Introduction
On July 29, 2025, a UMA governance proposal authored by Lee Poettcker asked token holders to approve an oracle contract built for exactly one customer. UMIP-189 deployed a ManagedOptimisticOracleV2, a modified version of UMA’s OptimisticOracleV2, for Polymarket alone. Its distinguishing feature is a set of administrative roles: an owner who can maintain a default whitelist of addresses permitted to propose an outcome, a requester whitelist controlling who may open a price request at all, and enforced bounds on the bond and liveness parameters attached to each request. That owner is a 2-of-2 multisig between Polymarket and Risk Labs, the development entity associated with UMA.
The action that changed is small and specific. Under the legacy contract, asserting what happened in a Polymarket market was open to anyone willing to post a bond. Under the managed instance, for Polymarket’s requests, it is gated to a list.
The stakes attached to that gate have grown quickly. A Castle Labs report published in July 2026 puts monthly notional volume across prediction markets at roughly $2 billion eighteen months earlier and above $30 billion at the time of writing, with a subsequent month reportedly clearing $40 billion. Those are that report’s own figures rather than independently audited ones, and volume in this sector is concentrated and lumpy around scheduled events. Even discounted, the direction is clear: the sums now riding on a single proposed outcome are large enough that the economics of lying about it have changed.
Regulation determines who may take a position. Resolution determines whether the position means anything once the event happens. Every architecture in the field, from bonded optimistic assertion to automated price feeds to model-generated first-pass rulings, moves the trust assumption somewhere else. None of them removes it. What follows is an attempt to say precisely where each design puts the trust, and which failures it is structurally capable of surviving.
What open resolution produced the first time
Augur was founded in 2014 and raised $5.5 million in what the Castle Labs report describes as the sector’s first ICO. It launched in July 2018 with fully permissionless market creation, and within weeks the platform carried markets on political assassinations. That was the widely reported failure, but the quieter one mattered more to anyone actually trading: disputed resolutions could take up to 90 days.
A 90-day dispute window is not merely slow. It converts a settled claim into a zero-coupon instrument of unknown duration, held by a trader who was already correct. Capital that cannot be recycled has a cost, and that cost falls entirely on the party who read the event right and had the misfortune of facing a contested settlement. The dispute mechanism was designed to protect truth and ended up taxing accuracy.
Omen launched in 2020 on Gnosis’s Conditional Token Framework, the 2017 primitive Polymarket would later adopt, and outsourced resolution to Kleros, a decentralized juror-voting oracle. Kleros pays jurors for voting with the eventual majority. That incentive produces a Schelling point on the most predictable answer, which coincides with the true answer whenever the question is unambiguous and the evidence is public. Those are precisely the cases where an oracle is least needed. Where the question is genuinely contested, coherence and truth come apart, and the mechanism optimizes for the wrong one. Omen also suffered from slow, gas-expensive on-chain resolution and fragmented liquidity. Gnosis eventually wound down its own product, citing gas costs, scalability, and user experience rather than resolution failure specifically.
Stox took the opposite approach and ran a centralized, company-controlled oracle despite a $33 million ICO in 2018. It failed for reasons of incentive sustainability rather than juror dynamics, occupying the other end of the axis: single-party discretion over settlement with no adversarial check.
Hedgehog Markets tried to remove the loss side entirely with a yield-funded, no-loss model. Capping upside removed the reason for informed participants to show up, and a market whose informed traders have nothing to win produces a price not worth resolving accurately in the first place.
The lesson the industry drew from this sequence is that open curation does not scale. That reading is defensible, but the sample conflates several distinct problems, only some of which concern resolution: Augur failed on market content and dispute latency, Omen partly on juror incentives and partly on gas, Stox on centralization and token economics, Hedgehog on trader incentives. Bundling them into a single verdict against permissionlessness is convenient for the platforms that won.
Polymarket’s two-tier oracle stack
Bonded assertion and the escalation path
UMA’s Optimistic Oracle does not produce truth. It produces the absence of profitable objection, which is a different thing that happens to coincide with truth most of the time.
The sequence is mechanical. A requesting contract opens a price request with a reward, a bond size, and a liveness window. A proposer posts an answer along with the bond. If nobody disputes before liveness expires, the proposed answer becomes canonical and the market settles against it. If a disputer posts a matching bond, the question escalates to UMA’s Data Verification Mechanism, where UMA token stakers vote on the correct value and the losing side’s bond is redistributed.
Two properties follow directly. First, the safety of the mechanism is a function of the bond relative to the payoff from a false settlement. If a market carries eight figures of open interest and the proposal bond is five figures, a proposer who holds the losing side faces an obviously favorable trade in asserting the wrong answer. The mechanism’s only remaining defense is that an observer notices in time and finds the dispute worth capital and attention. Second, the DVM backstop is token-weighted. Voting power in a contested resolution is purchasable, rentable, and concentrated, and the escalation game is itself a governance surface rather than an appeal to an independent record.
What UMIP-189 moved and what it left
The stated motivation in the proposal is administrative. Under the standard OptimisticOracleV2, changes to bond size, liveness, and proposer permissions had to be routed through the integration’s own requesting contract, which Polymarket found difficult to manage. The managed contract lifts those controls into dedicated roles.
- The owner can add and remove request managers, set a default proposer whitelist applying to all new requests, set a requester whitelist governing who may open requests, and set minimum and maximum bounds on liveness and bond parameters.
- A requestManager can revise an individual unproposed request’s bond, liveness, and proposer whitelist.
- The contract is upgradable through the 2-of-2 Polymarket and Risk Labs multisig.
- UMA DAO governance retains approval over new bond collaterals and price identifiers, and sets final fees.
- Disputes still escalate to the DVM, unchanged.
At the time the proposal was written, the contract had received an internal audit only, with an OpenZeppelin audit pending, and the proposal itself recommended restricting use to low-risk cases until that audit completed. We have not verified whether that audit has since been delivered or whether the low-risk recommendation was lifted.
Two things about the causal story deserve care. Industry commentary attributes the whitelist to a pattern of prior dispute abuse. The primary document does not say that. UMIP-189 cites administrative difficulty, names no incident, and offers no retrospective. We could not substantiate the dispute-abuse narrative from the sources reviewed here. The distinction is functional: a remedial whitelist implies the open proposer set had been demonstrably exploited, while an administrative one implies decentralization was traded for operational convenience without a forcing event.
The second ambiguity is whether the whitelist gates disputers as well as proposers. The proposal text as reviewed describes proposer and requester whitelists; it does not clearly settle dispute permissioning. If disputes remain open, the adversarial check survives intact and the change only narrows who speaks first. If disputes are also gated, the optimistic mechanism becomes an internal review process with a token-vote appeal attached, and the word “optimistic” stops describing the mechanism.
The defense of the arrangement should be stated plainly. The adjudication layer did not move. UMA token holders still resolve contested outcomes, UMA DAO still governs collateral and identifiers, and Polymarket cannot unilaterally overturn a DVM vote. What changed is that the party with the largest commercial exposure to a market’s outcome now sets, jointly with UMA’s development entity, the bond and liveness parameters that determine how expensive and time-constrained it is to challenge a proposal. Even under honest operation, the mechanism’s safety no longer derives from open participation. It derives from the operator’s interest in protecting its own franchise, which is a real incentive but a strictly weaker guarantee.
Four ways resolution fails
Resolution failures are usually discussed as one problem. They are at least four, and they have different defenses.
Ambiguity is a failure of the question rather than the oracle. Compound conditions, unspecified data sources, undefined thresholds, and characterizations that depend on who describes an event all produce a market where two honest parties reading the same facts reach opposite settlements. No oracle design repairs this after the fact. The dispute layer is forced to legislate meaning it was never given authority to determine, and whichever body does the legislating becomes the real author of the contract.
Bribery and collusion is a bond-economics failure. A proposer, a disputer, or a bloc of voters is paid more to be wrong than the mechanism charges them for being wrong. The only structural defense is making the cost of a false outcome scale with the value at stake, either through bonds indexed to open interest or through escalation rounds that compound the attacker’s capital requirement faster than the payoff grows.
Vendor or voter capture is a concentration failure. One entity controls the source of truth, whether that is a whitelisted proposer set, a price feed’s node operators, a majority of a governance token’s voting weight, or the vendor of a model that renders first-pass rulings. Capture does not require malice; it requires only that the concentrated party’s interests and the correct answer diverge once.
Liveness is a failure of the time dimension. Monitoring markets costs money, and attention is thinnest at exactly the moments a dishonest proposer would choose. A short liveness window plus a low-attention interval is a viable attack even against an open proposer set, because the check depends on someone being awake, funded, and willing to lock a bond. Lengthening the window fixes that and reintroduces Augur’s problem.
| Architecture | Ambiguity | Bribery / collusion | Vendor or voter capture | Liveness |
|---|---|---|---|---|
| Legacy OOv2, open proposers | Not addressed; pushed to DVM | Depends entirely on bond-to-notional ratio | DVM is token-weighted and purchasable | Open watchers help, but attention is unpaid |
| Managed OOv2, whitelist | Not addressed; curation of question text helps upstream | Whitelist raises the cost of finding a corruptible proposer | Concentrates proposal rights in one operator | Operator controls liveness bounds directly |
| Automated price feed | Collapses to feed specification, if a feed exists | Attack shifts to the feed, not the market | Relocated to node operators and data providers | Resolution is immediate; no window to game |
| Model first-pass, human appeal | Model must interpret; appeal layer legislates | Cheap adversarial input into public sources | Concentrated in vendor, prompt, and retrieval set | Fast in the common case; appeals are rationed |
| Escalating-stake dispute | Not addressed | Directly targeted; cost compounds per round | Diffuse but favors deep capital | Escalation rounds extend settlement latency |
The column that no architecture fills is the first one. Ambiguity enters at market creation, before any oracle is consulted, and the only intervention that works is editorial. The primary operational innovation of curated platforms was not the oracle, but employing teams to write questions that admit exactly one reading.
Deleting judgment versus relocating it
The cleanest response to resolution risk is to build markets that do not require judgment. If the question is whether a named feed reports a value above a stated threshold at a stated timestamp, settlement is a read rather than a ruling. Ambiguity collapses into feed specification, liveness collapses into publication latency, and the dispute layer becomes vestigial. The Castle Labs report treats Limitless as the case study for the current generation attempting to reopen permissionless user-generated markets on alternative oracle infrastructure. The specific attribution of Chainlink and Pyth price feeds comes from the framing of this topic rather than from the sources reviewed here, so treat the vendor names as directional and the design category as the substantive claim.
The category has two hard boundaries. It only covers questions where a continuously published, contractually nameable ground truth already exists, which excludes most of what makes prediction markets interesting to non-traders. And it does not eliminate oracle trust so much as change its shape. Trust moves to the feed’s node operators and upstream data providers, and the failure mode changes character. An optimistic oracle fails slowly and arguably; a price feed fails instantly and finally. A bad print settles the market before anyone can raise an objection, leaving no bond to slash and no window in which to act. Which risk is preferable depends on whether the greater threat is contested settlement or corrupted data.
The other direction is a model rendering a first-pass resolution with human review triggered only on appeal, an architecture attributed in this topic’s framing to XO Market. We could not substantiate that platform’s actual architecture, appeal mechanics, or track record from the sources reviewed, so what follows addresses the design category rather than any specific implementation.
The efficiency argument is real. Most resolutions are uncontroversial, human review of uncontroversial resolutions is pure cost, and a model that clears routine cases cheaply frees the expensive layer for hard ones. Against Kleros-style juror voting, which pays for coherence rather than accuracy, a model plus a funded appeals process could beat the incumbent on both latency and correctness for routine questions. The relevant baseline is the default-uncontested optimistic outcome, not an idealized court.
Three problems sit underneath. The first is adversarial input. A model that resolves by reading public sources can be steered by anyone capable of placing text into those sources, and placing text into public sources is cheap relative to the notional on a large market. Bonded proposers can be slashed; a search index cannot. The second is auditability. Without a published model version, prompt, and retrieval corpus attached to each individual resolution, an appellant cannot demonstrate that the model erred rather than that they disagree with it, which reduces the appeal from an adversarial check to an administrative petition. The third is that the appeal layer is where the oracle actually lives. The model functions as throughput optimization. Whoever staffs, funds, and rations appeals holds settlement authority, and the economics push toward making appeals rare, bonded, and expensive to invoke.
Augur’s reboot under the Lituus Foundation takes a third route, positioning itself as resolution infrastructure with an escalating-stake dispute model in which each successive round of contest requires progressively larger committed capital. That directly targets bribery: sustained dishonest disputing becomes arithmetically costly rather than socially discouraged. Whether it survives contact with a genuinely contested high-stakes resolution is unknown from the sources here, and an escalation ladder that has never been climbed under adversarial pressure remains a hypothesis about capital.
Leverage on a claim that terminates at zero or one
A working paper on arXiv examines what happens when perpetual-futures mechanics are layered onto binary prediction market claims, and its results are instructive precisely because they are negative.
Perpetual futures assume an underlying that moves continuously. A binary claim does not. It trades somewhere between zero and one and jumps to an endpoint at resolution. The paper’s central derivation: a synthetic long entered at price p0 with leverage L, held unmodified through resolution, on a claim that settles to zero, has terminal equity of -x·p0(1 - 1/L). Any leverage above 1x produces an account shortfall on the adverse outcome, independent of the pre-resolution mark price. Liquidation machinery works by closing a position at intermediate prices between entry and ruin. A terminal jump denies the existence of those intermediate prices. Margin cannot be called on a gap.
The paper also derives what it calls a funding trilemma. Basis-only funding mechanisms lose corrective force as the price approaches the zero or one boundary, while a uniform relative-basis correction strong enough to remain effective there requires unbounded transfers, colliding with either payer solvency or participation constraints.
