large markets takes a sharp directional move with HIP-3 vaults on the wrong side. The 2025 cycle has produced enough such moves to start building a track record, but the sample is still small.
A final open question concerns the deployer layer itself. HIP-3 effectively creates a new role in the perp stack — a hybrid of market operator, prop-desk allocator, and bond issuer — and that role has not yet developed the conventions, transparency standards, or third-party oversight that mature analogues in traditional finance have. Whether the role professionalizes (toward something resembling regulated market makers) or remains anonymous and capital-rationed will shape what kind of markets HIP-3 ends up hosting, and what kind of losses end up surfacing on the chain that hosts them.
The mechanism is well-designed for the problem it was built to solve. Whether it is well-designed for the problems it will create at scale is the question the next 18 months will answer.
소개
영구선물은 지난 3년 가까이 크립토에서 가장 치열한 경쟁이 펼쳐진 상품 영역이다. 이유는 구조적이다. 영구선물은 변동성에 비례해 수수료를 창출하고, 현물 거래소가 포착하지 못하는 레버리지 수요를 끌어당기며, 아직 깊은 현물 시장을 형성하지 못한 토큰의 자연스러운 결제 레이어 역할을 한다. 영구선물 오더북을 장악하는 곳이 온체인 트레이딩에서 가장 수익성 높은 영역을 차지한다.
2023년과 2024년 대부분의 기간 동안 온체인이 차지하는 비중은 미미했다. 바이낸스, 바이비트, OKX 같은 중앙화 거래소가 영구선물 거래량의 압도적 다수를 처리했고, 온체인 대안들은 그 나머지를 두고 경쟁했다. 하지만 이 구도가 달라졌다. 2025년 하반기에 이르러 Hyperliquid는 어떤 탈중앙화 거래소도 이전에 근접하지 못했던 수준의 글로벌 영구선물 거래량 점유율을 확보했으며, 신규 상장 티어만으로도 월간 거래량이 수백억 달러에 달하는 것으로 알려졌다.
이 변화의 핵심에는 HIP-3가 있다. HIP-3는 Hyperliquid의 퍼미션리스 영구선물 상장 표준이다. HIP-3가 주목받는 이유는 새로운 오더북이기 때문이 아니다 — Hyperliquid에는 이미 오더북이 있었다. 주목받는 이유는 롱테일 영구선물 시장에서 유동성을 누가, 어떤 조건으로 공급하느냐는 질문을 근본적으로 재정의했기 때문이다. HIP-3는 마켓메이킹을 볼트 기반의 프리미티브로 다루어, 누구든 그 위에서 조합할 수 있도록 한다. “시장을 상장한다”와 “시장을 인수한다”의 경계를 허문 것이다.
이 글은 HIP-3를 프로토콜 설계 차원에서 해부한다. 이 메커니즘이 실제로 무엇인지, AMM과 순수 오더북이라는 두 계보와 어떻게 다른지, 왜 이 설계가 시장 점유율로 이어졌는지, 그리고 구조적 취약점이 어디에 위치하는지를 살펴본다. 이전에 Hyperliquid 볼트 사태를 다룬 글에서는 특정 장애를 분석했다면, 이 글에서는 그러한 장애를 가능하게 — 일부 관점에서는 충분한 규모에서 불가피하게 — 만드는 아키텍처 자체에 주목한다.
HIP-3가 영구선물 설계 공간에서 차지하는 위치
HIP-3가 무엇을 바꾸는지 이해하려면, 그 이전 Hyperliquid가 무엇이었는지를 정확히 짚어야 한다.
Hyperliquid의 기반은 영구선물 전용으로 구축된 L1으로, 중앙 지정가 오더북(CLOB)을 온체인에서 운영한다. 주문은 온체인에서 체결되며, 블록 생성 간격이 짧아 사용자 경험은 중앙화 매칭 엔진에 근접한다. 이 부분이 대다수 사용자가 접하는 Hyperliquid다. 전문 마켓메이커들이 직접 오더북에 호가를 제시하는, BTC와 ETH 같은 주요 자산에서 촘촘한 스프레드를 제공하는 익숙한 영구선물 UI.
오더북과 함께 Hyperliquid는 볼트 시스템을 운영한다. 대표적인 볼트는 과거의 Hyperliquidity Provider, 즉 HLP로, 사용자 예치금을 받아 이를 재원으로 동일한 오더북에 자동 마켓메이킹 전략을 실행한다. 예치자는 볼트가 포착하는 스프레드, 펀딩비, 청산 수익을 얻는 동시에 손실도 함께 부담한다. 사실상 볼트는 토큰화된 패시브 펀드 형태의 자기매매 부서로, 그 손익이 LP 전체에 손실 분담 방식으로 귀속된다.
HIP-3는 이 패턴을 확장한다. 프로토콜 팀이 어떤 영구선물 시장이 존재할지 직접 선별하는 대신, HIP-3는 배포자가 네이티브 토큰을 스테이킹하고 시장 명세를 제출하면 새로운 영구선물 시장을 개설할 수 있게 한다. 개설된 시장에는 자체 유동성 볼트, 자체 오라클 설정, 자체 수수료 파라미터가 부여된다. 배포자는 시장 운영자와 채권 발행자의 중간 어딘가에 위치한다. 부정행위 시 슬래싱될 자본을 예치하고, 조건을 설정하며, 시장에서 발생하는 수수료의 일정 지분을 가져간다.
HIP-3가 실제로 명시하는 것
이 메커니즘은 세 가지 조합 가능한 부분으로 구성된다.
첫째, 상장 권리다. 배포자는 상당한 양의 HYPE를 잠근다. 무분별한 상장을 경제적으로 억제할 만큼 충분한 규모다. 그 대가로 배포자는 자신이 선택한 파라미터 — 오라클 소스, 계약 단위, 레버리지 한도, 펀딩 주기 등 — 를 적용한 영구선물 시장을 개설할 권리를 얻는다. 슬래싱 조건은 오라클 피드 오작동, 시장 조작, 그리고 배포자에게 귀책 사유가 있는 기타 장애에 연결된다.
둘째, 유동성 볼트다. 각 HIP-3 시장에는 볼트 컨트랙트가 쌍으로 붙는다. 이 볼트는 예치금을 받아 해당 시장의 오더북에 마켓메이킹 프로그램을 실행한다. 볼트는 잔여 거래상대방이다. 리테일 주문 흐름이 한쪽으로 쏠릴 때, 볼트는 반대편에 위치한다. 볼트의 전략은 프로토콜에 의해 제약되지만 배포자가 파라미터를 설정할 수 있으며, 손익은 배포자와 프로토콜이 수수료를 차감한 후 예치자에게 돌아간다.
셋째, 공유 매칭 엔진이다. 새로운 시장은 별도의 거래소가 아니다. 동일한 L1의 또 다른 오더북으로, 동일한 엔진에서 체결되고, 기존 영구선물과 동일한 마진 시스템에서 결제된다. 트레이더 관점에서 HIP-3 시장에서 포지션을 여는 것은 BTC 오더북에서 여는 것과 구분이 되지 않는다.
마지막 지점이 보이는 것보다 훨씬 중요하다. HIP-3 시장이 Hyperliquid의 리스크 엔진, 청산 인프라, 크로스마진 시스템을 그대로 상속받는다는 의미이기 때문이다. 이 부분들은 처음부터 독자적으로 구축하기 가장 어려운 영구선물 거래소의 핵심 요소다. 배포자는 유동성과 오라클만 책임지면 된다. 매칭과 결제 레이어는 배포자 소관이 아니다.
AMM 영구선물 및 순수 오더북과의 차이
탈중앙화 영구선물은 두 가지 주요 계보를 따라 진화해왔다. HIP-3는 이 두 계보의 의도적 하이브리드로 이해하는 것이 가장 적절하다.
AMM 영구선물 계보
첫 번째 계보는 GMX, Gains Network, 그리고 그 파생들로 이어진다. 이 설계들은 풀링된 유동성 모델을 사용한다. LP들이 공유 풀에 자산을 예치하면, 트레이더들은 매칭된 거래상대방이 아닌 가격 피드(주로 Chainlink 기반 오라클)를 통해 풀에 포지션을 연다. 오더북이 없다. 풀은 언제나 오라클 가격으로 반대편을 취할 의향이 있으며, 쏠림 한도와 펀딩 조정이 적용된다.
이 설계의 강점은 잘 알려져 있다. LP는 직관적으로 이해할 수 있는 수익률을 얻는다 — 수수료와 트레이더 손실, 여기서 트레이더 수익을 차감한 금액. 능동적인 마켓메이커가 필요 없다. 호가 자체가 없으므로 어떤 의미에서 스프레드는 0이다. 오직 오라클만 있을 뿐이다.
약점도 잘 알려져 있다. 풀은 구조적으로 변동성 숏 포지션을 취한다. 매 거래에서 소액의 수수료를 벌지만, 트레이더가 올바른 방향에 포지션을 잡을 때 테일 위험을 부담한다. 오라클 지연은 차익거래 기회를 만든다. 그리고 가격이 거래소 외부에서 결정되기 때문에, 신뢰할 수 있는 외부 오라클이 없는 시장은 호스팅할 수 없다. 즉, 롱테일을 소화하지 못한다.
순수 오더북 계보
두 번째 계보는 dYdX v4, 초기 Serum, 그리고 Hyperliquid의 자체 베이스 레이어로 이어진다. 여기서 가격은 내생적이다. 한계 매수-매도 호가가 결정하는 것이 가격이다. 유동성은 오프체인 재고를 운용하며 온체인에 호가를 제시하는 전문 마켓메이커들에게서 나온다.
강점은 가격 발견과 자본 효율성이다. 마켓메이커들은 다른 곳에서 헤지하고, 더 촘촘한 스프레드를 제시하며, 오라클 기반 풀보다 빠르게 정보에 반응할 수 있다. 약점은 부트스트래핑 문제와 롱테일이다. 마켓메이커가 없는 새 오더북은 낡은 호가들의 무덤이 된다. 그리고 전문 마켓메이커들은 명확한 주문 흐름 우위가 없는 시장에 재고를 할당하지 않는다.