The mechanical stress test used observed Polymarket price paths from April 21 to 27, 2026. Of 61,087 candidate markets screened, 13,298 passed pre-stated adequacy gates. Two structural diagnostics passed, while three of five pre-specified materiality tests failed. Dynamic margin and leverage compression pre-empted more adverse paths than a static baseline but reduced pooled drawdown by only 5.1 percent. A staged-halt mechanism mechanically reduced final-hour liquidations and left the incidence of terminal shortfalls slightly worse overall.
Those caveats matter and the authors state them. This is a single working paper on an arXiv preprint, studying a prototype structure rather than a deployed product, over a one-week window and a filtered subsample, with the contribution framed as negative design lessons rather than a safety proof.
Its relevance to resolution design is that the shortfall arrives at the instant the oracle answers. Even with a perfect oracle, an honest proposer, zero disputes, and immediate settlement, the leveraged position goes underwater at resolution because the discontinuity is a property of the payoff, not the observing mechanism. Solving who decides the truth does not protect the capital built on top once that truth is decided.
Questions that should not be binary
The taxonomy that follows reflects analytical judgment rather than industry consensus, sorting market categories by how well their ground truth matches what a binary contract expresses.
Continuously priced, feed-nameable questions belong to automated resolution, where the remaining risk is feed integrity rather than adjudication. Institutionally adjudicated events with a named authority publishing a discrete record, such as an election certification, a court judgment, or a scheduled statistical release, fit the optimistic model well, because the proposer’s role is a document lookup and bond sizing is the only primary design parameter.
The poor fits begin where the ground truth moves. Breaking news asks an oracle to timestamp a fact that is still changing state, and any liveness window is either shorter than the news cycle or longer than the market’s useful life. Compound and conditional questions multiply the ambiguity surface, since each clause is independently contestable while the payoff carries a single bit of information. Worst are subjective characterizations, where no definitive document exists. When resolution depends on descriptive characterization, the DVM does not consult a record; it holds a vote among token holders with financial exposure.
Making the current arrangement legible requires a single metric: proposal bond as a fraction of open interest, per market, at the moment the request opens. The optimistic model relies on that ratio, and it is the parameter Polymarket and Risk Labs set jointly without external governance. Alongside it, four dependencies remain open from the sources reviewed here: whether the Managed OOv2 whitelist gates disputers as well as proposers; whether the pending OpenZeppelin audit was completed and the low-risk-only recommendation retired; whether Lituus’s escalation ladder has been tested under real adversarial pressure; and whether any venue running model-generated resolutions will publish the model version, prompt, and retrieval sources attached to each ruling.
서론
2025년 7월 29일, Lee Poettcker가 작성한 UMA 거버넌스 제안이 토큰 홀더들에게 단 한 명의 고객을 위해 만들어진 오라클 컨트랙트를 승인해달라고 요청했다. UMIP-189는 UMA의 OptimisticOracleV2를 수정한 버전인 ManagedOptimisticOracleV2를 Polymarket 전용으로 배포했다. 이 컨트랙트의 특징은 일련의 관리자 권한이다. 결과를 제안할 수 있는 주소의 기본 화이트리스트를 관리하는 owner, 애초에 가격 요청을 열 수 있는 주체를 통제하는 requester 화이트리스트, 그리고 각 요청에 붙는 본드와 유효기간(liveness) 파라미터에 강제되는 상한과 하한이 그것이다. 이 owner는 Polymarket과 UMA 관련 개발 주체인 Risk Labs 간의 2-of-2 멀티시그다.
바뀐 행위 자체는 작지만 명확하다. 기존 컨트랙트에서는 Polymarket 마켓에서 무슨 일이 일어났는지 주장하는 일이 본드를 걸 의사만 있으면 누구에게나 열려 있었다. 관리형 인스턴스에서는, Polymarket의 요청에 한해서, 이것이 리스트에 등록된 자만 가능하도록 제한된다.
이 게이트에 걸린 판돈은 빠르게 커지고 있다. 2026년 7월 발행된 Castle Labs 리포트는 예측 시장 전체의 월간 명목 거래량을 18개월 전 약 20억 달러에서 이 글을 쓰는 시점 기준 300억 달러 이상으로, 그 이후 한 달은 400억 달러를 돌파한 것으로 알려져 있다고 밝힌다. 이는 독립적으로 감사된 수치가 아니라 해당 리포트 자체의 수치이며, 이 섹터의 거래량은 예정된 이벤트를 중심으로 집중되고 뭉쳐서 나타나는 경향이 있다. 그럼에도 방향성은 분명하다. 이제 단일 제안된 결과에 걸린 금액이 그 결과에 대해 거짓말하는 경제성을 바꿀 만큼 커졌다는 것이다.
규제는 누가 포지션을 취할 수 있는지를 결정한다. 리졸루션(resolution)은 이벤트가 발생한 후 그 포지션이 실제로 의미가 있는지를 결정한다. 본딩된 낙관적 주장부터 자동화된 가격 피드, 모델이 1차 판정을 생성하는 방식까지, 이 분야의 모든 아키텍처는 신뢰 가정을 다른 곳으로 옮길 뿐 제거하지는 못한다. 아래에서는 각 설계가 신뢰를 정확히 어디에 두는지, 그리고 구조적으로 어떤 실패를 견딜 수 있는지를 살펴본다.
개방형 리졸루션이 처음 낳은 결과
Augur는 2014년 설립되어 Castle Labs 리포트가 이 섹터 최초의 ICO라고 설명하는 방식으로 550만 달러를 모금했다. 2018년 7월 완전히 무허가(permissionless) 마켓 생성 방식으로 출시되었고, 출시 몇 주 만에 정치적 암살에 관한 마켓이 플랫폼에 등장했다. 이는 널리 보도된 실패였지만, 실제로 거래하는 이들에게 더 중요했던 건 조용한 문제였다. 분쟁이 제기된 리졸루션은 최대 90일이 걸릴 수 있었다.
90일짜리 분쟁 기간은 단순히 느린 게 아니다. 이는 이미 옳은 판단을 내린 트레이더가 보유한, 확정된 클레임을 만기가 불확실한 제로쿠폰 상품으로 바꿔놓는다. 회전시킬 수 없는 자본에는 비용이 붙고, 그 비용은 전적으로 이벤트를 정확히 읽었지만 하필 분쟁 있는 결제에 걸린 당사자가 떠안는다. 분쟁 메커니즘은 진실을 보호하기 위해 설계되었지만 결국 정확성에 세금을 매긴 셈이다.
Omen은 2020년 Gnosis의 Conditional Token Framework(2017년 만들어진 원시 개념으로, 훗날 Polymarket도 채택하게 된다) 위에서 출시되었고, 리졸루션을 탈중앙화된 배심원 투표 오라클인 Kleros에 외주했다. Kleros는 궁극적으로 다수와 같은 표를 던진 배심원에게 보상을 준다. 이 인센티브는 가장 예측 가능한 답으로 슐링 포인트(Schelling point)를 형성하는데, 질문이 모호하지 않고 증거가 공개되어 있는 한 이는 실제 정답과 일치한다. 그런데 바로 그런 경우야말로 오라클이 가장 덜 필요한 경우다. 질문이 진짜로 논쟁적일 때는 일관성과 진실이 서로 갈라지고, 이 메커니즘은 잘못된 쪽을 최적화한다. Omen은 또한 느리고 가스비가 비싼 온체인 리졸루션과 파편화된 유동성 문제도 겪었다. Gnosis는 결국 자사 제품을 정리했는데, 리졸루션 실패보다는 가스 비용, 확장성, 사용자 경험을 이유로 들었다.
Stox는 정반대 접근을 택해, 2018년 3300만 달러 규모의 ICO를 진행했음에도 중앙화된 회사 통제 오라클을 운영했다. 배심원 역학이 아니라 인센티브 지속가능성 문제로 실패했으며, 이는 축의 반대쪽 극단, 즉 대립적 검증 장치 없는 단일 주체의 재량적 결제에 해당한다.
Hedgehog Markets는 수익 기반의 무손실 모델로 손실 측면을 아예 없애려 했다. 상승분을 제한한 것은 정보에 밝은 참가자들이 참여할 이유를 없애버렸고, 정보에 밝은 트레이더들이 이길 것이 없는 마켓은 애초에 정확히 리졸루션할 가치가 있는 가격을 만들어내지 못한다.
이 일련의 사건에서 업계가 얻은 교훈은 개방형 큐레이션이 확장되지 않는다는 것이다. 이런 해석은 나름 타당하지만, 이 샘플은 여러 별개의 문제를 뒤섞고 있으며 그중 일부만 리졸루션과 관련된다. Augur는 마켓 콘텐츠와 분쟁 지연에서 실패했고, Omen은 배심원 인센티브와 가스 비용 양쪽에서, Stox는 중앙화와 토큰 이코노믹스에서, Hedgehog는 트레이더 인센티브에서 실패했다. 이를 하나로 묶어 무허가성 전체에 대한 판결로 만드는 것은 승자가 된 플랫폼들에게 편리한 해석일 뿐이다.
Polymarket의 2단계 오라클 스택
본딩된 주장과 에스컬레이션 경로
UMA의 **낙관적 오라클(Optimistic Oracle)**은 진실을 생산하지 않는다. 이는 수익성 있는 이의제기의 부재를 생산할 뿐이며, 이는 다른 개념이지만 대개의 경우 진실과 일치한다.
이 과정은 기계적이다. 요청 컨트랙트가 보상, 본드 규모, 유효기간(liveness) 윈도우를 지정해 가격 요청을 연다. 제안자는 본드와 함께 답변을 게시한다. 유효기간이 만료되기 전에 아무도 이의를 제기하지 않으면 제안된 답변이 정본이 되고 마켓은 그에 따라 결제된다. 이의제기자가 동일한 규모의 본드를 걸고 이의를 제기하면 질문은 UMA의 **Data Verification Mechanism(DVM)**으로 에스컬레이션되며, UMA 토큰 스테이커들이 정확한 값을 투표로 정하고 패배한 쪽의 본드는 재분배된다.
여기서 두 가지 성질이 곧바로 도출된다. 첫째, 이 메커니즘의 안전성은 본드가 허위 결제로 얻는 대가에 비해 얼마나 큰지에 달려 있다. 마켓의 미결제약정이 8자리 숫자이고 제안 본드가 5자리 숫자라면, 지는 쪽 포지션을 쥔 제안자는 틀린 답을 주장하는 것이 명백히 유리한 거래가 된다. 이 메커니즘의 마지막 방어선은 관찰자가 제때 알아채고 자본과 관심을 들여 이의제기할 가치가 있다고 판단하는 것뿐이다. 둘째, DVM의 백스톱은 토큰 가중 방식이다. 논쟁적 리졸루션에서의 투표력은 구매 가능하고, 대여 가능하며, 집중되어 있다. 즉 에스컬레이션 게임 자체가 독립적 기록에 대한 항소가 아니라 거버넌스의 표면일 뿐이다.
UMIP-189가 옮긴 것과 남겨둔 것
제안서에 명시된 동기는 행정적인 것이다. 표준 OptimisticOracleV2에서는 본드 규모, 유효기간, 제안자 권한 변경이 반드시 해당 통합 자체의 요청 컨트랙트를 통해야 했는데, Polymarket은 이것이 관리하기 어렵다고 판단했다. 관리형 컨트랙트는 이 통제 권한을 전용 역할로 끌어올린다.
- owner는 request manager를 추가하거나 제거할 수 있고, 모든 신규 요청에 적용되는 기본 제안자 화이트리스트를 설정할 수 있으며, 누가 요청을 열 수 있는지 관리하는 requester 화이트리스트를 설정하고, 유효기간과 본드 파라미터의 최소/최대 한도를 설정할 수 있다.
- requestManager는 아직 제안되지 않은 개별 요청의 본드, 유효기간, 제안자 화이트리스트를 수정할 수 있다.
- 컨트랙트는 Polymarket과 Risk Labs의 2-of-2 멀티시그를 통해 업그레이드 가능하다.
- UMA DAO 거버넌스는 새로운 본드 담보 자산과 가격 식별자에 대한 승인 권한을 유지하며, 최종 수수료도 결정한다.
- 분쟁은 변경 없이 여전히 DVM으로 에스컬레이션된다.
이 제안서가 작성된 시점에, 해당 컨트랙트는 내부 감사만 받은 상태였고 OpenZeppelin 감사는 진행 중이었으며, 제안서 자체는 그 감사가 완료될 때까지 사용을 저위험 사례로 제한할 것을 권고했다. 이 감사가 이후 완료되었는지, 혹은 저위험 권고가 해제되었는지는 확인하지 못했다.
이 인과관계에 대해서는 두 가지 점을 조심스럽게 다뤄야 한다. 업계 논평은 화이트리스트를 과거의 분쟁 남용 패턴 탓으로 돌린다. 그러나 원문서는 그렇게 말하지 않는다. UMIP-189는 행정적 어려움을 이유로 들 뿐, 어떤 사건도 지목하지 않으며 어떤 사후 평가도 제시하지 않는다. 여기서 검토한 자료로는 분쟁 남용 서사를 뒷받침할 수 없었다. 이 구분은 실질적인 의미가 있다. 구제적 화이트리스트라면 개방형 제안자 집합이 명백히 악용되었다는 뜻이 되지만, 행정적 화이트리스트라면 촉발 사건 없이 탈중앙화가 운영 편의를 위해 거래되었다는 뜻이 된다.
두 번째 불확실한 부분은 이 화이트리스트가 제안자뿐 아니라 이의제기자까지 게이트하는지 여부다. 검토한 제안서 본문은 제안자 화이트리스트와 requester 화이트리스트를 설명할 뿐, 분쟁 권한 문제를 명확히 정리하지 않는다. 분쟁이 여전히 개방되어 있다면 대립적 검증 장치는 그대로 유지되고 이번 변화는 누가 먼저 말할 수 있는지만 좁힌 것이다. 분쟁까지 게이트된다면, 낙관적 메커니즘은 토큰 투표 항소가 붙은 내부 검토 절차가 되어버리고 “낙관적(optimistic)“이라는 단어는 더 이상 이 메커니즘을 정확히 설명하지 못한다.
이 구조에 대한 옹호론도 명확히 짚어야 한다. 판정 계층 자체는 옮겨지지 않았다. UMA 토큰 홀더들은 여전히 논쟁적 결과를 결정하고, UMA DAO는 여전히 담보와 식별자를 거버넌스하며, Polymarket은 DVM 투표를 일방적으로 뒤집을 수 없다. 바뀐 것은, 마켓 결과에 가장 큰 상업적 노출을 가진 당사자가 이제 UMA의 개발 주체와 함께, 제안에 이의를 제기하는 데 드는 비용과 시간 제약을 결정하는 본드와 유효기간 파라미터를 정한다는 점이다. 정직하게 운영되더라도, 이 메커니즘의 안전성은 더 이상 개방형 참여에서 비롯되지 않는다. 그것은 이제 운영자가 자신의 사업권을 보호하려는 이해관계에서 비롯되며, 이는 실질적인 인센티브이긴 하지만 분명히 더 약한 보장이다.
리졸루션이 실패하는 네 가지 방식
리졸루션 실패는 보통 하나의 문제로 논의되지만, 실제로는 최소 네 가지이며 각각 다른 방어 수단을 필요로 한다.
**모호성(Ambiguity)**은 오라클이 아니라 질문 자체의 실패다. 복합 조건, 명시되지 않은 데이터 출처, 정의되지 않은 임계값, 그리고 이벤트를 누가 설명하느냐에 따라 달라지는 특성 묘사는 모두 정직한 두 당사자가 같은 사실을 보고도 반대되는 결론에 이르는 마켓을 만든다. 어떤 오라클 설계도 사후에 이를 고칠 수 없다. 분쟁 계층은 애초에 부여받은 적 없는 의미 확정 권한을 강제로 행사하게 되고, 그 확정을 행하는 주체가 사실상 계약의 진짜 저자가 된다.
**뇌물과 담합(Bribery and collusion)**은 본드 경제학의 실패다. 제안자, 이의제기자, 혹은 투표자 집단이 틀린 답을 낼 때 메커니즘이 부과하는 비용보다 더 큰 대가를 받는다. 이에 대한 유일한 구조적 방어는 허위 결과의 비용이 걸린 가치에 비례해 커지도록 만드는 것으로, 미결제약정에 연동된 본드 규모나 공격자의 자본 요구량이 이익보다 빠르게 커지는 에스컬레이션 라운드가 그 방법이다.
**벤더 또는 투표자 포획(Capture)**은 집중화의 실패다. 화이트리스트에 오른 제안자 집단이든, 가격 피드의 노드 운영자든, 거버넌스 토큰 투표력의 다수든, 1차 판정을 생성하는 모델의 벤더든, 하나의 주체가 진실의 원천을 통제한다. 포획은 악의를 필요로 하지 않는다. 집중된 주체의 이해관계가 정답과 단 한 번만 어긋나면 충분하다.
**유효기간(Liveness)**은 시간 차원의 실패다. 마켓을 모니터링하는 데는 비용이 들며, 부정직한 제안자가 골랐을 바로 그 순간에 관심이 가장 희박하다. 짧은 유효기간 윈도우와 낮은 관심도 구간의 조합은 개방형 제안자 집합에서조차 유효한 공격이 될 수 있는데, 검증이 누군가 깨어 있고, 자금이 있고, 본드를 걸 의사가 있는지에 달려 있기 때문이다. 윈도우를 늘리면 이 문제는 해결되지만 Augur의 문제가 다시 돌아온다.
| 아키텍처 | 모호성 | 뇌물/담합 | 벤더 또는 투표자 포획 | 유효기간 |
|---|---|---|---|---|
| 기존 OOv2, 개방형 제안자 | 해결 안 됨; DVM으로 전가 | 본드 대 미결제약정 비율에 전적으로 좌우 | DVM은 토큰 가중이며 구매 가능 | 개방형 감시자가 도움이 되지만 관심은 무보상 |
| 관리형 OOv2, 화이트리스트 | 해결 안 됨; 질문 텍스트 큐레이션이 상류에서 도움 | 화이트리스트가 매수 가능한 제안자를 찾는 비용을 높임 | 제안 권한이 한 운영자에게 집중 | 운영자가 유효기간 상한을 직접 통제 |
| 자동화된 가격 피드 | 피드 사양 문제로 환원 (피드가 존재하는 경우) | 공격 대상이 마켓이 아니라 피드로 이동 | 노드 운영자와 데이터 제공자로 재배치 | 즉시 결제; 이용할 윈도우 없음 |
| 모델 1차 판정, 인간 항소 | 모델이 해석해야 하고 항소 계층이 의미를 확정 | 공개 출처에 값싼 대립적 입력 가능 | 벤더, 프롬프트, 검색 집합에 집중 | 일반적인 경우엔 빠르지만 항소는 제한적 |
| 단계별 본드 확대 분쟁 | 해결 안 됨 | 직접 타겟팅됨; 라운드마다 비용 복리 증가 | 분산되어 있지만 큰 자본에 유리 | 에스컬레이션 라운드가 결제 지연을 늘림 |
어떤 아키텍처도 채우지 못하는 열은 첫 번째다. 모호성은 오라클이 개입하기 전, 마켓 생성 시점에 들어오며, 이를 해결할 수 있는 유일한 개입은 편집(editorial)이다. 큐레이션된 플랫폼의 진짜 핵심 운영상 혁신은 오라클이 아니라, 단 하나의 해석만 허용하는 질문을 작성하는 팀을 고용한 것이었다.
판단의 삭제와 판단의 이전
리졸루션 리스크에 대한 가장 깔끔한 대응은 애초에 판단이 필요 없는 마켓을 만드는 것이다. 질문이 지정된 피드가 지정된 타임스탬프에 지정된 임계값 이상의 값을 보고하는지 여부라면, 결제는 판정이 아니라 읽기(read)다. 모호성은 피드 사양 문제로 환원되고, 유효기간은 발행 지연으로 환원되며, 분쟁 계층은 사실상 무용해진다. Castle Labs 리포트는 대안적 오라클 인프라 위에서 무허가 사용자 생성 마켓을 다시 열려는 현세대 시도의 사례 연구로 Limitless를 다룬다. Chainlink와 Pyth 가격 피드에 대한 구체적 언급은 이 주제를 다루는 논의 자체의 틀에서 나온 것이지 여기서 검토한 출처에서 확인된 것은 아니므로, 벤더 명칭은 참고 수준으로, 설계 범주 자체를 실질적인 주장으로 다뤄야 한다.
이 범주에는 두 가지 확고한 경계가 있다. 지속적으로 발행되고 계약상 명명 가능한 그라운드 트루스가 이미 존재하는 질문에만 적용되며, 이는 트레이더가 아닌 사람들에게 예측 시장을 흥미롭게 만드는 대부분의 질문을 제외시킨다. 그리고 이 방식은 오라클 신뢰를 없애는 게 아니라 그 형태를 바꾸는 것에 가깝다. 신뢰는 피드의 노드 운영자와 상류 데이터 제공자로 옮겨가며, 실패 양상의 성격도 바뀐다. 낙관적 오라클은 느리고 논쟁의 여지가 있게 실패하지만, 가격 피드는 즉각적이고 최종적으로 실패한다. 잘못된 값 하나가 누구도 이의를 제기하기 전에 마켓을 결제해버려서, 슬래시할 본드도, 행동할 시간 창도 남지 않는다. 어느 쪽 리스크가 더 나은지는 논쟁적 결제와 오염된 데이터 중 어느 것이 더 큰 위협인지에 달려 있다.
또 다른 방향은 모델이 1차 리졸루션을 내리고 항소 시에만 인간 검토가 촉발되는 아키텍처로, 이 주제를 다루는 논의는 이를 XO Market의 것으로 돌린다. 여기서 검토한 자료로는 해당 플랫폼의 실제 아키텍처, 항소 절차, 실적을 입증할 수 없었으므로, 이하는 특정 구현이 아니라 이 설계 범주 자체를 다룬다.
효율성 논거는 실재한다. 대부분의 리졸루션은 논란의 여지가 없으며, 논란 없는 리졸루션에 대한 인간 검토는 순수한 비용이고, 통상적인 사건을 저렴하게 처리하는 모델은 값비싼 검토 계층을 진짜 어려운 사건에 집중시킬 수 있다. 일관성이 아니라 정확성에 보상하지 않는 Kleros식 배심원 투표 대비, 자금이 뒷받침된 항소 절차를 갖춘 모델은 통상적인 질문에서 지연 시간과 정확성 양쪽 모두에서 기존 방식을 능가할 가능성이 있다. 적절한 비교 기준은 이상화된 법정이 아니라 기본값인 무이의 낙관적 결과다.
그 아래에는 세 가지 문제가 깔려 있다. 첫째는 대립적 입력이다. 공개 출처를 읽어 리졸루션하는 모델은 그 출처에 텍스트를 심을 수 있는 누구에게든 조종될 수 있으며, 공개 출처에 텍스트를 심는 비용은 큰 마켓의 명목 금액에 비하면 저렴하다. 본딩된 제안자는 슬래시할 수 있지만, 검색 인덱스는 슬래시할 수 없다. 둘째는 감사 가능성이다. 각 개별 리졸루션에 첨부된 모델 버전, 프롬프트, 검색 코퍼스가 공개되지 않으면, 항소인은 모델이 틀렸다는 것을 입증할 수 없고 단지 자신이 동의하지 않는다는 것만 보여줄 수 있어, 항소가 대립적 검증에서 행정적 청원으로 격하된다. 셋째, 오라클이 실제로 존재하는 곳은 항소 계층이다. 모델은 처리량 최적화 기능만 수행한다. 항소를 배치하고, 자금을 대고, 배급하는 자가 실질적인 결제 권한을 쥐게 되며, 경제적 유인은 항소를 드물고, 본딩되며, 제기 비용이 비싸게 만드는 방향으로 흐른다.
Lituus Foundation 하의 Augur 리부트는 세 번째 경로를 택해, 각 연속적인 분쟁 라운드마다 점점 더 큰 규모의 확정 자본이 요구되는 단계별 본드 확대 분쟁 모델을 갖춘 리졸루션 인프라로 자리매김한다. 이는 뇌물 문제를 직접 겨냥한다. 지속적인 부정직한 이의제기가 사회적 비난이 아니라 산술적으로 비용이 커지게 만드는 것이다. 이것이 진짜로 논쟁적이고 판돈이 큰 리졸루션과 부딪혔을 때 살아남을지는 여기서 검토한 자료로는 알 수 없으며, 대립적 압력 하에서 한 번도 실제로 올라가 본 적 없는 에스컬레이션 사다리는 여전히 자본에 관한 하나의 가설로 남아 있다.
0 또는 1로 끝나는 클레임에 레버리지를 얹기
arXiv에 게재된 한 워킹 페이퍼는 영구선물(perpetual futures) 메커니즘을 바이너리 예측 마켓 클레임에 얹었을 때 무슨 일이 벌어지는지 검토하며, 그 결과가 부정적이라는 점이 오히려 시사하는 바가 크다.
영구선물은 기초자산이 연속적으로 움직인다고 가정한다. 바이너리 클레임은 그렇지 않다. 0과 1 사이 어딘가에서 거래되다가 리졸루션 시점에 하나의 끝점으로 점프한다. 이 논문의 핵심 도출 결과는 이렇다. 진입 가격 p0, 레버리지 L로 진입한 합성 롱 포지션을, 아무 조치 없이 리졸루션까지 보유하다가 해당 클레임이 0으로 결제될 경우, 최종 자기자본은 -x·p0(1 - 1/L)이다. 1배를 넘는 어떤 레버리지든 사전 리졸루션 마크 가격과 무관하게 불리한 결과에서 계좌 부족분을 만들어낸다. 청산 장치는 진입가와 파산 사이의 중간 가격에서 포지션을 닫는 방식으로 작동한다. 만기 시의 점프는 그런 중간 가격의 존재 자체를 부정한다. 갭에 대해서는 마진콜을 걸 수 없다.
이 논문은 또한 펀딩 트릴레마(funding trilemma)라고 부르는 것을 도출한다. 베이시스 기반 펀딩 메커니즘은 가격이 0 또는 1 경계에 가까워질수록 교정력을 잃는 반면, 그 경계에서도 효과적일 만큼 강력한 균일 상대 베이시스 교정은 무제한적인 이전(transfer)을 요구해, 지급자의 지급여력이나 참여 제약 중 하나와 충돌하게 된다.
이 메커니즘의 스트레스 테스트에는 2026년 4월 21일부터 27일까지 관찰된 Polymarket 가격 경로가 사용되었다. 스크리닝된 61,087개 후보 마켓 중 13,298개가 사전 지정된 적정성 기준을 통과했다. 구조적 진단 두 가지는 통과했지만, 사전 지정된 다섯 가지 중요성 테스트 중 세 가지는 실패했다. 동적 마진과 레버리지 압축은 정적 기준선보다 더 많은 불리한 경로를 사전에 차단했지만, 풀링된 낙폭(drawdown)은 겨우 5.1퍼센트만 줄였다. 단계적 정지(staged-halt) 메커니즘은 마지막 시간대의 청산을 기계적으로 줄였지만, 만기 시 부족분 발생 빈도는 전체적으로 오히려 다소 악화되었다.
이런 유보 사항들은 중요하며 저자들도 이를 명시한다. 이는 배포된 제품이 아니라 프로토타입 구조를 다루는 arXiv 프리프린트 상의 단일 워킹 페이퍼이며, 1주일 윈도우와 필터링된 부분표본을 다루고, 그 기여는 안전성 증명이 아니라 부정적인 설계상 교훈으로 규정되어 있다.