HIP-3가 상속하는 것
HIP-3는 오더북을 매칭 프리미티브로 유지한다 — 내생적 가격 발견, 실제 매수·매도 호가 — 하지만 콜드스타트 문제를 첫날부터 볼트 자금으로 마켓메이커를 보장함으로써 해결한다. 배포자의 볼트는 사실상 의무적 마켓메이커다. 전문 마켓메이커가 참여하든 안 하든 호가를 제시한다. 시장이 유기적 주문 흐름을 모으면 전문 마켓메이커들이 오더북에 합류하고 볼트는 여러 유동성 소스 중 하나가 된다. 그렇지 않더라도 볼트는 여전히 존재하며, 배포자의 슬래싱 리스크가 책임 있는 운영을 강제한다.
이것은 두 계보 중 어느 하나가 단독으로 차지하는 설계 공간과는 다른 지점이다. 볼트는 AMM 방식의 “항상 작동” 특성을 갖추되, 볼트가 제시하는 가격은 오라클 가격이 아닌 오더북 가격이다. 오더북은 가격 발견 특성을 갖추되, 외부 마켓메이커들의 선의에 의존하지 않고도 존재한다.
하이브리드의 비용은 집중이다. AMM 영구선물 모델과 순수 오더북 모델 모두 거래상대방 리스크를 분산한다. AMM은 광범위한 LP 기반에, 오더북은 다수의 독립적 마켓메이커들에게. HIP-3는 특정 롱테일 시장의 거래상대방 리스크를 단일 배포자가 전략을 통제하는 단일 볼트에 집중시킨다. 볼트가 잘 운용되고 시장이 유동적일 때는 이것이 보이지 않는다. 그렇지 않을 때는 그것이 전부가 된다.
이 설계가 시장 점유율로 이어진 이유
영구선물에서 시장 점유율은 메커니즘의 우아함만으로 얻을 수 없다. 상장 속도, 수수료 경쟁력, 트레이더가 실제로 원하는 규모에서의 유동성, 그리고 역사적으로 온체인 거래소의 성장을 가로막았던 마찰 요소들(가스비, 지갑 팝업, 느린 확인)의 부재가 복합적으로 작용해야 한다. HIP-3는 이 여러 요소에 동시에 기여한다.
상장 속도와 롱테일
가장 직접적인 효과는 상장 가능 범위에 있다. HIP-3 하에서 시장은 배포자가 자본을 스테이킹하고 오라클을 설정하며 볼트에 시드 자금을 투입할 의향이 있는 순간 개설될 수 있다. 상장 심사위원회도, 비즈니스 개발 사이클도, 최소 거래량 기준도 없다. 온체인에서 런칭하는 신규 토큰, 특히 중앙화 거래소 상장을 아직 획득하지 못한 토큰에게 이것은 거래 첫 24시간 내에 영구선물 시장이 생기느냐 아니면 3~6주를 기다리느냐의 차이다.
새로운 자산에 대해 최초 영구선물 거래소가 되는 것의 경제적 가치는 상당하다. 신규 영구선물 시장의 펀딩비는 기존 시장보다 한 자릿수 이상 높은 경우가 다반사이며, 최초 상장 거래소가 그 결과 발생하는 주문 흐름의 불균형적 비중을 가져간다. Hyperliquid의 HIP-3 월간 거래량이 2025년 하반기 기준 수백억 달러에 달한다는 보고는, 이 거래소가 상당수 신규 온체인 자산의 디폴트 첫 상장지로 활용되고 있다는 추론과 일치한다.
정렬된 배포자 인센티브
배포자들이 자신이 만든 시장에서 수수료 지분을 얻기 때문에, 프로토콜이 직접 선별하는 상장 방식에서는 좀처럼 볼 수 없는 방식으로 — 통합, 파트너십, 마케팅을 통해 — 해당 시장으로 주문 흐름을 유도할 인센티브를 갖는다. 프로토콜은 각 개별 시장을 성장시키는 작업을 그 일을 가장 잘 수행할 수 있는 주체에게 외부화하는 동시에, 매칭 레이어와 네트워크 효과는 자신이 보유한다.
이는 DeFi의 다른 영역에서 익숙한 패턴이다(Uniswap의 퍼미션리스 풀 생성이 가장 명백한 선례다). 그러나 영구선물에는 이것이 특히 잘 맞아떨어진다. 영구선물 시장은 현물 풀보다 파라미터가 훨씬 복잡하고, 배포자의 파라미터 선택 — 레버리지 한도, 펀딩 커브, 오라클 설정 — 은 어떤 유형의 주문 흐름을 끌어당길지에 영향을 미치는 실질적인 상품 결정이다. 잘 설계된 HIP-3 시장은 단순한 설정 파일이 아닌 하나의 상품이다.
베이스 거래소와의 컴포저빌리티
단일 거래소, 단일 마진 설계는 이미 Hyperliquid에 담보를 보유한 트레이더가 브릿지 없이, 추가 예치 없이, 별도 계정 관리 없이 새로운 HIP-3 시장에서 포지션을 열 수 있다는 의미다. 롱테일 시장에 진입하는 한계 비용은 사실상 0에 가깝다. 이것은 중앙화 거래소가 항상 해온 것의 온체인 버전이다 — 새 영구선물을 상장하면 기존 사용자 베이스가 즉시 거래할 수 있는 것 — 하지만 온체인에서는 역사적으로 재현하기 어려웠다. 새로운 거래소는 대체로 새로운 계정을 의미했기 때문이다.
이 세 가지 요소 — 속도, 배포자 인센티브, 마찰 없는 컴포저빌리티 — 의 복합 효과가 거래량 점유율 수치에 반영된 것이다. 이것은 HIP-3 시장이 중앙화 영구선물보다 더 효율적이라는 증거가 아니다. 중앙화 영구선물이 없는 곳과 시점에 HIP-3 시장이 존재하며, Hyperliquid 시스템 내에 이미 있는 사용자에게 그 접근 비용이 거래가 기본적으로 그쪽으로 흐를 만큼 낮다는 증거다.
구조적 리스크가 위치한 곳
시장 점유율 증가를 낳은 바로 그 설계 선택들이 집중된 실패 양식을 만들어낸다. 우리는 자세히 살펴볼 가치가 있는 세 가지를 확인했다.
방향성 주문 흐름 하에서의 볼트 지급불능
HIP-3 볼트는 설계상 자신이 지원하는 시장의 잔여 거래상대방이다. 정상 조건에서 이것은 수익성 있는 역할이다. 볼트는 스프레드를 수취하고, 포지셔닝이 자신에게 유리한 방향으로 편중될 때 펀딩비를 받으며, 청산 연쇄 수익의 일부를 가져간다. 비정상 조건에서 — 볼트가 불리한 쪽에 있는 지속적인 단방향 움직임, 혹은 볼트의 호가 패턴을 간파한 정교한 트레이더들의 조직적 공세 — 그것은 구조적 패배 역할이다.
볼트의 자본은 유한하다. 예치자가 출금할 수 있는 것보다 빠르게, 혹은 배포자가 재자본화할 수 있는 것보다 빠르게 손실이 발생하면, 볼트의 호가는 비경제적 수준으로 확대되거나(시장을 죽이거나) 의무를 이행할 수 없는 포지션에서 제시된다(불량 부채를 만든다). 첫 번째 경우 시장은 죽는다. 두 번째 경우 손실이 사회화된다 — 먼저 볼트 예치자에게, 그리고 프로토콜 설계에 따라 청산이 마크 가격에서 해소될 수 없는 경우 더 넓은 마진 시스템으로.
이것은 가상의 우려가 아니다. 이 패턴은 풀링된 유동성 영구선물 시스템에서 반복적으로 관찰되었다. GMX의 GLP는 대형 움직임 중 트레이더들이 올바른 방향으로 포지션을 잡을 때 의미 있는 드로우다운을 경험했고, HLP 자체도 동일한 역학이 드러난 에피소드들이 있었다. HIP-3는 이 리스크의 노출 면적을 자신이 활성화하는 시장의 수만큼 배가시킨다.
얇은 시장에서의 오라클 조작
모든 HIP-3 시장은 펀딩 계산, 청산, 그리고 볼트 자체의 호가 로직을 위한 기준 가격이 필요하다. 외부 시장이 깊은 주요 자산의 경우 오라클 설정은 해결된 문제다. 롱테일 자산 — 정확히 HIP-3가 가장 많이 활성화하는 범주 — 에서는 그렇지 않다.
오라클이 거래가 얇은 현물 시장에서 가격을 읽는다면, 그 현물 시장이 조작 대상이 된다. 낮은 거래량으로 현물 가격을 10% 움직일 수 있는 공격자는 훨씬 큰 영구선물 포지션에서 청산을 트리거해 그 차익을 수확할 수 있다. 오라클이 HIP-3 시장 자체의 미드프라이스를 읽는다면, 공격자는 영구선물을 직접 조작할 수 있고, 볼트가 종종 손실을 흡수하는 거래상대방이 된다.
배포자 지분에 대한 슬래싱이 프로토콜의 주요 완화 수단이다. 하지만 슬래싱은 사후적 처벌이다. 조작을 막는 것이 아니라 사실이 발생한 후에 손실을 재분배할 뿐이다. 게다가 배포자가 식별 가능하고, 지급 능력이 있으며, 공격자 자신이 아니라는 것을 전제한다. 퍼미션리스 상장 시스템에서는 이 중 어느 것도 보장되지 않는다.
공유 마진 시스템을 통한 청산 연쇄
HIP-3를 매력적으로 만드는 컴포저빌리티 — 공유 매칭, 공유 마진 — 는 동시에 전염 경로를 만든다. BTC, ETH, 그리고 롱테일 HIP-3 시장에 크로스마진으로 포지션을 보유한 트레이더는 각 자산에 대해 별도의 담보 버킷을 갖지 않는다. HIP-3 시장의 가격 움직임으로 촉발된 청산은 주요 시장의 포지션 강제 종결로 이어질 수 있고, 그 반대도 마찬가지다.
단독으로 보면 이것은 그냥 크로스마진이 작동하는 방식이다. 수천 개의 계정과 늘어나는 HIP-3 시장에 걸쳐 종합적으로 보면, 이것은 그렇지 않았더라면 연결되지 않았을 시장들 사이에 강제 청산 연결망을 만든다. 소규모 HIP-3 시장에서의 조작 사건이, 원칙적으로, 양쪽에 마진을 의존하는 계정들을 통해 BTC 오더북으로 청산 충격을 전달할 수 있다.