이 논문이 리졸루션 설계와 관련해 갖는 함의는, 부족분이 오라클이 답을 내는 바로 그 순간에 발생한다는 점이다. 완벽한 오라클, 정직한 제안자, 분쟁 제로, 즉각적인 결제가 갖춰져 있더라도, 레버리지 포지션은 리졸루션 시점에 물속에 잠기는데, 이는 이 불연속성이 관찰 메커니즘의 속성이 아니라 페이오프 자체의 속성이기 때문이다. 누가 진실을 결정하는지를 해결한다고 해서, 그 진실이 결정된 이후 그 위에 쌓인 자본을 보호해주지는 못한다.
바이너리로 만들어서는 안 될 질문들
이어지는 분류 체계는 업계 합의라기보다 분석적 판단을 반영한 것으로, 마켓 카테고리를 그라운드 트루스가 바이너리 컨트랙트가 표현하는 것과 얼마나 잘 들어맞는지에 따라 정리한다.
지속적으로 가격이 매겨지고 피드로 명명 가능한 질문은 자동화된 리졸루션에 속하며, 여기서 남은 리스크는 판정이 아니라 피드 무결성이다. 선거 인증, 법원 판결, 예정된 통계 발표처럼 지정된 권위체가 이산적인 기록을 공개하는 제도적으로 판정되는 이벤트는 낙관적 모델에 잘 들어맞는데, 제안자의 역할이 문서 조회에 불과하고 본드 규모 결정이 유일한 주요 설계 변수이기 때문이다.
그라운드 트루스가 움직이는 지점부터 적합도가 나빠지기 시작한다. 속보(breaking news)는 아직 상태가 변하고 있는 사실에 타임스탬프를 찍으라고 오라클에게 요구하며, 어떤 유효기간 윈도우도 뉴스 사이클보다 짧거나 마켓의 유효 수명보다 길게 마련이다. 복합적이고 조건부적인 질문은 각 절이 독립적으로 논쟁 가능하면서도 페이오프는 단 1비트의 정보만을 담고 있기 때문에 모호성의 표면을 배가시킨다. 최악은 확정적인 문서가 존재하지 않는 주관적 특성 묘사이다. 리졸루션이 서술적 특성 묘사에 의존할 때, DVM은 기록을 참조하는 게 아니라 금전적 이해관계가 있는 토큰 홀더들 간의 투표를 진행한다.
현재의 구조를 파악 가능하게 만드는 데는 단 하나의 지표만 있으면 된다. 요청이 열리는 순간의 마켓별 미결제약정 대비 제안 본드 비율이다. 낙관적 모델은 이 비율에 의존하며, 이는 외부 거버넌스 없이 Polymarket과 Risk Labs가 공동으로 정하는 파라미터다. 여기에 더해, 여기서 검토한 자료로는 아직 확인되지 않은 네 가지 의존 관계가 남아 있다. Managed OOv2의 화이트리스트가 제안자뿐 아니라 이의제기자까지 게이트하는지, 진행 중이던 OpenZeppelin 감사가 완료되고 저위험 전용 권고가 해제되었는지, Lituus의 에스컬레이션 사다리가 실제 대립적 압력 하에서 테스트된 적이 있는지, 그리고 모델 생성 리졸루션을 운영하는 어떤 벤처든 각 판정에 첨부된 모델 버전, 프롬프트, 검색 출처를 공개할 것인지가 그것이다.
はじめに
2025年7月29日、Lee Poettckerが起草したUMAガバナンス提案は、トークン保有者に対し、たった一社の顧客のために構築されたオラクルコントラクトの承認を求めた。UMIP-189は、UMAのOptimisticOracleV2を改変したManagedOptimisticOracleV2をPolymarket専用にデプロイするというものだ。その特徴は一連の管理権限にある。オーナーは結果を提案できるアドレスのデフォルトホワイトリストを維持できる権限を持ち、リクエスタホワイトリストはそもそも誰が価格リクエストを開けるかを制御し、各リクエストに付随するボンドとライブネスのパラメータには強制的な上限・下限が設けられる。そのオーナーは、PolymarketとUMA関連の開発団体であるRisk Labsによる2-of-2マルチシグである。
変わったこと自体は小さく、具体的だ。従来のコントラクトでは、Polymarketの市場で何が起きたかを主張することは、ボンドを差し出す意思のある者なら誰にでも開かれていた。管理されたインスタンスでは、Polymarketのリクエストに関する限り、それはリストに載った者に限定される。
このゲートに懸かる金額は急速に膨らんでいる。2026年7月に発表されたCastle Labsのレポートによれば、予測市場全体の月間想定取引高は、18か月前の時点で約20億ドルだったのが、執筆時点で300億ドルを超え、その後の月には400億ドルを突破したと報じられている。これはあくまで同レポート自身の数字であり、独立監査を経たものではない。またこの分野の取引高は、予定されたイベント周辺に偏って集中する傾向がある。それを割り引いても方向性は明らかだ。一つの提案された結果に懸かる金額は、それについて嘘をつく経済合理性を変えてしまうほど大きくなっている。
規制はポジションを取れるのが誰かを決める。決定するのは、イベントが起きた後、そのポジションが意味を持つかどうかだ。ボンド付きオプティミスティックアサーションから自動価格フィード、モデル生成の一次判定まで、この分野のあらゆるアーキテクチャは、トライアンプションをどこか別の場所に移すだけであり、除去するものはない。以下で試みるのは、各設計が信頼をどこに置いているのか、そしてどの種の失敗に構造的に耐えられるのかを、正確に特定することである。
オープンな解決がもたらした最初の結果
Augurは2014年に設立され、Castle Labsのレポートがこの分野最初のICOと呼ぶ調達で550万ドルを集めた。2018年7月、完全に許可不要な市場作成機能を伴ってローンチし、数週間のうちに政治的暗殺を扱う市場を抱えるに至った。それは広く報じられた失敗だが、実際に取引していた者にとってより重要だったのは、もっと静かな問題、すなわち紛争が発生した場合の決定に最大90日かかるという点だった。
90日の紛争期間は単に遅いというだけでは済まない。それは、決着したはずの請求を、期間不明のゼロクーポン商品に変えてしまう。しかもそれを保有するのは、すでに正しい予測をしていたトレーダーだ。回収できない資本にはコストがかかり、そのコストは、イベントを正しく読み、不運にも紛争になった決済に直面したトレーダーが丸ごと負担する。紛争メカニズムは真実を守るために設計されたはずが、結果として正確さに課税する仕組みになってしまった。
Omenは2020年、GnosisのConditional Token Framework(後にPolymarketも採用する2017年のプリミティブ)上でローンチし、決定をKlerosという分散型陪審員投票オラクルに委託した。Klerosは、最終的な多数派に投票した陪審員に報酬を支払う。このインセンティブは、最も予測しやすい答えへのシェリング・ポイントを生み出す。それは、質問が曖昧でなく証拠が公開されている場合には真の答えと一致する。しかしそれはまさにオラクルが最も必要とされない場合である。質問が本当に争点となる場合、整合性と真実は乖離し、メカニズムは間違った方を最適化してしまう。Omenはまた、オンチェーン決定の遅さとガスコストの高さ、流動性の分断にも悩まされた。Gnosisは最終的に自社製品を畳んだが、その理由として挙げたのはガスコスト、スケーラビリティ、ユーザー体験であり、決定失敗そのものではなかった。
Stoxは逆のアプローチを取り、2018年に3300万ドルのICOを実施したにもかかわらず、中央集権的な企業管理オラクルを運用した。失敗の原因は陪審員のダイナミクスではなくインセンティブの持続不可能性にあり、もう一方の極端、つまり単独主体による決済への裁量権と、対抗的なチェックの欠如を体現していた。
Hedgehog Marketsは、利回りで賄う無損失モデルによって損失側を丸ごと排除しようとした。上限を設けることで、情報を持ったトレーダーが参加する理由が失われ、情報を持つトレーダーが何も得るもののない市場は、そもそも正確に決済する価値のない価格しか生み出さない。
この一連の経緯から業界が引き出した教訓は、オープンなキュレーションはスケールしないというものだ。その解釈は成り立たなくはないが、このサンプルはいくつかの異なる問題を一緒くたにしており、決定に関わる問題はその一部にすぎない。Augurは市場内容と紛争の遅延で失敗し、Omenは陪審員インセンティブとガスの両方で、Stoxは中央集権化とトークン経済で、Hedgehogはトレーダーのインセンティブで失敗した。これらを一つの結論、つまり許可不要性への反証としてまとめるのは、勝ち残ったプラットフォームにとって都合が良いだけだ。
Polymarketの二層オラクルスタック
ボンド付きアサーションとエスカレーションの経路
UMAのOptimistic Oracleは真実を生み出すわけではない。それが生み出すのは「利益の出る異議申し立てが存在しない状態」であり、これは真実とは別物だが、たいていの場合それと一致する。
その流れは機械的だ。リクエスト元のコントラクトが、報酬、ボンドサイズ、ライブネスウィンドウを添えて価格リクエストを開く。提案者がボンドとともに回答を投稿する。ライブネス期間が終了するまでに誰も異議を唱えなければ、提案された回答が確定値となり、市場はそれに基づいて決済される。異議申立者が同額のボンドを投稿すれば、質問はUMAのData Verification Mechanismにエスカレートし、UMAトークンステーカーが正しい値に投票し、敗れた側のボンドは再分配される。
ここから二つの性質が直接導かれる。第一に、このメカニズムの安全性は、虚偽の決済によって得られる利得に対するボンドの比率の関数である。ある市場が8桁の未決済建玉を抱え、提案ボンドが5桁であれば、負ける側のポジションを保有する提案者にとって、誤った回答を主張することは明らかに有利な取引になる。メカニズムが残す唯一の防御線は、観察者が時間内に気づき、紛争を起こすだけの資本と注意を割く価値があると判断することだ。第二に、DVMのバックストップはトークン加重である。争点となった決定における投票力は購入可能・レンタル可能であり、しかも集中しやすい。エスカレーションのゲームそのものが、独立した記録への上訴というよりガバナンスの表面にすぎない。
UMIP-189が動かしたものと、動かさなかったもの
提案に記された動機は事務的なものだ。標準のOptimisticOracleV2では、ボンドサイズ、ライブネス、提案者権限の変更は統合先のリクエストコントラクト自体を通す必要があり、Polymarketはそれを管理しづらいと感じていた。管理版コントラクトは、これらの制御を専用のロールへと引き上げる。
- オーナーは、リクエストマネージャーの追加・削除、すべての新規リクエストに適用されるデフォルトの提案者ホワイトリストの設定、リクエストを開ける者を統制するリクエスタホワイトリストの設定、ライブネスとボンドパラメータの上限・下限の設定を行える。
- requestManagerは、個々の未提案リクエストのボンド、ライブネス、提案者ホワイトリストを改訂できる。
- コントラクトは、Polymarketと Risk Labsの2-of-2マルチシグを通じてアップグレード可能である。
- UMA DAOガバナンスは、新規ボンド担保と価格識別子の承認権を保持し、最終手数料を設定する。
- 紛争は変わらずDVMへとエスカレートする。
提案が書かれた時点で、このコントラクトは内部監査のみを受けており、OpenZeppelinによる監査は保留中で、提案自体もその監査が完了するまでは低リスクのケースに使用を限定するよう推奨していた。その後この監査が実際に実施されたか、あるいは低リスク限定の推奨が解除されたかは、確認できていない。
この因果関係の物語については、二点注意が必要だ。業界の論評は、このホワイトリストを、過去の紛争悪用パターンに起因するものとして説明している。しかし一次資料はそう述べていない。UMIP-189は事務的な困難さを挙げるのみで、事件名は出てこず、振り返りの記述もない。ここで参照した資料からは、この紛争悪用の物語を裏付けることはできなかった。この違いは機能的に重要だ。是正的なホワイトリストであれば、オープンな提案者集合が実際に悪用されたことを含意するが、事務的なホワイトリストであれば、決定的な事件なしに分散性が運用上の利便性と引き換えにされたことを含意する。
第二の曖昧さは、このホワイトリストが提案者だけでなく異議申立者にもゲートをかけるのかという点だ。ここで確認した提案文書は提案者ホワイトリストとリクエスタホワイトリストについて説明しているが、紛争の権限については明確に定めていない。もし紛争がオープンなままであれば、対抗的なチェックはそのまま生き残り、変わるのは誰が最初に発言するかだけである。もし紛争もゲートされるなら、オプティミスティックなメカニズムはトークン投票による上訴機能付きの内部審査プロセスと化し、「オプティミスティック」という語はもはやこのメカニズムを言い表さない。
この取り決めの弁護は、はっきり述べておく価値がある。裁定の層自体は動いていない。UMAトークン保有者は依然として争点化した決定を解決し、UMA DAOは依然として担保と識別子を統治し、PolymarketはDVMの投票結果を一方的に覆すことはできない。変わったのは、ある市場の結果に最大の商業的エクスポージャーを持つ当事者が、UMAの開発団体と共同で、提案への異議申し立てをどれだけ高コストかつ時間制約的にするかを決めるボンドとライブネスのパラメータを設定するようになったことだ。誠実な運用の下でさえ、このメカニズムの安全性はもはやオープンな参加から生まれるものではない。それは、オペレーター自身の商圏を守ろうとする利害から生まれるものであり、それ自体は現実的なインセンティブではあるが、明確に弱い保証にすぎない。
決定が失敗する四つの様式
決定の失敗は通常、一つの問題として語られる。しかし実際には少なくとも四つあり、それぞれ異なる防御策を必要とする。
曖昧さは、オラクルではなく質問自体の失敗である。複合条件、データソースの未指定、閾値の未定義、記述する者によって内容が変わる出来事の性格づけ、これらすべてが、同じ事実を読んだ二人の誠実な当事者が正反対の決着に至る市場を生み出す。どのオラクル設計も、この事後修復はできない。紛争層は、決して与えられていなかった権限をもって意味を法制化するよう強いられ、その立法を行う主体こそが実質的な契約の作者となる。
贈収賄と結託は、ボンド経済学の失敗である。提案者、異議申立者、あるいは投票者集団が、誤った判断をするほうがメカニズムが誤りに対して課す罰よりも大きな報酬を得られる場合に生じる。構造的に唯一有効な防御策は、虚偽の結果のコストを懸案の価値に比例させることであり、未決済建玉に連動したボンド、あるいは攻撃者の資本要求が利得の増加より速く複利で増えていくエスカレーションラウンドを通じて実現する。
ベンダーまたは投票者の掌握は、集中の失敗である。ホワイトリスト化された提案者集団であれ、価格フィードのノードオペレーターであれ、ガバナンストークンの投票権重の過半数であれ、一次判定を出すモデルのベンダーであれ、一つの主体が真実の源を支配する状態を指す。掌握には悪意すら必要ない。集中した主体の利害と正しい答えが一度でも乖離すればそれで十分である。
ライブネスは、時間軸の失敗である。市場の監視には費用がかかり、不誠実な提案者が選ぶまさにその瞬間に注意は最も薄くなる。短いライブネスウィンドウと低注意の時間帯の組み合わせは、たとえオープンな提案者集合に対してでも成立する実行可能な攻撃だ。なぜならこのチェックは、誰かが目を覚まし、資金を持ち、ボンドをロックする意思があることに依存しているからだ。ウィンドウを延ばせばこの問題は解決するが、Augurの問題を再導入することになる。
| アーキテクチャ | 曖昧さ | 贈収賄・結託 | ベンダー・投票者の掌握 | ライブネス |
|---|---|---|---|---|
| レガシーOOv2、オープン提案者 | 対処されず、DVMへ押し付け | ボンド対想定元本比に全面的に依存 | DVMはトークン加重で購入可能 | オープンな監視者は助けになるが注意は無報酬 |
| 管理版OOv2、ホワイトリスト | 対処されず、上流での質問文キュレーションが助けになる | ホワイトリストが買収可能な提案者を見つけるコストを引き上げる | 提案権を一事業者に集中させる | オペレーターがライブネスの上下限を直接制御 |
| 自動価格フィード | フィード仕様の問題に帰着(フィードが存在すれば) | 攻撃対象が市場からフィードへ移る | ノードオペレーターとデータプロバイダーに移る | 決定は即時、悪用の隙となる期間がない |
| モデル一次判定+人間による上訴 | モデルが解釈を要し、上訴層が法制化する | 公開情報源への安価な敵対的入力が可能 | ベンダー、プロンプト、検索対象集合に集中 | 通常ケースでは高速、上訴は制限配給される |
| エスカレート型ステーク紛争 | 対処されず | 直接標的化され、ラウンドごとにコストが複利化 | 分散的だが厚い資本に有利 | エスカレーションラウンドが決済のレイテンシを延ばす |
どのアーキテクチャも埋められない列は最初の列だ。曖昧さは、いかなるオラクルが参照される前の、市場作成の時点で入り込む。有効な唯一の介入は編集的なものだ。キュレーション型プラットフォームの実質的な運用上の革新はオラクルではなく、一通りにしか読めない質問文を書くチームを雇用したことだった。