Hyperliquid의 리스크 엔진은 이것을 억제하도록 설계되었다 — 자동 디레버리징, 보험 펀드 보충, 극단적 크로스 포지셔닝을 억제하는 마진 요건. 하지만 파라미터들은 그 자체가 움직이는 타깃인 시장 구조를 기준으로 보정되어 있다. HIP-3 시장의 수가 증가하고 총 명목 잔액이 전체의 더 큰 비중을 차지함에 따라, 파라미터들은 설정 당시 존재하지 않았던 세계 상태에 맞게 재보정되어야 한다.
총합 질문: 온체인에 있는 리스크 대 가시적인 리스크
더 깊은 구조적 질문은 단일 실패 양식이 아니라 총합에 관한 것이다. HIP-3는 시장 상장 비용을 낮추고, 이는 거래소의 총 명목 잔액이 리스크 관리 인프라의 확장 속도보다 빠르게 성장할 수 있다는 의미다. 볼트가 1차 리스크를 흡수하고, 공유 마진 시스템이 2차 리스크를 흡수하며, 프로토콜의 보험 펀드와 슬래싱 메커니즘이 3차 리스크를 흡수한다. 각 레이어는 유한한 깊이를 갖는다.
중앙화 거래소도 동일한 문제에 직면하지만 재량으로 해결한다. 리스크 팀이 시장을 철회하고, 거래를 중단하며, 오더북 외부에서 손실을 분담할 수 있다. 퍼미션리스 거래소는 그럴 수 없거나, 하지 않기로 선택한다. 이것은 중립성을 가치 있게 여기는 사용자에게는 기능이고, 방금 30% 드로우다운을 겪은 볼트의 잔여 청구권자인 사용자에게는 버그다.
앞으로 주목해야 할 것
HIP-3는 현재 온체인에 배포된 영구선물 상장 메커니즘 중 경제적으로 가장 중요한 것이다. 2025년 내내 이어진 시장 점유율 궤적은 볼트 기반 유동성, 퍼미션리스 상장, 공유 마진 컴포저빌리티의 조합이 이전 온체인 영구선물 설계에 비해 진정한 개선임을 시사한다. 인센티브나 내러티브에 기반한 일시적 현상이 아니다.
다음 단계의 질문은 아키텍처가 실패 양식을 함께 스케일링하지 않으면서 확장될 수 있느냐다. 세 가지 관측 지표가 가장 정보성 있어 보인다.
첫째는 HIP-3 시장 전반에 걸친 볼트 손익 분포다. 대부분의 달에 대부분의 볼트가 수익을 내고 있다면 시스템은 의도대로 작동하는 것이다. 볼트의 롱테일이 지속적으로 손실을 내고 있으며 — 그 손실이 배포자 지분에 흡수되기보다 점점 더 사회화된다면 — 슬래싱 기반 규율은 설계된 역할을 다하지 못하는 것이다.
둘째는 HIP-3 거래량에서 소수의 대형 시장이 차지하는 비중 대 롱테일의 비중이다. 건전한 퍼미션리스 거래소는 파레토 분포를 보여야 한다. 깊은 유동성을 가진 소수의 대형 시장과 얇은 유동성을 가진 다수의 소형 시장. 거래량이 소수의 시장에 집중되어 있다면, 퍼미션리스 메커니즘은 겉보기보다 실제로 하는 일이 적은 것이다. 거래량이 광범위하게 분산되어 있다면, 롱테일 전략은 진정으로 스케일링되고 있는 것이다.
셋째는 스트레스 상황에서 시스템의 행동이다. 흥미로운 테스트는 HIP-3 시장이 평온한 조건에서 작동하느냐가 아니다 — 풀링된 유동성 영구선물은 항상 평온한 조건에서는 작동했다. 볼트, 오라클, 공유 마진 메커니즘의 조합이, HIP-3 볼트가 불리한 쪽에 있는 상태에서 대형 시장 중 하나가 급격한 방향성 움직임을 보일 때 함께 버티느냐다. 2025년 사이클은 그러한 움직임을 충분히 생산해 트랙 레코드를 쌓기 시작했지만, 샘플은 여전히 작다.
마지막으로 배포자 레이어 자체에 관한 열린 질문이 있다. HIP-3는 사실상 영구선물 스택에 새로운 역할을 만들었다 — 시장 운영자, 자기매매 자금 배분자, 채권 발행자의 하이브리드 — 그리고 이 역할은 아직 전통 금융의 성숙한 유사체들이 갖춘 관행, 투명성 기준, 또는 제3자 감독을 발전시키지 못했다. 이 역할이 전문화되느냐 (규제된 마켓메이커와 유사한 방향으로) 아니면 익명이고 자본 제약적인 채로 남느냐에 따라 HIP-3가 결국 어떤 종류의 시장을 호스팅하게 될지, 그리고 어떤 종류의 손실이 그것을 호스팅하는 체인 위에 드러나게 될지가 결정될 것이다.
이 메커니즘은 해결하도록 구축된 문제에 대해 잘 설계되어 있다. 충분한 규모에서 만들어낼 문제들에 대해서도 잘 설계되어 있느냐는, 앞으로 18개월이 답해줄 질문이다.
はじめに
パーペチュアル先物は、この3年ほどの間、暗号資産市場で最も激しく争われてきた商品分野だ。その理由は構造的なものにある。パーペチュアル（以下、パーペチュアル）はボラティリティに連動して手数料が増加し、スポット市場では取り込めないレバレッジ需要を引き寄せ、深いスポット市場をまだ持たないトークンにとって自然な決済レイヤーとして機能する。パーペチュアルのオーダーブックを押さえた者が、オンチェーン取引で最も収益性の高い領域を手にする。
2023年から2024年にかけての大半の期間、オンチェーンでのシェアは小さかった。Binance、Bybit、OKXといった中央集権型取引所が圧倒的多数のパーペチュアル取引量を処理しており、オンチェーンの代替手段は残りを奪い合っていた。しかしそのバランスは変わった。2025年末までに、Hyperliquidは世界のパーペチュアル取引量において、それまでいかなる分散型取引所も到達し得なかったシェアを獲得した。新しい上場ティアだけで月次取引量が数百億ドル規模に達したと報告されている。
この変化の背景にあるメカニズムが HIP-3 だ。Hyperliquidのパーミッションレスなパーペチュアル上場規格である。HIP-3が注目に値するのは、新しいオーダーブックだからではない——Hyperliquidにはすでにオーダーブックがある。そうではなく、「ロングテールのパーペチュアル市場で誰がどのような条件で流動性を供給するか」という問い自体を再定義している点が重要だ。HIP-3はマーケットメイキングをボールト担保のプリミティブとして扱い、いかなるデプロイヤーもそこに組み合わせられる形にすることで、「市場を上場する」ことと「市場を引き受ける」ことの境界線を取り払った。
本稿ではHIP-3をプロトコル設計の観点から解剖する。実際のメカニズムとは何か、AMM型とピュアオーダーブック型という先行設計からどう異なるか、なぜこの設計が市場シェアに結びついたのか、そして構造的な脆弱性はどこに潜むのか——これらを順に論じる。Hyperliquidのボールトインシデントについては別途取り上げたが、本稿が関心を向けるのは、そうした障害を可能にする——十分なスケールでは、ある意味で避けがたくさえある——アーキテクチャそのものだ。
HIP-3がパーペチュアル設計空間に占める位置
HIP-3が何を変えたかを理解するには、それ以前のHyperliquidを正確に把握しておく必要がある。
Hyperliquidのベースレイヤーは、パーペチュアルのための中央指値オーダーブック（CLOB）を動かすために構築された専用L1だ。注文はオンチェーンでマッチングされ、ブロックタイムは中央集権型マッチングエンジンに近いユーザー体験を実現するほど短い。これがほとんどのユーザーの目に触れる部分——BTCやETHなどの主要通貨でタイトなスプレッドを持つ、見慣れたパーペチュアルのUIだ。このUIを支えているのは、オーダーブックに直接気配値を出すプロのマーケットメーカーたちである。
オーダーブックと並行して、Hyperliquidはボールトシステムを運営している。旗艦ボールトであるHLP（Hyperliquidity Provider）は、ユーザーからの預け入れを受け付け、それをバランスシートとして同じオーダーブックに気配値を出す自動マーケットメイキング戦略を実行する。預金者はボールトが得るスプレッド、資金調達率、清算益を受け取り、損失も負担する。実質的にボールトは、P&LをLPが分担するトークン化された受動資金型プロップデスクだ。
HIP-3はこのパターンを拡張する。プロトコルチームがどのパーペチュアル市場を開設するかをキュレーションするのではなく、HIP-3ではデプロイヤーがネイティブトークンをステーキングし、市場仕様を提出することで新しいパーペチュアル市場を立ち上げられる。その市場には独自の流動性ボールト、独自のオラクル設定、独自の手数料パラメータが付く。デプロイヤーは市場運営者と債券発行者の中間のような存在となる——不正行為に対してスラッシングされうる資本を積み、条件を設定し、市場が生み出す手数料の一部を受け取る。
HIP-3が実際に規定していること
このメカニズムには、組み合わせ可能な3つの部品がある。
第一は上場権だ。デプロイヤーは相当量のHYPEをロックする——無意味な上場が経済的に割に合わないほどの額だ——そして自ら選択したパラメータでパーペチュアル市場をインスタンス化する権利を得る。オラクルソース、契約サイズ、レバレッジ上限、資金調達間隔などがその対象だ。スラッシング条件は、不正なオラクルフィード、市場操作、その他デプロイヤーに帰責される障害に紐づけられる。
第二は流動性ボールトだ。各HIP-3市場は、預け入れを受け付けてその市場のオーダーブックに対しマーケットメイキングプログラムを実行するボールトコントラクトとペアになっている。ボールトは残余のカウンターパーティだ。リテールフローが一方向に偏ると、ボールトが反対側に立つ。そのストラテジーはプロトコルによって制約されつつもデプロイヤーがパラメータを調整でき、P&Lはデプロイヤーとプロトコルへの手数料控除後に預金者に還元される。
第三は共有マッチングエンジンだ。新しい市場は独立した取引所ではなく、同じL1上の別のオーダーブックとして稼働し、既存のパーペチュアルと同じエンジンでマッチングされ、同じ証拠金システムで決済される。トレーダーの視点からは、HIP-3市場でのポジション開設はBTCオーダーブックでの開設と区別がつかない。
この最後の点は見た目以上に重要だ。HIP-3市場はHyperliquidのリスクエンジン、清算インフラ、クロスマージンをそのまま受け継ぐことを意味する——これらはパーペチュアル取引所においてゼロから構築するのが最も難しい部分だ。デプロイヤーが責任を持つのは流動性とオラクルであり、マッチング・決済レイヤーではない。