判断を消すことと、判断を移すこと
決定リスクへの最もクリーンな対応は、判断を必要としない市場を構築することである。ある質問が「指定されたフィードが指定されたタイムスタンプで指定された閾値を上回る値を報告するか」であれば、決済は裁定ではなく読み取りになる。曖昧さはフィード仕様の問題に収束し、ライブネスは公開の遅延に収束し、紛争層は形骸化する。Castle Labsのレポートは、代替オラクルインフラ上で許可不要のユーザー生成市場を再度開こうとする現世代の事例研究としてLimitlessを取り上げている。ChainlinkとPythの価格フィードという具体的な帰属は、このトピックの枠組みから来ているのであって、ここで参照した資料そのものから来ているわけではない。したがってベンダー名は方向性を示すものとして扱い、設計カテゴリの方を実質的な主張として扱うべきだ。
このカテゴリには二つの硬い境界がある。継続的に公開され、契約上名指し可能な既存のグラウンドトゥルースがある質問にしか適用できない点で、予測市場を非トレーダーにとって面白いものにしている要素の大半を排除してしまう。そしてこの方式は、オラクルへの信頼を除去するというより、その形を変えているにすぎない。信頼はフィードのノードオペレーターと上流のデータプロバイダーへと移り、失敗の様式も性格を変える。オプティミスティックオラクルはゆっくりと、議論の余地を残しながら失敗するが、価格フィードは即座に、決定的に失敗する。悪いプリントは、誰も異議を唱える前に市場を決済してしまい、スラッシュするボンドも行動を起こす時間もない。どちらのリスクが望ましいかは、決着済み判定への異議か、それとも汚染されたデータかのどちらがより大きな脅威かによる。
もう一つの方向は、モデルが一次決定を下し、上訴があった場合のみ人間によるレビューが発動するアーキテクチャで、このトピックの枠組みではXO Marketに帰属させられている。このプラットフォームの実際のアーキテクチャ、上訴のメカニクス、実績を、ここで参照した資料から裏付けることはできなかった。したがって以下は特定の実装ではなく、設計カテゴリを対象とする。
効率性の主張は現実的だ。ほとんどの決定は争点にならず、争点にならない決定の人間によるレビューは純粋なコストであり、日常的なケースを安価に処理するモデルは、高コストの層を難しいケースのために解放する。整合性に報酬を払い正確さには払わないKleros型の陪審員投票と比較すれば、モデルと資金付きの上訴プロセスを組み合わせた仕組みは、日常的な質問についてレイテンシと正確さの両方で既存方式を上回りうる。妥当な比較対象は理想化された裁判所ではなく、デフォルトで異議なしとなるオプティミスティックな結果である。
その下には三つの問題が潜んでいる。第一は敵対的な入力だ。公開情報源を読んで決定するモデルは、その情報源にテキストを紛れ込ませることができる誰にでも操作されうる。大規模な市場の想定元本に対して、情報源にテキストを埋め込むコストは安い。ボンド付き提案者はスラッシュできるが、検索インデックスはできない。第二は監査可能性だ。個々の決定に紐づいた公開されたモデルバージョン、プロンプト、検索コーパスがなければ、上訴者はモデルが誤ったことを示すことができず、単に自分がそれに同意しないというだけになる。これにより上訴は、対抗的なチェックから事務的な陳情へと格下げされる。第三は、上訴層こそが実質的なオラクルの所在だという点だ。モデルはスループットの最適化装置として機能する。誰が上訴に人員を配置し、資金を出し、配給するかが決済の権限を握り、経済合理性は上訴を稀少で、ボンド付きで、行使コストの高いものにする方向に働く。
Lituus Foundationの下でのAugurの再起動は第三の道を取り、決定インフラとしての自己位置づけを行っており、各エスカレーションラウンドごとに段階的に大きな担保資本を要求するエスカレート型のステーク紛争モデルを採用している。これは贈収賄を直接標的にしている。持続的な不誠実な異議申し立ては、社会的に非難されるというより算術的にコストがかさむようになる。それが本当に争点化した高額の決定という実戦に耐えられるかは、ここで参照した資料からは分からない。敵対的圧力の下で登り切ったことのないエスカレーションのはしごは、資本についての仮説にとどまっている。
ゼロか1で終わる主張へのレバレッジ
arXivのワーキングペーパーは、パーペチュアル先物のメカニクスを二値の予測市場の主張に重ねるとどうなるかを検証しており、その結果は、否定的であるがゆえに示唆に富む。
パーペチュアル先物は連続的に動く原資産を前提にしている。二値の主張はそうではない。ゼロと1の間のどこかで取引され、決定時に端点へと飛ぶ。論文の中心的な導出はこうだ。価格p0でレバレッジLを使って建てられた合成ロングポジションを、決定時までそのまま保有し、その主張がゼロに決着した場合、最終的な自己資本は-x·p0(1 - 1/L)となる。1倍を超えるレバレッジは、逆の結果になった場合、決定前の中値がいくつであったかに関わらず、口座の不足を生む。清算の仕組みは、エントリーと破綻の間の中間価格でポジションを閉じることで機能する。終端でのジャンプはその中間価格の存在自体を否定する。ギャップに対しては証拠金コールがかけられない。
論文はまた、資金調達のトリレンマと呼ぶものも導出している。ベーシスのみに基づく資金調達メカニズムは、価格がゼロや1の境界に近づくにつれ修正力を失う一方、その境界付近でも効果を保つほど強力な均一的相対ベーシス補正は、無制限の資金移転を要求し、支払者の支払能力か参加制約のいずれかと衝突する。
このメカニズムのストレステストには、2026年4月21日から27日までの間に観測されたPolymarketの価格経路が使われた。スクリーニングされた61,087の候補市場のうち、13,298が事前に定めた適格性ゲートを通過した。構造的診断は2つとも通過したが、事前指定された5つの重要性テストのうち3つは失敗した。動的証拠金とレバレッジ圧縮は静的ベースラインより多くの逆行経路を事前に排除したが、プールされたドローダウンの削減はわずか5.1パーセントにとどまった。段階的停止メカニズムは、機械的に最終時間帯の清算を減らしたが、全体としては終端の不足の発生率をわずかに悪化させた。
これらの留保事項は重要であり、著者自身がそう述べている。これは単一のarXivプレプリントによるワーキングペーパーであり、展開済みの製品ではなく試作構造を対象に、1週間の期間とフィルタリング済みのサブサンプルで研究したものであり、貢献は安全性の証明ではなく否定的な設計上の教訓として枠付けられている。
これが決定設計に持つ意味は、不足がオラクルが答えを出す瞬間そのものに発生するという点だ。完璧なオラクル、誠実な提案者、紛争ゼロ、即時決済があったとしても、レバレッジをかけたポジションは決定時に水面下に沈む。なぜならこの不連続性はペイオフの性質であり、観測メカニズムの性質ではないからだ。誰が真実を決めるかという問題を解決しても、真実が確定した後にその上に築かれた資本を守ることにはならない。
二値であるべきではない質問
以下の分類は、業界のコンセンサスではなく分析上の判断を反映したものであり、各市場カテゴリを、そのグラウンドトゥルースが二値契約の表現とどれだけ整合するかによって並べ替えている。
連続的に価格付けされ、フィードで名指し可能な質問は自動決定に適しており、そこで残るリスクは裁定ではなくフィードの完全性である。名指し可能な権威が離散的な記録を公表する、制度的に裁定される出来事、たとえば選挙の確定、裁判の判決、予定された統計発表などは、オプティミスティックモデルにうまく適合する。提案者の役割は文書の照合であり、ボンドサイジングだけが主要な設計パラメータになるからだ。
相性の悪いケースは、グラウンドトゥルース自体が動く場合から始まる。速報ニュースは、まだ状態が変化し続けている事実にタイムスタンプを打つようオラクルに求める。どのライブネスウィンドウも、ニュースサイクルより短いか、市場の有用な寿命より長いかのどちらかになる。複合的・条件的な質問は、曖昧さの表面を掛け算的に増幅する。各条項が独立して争点になりうる一方で、ペイオフは単一のビットの情報しか運ばない。最悪なのは主観的な性格づけであり、決定的な文書が存在しない場合だ。決定が記述的な性格づけに依存する場合、DVMは記録を参照するのではなく、金銭的な利害を持つトークン保有者の間で投票を行うことになる。
現在の取り決めを可視化するには、単一の指標が必要だ。すなわち、リクエストが開かれた瞬間における、未決済建玉に対する提案ボンドの比率を市場ごとに見ることだ。オプティミスティックモデルはこの比率に依存しており、これはPolymarketとRisk Labsが外部ガバナンスなしに共同で設定するパラメータである。それに加えて、ここで参照した資料からは未解決のままの依存関係が四つある。Managed OOv2のホワイトリストが提案者だけでなく異議申立者にもゲートをかけるのかどうか。保留中だったOpenZeppelin監査が完了し、低リスク限定の推奨が解除されたのかどうか。Lituusのエスカレーションのはしごが実際の敵対的圧力の下で試されたことがあるのかどうか。そして、モデル生成の決定を運用するいずれかのプラットフォームが、各判定に紐づいたモデルバージョン、プロンプト、検索ソースを公開するのかどうか。
引言
2025年7月29日，由Lee Poettcker撰写的一份UMA治理提案要求代币持有者批准一份专为单一客户搭建的预言机合约。UMIP-189部署了ManagedOptimisticOracleV2，这是UMA的OptimisticOracleV2的修改版本，专供Polymarket使用。它的显著特征是一套管理角色：一个所有者可以维护默认的白名单，规定哪些地址有权提议结果；一个请求者白名单，控制谁可以发起价格请求；以及对每笔请求所附带的保证金和存续期参数设定强制边界。该所有者是Polymarket与Risk Labs（与UMA相关联的开发实体）之间的2/2多签。
发生变化的动作很小、很具体。在旧版合约下，断言Polymarket市场中发生了什么，对任何愿意支付保证金的人都是开放的。在受管理的实例下，对于Polymarket的请求，这一权限被限定在一份名单内。
这道关卡背后的赌注增长迅速。Castle Labs于2026年7月发布的一份报告显示，预测市场的月度名义交易量在十八个月前约为20亿美元，撰写本文时已超过300亿美元，据称随后某月成交量突破400亿美元。这些数字来自该报告自身，而非经过独立审计的数据，而且该行业的交易量围绕预定事件呈现集中和不均匀分布。即便打了折扣，趋势也很明确：如今押注在某个单一提议结果上的资金规模，已经大到足以改变说谎的经济账。
监管决定谁可以持有头寸。清算则决定该头寸在事件发生后是否有意义。该领域的每一种架构，无论是有保证金的乐观断言、自动化价格预言机，还是由模型生成的初步裁决，都只是把信任假设挪到别处，没有一个能真正消除它。下文试图精确指出每种设计把信任放在了哪里，以及它在结构上能够承受哪些失败。
开放式清算最初带来了什么
Augur成立于2014年，据Castle Labs报告称，它通过该行业首次ICO筹集了550万美元。它于2018年7月上线，采用完全无需许可的市场创建机制，几周之内，平台上就出现了关于政治暗杀的市场。这是被广泛报道的失败，但对任何真正在交易的人来说，更安静的那个问题更重要：有争议的清算最长可能耗时90天。
90天的争议窗口不只是慢。它把一个已经确定的结果，变成了一份期限未知的零息工具，而持有者恰恰是已经判断正确的交易者。无法回笼的资金是有成本的，这个成本完全落在了那个正确解读了事件、却不幸遭遇有争议清算的一方身上。争议机制本意是保护真相，结果却对准确性征了税。
Omen于2020年在Gnosis的Conditional Token Framework（这一2017年的原语后来被Polymarket采用）上线，并将清算工作外包给了Kleros，一个去中心化的陪审员投票预言机。Kleros向与最终多数意见一致的陪审员支付报酬。这种激励产生了一个聚焦于”最可预测答案”的谢林点，当问题没有歧义、证据公开时，这个答案恰好与真实答案一致。而这恰恰是最不需要预言机的情形。当问题确实存在争议时，一致性和真实性就会分道扬镳，而该机制优化的是错误的那一个。Omen还饱受链上清算缓慢、Gas成本高昂以及流动性碎片化的困扰。Gnosis最终关停了自家产品，给出的理由是Gas成本、可扩展性和用户体验，而非专门指向清算失败。
Stox采取了相反的路径，尽管在2018年通过ICO筹集了3300万美元，仍运行了一个中心化的、由公司控制的预言机。它的失败原因在于激励机制不可持续，而非陪审员动态问题，处在坐标轴的另一端：由单一方对清算拥有自由裁量权，没有任何对抗性制衡。
Hedgehog Markets试图彻底消除亏损这一面，采用了由收益提供资金、无损失的模式。但封顶上行空间，也就消除了知情参与者出场的理由，而一个知情交易者无利可图的市场，从一开始就没有准确清算的价值。
行业从这一系列事件中得出的教训是：开放式内容管理无法规模化。这一解读站得住脚，但样本混杂了多个不同的问题，其中只有部分与清算有关：Augur败在市场内容和争议时延上，Omen一部分败在陪审员激励上，一部分败在Gas上，Stox败在中心化和代币经济上，Hedgehog败在交易者激励上。把这些捆在一起，得出一个针对无需许可机制的统一定论，对赢家而言当然方便。
Polymarket的双层预言机体系
有保证金的断言与升级路径
UMA的乐观预言机（Optimistic Oracle）并不产生真相，它产生的是”没有能获利的反对意见”，这是一件不同的事，只是大多数时候恰好与真相重合。
流程是机械化的。请求方合约发起一笔价格请求，附带奖励、保证金规模和存续期窗口。提议者连同保证金一起提交一个答案。如果在存续期结束前无人提出异议，该答案就成为定案，市场据此清算。如果异议方提交了对等的保证金，问题就升级到UMA的数据验证机制（Data Verification Mechanism），由UMA代币质押者投票决定正确的值，败诉一方的保证金将被重新分配。
由此直接引出两个特性。第一，该机制的安全性取决于保证金相对于虚假清算所带来收益的比例。如果一个市场的未平仓量达到八位数，而提议保证金只有五位数，一个持有败方头寸的提议者，断言错误答案显然是一笔划算的交易。该机制唯一剩下的防线，是有人及时注意到并认为这场争议值得投入资金和精力。第二，DVM的兜底机制是按代币权重计票的。有争议清算中的投票权是可以购买、可以租借、可以集中的，升级博弈本身是一个治理层面的角力场，而不是诉诸某个独立的记录。
UMIP-189挪动了什么，又留下了什么
该提案陈述的动机是行政性的。在标准的OptimisticOracleV2下，保证金规模、存续期和提议者权限的调整，都必须通过接入方自己的请求合约来路由，Polymarket认为这难以管理。受管理的合约把这些控制权提升到了专门的角色里。
- 所有者可以增加或移除请求管理者，为所有新请求设定默认的提议者白名单，设定管理谁可以发起请求的请求者白名单，并为存续期和保证金参数设定上下限。
- requestManager可以修改某个尚未提出提议的单笔请求的保证金、存续期和提议者白名单。
- 该合约可通过Polymarket与Risk Labs的2/2多签进行升级。
- UMA DAO治理仍保留对新增保证金抵押品和价格标识符的审批权，并设定最终费用。
- 争议仍会升级到DVM，这一点没有改变。
在该提案撰写之时，该合约只经过了内部审计，OpenZeppelin的审计尚待进行，提案本身也建议在该审计完成前，只将其用于低风险场景。我们尚未核实该审计是否已经完成，也未核实”仅限低风险”的建议是否已被撤销。
关于这一因果叙事，有两点需要谨慎对待。行业评论将白名单归因于此前存在的争议滥用模式。但原始文件并未这样说。UMIP-189提到的是行政管理上的困难，没有点名任何具体事件，也没有提供事后复盘。基于本文所查阅的资料，我们无法证实”争议滥用”这一说法。这一区别是功能性的：一个补救性质的白名单，暗示开放的提议者群体确实曾被证明遭到过利用；而一个行政性质的白名单，则意味着去中心化被拿来换取运营上的便利，且没有任何促成事件。
第二个不确定之处在于，白名单是否既限制提议者、也限制异议者。我们查阅到的提案文本描述了提议者白名单和请求者白名单，但并未清楚地对争议权限做出规定。如果异议提出权仍然开放，那么对抗性制衡机制就完整保留了下来，这一变化只是收窄了谁能第一个发声。如果异议提出权也被纳入白名单，那么这个乐观机制就变成了一套内部审查流程，附带一个代币投票上诉环节，“乐观”这个词也就不再描述这个机制本身了。
对这一安排的辩护应当直白陈述。裁决层并没有变动。UMA代币持有者仍然裁决有争议的结果，UMA DAO仍然治理抵押品和标识符，Polymarket无法单方面推翻DVM的投票。真正改变的是：对某个市场结果拥有最大商业敞口的一方，如今与UMA的开发实体共同设定保证金和存续期参数，而这些参数决定了挑战一份提议的成本有多高、时间有多紧。即使在诚实运营的情况下，该机制的安全性也不再来源于开放参与，而是来源于运营方保护自身特许经营权的利益，这是一种真实的激励，但保证力度明显更弱。
清算失败的四种方式
清算失败通常被当作一个单一问题来讨论。实际上它至少有四种，各自有不同的防御手段。
歧义是问题本身的失败，而不是预言机的失败。复合条件、未指明的数据来源、未定义的阈值，以及取决于由谁来描述事件的定性表述，都会导致两个诚实的当事方在阅读同一事实后得出相反的清算结论。没有任何预言机设计能在事后修补这一点。争议层被迫去立法一个它从未被授权确定的含义，而不管由哪个机构来完成这种立法，它就成了这份合约真正的作者。
贿赂与共谋是保证金经济学的失败。提议者、异议者或投票集团，为了做出错误判断而获得的报酬，超过了该机制为其错误所收取的成本。唯一的结构性防御，是让虚假结果的成本随着风险敞口的价值等比例上升，可以通过将保证金与未平仓量挂钩，或者通过升级轮次让攻击者的资金需求增长速度快于收益增长速度来实现。
供应商或投票者被俘获是集中化的失败。某一实体控制了真相的来源，无论那是一个被列入白名单的提议者群体、一个价格预言机的节点运营商群体、某个治理代币投票权重的多数方，还是一个负责初步裁决的模型的供应商。俘获不需要恶意，只需要那个集中化的一方与正确答案有一次利益背离即可。
存续期是时间维度上的失败。监控市场是要花钱的，而关注度最薄弱的时刻，恰恰是不诚实提议者会选择下手的时刻。一个短的存续期窗口加上一个低关注度的时段，即便对一个开放的提议者群体来说也是一种可行的攻击方式，因为这种制衡依赖于有人保持清醒、有资金、并且愿意锁定保证金。延长窗口能解决这个问题，却又重新引入了Augur的老问题。
| 架构 | 歧义 | 贿赂/共谋 | 供应商或投票者俘获 | 存续期 |
|---|---|---|---|---|
| 传统OOv2，开放提议者 | 未解决；被推给DVM | 完全取决于保证金对未平仓量的比例 | DVM按代币权重投票且可被购买 | 开放的监督者有帮助，但关注度无偿 |
| 受管理的OOv2，白名单 | 未解决；在上游对问题文本的内容管理有帮助 | 白名单提高了找到可被腐蚀的提议者的成本 | 将提议权集中在单一运营方手中 | 运营方直接控制存续期边界 |
| 自动化价格预言机 | 若存在预言机，则归结为预言机规格问题 | 攻击对象转向预言机，而非市场本身 | 转移到节点运营商和数据提供方 | 即时清算；没有可利用的窗口 |
| 模型初判、人工申诉 | 模型必须解读；上诉层负责立法 | 向公开信息源注入廉价的对抗性输入 | 集中在供应商、提示词和检索集合上 | 常见情形下速度快；上诉受到限量 |
| 阶梯式升级保证金争议 | 未解决 | 直接针对；成本随每轮升级而累积 | 分散，但有利于资金雄厚者 | 升级轮次延长了清算时延 |
没有任何一种架构能填补的一列，是第一列。歧义在市场创建之时、在任何预言机被咨询之前就已经存在，唯一有效的干预手段是编辑把关。经过内容管理的平台真正的核心运营创新不是预言机，而是雇佣团队来撰写只有一种解读方式的问题。
删除判断，还是转移判断
应对清算风险最干净的方式，是构建不需要判断的市场。如果问题是某个指定的预言机在指定时间戳报告的数值是否高于某个指定阈值，清算就是一次读取，而非一次裁决。歧义收敛为预言机规格问题，存续期收敛为发布延迟问题，争议层变得可有可无。Castle Labs的报告将Limitless作为案例，研究当前这一代尝试在替代性预言机基础设施上重新开放无需许可的用户生成市场。关于Chainlink和Pyth价格预言机的具体归因，来自该主题的表述框架，而非本文查阅的原始资料，因此应把供应商名称视为方向性信息，而把这一设计类别本身视为实质性论点。
这一类别有两个硬性边界。它只覆盖那些已存在持续发布、可通过合约命名的确凿真相的问题，这排除了预测市场对非交易者而言最有趣的大部分内容。而且它并没有消除预言机信任，只是改变了信任的形态。信任转移到了预言机的节点运营商和上游数据提供方身上，失败模式的性质也随之改变。一个乐观预言机的失败是缓慢的、可争辩的；一个价格预言机的失败是即时的、终局性的。一次错误的报价会在任何人能提出异议之前就使市场完成清算，没有保证金可罚没，也没有可供行动的窗口。哪种风险更可取，取决于更大的威胁究竟是有争议的清算，还是被污染的数据。
另一个方向，是由模型作出初步清算裁决，只有在申诉时才触发人工复核，这一架构在该主题的表述框架中被归因于XO Market。我们无法从查阅的资料中核实该平台的实际架构、申诉机制或往绩记录，因此以下内容针对的是这一设计类别，而非任何具体实现。
效率方面的论点是真实的。大多数清算都没有争议，对无争议清算进行人工复核纯粹是成本，而一个能廉价处理常规案例的模型，能把昂贵的那一层留给真正棘手的案例。相较于Kleros式的陪审员投票（它奖励的是一致性而非准确性），一个模型加上一套有资金支持的申诉流程，在常规问题上，延迟和准确性都有可能胜过现有方案。这里合理的比较基准，是默认无争议的乐观清算结果，而不是一个理想化的法庭。
底下潜藏着三个问题。第一是对抗性输入。一个通过阅读公开信息源来清算的模型，可以被任何有能力向这些信息源中植入文本的人操纵，而相对于大型市场的名义规模而言，向公开信息源植入文本的成本很低。有保证金的提议者可以被罚没，但一个搜索索引不能。第二是可审计性。如果没有为每一次清算单独附上已发布的模型版本、提示词和检索语料库，申诉人就无法证明模型出错了，而只能证明自己不同意，这就把申诉从一种对抗性制衡降格为一种行政请愿。第三，上诉层才是预言机真正所在之处。模型的功能只是提高吞吐效率。真正掌握清算权的是那些负责配置人员、提供资金、并对申诉进行限量分配的人，而经济动机会推动申诉变得稀少、附带保证金、且难以启动。
Augur在Lituus Foundation下的重启走了第三条路，将自己定位为清算基础设施，采用一种阶梯式升级保证金的争议模型，每一轮后续的争议都需要投入渐次增大的资本。这直接针对贿赂问题：持续的不诚实异议在算术上会变得代价高昂，而不只是在社会层面上受到劝阻。基于本文的资料，这套方案能否在一次真正有争议的高风险清算中经受住考验尚不得而知，一个从未在对抗性压力下被真正攀爬过的升级阶梯，仍然只是一个关于资本的假设。
押在一个非零即一的结论上的杠杆
arXiv上的一篇工作论文考察了当永续合约机制被叠加到二元预测市场结论之上时会发生什么，其结果恰恰因为是负面的而具有启发意义。
永续合约假设标的资产是连续变动的。而一个二元结论并非如此。它在清算之前的交易价格介于零和一之间，清算时则跳向某个端点。该论文的核心推导是：一个以价格p0开仓、杠杆倍数为L、持有至清算且未作任何调整的多头合成头寸，在结论清算为零的情况下，终值权益为-x·p0(1 - 1/L)。任何高于1倍的杠杆，在不利结果出现时都会导致账户出现亏空，与清算前的标记价格无关。清算机制的运作方式，是在入场价和爆仓价之间的中间价位上平仓。而终局性的价格跳跃，恰恰否定了这些中间价位的存在。保证金无法针对一个价格缺口发出追加通知。
该论文还推导出了它所称的资金费率三难困境。仅基于基差的资金费机制，在价格接近零或一的边界时会失去纠正力；而一个足够强、能在边界附近保持有效的统一相对基差纠正机制，则需要无限的资金转移，这要么与支付方的偿付能力相冲突，要么与参与约束相冲突。
该机制压力测试使用了2026年4月21日至27日期间观察到的Polymarket实际价格路径。在筛选的61,087个候选市场中，有13,298个通过了预先设定的充分性关卡。两项结构性诊断通过了测试，而五项预先设定的重要性测试中有三项未通过。动态保证金和杠杆压缩机制，比静态基准更早地预防了不利路径的发生，但仅将汇总回撤降低了5.1%。一种分阶段暂停机制，机械性地减少了最后一小时的爆仓数量，但整体上终局性亏空的发生率略微恶化。
这些附加说明很重要，作者本人也做了声明。这只是arXiv预印本上的一篇工作论文，研究的是一个原型结构，而非已经部署的产品，观测窗口只有一周，样本经过筛选，其贡献被定位为负面的设计教训，而非一份安全性证明。
它对清算设计的相关性在于：亏空恰恰是在预言机给出答案的那一刻出现的。即便预言机完美无缺、提议者诚实、没有任何争议、清算即时完成，加了杠杆的头寸仍会在结论清算的那一刻陷入亏空，因为这种不连续性是收益结构本身的属性，而不是观察机制的属性。解决了谁来判定真相的问题，并不能保护建立在这一真相之上的资本，一旦真相被判定，覆水难收。
不该是二元问题的问题
下面这套分类反映的是分析判断，而非行业共识，它按照各类市场的确凿真相与二元合约所表达内容的匹配程度来排序。
持续报价、可由预言机命名的问题，适合自动化清算，剩下的风险是预言机的完整性问题，而非裁决问题。由机构裁决的事件，有一个具名权威机构发布离散记录，比如选举结果认证、法院判决或按计划发布的统计数据，非常适合乐观模型，因为提议者的角色只是查阅文件，保证金规模是唯一的主要设计参数。
匹配不佳的情形从确凿真相本身处于变动之中的地方开始。突发新闻要求预言机为一个仍在变化中的事实打上时间戳，而任何存续期窗口要么短于新闻周期，要么长于该市场的有效存续期。复合和条件性问题会成倍放大歧义空间，因为每个条款都可以独立被质疑，而收益结构却只承载一个比特的信息。最糟糕的是主观性定性描述，那里根本不存在一份确凿的文件。当清算依赖于定性描述时，DVM查阅的不是某份记录，而是在有财务利益关联的代币持有者中举行一场投票。
要让当前的安排变得清晰可见，需要一个单一指标：在每个市场发起请求的那一刻，提议保证金占未平仓量的比例。乐观模型依赖于这个比例，而这正是Polymarket与Risk Labs共同设定、且没有外部治理介入的参数。除此之外，基于本文查阅的资料，还有四个悬而未决的问题：受管理的OOv2白名单是否既限制提议者、也限制异议者；待定的OpenZeppelin审计是否已经完成，“仅限低风险”的建议是否已被撤销；Lituus的升级式争议阶梯是否已在真正的对抗性压力下经受过检验；以及是否有任何运行模型生成式清算的平台，会为每一份裁决公开附上模型版本、提示词和检索来源。
Introducción
El 29 de julio de 2025, una propuesta de gobernanza de UMA redactada por Lee Poettcker pidió a los poseedores del token que aprobaran un contrato de oráculo construido para un único cliente. UMIP-189 desplegó un ManagedOptimisticOracleV2, una versión modificada del OptimisticOracleV2 de UMA, exclusivamente para Polymarket. Su rasgo distintivo es un conjunto de roles administrativos: un owner que puede mantener una whitelist por defecto de direcciones autorizadas a proponer un resultado, una whitelist de solicitantes que controla quién puede abrir una solicitud de precio, y límites impuestos sobre el bond y los parámetros de liveness asociados a cada solicitud. Ese owner es un multisig 2-de-2 entre Polymarket y Risk Labs, la entidad de desarrollo asociada a UMA.
El cambio en sí es pequeño y específico. Bajo el contrato original, afirmar qué había ocurrido en un mercado de Polymarket estaba abierto a cualquiera dispuesto a depositar un bond. Bajo la instancia gestionada, para las solicitudes de Polymarket, queda restringido a una lista.
Lo que está en juego en esa restricción ha crecido rápido. Un informe de Castle Labs publicado en julio de 2026 sitúa el volumen nocional mensual en los mercados de predicción en aproximadamente $2.000 millones dieciocho meses antes y por encima de $30.000 millones al momento de escribir esto, con un mes posterior que reportadamente superó los $40.000 millones. Son cifras del propio informe, no auditadas de forma independiente, y el volumen en este sector está concentrado y es irregular en torno a eventos programados. Incluso descontando eso, la dirección es clara: las sumas que hoy dependen de un único resultado propuesto son lo bastante grandes como para que la economía de mentir sobre él haya cambiado.
La regulación determina quién puede tomar una posición. La resolución determina si esa posición significa algo una vez que ocurre el evento. Toda arquitectura del sector, desde la aserción optimista con bond hasta los feeds de precios automatizados o los fallos de primera instancia generados por modelos, desplaza el supuesto de confianza hacia otro lugar. Ninguna lo elimina. Lo que sigue es un intento de precisar dónde coloca la confianza cada diseño y qué fallos es capaz de sobrevivir estructuralmente.
Lo que produjo la resolución abierta la primera vez
Augur se fundó en 2014 y recaudó $5,5 millones en lo que el informe de Castle Labs describe como el primer ICO del sector. Se lanzó en julio de 2018 con creación de mercados totalmente permisionless, y en pocas semanas la plataforma alojaba mercados sobre asesinatos políticos. Ese fue el fallo más difundido, pero el más silencioso importó más para quien de verdad operaba: las resoluciones disputadas podían tardar hasta 90 días.
Una ventana de disputa de 90 días no es simplemente lenta. Convierte una afirmación resuelta en un instrumento de cupón cero de duración desconocida, en manos de un trader que ya tenía razón. El capital que no puede reciclarse tiene un costo, y ese costo recae por completo sobre la parte que leyó bien el evento y tuvo la mala suerte de enfrentar una liquidación impugnada. El mecanismo de disputa se diseñó para proteger la verdad y terminó gravando la precisión.