AMM型パーペチュアルおよびピュアオーダーブックとの違い
分散型パーペチュアルは大きく2つの系譜をたどって進化してきた。HIP-3は、その両者の意図的なハイブリッドとして最もよく理解できる。
AMM型パーペチュアルの系譜
第一の系譜はGMX、Gains Network、およびそれらの派生プロジェクトに連なる。このデザインはプール型流動性モデルを採用している。LPは共有プールに資産を預け入れ、トレーダーはマッチングされたカウンターパーティではなく価格フィード（一般的にChainlinkベースのオラクル）を使ってプールに対してポジションを開く。オーダーブックは存在しない。プールは歪み（スキュー）の上限と資金調達の調整を条件として、常にオラクル価格で反対側に立つ。
このデザインの強みはよく知られている。LPが得る利回りはシンプルで——手数料とトレーダーの損失を合算し、トレーダーの利益分を差し引いたもの——引き受けやすい。積極的なマーケットメーカーは不要だ。スプレッドはある意味ゼロで、気配値が存在せずオラクルがあるだけだからだ。
弱点もまたよく知られている。プールは構造的にボラティリティのショートポジションを抱えている。毎回の取引でわずかな手数料を得る一方、トレーダーが正しいポジションを取ったときにはテール部分を支払う羽目になる。オラクルのレイテンシはアービトラージの窓を生む。そして価格が取引所外部から与えられるため、信頼できる外部オラクルが存在しない市場——つまりロングテールの資産——を扱えない。
ピュアオーダーブックの系譜
第二の系譜はdYdX v4、初期のSerum、そしてHyperliquid自身のベースレイヤーに連なる。ここでは価格が内生的だ——限界的にマッチングされた買い板と売り板が価格を決める。流動性はオフチェーンで在庫を管理し、オンチェーンで気配値を出すプロのマーケットメーカーから供給される。
強みは価格発見と資本効率だ。マーケットメーカーは他の市場でヘッジし、オラクル駆動のプールより速く情報に反応して、タイトなスプレッドを提示できる。弱点はブートストラップ問題とロングテールだ。マーケットメーカーのいない新しいオーダーブックは陳腐な気配値の墓場となる。そしてプロのマーケットメーカーは、明確なフロー優位性がない市場に在庫を割かない。
HIP-3が受け継ぐもの
HIP-3はマッチングのプリミティブとしてオーダーブックを維持する——内生的な価格発見、実際の買い板と売り板——が、初日からボールト資金のマーケットメーカーを保証することでコールドスタート問題を解決する。デプロイヤーのボールトは、プロのマーケットメーカーが現れるかどうかにかかわらず気配値を出し続ける義務的なマーケットメーカーだ。市場に有機的なフローが集まれば、プロのマーケットメーカーが参入してボールトは複数の流動性源のひとつとなる。そうでなければ、ボールトが依然として機能し続け、デプロイヤーのスラッシングリスクが責任ある管理を促す。
これはどちらの系譜も単独では占めていない設計空間の位置だ。ボールトはAMM型の「常時稼働」という特性を持ちながら、ボールトが提示する価格はオラクルの価格ではなくオーダーブックの価格だ。オーダーブックは価格発見の特性を持ちながら、外部マーケットメーカーの善意なしに存在できる。
ハイブリッドのコストは集中だ。AMM型パーペチュアルモデルもピュアオーダーブックモデルも、カウンターパーティリスクを分散する——AMMは幅広いLPベースに、オーダーブックは多数の独立したマーケットメーカーに。HIP-3は特定のロングテール市場のカウンターパーティリスクを、単一のデプロイヤーが管理するストラテジーを持つ単一のボールトに集中させる。ボールトがうまく管理され市場に流動性がある間は、これは見えない。そうでない時、それがすべての話となる。
なぜこの設計が市場シェアに結びついたか
パーペチュアルにおける市場シェアは、メカニズムの巧みさだけでは勝ち取れない。上場スピード、手数料競争力、トレーダーが実際に執行したいサイズでの流動性、そしてオンチェーン取引所を従来から制約してきた摩擦（ガス代、ウォレットのポップアップ、確認の遅延）の不在——これらの組み合わせで決まる。HIP-3はこれら複数の要素に同時に寄与している。
上場スピードとロングテール
最も直接的な効果は上場の間口の広さだ。HIP-3のもとでは、デプロイヤーが資本をステーキングし、オラクルを設定し、ボールトにシードすれば市場が生まれる。上場委員会も、ビジネスデベロップメントのサイクルも、最低取引量の閾値も不要だ。新しいトークン——特にオンチェーンでローンチし、まだ中央集権型取引所の上場を勝ち取っていないトークン——にとって、これは取引開始から24時間以内にパーペチュアル市場を持てるか、3〜6週間待つかの違いを意味する。
新しい資産において最初のパーペチュアル取引所になることの経済的意義は大きい。新しいパーペチュアル市場の資金調達率は既存の市場を桁違いに上回ることが多く、最初に上場した取引所がそこから生まれるフローの不均衡なシェアを獲得する。2025年末時点でHyperliquidが報告しているHIP-3の月次取引量（数百億ドル規模）は、新しいオンチェーン資産の相当数においてデフォルトの最初の上場先として使われている取引所の数字と一致している。
デプロイヤーとのインセンティブの一致
デプロイヤーは自分が作った市場から手数料シェアを得るため、インテグレーション、パートナーシップ、マーケティングを通じてそこにフローを集める強いインセンティブを持つ。プロトコルがキュレーションする上場では滅多にそうならないやり方だ。プロトコルは個々の市場を育てる仕事を、それに最も適した主体に外部化しながら、マッチングレイヤーとネットワーク効果は手元に置いておく。
これはDeFiの他の分野でも見慣れたパターンだ（Uniswapのパーミッションレスプール作成が分かりやすい先例だ）が、パーペチュアルには特によく当てはまる。パーペチュアル市場はスポットプールよりもパラメータが多く、デプロイヤーのパラメータ選択——レバレッジ上限、資金調達カーブ、オラクル設定——は、どのようなフローが市場に集まるかに影響する真の製品上の判断だ。うまく設計されたHIP-3市場は、設定ファイルではなく製品だ。
ベース取引所とのコンポーザビリティ
単一取引所・単一証拠金の設計により、すでにHyperliquidに担保を持つトレーダーは、ブリッジも追加入金も別アカウントの管理もなしに新しいHIP-3市場でポジションを開ける。ロングテール市場に参入する限界コストはほぼゼロだ。これはオンチェーンで再現するのが歴史的に難しかったことを実現している——中央集権型取引所が常にやってきたこと、つまり新しいパーペチュアルを上場すれば既存のユーザーベースがすぐに取引できる状態——を可能にしている。オンチェーンでは、新しい取引所は往々にして新しいアカウントを意味してきた。
スピード、デプロイヤーインセンティブ、摩擦のないコンポーザビリティ——この3つの複合効果が、取引量シェアの数字に表れている。それはHIP-3市場が中央集権型パーペチュアルより効率的であることの証拠ではない。HIP-3市場が、中央集権型パーペチュアルが存在しない時と場所に存在し、Hyperliquidシステム内にいるユーザーにとってそこへのアクセスコストが十分低く、デフォルトでその取引が向かうことの証拠だ。
構造的リスクの所在
市場シェア獲得をもたらしたのと同じ設計上の選択が、集中した障害モードを生み出している。詳しく検討する価値のあるものを3つ挙げる。
方向性フローによるボールト債務不履行
HIP-3のボールトは、その構造上、自分が支える市場の残余カウンターパーティだ。通常の状況では、これは収益性の高い役割だ。ボールトはスプレッド、ポジションが一方向に傾いている際の資金調達率、清算カスケードの分け前を得る。異常な状況——ボールトが反対側に立った状態での持続的な一方向の動き、またはボールトの気配値パターンを把握した巧みなトレーダーによる協調的な圧迫——では、構造的に負け続ける役割となる。
ボールトの資本は有限だ。預金者が引き出せるペースよりも速く損失が発生するか、デプロイヤーが再資本化できるペースを超えると、ボールトの気配値は経済的に成り立たないレベルまで広がる（市場を死なせる）か、義務を果たせないポジションから資金調達される（不良債権を生む）かのどちらかだ。前者では市場が消え、後者では損失が分担される——まずボールト預金者に、プロトコル設計次第では、清算がマーク価格で執行できない場合に広いマージンシステム全体にも波及しうる。
これは仮定の懸念ではない。このパターンはプール型流動性パーペチュアルシステムで繰り返し観察されてきた。GMXのGLPは大きな相場変動時にトレーダーが正しいポジションを取ったとき大きなドローダウンを被り、HLP自体も同じダイナミクスが表面化するエピソードがあった。HIP-3はこのリスクの表面積を、開設可能な市場数に比例して拡大する。
薄い市場でのオラクル操作
すべてのHIP-3市場は、資金調達計算、清算、そしてボールト自身の気配値ロジックのために参照価格が必要だ。深い外部市場を持つ主要通貨にとって、オラクル設定は解決済みの問題だ。しかしHIP-3が最も可能にするカテゴリーであるロングテール資産にとっては、そうではない。
オラクルが薄いスポット市場から価格を読み取るなら、そのスポット市場が操作のターゲットとなる。低い取引量でスポット価格を10%動かせる攻撃者は、はるかに大きなパーペチュアルポジションの清算をトリガーしてその差額を刈り取れる。オラクルがHIP-3市場自身の中間価格を読み取るなら、攻撃者はパーペチュアルを直接操作でき、ボールトが損失を吸収するカウンターパーティになることが多い。
デプロイヤーのステークのスラッシングがプロトコルの主要な緩和策だ。しかしスラッシングは事後的なペナルティであり、操作を防ぐものではなく、事後に損失を再分配するだけだ。そしてデプロイヤーが特定可能で、支払能力があり、攻撃者自身でないことを前提とする。パーミッションレスの上場システムでは、これらのいずれも保証されない。
共有マージンシステム全体への清算カスケード
HIP-3を魅力的にするコンポーザビリティ——共有マッチング、共有証拠金——は同時に伝染経路も生む。BTC、ETH、そしてロングテールのHIP-3市場をクロスマージンで保有するトレーダーは、それぞれに別の担保バケツを持たない。HIP-3市場の価格変動によってトリガーされた清算は、主要市場のポジションの強制決済を引き起こしうるし、逆もまたしかりだ。
単独で見れば、これはクロスマージンの単なる仕組みだ。しかし数千のアカウントと増え続けるHIP-3市場の全体を通して見ると、本来なら無関係だった市場間に強制清算のリンクのネットワークが生まれる。小さなHIP-3市場での操作イベントは、理論上、証拠金が両方に依存するアカウントを通じて清算インパルスをBTCオーダーブックに伝播させうる。
Hyperliquidのリスクエンジンはこれを封じ込めるよう設計されている——自動デレバレッジ、保険基金の補充、極端なクロスポジションを抑制する証拠金要件。しかしそのパラメータは、それ自体が動き続ける市場構造を前提に調整されている。HIP-3市場の数が増え、その合計想定元本がシステム全体に占める割合が大きくなるにつれ、パラメータはそれらが設定された時点では存在しなかった世界の状態に合わせて再調整が必要になる。
総合的な問い：オンチェーンにあるリスク対可視なリスク
より深い構造的問いは、特定の障害モードではなく、総合的な問いだ。HIP-3は市場を上場するコストを下げる。つまり取引所の合計想定元本残高が、リスク管理インフラのスケールより速く成長しうる。ボールトが一次リスクを吸収し、共有マージンシステムが二次リスクを吸収し、プロトコルの保険基金とスラッシングメカニズムが三次リスクを吸収する。各レイヤーの深さは有限だ。
中央集権型取引所も同じ問題を抱えるが、裁量で解決する。リスクチームは市場を停止し、取引を一時中断し、オーダーブック外で損失を分担できる。パーミッションレスの取引所はそれができないか、しないことを選ぶ。これは中立性を重視するユーザーにとっては特長であり、直前に30%のドローダウンを被ったボールトの残余請求権者であるユーザーにとっては欠陥だ。
今後の注目点
HIP-3は現在オンチェーンで展開されているパーペチュアル上場メカニズムの中で、経済的に最も重要なものだ。2025年を通じた市場シェアの軌跡は、ボールト担保流動性、パーミッションレス上場、共有証拠金コンポーザビリティの組み合わせが、インセンティブやナラティブの一時的な産物ではなく、従来のオンチェーンパーペチュアル設計に対する真の改善であることを示している。
次のフェーズの問いは、このアーキテクチャが障害モードを一緒に拡大させることなくスケールできるかだ。3つの観測指標が最も情報量を持つと考える。
第一はHIP-3市場全体にわたるボールトP&Lの分布だ。ほとんどのボールトがほとんどの月で黒字なら、システムは意図通りに機能している。ボールトのロングテールが一貫して損失を出していて、しかもその損失がデプロイヤーのステークで吸収されるのではなく増々分担されているなら、スラッシングベースの規律が設計された仕事をしていない。
第二はHIP-3取引量の中で少数の高フロー市場が占める割合対ロングテールだ。健全なパーミッションレス取引所はパレート分布を示すはずだ。少数の深い流動性を持つ大きな市場と、薄い流動性の多くの小さな市場。取引量が一握りの市場に集中しているなら、パーミッションレスのメカニズムは見た目ほど機能していない。広く分散しているなら、ロングテール戦略は真にスケールしている。
第三はストレス下でのシステムの挙動だ。興味深いテストは、HIP-3市場が穏やかな状況で機能するかどうかではない——プール型流動性パーペチュアルは常に穏やかな状況では機能してきた——ボールト、オラクル、共有証拠金メカニズムの組み合わせが、大きな市場の一つがHIP-3ボールトを反対側に置いたまま急激な方向性の動きを見せたとき、一体として持ちこたえるかどうかだ。2025年のサイクルはそうした動きを十分に生んでおり、実績の蓄積が始まってはいるが、サンプルはまだ少ない。
最後に未解決の問いとして、デプロイヤー層そのものがある。HIP-3はパーペチュアルスタックに新しいロールを実質的に作り出した——市場運営者、プロップデスクアロケータ、債券発行者のハイブリッドだ。このロールには、伝統的金融の成熟した類似物が持つような慣行、透明性の基準、第三者の監視がまだ生まれていない。このロールがプロフェッショナル化していく（規制されたマーケットメーカーに似た何かへと）のか、匿名で資本制約されたまま留まるのかが、HIP-3が最終的にどのような市場を抱え、それを運ぶチェーン上にどのような損失が表面化するかを形作るだろう。
このメカニズムは、解決するために構築された問題に対してうまく設計されている。スケールした時に生み出す問題に対してもうまく設計されているかどうか——その答えは今後18ヶ月が出すだろう。
引言
在过去将近三年里，永续合约一直是加密领域竞争最激烈的产品赛道。其中的原因是结构性的：永续合约产生的费用随波动率同步放大，能吸引杠杆需求旺盛的交易流——这是现货市场无法捕获的——同时也是任何尚未建立深度现货市场的代币的天然结算层。谁掌握了永续合约的订单簿，谁就拿下了链上交易中最具价值的那块蛋糕。
2023年和2024年的大部分时间里，链上市场在这块蛋糕中的份额微乎其微。中心化交易所——Binance、Bybit、OKX——处理着绝大多数永续合约的成交量，链上替代品只能争抢剩余份额。但这一格局已悄然改变。到2025年底，Hyperliquid在全球永续合约成交量中所占据的份额，已超越任何曾经出现过的去中心化平台，仅其新上市层级的月成交量就达数百亿美元。
推动这一转变的核心机制正是 HIP-3——Hyperliquid 的无许可永续合约上市标准。HIP-3 引人关注，并非因为它是一个全新的订单簿——Hyperliquid 本身已有订单簿——而是因为它从根本上重构了一个问题：谁来为长尾永续合约市场提供流动性，又该以何种方式提供。它将做市行为抽象为一种以金库为背书的基础原语，供任何部署者自由组合，从而消解了”上市一个市场”与”承销一个市场”之间的界限。
本文从协议设计层面对 HIP-3 进行深度剖析。我们将逐一厘清：这套机制究竟是什么、它与所继承的 AMM 及纯订单簿传统有何不同、这一设计为何能转化为市场份额，以及结构性脆弱点究竟在哪里。我们此前对 Hyperliquid 金库事件的分析聚焦于一次具体的失败；本文关注的则是使这类失败成为可能的架构本身——在某些视角下，当规模足够大时，这种失败甚至是不可避免的。
HIP-3 在永续合约设计空间中的位置
要理解 HIP-3 改变了什么，首先需要精确认识 Hyperliquid 在此之前是什么样的。
Hyperliquid 的基础层是一条专为永续合约设计的 L1，运行着一个中央限价订单簿（CLOB）。订单在链上撮合，出块时间极短，用户体验近似于中心化撮合引擎。这是大多数用户所感知到的部分：熟悉的永续合约界面，BTC 和 ETH 等主流资产价差紧密，由专业做市商直接在订单簿上挂单提供。
在订单簿之外，Hyperliquid 还运行着一套金库系统。旗舰金库——历史上被称为 Hyperliquidity Provider，即 HLP——接受用户存款，并将其作为资产负债表，执行一套自动做市策略，向同一订单簿双向报价。存款人获得金库所捕获的价差收入、资金费率和清算收益，同时也承担其亏损。实际上，金库是一个代币化的、被动资金支撑的自营交易台，其盈亏由所有流动性提供者（LP）共同分担。
HIP-3 将这一模式进一步延伸。它不再由协议团队来决定哪些永续合约市场存在，而是允许部署者质押原生代币、提交市场规格说明，从而创建一个新的永续合约市场——包含专属的流动性金库、独立的预言机配置和自定义的费率参数。部署者扮演的角色介于市场运营者与债券发行人之间：他们质押资本以防行为不当时被罚没，自行设定市场条款，并有权获取该市场产生费用的一部分。
HIP-3 的具体机制
该机制由三个可组合的部分构成。
第一是上市权。部署者锁定一定数量的 HYPE——数量足以从经济上阻止无意义的上市申请——从而获得创建永续合约市场的权利，并自行选择各项参数：预言机来源、合约规格、杠杆上限、资金费率结算周期等。罚没条件与错误的预言机数据推送、市场操纵以及其他可归因于部署者的失误挂钩。
第二是流动性金库。每个 HIP-3 市场都配套一个金库合约，接受存款并针对该市场的订单簿执行做市程序。金库是最终的交易对手方：当散户流量单向涌入时，金库站在对手方。其策略受协议约束，但可由部署者进行参数调整；产生的盈亏在扣除部署者和协议费用后，回流给存款人。
第三是共享撮合引擎。新市场并非独立的平台——它只是同一条 L1 上的另一个订单簿，由同一撮合引擎处理，结算至与现有永续合约相同的保证金系统。从交易者的角度来看，在 HIP-3 市场开仓与在 BTC 订单簿开仓几乎没有任何区别。
最后这一点的重要性远超表面。它意味着 HIP-3 市场直接继承了 Hyperliquid 的风险引擎、清算基础设施和全仓保证金机制——而这些恰恰是永续合约平台中最难从零构建的部分。部署者只需负责流动性和预言机，无需操心撮合与结算层。
与 AMM 永续合约和纯订单簿的区别
去中心化永续合约沿两条主要脉络演进，HIP-3 最好理解为这两条脉络的刻意融合。
AMM 永续合约脉络
第一条脉络贯穿 GMX、Gains Network 及其衍生品。这些设计采用池化流动性模型：LP 将资产存入共享池，交易者以价格数据源（通常基于 Chainlink 的预言机）而非匹配的对手方为参照，与资金池开仓。这里没有订单簿，资金池始终愿意以预言机价格站在对手方，但受偏斜上限和资金费调整的约束。
这种设计的优势众所周知。LP 获得的收益结构清晰易于承销——费用加上交易者的亏损，减去交易者的盈利。无需主动做市商。从某种意义上说，价差为零，因为没有报价，只有预言机。
其劣势同样广为人知。资金池在结构上是做空波动率的：每笔交易赚取微薄费用，但在交易者方向判断正确时需要支付尾部损失。预言机延迟制造了套利窗口。更重要的是，由于定价来自外部，平台无法承载那些没有可靠外部预言机的市场——也就是说，它无法覆盖长尾资产。
纯订单簿脉络
第二条脉络贯穿 dYdX v4、早期的 Serum，以及 Hyperliquid 本身的基础层。在这里，价格是内生的：它就是边际撮合买卖单所确定的价格。流动性来自专业做市商，他们在链下管理库存并在链上挂单报价。
其优势在于价格发现和资本效率。做市商可以在其他地方对冲，报出更紧密的价差，并比预言机驱动的资金池更快地响应信息。劣势则在于冷启动问题和长尾困境——没有做市商的新订单簿只会是一片过时挂单的废墟，而专业做市商也不会将库存分配给没有明显流量优势的市场。
HIP-3 的继承与创新