Omen se lanzó en 2020 sobre el Conditional Token Framework de Gnosis, el primitivo de 2017 que Polymarket adoptaría después, y externalizó la resolución a Kleros, un oráculo descentralizado de votación por jurados. Kleros paga a los jurados por votar con la mayoría eventual. Ese incentivo produce un punto focal en la respuesta más predecible, que coincide con la respuesta verdadera cuando la pregunta es inequívoca y la evidencia es pública. Esos son precisamente los casos donde menos falta hace un oráculo. Donde la pregunta es genuinamente disputada, coherencia y verdad se separan, y el mecanismo optimiza lo equivocado. Omen también sufrió de resolución on-chain lenta y cara en gas, además de liquidez fragmentada. Gnosis terminó descontinuando su propio producto, citando costos de gas, escalabilidad y experiencia de usuario, no específicamente fallos de resolución.
Stox tomó el camino opuesto y operó un oráculo centralizado y controlado por la empresa pese a un ICO de $33 millones en 2018. Falló por razones de sostenibilidad de incentivos más que por dinámicas de jurado, ocupando el otro extremo del eje: discreción de una sola parte sobre la liquidación sin ningún control adversarial.
Hedgehog Markets intentó eliminar por completo el lado de la pérdida con un modelo sin pérdidas financiado por rendimiento. Poner un tope al lado alcista quitó la razón para que participantes informados se presentaran, y un mercado cuyos traders informados no tienen nada que ganar produce un precio que de entrada no vale la pena resolver con precisión.
La lección que la industria sacó de esta secuencia es que la curación abierta no escala. Esa lectura es defendible, pero la muestra mezcla varios problemas distintos, de los cuales solo algunos conciernen a la resolución: Augur falló en el contenido de los mercados y en la latencia de disputa, Omen en parte en los incentivos del jurado y en parte en el gas, Stox en centralización y economía del token, Hedgehog en los incentivos del trader. Agrupar todo esto en un solo veredicto contra el permissionless resulta conveniente para las plataformas que ganaron.
El stack de dos niveles del oráculo de Polymarket
Aserción con bond y la vía de escalación
El Optimistic Oracle de UMA no produce verdad. Produce la ausencia de objeción rentable, que es algo distinto y que la mayoría de las veces coincide con la verdad.
La secuencia es mecánica. Un contrato solicitante abre una solicitud de precio con una recompensa, un tamaño de bond y una ventana de liveness. Un proponente publica una respuesta junto con el bond. Si nadie la disputa antes de que expire el liveness, la respuesta propuesta se vuelve canónica y el mercado liquida contra ella. Si un disputador publica un bond equivalente, la pregunta escala al Data Verification Mechanism de UMA, donde los stakers del token UMA votan el valor correcto y el bond de la parte perdedora se redistribuye.
De ahí se derivan dos propiedades. Primero, la seguridad del mecanismo es una función del bond en relación con el pago de una liquidación falsa. Si un mercado tiene ocho cifras de interés abierto y el bond de la propuesta tiene cinco cifras, un proponente que sostiene el lado perdedor enfrenta un trade obviamente favorable al afirmar la respuesta equivocada. La única defensa restante del mecanismo es que algún observador se dé cuenta a tiempo y considere que la disputa vale el capital y la atención. Segundo, el respaldo del DVM está ponderado por token. El poder de voto en una resolución disputada es comprable, alquilable y concentrado, y el juego de escalación es en sí mismo una superficie de gobernanza, no una apelación a un registro independiente.
Qué movió UMIP-189 y qué dejó igual
La motivación declarada en la propuesta es administrativa. Bajo el OptimisticOracleV2 estándar, los cambios en el tamaño del bond, el liveness y los permisos de proponente debían enrutarse a través del propio contrato solicitante de la integración, algo que Polymarket encontraba difícil de gestionar. El contrato gestionado eleva esos controles a roles dedicados.
- El owner puede añadir y quitar request managers, fijar una whitelist de proponentes por defecto aplicable a todas las nuevas solicitudes, fijar una whitelist de solicitantes que rige quién puede abrir solicitudes, y fijar límites mínimos y máximos sobre los parámetros de liveness y bond.
- Un requestManager puede modificar el bond, el liveness y la whitelist de proponentes de una solicitud individual aún no propuesta.
- El contrato es actualizable mediante el multisig 2-de-2 de Polymarket y Risk Labs.
- La gobernanza del DAO de UMA conserva la aprobación de nuevos colaterales de bond e identificadores de precio, y fija las comisiones finales.
- Las disputas siguen escalando al DVM, sin cambios.
Al momento de redactarse la propuesta, el contrato había recibido solo una auditoría interna, con una auditoría de OpenZeppelin pendiente, y la propia propuesta recomendaba restringir su uso a casos de bajo riesgo hasta que esa auditoría concluyera. No hemos verificado si esa auditoría ya se entregó ni si se levantó la recomendación de bajo riesgo.
Dos cosas sobre la narrativa causal merecen cuidado. Los comentarios de la industria atribuyen la whitelist a un patrón previo de abuso de disputas. El documento primario no dice eso. UMIP-189 cita dificultad administrativa, no nombra ningún incidente y no ofrece retrospectiva alguna. No pudimos sustanciar la narrativa de abuso de disputas a partir de las fuentes revisadas aquí. La distinción es funcional: una whitelist correctiva implica que el conjunto abierto de proponentes había sido explotado de forma demostrable, mientras que una administrativa implica que se sacrificó descentralización por conveniencia operativa sin que mediara un evento forzoso.
La segunda ambigüedad es si la whitelist restringe también a los disputadores, no solo a los proponentes. El texto de la propuesta, tal como fue revisado, describe whitelists de proponentes y solicitantes; no zanja con claridad el permisionamiento de las disputas. Si las disputas siguen abiertas, el control adversarial permanece intacto y el cambio solo restringe quién habla primero. Si las disputas también quedan restringidas, el mecanismo optimista se convierte en un proceso de revisión interna con una apelación por voto de token adosada, y la palabra “optimista” deja de describir el mecanismo.
La defensa del arreglo debe formularse con claridad. La capa de adjudicación no se movió. Los poseedores del token UMA siguen resolviendo los resultados disputados, el DAO de UMA sigue gobernando el colateral y los identificadores, y Polymarket no puede revertir unilateralmente un voto del DVM. Lo que cambió es que la parte con mayor exposición comercial al resultado de un mercado ahora fija, junto con la entidad de desarrollo de UMA, el bond y los parámetros de liveness que determinan cuán costoso y limitado en el tiempo resulta impugnar una propuesta. Incluso bajo operación honesta, la seguridad del mecanismo ya no deriva de la participación abierta. Deriva del interés del operador en proteger su propia franquicia, que es un incentivo real pero una garantía estrictamente más débil.
Cuatro maneras en que falla la resolución
Los fallos de resolución suelen discutirse como un solo problema. Son al menos cuatro, y tienen defensas distintas.
La ambigüedad es un fallo de la pregunta, no del oráculo. Condiciones compuestas, fuentes de datos no especificadas, umbrales indefinidos y caracterizaciones que dependen de quién describe un evento producen todos un mercado donde dos partes honestas que leen los mismos hechos llegan a liquidaciones opuestas. Ningún diseño de oráculo repara esto después del hecho. La capa de disputa se ve forzada a legislar un significado para el que nunca tuvo autoridad, y quien haga esa legislación se convierte en el verdadero autor del contrato.