HIP-3 保留了订单簿作为撮合原语——内生的价格发现、真实的买卖盘——但通过保证第一天就有金库资金支持的做市商，解决了冷启动问题。部署者的金库实际上是一个义务做市商，无论专业做市商是否出现都会持续报价。如果市场积累了有机流量，专业做市商会加入订单簿，金库便成为众多流动性来源之一；如果市场没能吸引到流量，金库依然坚守，而部署者面临的罚没风险迫使他们审慎管理金库。
这是一个与两条传统脉络都不同的设计点。金库具备 AMM 风格的”永远在线”特性，但金库报价依据的是订单簿的价格，而非预言机的价格。订单簿具备价格发现能力，但并不依赖外部做市商的自愿参与才能存在。
这种混合方案的代价是风险集中。AMM 永续合约模式和纯订单簿模式都分散了交易对手风险：AMM 分散到广泛的 LP 群体，订单簿分散到众多独立做市商。HIP-3 则将任意长尾市场的交易对手风险集中于单一金库，该金库的策略由单一部署者控制。当金库管理得当且市场流动性充足时，这一切都是隐形的；一旦出现问题，它就是整个故事的核心。
这一设计为何能转化为市场份额
永续合约市场的份额不仅仅靠机制的精巧来赢得，而是取决于以下几个因素的组合：上市速度、费率竞争力、交易者实际所需规模上的流动性，以及摩擦点的缺失（Gas 费、钱包弹窗、确认缓慢等）——这些摩擦点历来是链上平台增长的天花板。HIP-3 同时在多个维度发挥了作用。
上市速度与长尾覆盖
最直接的影响体现在上市范围上。在 HIP-3 框架下，只要部署者愿意质押资本、配置预言机并为金库注入初始资金，一个市场就可以立即启动。没有上市委员会，没有商务拓展周期，没有最低成交量门槛。对于新代币——尤其是刚在链上发行、尚未获得中心化平台上市的代币——这意味着在交易开始后 24 小时内就能拥有永续合约市场，而不是等待三到六周。
成为新资产的首批永续合约平台在经济上具有重大价值。新永续合约市场的资金费率通常比成熟市场高出一个数量级，而首个上市的平台将捕获不成比例的流量份额。Hyperliquid 报告的 HIP-3 月成交量数字——到2025年底已达数百亿美元量级——与一个平台被用作大量新链上资产默认首选上市地的情形高度吻合。
部署者激励的一致性
由于部署者能从所创建的市场中分得费用，他们有强烈的动力通过集成、合作和市场推广来为市场引流——这种主动性是协议策划型上市极少具备的。协议将每个市场的增长工作外包给最有能力完成它的参与方，同时保留撮合层及其网络效应。
这一模式在 DeFi 的其他领域并不陌生（Uniswap 的无许可流动性池创建是最显而易见的先例），但它在永续合约上的适用性尤为出色。永续合约市场的参数远比现货池复杂，部署者在杠杆上限、资金费率曲线、预言机配置上的选择，是真正影响市场吸引何种流量的产品决策。一个设计精良的 HIP-3 市场是一个产品，而不仅仅是一份配置文件。
与基础平台的可组合性
单一平台、单一保证金的设计意味着，已在 Hyperliquid 持有抵押品的交易者无需跨链桥接、无需另行充值、无需管理第二个账户，即可在新的 HIP-3 市场开仓。进入长尾市场的边际成本几乎为零。这相当于中心化交易所一直在做的事——上架一个新的永续合约，现有用户立即可以交易——但这一点在链上历来难以复现，因为每进入一个新平台往往意味着一个新账户。
这三个因素的叠加效应——速度、部署者激励、无摩擦可组合性——正是成交量份额数据所反映的。这并不表明 HIP-3 市场比中心化永续合约更高效，而是说明 HIP-3 市场能在中心化永续合约缺席的时间和地点出现，而对于已经在 Hyperliquid 体系内的用户来说，访问成本低到足以让交易在此自然发生。
结构性风险所在
产生市场份额优势的设计选择，同样催生了高度集中的失效模式。以下三点值得深入审视。
单向流下的金库资不抵债
HIP-3 金库在设计上就是其所支撑市场的最终交易对手方。在正常情况下，这是一个有利可图的角色：金库收取价差、在持仓偏向有利方向时的资金费率，以及清算级联带来的收益。在异常情况下——持续的单边行情导致金库站错方向，或有复杂交易者在识别金库报价规律后发动协调性打压——这则是一个在结构上注定亏损的角色。
金库的资本是有限的。如果亏损速度超过存款人的提款速度，或超过部署者的再注资速度，金库的报价要么扩大至不经济的水平（市场死亡），要么以无力偿付的仓位维持报价（产生坏账）。前者导致市场消亡，后者导致损失社会化——首先由金库存款人承担，根据协议设计，若清算无法以标记价格执行，最终可能波及更广泛的保证金系统。
这不是假设性的担忧。池化流动性永续合约系统中已反复出现这一模式：GMX 的 GLP 在交易者于重大行情中方向判断正确时经历了显著回撤，HLP 本身也出现过暴露同样动态的情况。HIP-3 以其所能激活的市场数量，成倍地放大了这一风险敞口。
薄市场中的预言机操纵
每个 HIP-3 市场都需要一个参考价格，用于资金费率计算、清算以及金库自身的报价逻辑。对于拥有深度外部市场的主流资产，预言机配置早已是已解决的问题。但对于长尾资产——恰恰是 HIP-3 最能赋能的品类——情况并非如此。
如果预言机读取的是一个流动性稀薄的现货市场，那么该现货市场便成了操纵目标。攻击者若能以较低的成交量将现货价格推动 10%，就能触发远超其仓位规模的永续合约清算，从中套利。如果预言机读取的是 HIP-3 市场自身的中间价，攻击者可以直接操纵永续合约价格，而金库往往成为吸收损失的一方。
部署者质押的代币被罚没是协议的主要缓解措施。但罚没是事后惩罚，无法阻止操纵行为本身，只是在事后重新分配损失。而且这一机制的前提是部署者身份可识别、有偿付能力，且并非攻击者本身。在无许可上市体系中，这三点均无法保证。
共享保证金系统中的清算级联
让 HIP-3 具有吸引力的可组合性——共享撮合、共享保证金——同样创造了风险传染路径。一个在 BTC、ETH 和某个长尾 HIP-3 市场上同时开有仓位的全仓保证金交易者，并不为每个市场单独持有抵押品。由 HIP-3 市场价格波动触发的清算，可能迫使其在主流市场上的仓位被强制平仓，反之亦然。
单独来看，这只是全仓保证金的运作方式。但从整体上看，跨越数千个账户和不断增加的 HIP-3 市场，这在原本互不相关的市场之间建立起了一张强制清算的关联网络。一个小型 HIP-3 市场上的操纵事件，理论上可以通过保证金同时依赖两个市场的账户，向 BTC 订单簿传导清算冲击。
Hyperliquid 的风险引擎经过专门设计来遏制这一问题——自动减仓、保险基金补充，以及阻止极端跨仓位持仓的保证金要求。但这些参数是针对一种本身仍在变化的市场结构所校准的。随着 HIP-3 市场数量增加，其合计名义价值在总量中占比越来越大，这些参数需要针对一种设定之初并不存在的世界状态重新校准。
深层问题：多少风险在链上，又有多少是可见的
更深层的结构性问题，不在于任何单一的失效模式，而在于整体。HIP-3 降低了上市成本，这意味着平台的总未平仓名义价值可能比风险管理基础设施的扩展速度更快。金库吸收一阶风险，共享保证金系统吸收二阶风险，协议的保险基金和罚没机制吸收三阶风险。每一层都有其有限的深度。
中心化交易所面临同样的问题，但以审慎手段加以解决：风险团队可以下架某个市场、暂停交易，或者在订单簿之外实现损失社会化。无许可平台不能，或者选择不去这样做。对于珍视中立性的用户而言，这是一个优点；对于成为刚刚遭受 30% 回撤的金库最终索偿人的用户而言，这是一个缺陷。
未来值得关注的方向
HIP-3 是目前链上部署的、经济影响力最为显著的永续合约上市机制。2025年的市场份额走势表明，金库承销流动性、无许可上市与共享保证金可组合性的结合，是对先前链上永续合约设计的实质性改进，而非激励或叙事驱动的短暂现象。
下一阶段的问题在于：这一架构能否在不同步放大失效模式的情况下实现规模扩展。以下三个可观测指标最具参考价值。
第一是 HIP-3 各市场金库盈亏的分布情况。如果大多数金库在大多数月份保持盈利，则系统运转符合预期。如果长尾金库持续亏损——且这些损失越来越多地被社会化，而非由部署者质押金来承担——则基于罚没的约束机制并未发挥其设计初衷的作用。
第二是 HIP-3 成交量中，少数高流量市场与长尾市场各占多少份额。一个健康的无许可平台应当呈现帕累托分布：少数大型市场流动性深厚，众多小型市场流动性稀薄。如果成交量高度集中于少数几个市场，无许可机制的实际贡献便远不如表面所呈现的那么大；如果成交量广泛分布，则长尾策略确实在真正规模化。
第三是系统在压力下的行为表现。真正的考验不在于 HIP-3 市场能否在平静环境中正常运行——池化流动性永续合约历来在平静环境中运行良好——而在于当某个大型市场出现剧烈单边行情、HIP-3 金库站错方向时，金库、预言机与共享保证金机制的组合能否维持稳定。2025年的周期已产生足够多的此类行情，开始积累出一定的历史记录，但样本量仍然有限。
最后一个悬而未决的问题关乎部署者这一层级本身。HIP-3 实际上在永续合约协议栈中创造了一个全新角色——介于市场运营者、自营交易台分配者和债券发行人之间的混合体——而这一角色尚未形成传统金融中成熟类似角色所具备的行业惯例、透明度标准或第三方监督机制。这一角色究竟走向专业化（趋近于受监管的做市商），还是始终保持匿名化和资本约束状态，将决定 HIP-3 最终承载的是哪种类型的市场，以及哪种类型的损失最终在承载它们的链上浮现。
这一机制针对其所要解决的问题设计得相当精良。它是否同样能应对在规模化过程中所制造的问题，将由未来 18 个月给出答案。
Introducción
Los futuros perpetuos han sido el producto más disputado del ecosistema cripto durante la mayor parte de tres años. La razón es estructural: los perpetuos generan comisiones que escalan con la volatilidad, atraen flujo apalancado que los venues de contado no pueden capturar, y constituyen la capa de liquidación natural para cualquier token que aún no ha desarrollado un mercado spot profundo. Quien controla el orderbook de perpetuos controla la tajada más lucrativa del trading on-chain.