El soborno y la colusión es un fallo de la economía del bond. A un proponente, un disputador o un bloque de votantes se le paga más por estar equivocado de lo que el mecanismo le cobra por estarlo. La única defensa estructural es hacer que el costo de un resultado falso escale con el valor en juego, ya sea mediante bonds indexados al interés abierto o mediante rondas de escalación que comprimen el requerimiento de capital del atacante más rápido de lo que crece el pago.
La captura de proveedor o de votante es un fallo de concentración. Una sola entidad controla la fuente de verdad, ya sea un conjunto whitelisteado de proponentes, los operadores de nodo de un feed de precios, una mayoría del poder de voto de un token de gobernanza, o el proveedor de un modelo que dicta fallos de primera instancia. La captura no requiere malicia; requiere solo que los intereses de la parte concentrada y la respuesta correcta diverjan una sola vez.
El liveness es un fallo de la dimensión temporal. Monitorear mercados cuesta dinero, y la atención es más escasa justo en los momentos que un proponente deshonesto elegiría. Una ventana de liveness corta combinada con un intervalo de baja atención es un ataque viable incluso contra un conjunto abierto de proponentes, porque el control depende de que alguien esté despierto, tenga fondos y esté dispuesto a bloquear un bond. Alargar la ventana resuelve eso y reintroduce el problema de Augur.
| Arquitectura | Ambigüedad | Soborno / colusión | Captura de proveedor o votante | Liveness |
|---|---|---|---|---|
| OOv2 legacy, proponentes abiertos | No se aborda; se traslada al DVM | Depende enteramente de la razón bond/nocional | El DVM está ponderado por token y es comprable | Los observadores abiertos ayudan, pero la atención no es remunerada |
| OOv2 gestionado, whitelist | No se aborda; la curación del texto de la pregunta ayuda aguas arriba | La whitelist eleva el costo de encontrar un proponente corrompible | Concentra los derechos de propuesta en un solo operador | El operador controla directamente los límites de liveness |
| Feed de precio automatizado | Se reduce a la especificación del feed, si existe uno | El ataque se traslada al feed, no al mercado | Se relocaliza en operadores de nodo y proveedores de datos | La resolución es inmediata; no hay ventana que explotar |
| Fallo de primera instancia por modelo, apelación humana | El modelo debe interpretar; la capa de apelación legisla | Entrada adversarial barata en fuentes públicas | Concentrada en el proveedor, el prompt y el conjunto de recuperación | Rápido en el caso común; las apelaciones se racionan |
| Disputa con stake escalonado | No se aborda | Directamente atacado; el costo se compone por ronda | Difusa pero favorece al capital profundo | Las rondas de escalación extienden la latencia de liquidación |
La columna que ninguna arquitectura llena es la primera. La ambigüedad entra en la creación del mercado, antes de que se consulte a ningún oráculo, y la única intervención que funciona es editorial. La innovación operativa principal de las plataformas curadas no fue el oráculo, sino emplear equipos que redactan preguntas que admiten exactamente una lectura.
Eliminar el juicio frente a relocalizarlo
La respuesta más limpia al riesgo de resolución es construir mercados que no requieran juicio. Si la pregunta es si un feed determinado reporta un valor por encima de un umbral establecido en un timestamp establecido, la liquidación es una lectura, no un fallo. La ambigüedad se reduce a la especificación del feed, el liveness se reduce a la latencia de publicación, y la capa de disputa se vuelve vestigial. El informe de Castle Labs trata a Limitless como el caso de estudio de la generación actual que intenta reabrir mercados generados por usuarios de forma permissionless sobre infraestructura de oráculo alternativa. La atribución específica de los feeds de precio de Chainlink y Pyth proviene del encuadre de este tema más que de las fuentes revisadas aquí, así que hay que tratar los nombres de los proveedores como indicativos y la categoría de diseño como la afirmación sustantiva.
La categoría tiene dos límites duros. Solo cubre preguntas donde ya existe una verdad de base publicada de forma continua y contractualmente nombrable, lo cual excluye la mayor parte de lo que hace interesantes a los mercados de predicción para quienes no son traders. Y no elimina la confianza en el oráculo tanto como cambia su forma. La confianza se traslada a los operadores de nodo del feed y a los proveedores de datos aguas arriba, y el modo de fallo cambia de carácter. Un oráculo optimista falla lento y de forma discutible; un feed de precio falla instantánea y definitivamente. Un mal dato liquida el mercado antes de que nadie pueda objetar, sin dejar bond que slashear ni ventana en la que actuar. Cuál riesgo es preferible depende de si la amenaza mayor es una liquidación disputada o un dato corrompido.
La otra dirección es un modelo que emite una primera resolución con revisión humana activada solo por apelación, una arquitectura atribuida en el encuadre de este tema a XO Market. No pudimos sustanciar la arquitectura real de esa plataforma, su mecánica de apelación ni su historial a partir de las fuentes revisadas, así que lo que sigue aborda la categoría de diseño en lugar de cualquier implementación específica.
El argumento de eficiencia es real. La mayoría de las resoluciones no son controvertidas, la revisión humana de resoluciones no controvertidas es costo puro, y un modelo que despacha casos rutinarios de forma barata libera la capa costosa para los casos difíciles. Frente a la votación de jurados al estilo Kleros, que paga por coherencia en lugar de precisión, un modelo más un proceso de apelaciones financiado podría superar al incumbente tanto en latencia como en corrección para preguntas rutinarias. El estándar relevante de comparación es el resultado optimista no disputado por defecto, no un tribunal idealizado.
Debajo hay tres problemas. El primero es la entrada adversarial. Un modelo que resuelve leyendo fuentes públicas puede ser dirigido por cualquiera capaz de colocar texto en esas fuentes, y colocar texto en fuentes públicas es barato en relación con el nocional de un mercado grande. A los proponentes con bond se les puede slashear; a un índice de búsqueda no. El segundo es la auditabilidad. Sin una versión del modelo, un prompt y un corpus de recuperación publicados y adjuntos a cada resolución individual, un apelante no puede demostrar que el modelo se equivocó en vez de que simplemente disiente de él, lo cual reduce la apelación de un control adversarial a una petición administrativa. El tercero es que la capa de apelación es donde realmente reside el oráculo. El modelo funciona como optimización de rendimiento. Quien dote de personal, financie y racione las apelaciones sostiene la autoridad de liquidación, y la economía empuja a hacer las apelaciones raras, con bond, y costosas de invocar.
El relanzamiento de Augur bajo la Fundación Lituus toma una tercera vía, posicionándose como infraestructura de resolución con un modelo de disputa de stake escalonado en el que cada ronda sucesiva de impugnación exige capital comprometido progresivamente mayor. Eso ataca directamente el soborno: disputar deshonestamente de forma sostenida se vuelve aritméticamente costoso en lugar de socialmente desalentado. Si sobrevive al contacto con una resolución de alto riesgo genuinamente disputada es algo que no se puede saber a partir de las fuentes aquí, y una escalera de escalación que nunca ha sido subida bajo presión adversarial sigue siendo una hipótesis sobre capital.
Apalancamiento sobre una afirmación que termina en cero o uno
Un working paper en arXiv examina qué ocurre cuando se superponen mecánicas de futuros perpetuos sobre afirmaciones binarias de mercados de predicción, y sus resultados son instructivos precisamente porque son negativos.
Los futuros perpetuos asumen un subyacente que se mueve de forma continua. Una afirmación binaria no. Opera en algún punto entre cero y uno y salta a un extremo al momento de resolverse. La derivación central del paper: una posición larga sintética abierta al precio p0 con apalancamiento L, sostenida sin modificaciones hasta la resolución, en una afirmación que liquida en cero, tiene un patrimonio terminal de -x·p0(1 - 1/L). Cualquier apalancamiento por encima de 1x produce un déficit de cuenta en el resultado adverso, independientemente del precio marcado antes de la resolución. La maquinaria de liquidación funciona cerrando una posición en precios intermedios entre la entrada y la ruina. Un salto terminal niega la existencia de esos precios intermedios. El margen no puede reclamarse sobre un gap.
El paper también deriva lo que llama un trilema de financiación. Los mecanismos de financiación basados solo en la base pierden fuerza correctiva a medida que el precio se acerca al límite de cero o uno, mientras que una corrección uniforme de base relativa lo bastante fuerte para seguir siendo efectiva ahí requiere transferencias no acotadas, chocando con la solvencia del pagador o con las restricciones de participación.
La prueba de estrés mecánica usó trayectorias de precio observadas en Polymarket del 21 al 27 de abril de 2026. De 61.087 mercados candidatos filtrados, 13.298 pasaron los filtros de adecuación preestablecidos. Dos diagnósticos estructurales pasaron, mientras que tres de cinco pruebas de materialidad preespecificadas fallaron. El margen dinámico y la compresión de apalancamiento anticiparon más trayectorias adversas que una línea base estática, pero redujeron el drawdown agrupado en solo 5,1 por ciento. Un mecanismo de pausa escalonada redujo mecánicamente las liquidaciones en la última hora y dejó la incidencia de déficits terminales ligeramente peor en general.
Esas salvedades importan y los autores las declaran. Se trata de un único working paper en un preprint de arXiv, que estudia una estructura prototipo en lugar de un producto desplegado, sobre una ventana de una semana y una submuestra filtrada, con la contribución enmarcada como lecciones de diseño negativas más que como una prueba de seguridad.
Su relevancia para el diseño de resolución es que el déficit llega en el instante en que el oráculo responde. Incluso con un oráculo perfecto, un proponente honesto, cero disputas y liquidación inmediata, la posición apalancada queda bajo el agua al momento de la resolución porque la discontinuidad es una propiedad del pago, no del mecanismo observador. Resolver quién decide la verdad no protege el capital construido encima una vez que esa verdad se decide.
Preguntas que no deberían ser binarias
La taxonomía que sigue refleja un juicio analítico más que un consenso de la industria, y clasifica las categorías de mercado según cuán bien su verdad de base coincide con lo que expresa un contrato binario.
Las preguntas de precio continuo y nombrables por feed pertenecen a la resolución automatizada, donde el riesgo restante es la integridad del feed, no la adjudicación. Los eventos adjudicados institucionalmente con una autoridad nombrada que publica un registro discreto, como la certificación de una elección, un fallo judicial o una publicación estadística programada, encajan bien con el modelo optimista, porque el rol del proponente es una búsqueda documental y el tamaño del bond es el único parámetro de diseño primario.
Los ajustes deficientes comienzan donde la verdad de base se mueve. Las noticias de último momento le piden a un oráculo que marque el timestamp de un hecho que aún está cambiando de estado, y cualquier ventana de liveness es o más corta que el ciclo de noticias o más larga que la vida útil del mercado. Las preguntas compuestas y condicionales multiplican la superficie de ambigüedad, ya que cada cláusula es impugnable de forma independiente mientras que el pago lleva un solo bit de información. Peores son las caracterizaciones subjetivas, donde no existe un documento definitivo. Cuando la resolución depende de una caracterización descriptiva, el DVM no consulta un registro; sostiene una votación entre poseedores del token con exposición financiera.
Volver legible el arreglo actual requiere una sola métrica: el bond de propuesta como fracción del interés abierto, por mercado, en el momento en que se abre la solicitud. El modelo optimista depende de esa razón, y es el parámetro que Polymarket y Risk Labs fijan de forma conjunta sin gobernanza externa. Junto a eso, quedan cuatro dependencias abiertas a partir de las fuentes revisadas aquí: si la whitelist del Managed OOv2 restringe también a los disputadores además de a los proponentes; si la auditoría pendiente de OpenZeppelin se completó y se retiró la recomendación de uso exclusivo para bajo riesgo; si la escalera de escalación de Lituus ha sido probada bajo presión adversarial real; y si algún proveedor que opere resoluciones generadas por modelo publicará la versión del modelo, el prompt y las fuentes de recuperación asociadas a cada fallo.
Read next다음으로 읽기次に読む继续阅读Leer a continuación
FTX 이후 등장한 파이프라인, 대차대조표를 키우다
거래소 밖 결제(off-exchange settlement)는 FTX식 실패 유형 하나를 제거했지만 나머지는 그대로 남겨두었다. ClearLoop, Interchange, BitGo의 거래상대방 리스크를 짚어본다.
월드 ID, zkPassport, EUDI: 인간임을 증명하다
Orb 생체인식, NFC 칩, 국가 지갑은 저마다 다른 방식으로 개인 신원을 고정한다. 각각은 다른 방식으로 무너지며, 에이전트 위임은 그 결함을 그대로 물려받는다.
베이스 이후의 Based 시퀀싱과 프리컨퍼메이션
베이스의 2026년 6월 정지 사태가 단일 시퀀서 논쟁을 재점화시켰다. 베이스드 시퀀싱과 슬래싱 가능한 프리컨퍼메이션이 작동하는 방식, 그리고 그 대가는 무엇인가.
Follow the next market structure breakdown 다음 시장 구조 분석 받기 次の市場構造分析をフォロー 关注下一篇市场结构分析 Sigue el próximo análisis de estructura de mercado
New Steadyrain research is published several times a week across DeFi risk, BTCFi, stablecoins, and RWA. Steadyrain은 DeFi 리스크, BTCFi, 스테이블코인, RWA 분석을 매주 여러 차례 발행합니다. SteadyrainはDeFiリスク、BTCFi、ステーブルコイン、RWAの分析を毎週公開しています。 Steadyrain 每周发布 DeFi 风险、BTCFi、稳定币和 RWA 研究。 Steadyrain publica análisis sobre riesgo DeFi, BTCFi, stablecoins y RWA varias veces por semana.