Durante la mayor parte de 2023 y 2024, la cuota on-chain de ese pastel era pequeña. Los venues centralizados —Binance, Bybit, OKX— manejaban la gran mayoría del volumen de perpetuos, mientras las alternativas on-chain competían por lo que sobraba. Ese equilibrio se ha revertido. A finales de 2025, Hyperliquid había capturado una cuota del volumen global de perpetuos que ningún venue descentralizado había alcanzado antes, con volúmenes mensuales reportados en decenas de miles de millones de dólares solo en su nivel de listados más reciente.
El mecanismo detrás de ese giro es HIP-3, el estándar de listado permisionless de perpetuos de Hyperliquid. HIP-3 resulta interesante no porque sea un orderbook nuevo —Hyperliquid ya tenía uno— sino porque reformula la pregunta de quién provee liquidez para un mercado de perpetuos de largo alcance y en qué condiciones. Trata el market-making como un primitivo respaldado por vault que cualquier deployer puede componer, eliminando la distinción entre “listar un mercado” y “suscribir un mercado”.
Este artículo disecciona HIP-3 a nivel de diseño de protocolo. Analizamos qué es realmente el mecanismo, en qué se diferencia de los linajes de AMM y orderbook puro de los que hereda, por qué el diseño se ha traducido en cuota de mercado, y dónde se sitúan las fragilidades estructurales. Nuestra cobertura anterior del incidente del vault de Hyperliquid abordó un fallo concreto; aquí nos interesa la arquitectura que hace posibles tales fallos —y que, en ciertas lecturas, los hace inevitables a suficiente escala.
Dónde encaja HIP-3 en el espacio de diseño de perpetuos
Para entender qué cambia HIP-3, conviene ser precisos sobre qué era Hyperliquid antes de él.
La capa base de Hyperliquid es un L1 de propósito específico que ejecuta un central limit orderbook (CLOB) para perpetuos. Las órdenes se emparejan on-chain, con tiempos de bloque lo suficientemente ajustados como para que la experiencia de usuario se aproxime a un motor de matching centralizado. Esto es lo que la mayoría de los usuarios ven: una interfaz de perpetuos familiar con spreads ajustados en los principales como BTC y ETH, respaldada por market makers profesionales que publican cotizaciones directamente en el libro.
Junto al orderbook, Hyperliquid gestiona un sistema de vaults. El vault insignia —históricamente el Hyperliquidity Provider, o HLP— acepta depósitos de usuarios y los emplea como balance para una estrategia de market-making automatizada que cotiza en el mismo orderbook. Los depositantes ganan el spread, el financiamiento y las liquidaciones que captura el vault; también absorben sus pérdidas. En la práctica, el vault es un prop desk tokenizado y financiado pasivamente cuyo P&L se socializa entre los LPs.
HIP-3 extiende este patrón. En lugar de que el equipo del protocolo decida qué mercados de perpetuos existen, HIP-3 permite a un deployer hacer staking del token nativo, publicar una especificación de mercado y lanzar un nuevo mercado de perpetuos —con su propio vault de liquidez, su propia configuración de oráculo y sus propios parámetros de comisiones. El deployer pasa a ser algo intermedio entre un operador de mercado y un emisor de bonos: aporta capital que puede ser objeto de slashing por conducta indebida, fija las condiciones y tiene derecho a una parte de las comisiones que genera el mercado.
Qué especifica realmente HIP-3
El mecanismo tiene tres componentes componibles.
El primero es el derecho de listado. Un deployer bloquea una cantidad significativa de HYPE —suficiente para disuadir económicamente los listados frívolos— y obtiene el derecho a instanciar un mercado de perpetuos con los parámetros que elija: fuente de oráculo, tamaño del contrato, límites de apalancamiento, intervalo de financiación, etc. Las condiciones de slashing están vinculadas a feeds de oráculo malformados, manipulación de mercado y otros fallos imputables al deployer.
El segundo es el vault de liquidez. Cada mercado HIP-3 va emparejado con un contrato de vault que acepta depósitos y ejecuta un programa de market-making contra el orderbook de ese mercado. El vault es la contraparte residual: cuando el flujo retail es unidireccional, el vault toma el lado contrario. Su estrategia está restringida por el protocolo pero es parametrizable por el deployer, y su P&L fluye de vuelta a los depositantes neto de las comisiones que se lleva el deployer y el protocolo.
El tercero es el motor de matching compartido. El nuevo mercado no es un venue separado —es otro libro en el mismo L1, emparejado por el mismo motor y liquidado en el mismo sistema de márgenes que los perpetuos existentes. Desde la perspectiva del trader, abrir una posición en un mercado HIP-3 es indistinguible de abrir una en el libro de BTC.
Este último punto importa más de lo que parece. Significa que el mercado HIP-3 hereda el motor de riesgo de Hyperliquid, la infraestructura de liquidación y el cross-margining —las partes de un venue de perpetuos más difíciles de construir desde cero. El deployer es responsable de la liquidez y el oráculo, no de la capa de matching y liquidación.
En qué se diferencia de los perpetuos AMM y los orderbooks puros
Los perpetuos descentralizados han evolucionado a lo largo de dos linajes principales, y HIP-3 se entiende mejor como un híbrido deliberado de ambos.
El linaje de los perpetuos AMM
El primer linaje pasa por GMX, Gains Network y sus derivados. Estos diseños utilizan un modelo de liquidez agrupada: los LPs depositan activos en un pool compartido, y los traders abren posiciones contra el pool usando un feed de precios (típicamente un oráculo basado en Chainlink) en lugar de una contraparte emparejada. No hay orderbook. El pool siempre está dispuesto a tomar el otro lado al precio del oráculo, sujeto a límites de sesgo y ajustes de financiación.
Las fortalezas de este diseño son bien conocidas. Los LPs obtienen un rendimiento sencillo de suscribir —comisiones y pérdidas de los traders, menos sus ganancias. No se necesitan market makers activos. Los spreads son, en cierto sentido, cero, porque no hay cotizaciones; solo existe el oráculo.
Las debilidades también son bien conocidas. El pool es estructuralmente short en volatilidad: cobra una pequeña comisión en cada operación y paga los extremos cuando los traders están correctamente posicionados. La latencia del oráculo crea ventanas de arbitraje. Y como el precio es exógeno al venue, este no puede alojar mercados donde no exista un oráculo externo fiable —lo que equivale a decir que no puede alojar el largo alcance.
El linaje del orderbook puro
El segundo linaje pasa por dYdX v4, el Serum inicial y la propia capa base de Hyperliquid. Aquí, los precios son endógenos: son lo que diga la oferta y la demanda marginal emparejadas. La liquidez proviene de market makers profesionales que gestionan inventario off-chain y cotizan on-chain.
Las fortalezas son el price discovery y la eficiencia de capital. Los market makers pueden cubrir en otros venues, cotizar spreads más ajustados y reaccionar a la información más rápido que un pool dirigido por oráculo. Las debilidades son el problema de arranque en frío y el largo alcance. Un nuevo orderbook sin makers es un cementerio de cotizaciones obsoletas. Y los market makers profesionales no asignarán inventario a un mercado sin una ventaja de flujo evidente.
Qué hereda HIP-3
HIP-3 mantiene el orderbook como primitivo de matching —price discovery endógeno, bids y asks reales— pero resuelve el problema de arranque en frío garantizando un maker financiado por vault desde el primer día. El vault del deployer es, en efecto, un market maker obligado que cotiza independientemente de si aparecen o no makers profesionales. Si el mercado acumula flujo orgánico, los makers profesionales se unen al libro y el vault pasa a ser una fuente de liquidez más entre varias. Si no lo hace, el vault sigue ahí, y el riesgo de slashing del deployer los obliga a gestionarlo con responsabilidad.
Este es un punto del espacio de diseño que ninguno de los dos linajes ocupa por sí solo. El vault conserva la propiedad “always-on” al estilo AMM, pero el precio que cotiza es el del orderbook, no el del oráculo. El orderbook conserva la propiedad de price discovery, pero no depende de la buena voluntad de makers externos para existir.
El coste del híbrido es la concentración. Tanto el modelo de perpetuos AMM como el de orderbook puro distribuyen el riesgo de contraparte: los AMMs entre una amplia base de LPs, los orderbooks entre muchos makers independientes. HIP-3 concentra el riesgo de contraparte de cualquier mercado de largo alcance en un único vault, cuya estrategia controla un único deployer. Cuando el vault está bien gestionado y el mercado es líquido, esto es invisible. Cuando no lo está, es toda la historia.
Por qué el diseño se ha traducido en cuota de mercado
La cuota de mercado en perpetuos no se gana solo por la elegancia del mecanismo. Se gana mediante alguna combinación de: velocidad de listado, competitividad en comisiones, liquidez en los tamaños que los traders realmente necesitan ejecutar, y la ausencia de los patrones de fricción —gas, ventanas emergentes de wallet, confirmaciones lentas— que históricamente han limitado los venues on-chain. HIP-3 contribuye a varios de estos factores simultáneamente.
Velocidad de listado y el largo alcance
El efecto más directo es sobre la superficie de listados. Con HIP-3, un mercado puede existir en cuanto un deployer esté dispuesto a hacer staking de capital, configurar un oráculo y sembrar un vault. No hay comité de listado, ni ciclo de business development, ni umbral mínimo de volumen. Para tokens nuevos —especialmente aquellos que se lanzan on-chain y aún no han conseguido un listado en un venue centralizado— esto marca la diferencia entre tener un mercado de perpetuos en las primeras 24 horas de trading y tenerlo en tres a seis semanas.
La economía de ser el primer venue en listar un perpetuo para un nuevo activo es significativa. Las tasas de financiación en mercados de perpetuos nuevos superan rutinariamente a las de los establecidos en un orden de magnitud, y el primer venue en listar captura una proporción desproporcionada del flujo resultante. Las cifras de volumen mensual de HIP-3 reportadas por Hyperliquid, del orden de decenas de miles de millones de dólares a finales de 2025, son coherentes con un venue que se usa como listado por defecto para una fracción significativa de los nuevos activos on-chain.
Incentivos alineados del deployer
Dado que los deployers obtienen una parte de las comisiones de los mercados que crean, tienen incentivos para llevar flujo a ellos —mediante integraciones, asociaciones y marketing— de una manera que los listados curados por el protocolo raramente consiguen. El protocolo externaliza el trabajo de hacer crecer cada mercado individual a las partes mejor posicionadas para hacerlo, reteniendo la capa de matching y el efecto de red.
Este es un patrón familiar en otros rincones de DeFi (la creación permisionless de pools en Uniswap es el antecedente obvio), pero se aplica de manera inusualmente eficaz a los perpetuos. Los mercados de perpetuos están más parametrizados que los pools de contado, y las decisiones de parámetros del deployer —límite de apalancamiento, curva de financiación, configuración del oráculo— son decisiones de producto reales que afectan al tipo de flujo que atrae el mercado. Un mercado HIP-3 bien diseñado es un producto, no una configuración.
Composabilidad con el venue base
El diseño de venue único y margen único significa que un trader que ya tiene colateral en Hyperliquid puede abrir una posición en un nuevo mercado HIP-3 sin hacer bridge, sin depositar y sin gestionar una segunda cuenta. El coste marginal de entrar en un mercado de largo alcance es prácticamente cero. Esto es el equivalente on-chain de lo que los exchanges centralizados han hecho siempre —listar un nuevo perpetuo y que la base de usuarios existente pueda operarlo inmediatamente— pero históricamente ha sido difícil de replicar on-chain, donde cada nuevo venue suele implicar una nueva cuenta.
El efecto compuesto de estos tres factores —velocidad, incentivos del deployer, composabilidad sin fricción— es lo que reflejan las cifras de cuota de volumen. No son evidencia de que los mercados HIP-3 sean más eficientes que los perpetuos centralizados. Son evidencia de que los mercados HIP-3 existen cuando y donde los perpetuos centralizados no existen, y de que el coste de acceder a ellos, para un usuario ya dentro del sistema Hyperliquid, es lo suficientemente bajo como para que la operación vaya allí por defecto.
Dónde viven los riesgos estructurales
Las mismas decisiones de diseño que generaron las ganancias de cuota de mercado crean modos de fallo concentrados. Identificamos tres que merecen un análisis detallado.
Insolvencia del vault ante flujo direccional
Un vault de HIP-3 es, por construcción, la contraparte residual del mercado que respalda. En condiciones normales, este es un rol rentable: el vault cobra el spread, la financiación cuando el posicionamiento es unidireccional a su favor, y una parte de las cascadas de liquidación. En condiciones anormales —un movimiento sostenido en una sola dirección donde el vault está en el lado equivocado, o un empuje coordinado de traders sofisticados que reconocen el patrón de cotización del vault— es un rol estructuralmente perdedor.
El vault tiene capital finito. Si pierde más rápido de lo que los depositantes pueden retirar, o más rápido de lo que el deployer puede recapitalizar, las cotizaciones del vault se amplían hasta niveles no económicos (matando el mercado) o se financian desde una posición que no puede cumplir sus obligaciones (creando deuda incobrable). En el primer caso, el mercado muere; en el segundo, la pérdida se socializa —primero a los depositantes del vault y, dependiendo del diseño del protocolo, potencialmente al sistema de márgenes más amplio si las liquidaciones no pueden ejecutarse al precio marcado.
Esta no es una preocupación hipotética. El patrón se ha observado repetidamente en sistemas de perpetuos de liquidez agrupada: el GLP de GMX sufrió drawdowns significativos cuando los traders estaban correctamente posicionados durante movimientos importantes, y el propio HLP ha tenido episodios que pusieron de manifiesto la misma dinámica. HIP-3 multiplica la superficie de este riesgo por el número de mercados que habilita.
Manipulación del oráculo en mercados delgados
Cada mercado HIP-3 necesita un precio de referencia para los cálculos de financiación, las liquidaciones y la propia lógica de cotización del vault. Para los activos principales con mercados externos profundos, la configuración del oráculo es un problema resuelto. Para los activos de largo alcance —precisamente la categoría que HIP-3 más habilita— no lo es.
Si el oráculo lee de un mercado spot delgado, ese mercado spot se convierte en el objetivo de manipulación. Un atacante que pueda mover el precio spot un 10% con poco volumen puede desencadenar liquidaciones en una posición de perpetuos mucho mayor, cosechando la diferencia. Si el oráculo lee del propio precio medio del mercado HIP-3, el atacante puede manipular directamente el perpetuo, siendo el vault frecuentemente la contraparte que absorbe la pérdida.
El slashing del stake del deployer es la principal mitigación del protocolo. Pero el slashing es una penalización a posteriori; no previene la manipulación, solo redistribuye la pérdida después del hecho. Y presupone que el deployer es identificable, solvente y no es el propio atacante. En un sistema de listado permisionless, ninguna de esas garantías está asegurada.
Cascadas de liquidación en el sistema de márgenes compartido
La composabilidad que hace atractivo a HIP-3 —matching compartido, margen compartido— también crea una vía de contagio. Un trader con cross-margining en BTC, ETH y un mercado HIP-3 de largo alcance no tiene cubos separados de colateral para cada uno. Una liquidación desencadenada por la acción del precio de un mercado HIP-3 puede forzar el cierre de posiciones en los mercados principales, y viceversa.
De manera aislada, así es como funciona el cross-margining. De manera agregada, a través de miles de cuentas y un número creciente de mercados HIP-3, crea una red de vínculos de liquidación forzada entre mercados que de otro modo estarían desconectados. Un evento de manipulación en un pequeño mercado HIP-3 puede, en principio, transmitir un impulso de liquidación al orderbook de BTC a través de cuentas cuyo margen depende de ambos.
El motor de riesgo de Hyperliquid está diseñado para contener esto —auto-deleveraging, reposiciones del fondo de seguros y requisitos de margen que desincentivan el cross-positioning extremo. Pero los parámetros están calibrados frente a una estructura de mercado que es en sí misma un objetivo móvil. A medida que crece el número de mercados HIP-3 y su nocional agregado representa una fracción mayor del total, los parámetros necesitan recalibrarse frente a un estado del mundo que no existía cuando se establecieron.
La pregunta agregada: cuánto riesgo está on-chain frente a cuánto es visible
La pregunta estructural más profunda no es ningún modo de fallo individual, sino el agregado. HIP-3 abarata el listado de un mercado, lo que significa que el nocional total pendiente del venue puede crecer más rápido de lo que escala la infraestructura de gestión de riesgos. Los vaults absorben el riesgo de primer orden, el sistema de márgenes compartido absorbe el de segundo orden, y el fondo de seguros del protocolo y los mecanismos de slashing absorben el de tercer orden. Cada capa tiene profundidad finita.
Los venues centralizados enfrentan el mismo problema pero lo resuelven con discrecionalidad: un equipo de riesgos puede retirar un mercado, detener el trading o socializar una pérdida fuera del orderbook. Un venue permisionless no puede, o elige no hacerlo. Eso es una característica para el usuario que valora la neutralidad, y un defecto para el usuario que es el reclamante residual de un vault que acaba de sufrir un drawdown del 30%.
Qué vigilar a partir de aquí
HIP-3 es el mecanismo de listado de perpetuos más económicamente relevante actualmente desplegado on-chain. Su trayectoria de cuota de mercado a lo largo de 2025 sugiere que la combinación de liquidez suscrita por vault, listado permisionless y composabilidad de margen compartido es una mejora genuina sobre los diseños anteriores de perpetuos on-chain, y no un artefacto transitorio de incentivos o narrativa.
La pregunta para la próxima fase es si la arquitectura puede escalar sin que los modos de fallo escalen con ella. Tres variables observables parecen las más informativas.
La primera es la distribución del P&L de los vaults entre los mercados HIP-3. Si la mayoría de los vaults son rentables la mayoría de los meses, el sistema funciona como se pretendía. Si una larga cola de vaults pierde de manera consistente —y si esas pérdidas se socializan cada vez más en lugar de ser absorbidas por el stake del deployer— la disciplina basada en slashing no está haciendo el trabajo para el que fue diseñada.
La segunda es la proporción del volumen de HIP-3 que proviene de un pequeño número de mercados de alto flujo frente al largo alcance. Un venue permisionless saludable debería mostrar una distribución Pareto: pocos mercados grandes con liquidez profunda y muchos pequeños con liquidez delgada. Si el volumen se concentra en un puñado de mercados, el mecanismo permisionless hace menos trabajo del que aparenta. Si se distribuye ampliamente, la estrategia de largo alcance escala genuinamente.
La tercera es el comportamiento del sistema bajo estrés. La prueba interesante no es si los mercados HIP-3 funcionan en condiciones de calma —los perpetuos de liquidez agrupada siempre han funcionado en condiciones de calma— sino si la combinación de vault, oráculo y mecanismos de margen compartido aguanta cuando uno de los mercados grandes experimenta un movimiento direccional brusco con los vaults de HIP-3 en el lado equivocado. El ciclo de 2025 ha producido suficientes movimientos de este tipo como para empezar a construir un historial, pero la muestra sigue siendo pequeña.
Una última pregunta abierta concierne a la propia capa de deployers. HIP-3 crea efectivamente un nuevo rol en el stack de perpetuos —un híbrido de operador de mercado, asignador de prop desk y emisor de bonos— y ese rol aún no ha desarrollado las convenciones, los estándares de transparencia ni la supervisión de terceros que tienen sus análogos maduros en las finanzas tradicionales. Que el rol se profesionalice (hacia algo parecido a los market makers regulados) o permanezca anónimo y con capital limitado determinará qué tipo de mercados alberga HIP-3 en última instancia, y qué tipo de pérdidas acaban aflorando en la cadena que los hospeda.
El mecanismo está bien diseñado para el problema que fue construido para resolver. Si está bien diseñado para los problemas que creará a escala es la pregunta que los próximos 18 meses responderán.