HIP-3：Builder 部署的永续合约

Hyperliquid 协议支持无许可的 Builder 部署永续合约（HIP-3），这是永续合约上架流程完全去中心化的一个重要里程碑。

永续合约市场的部署者负责

市场定义，包括预言机定义和合约规格
市场运营，包括设置预言机价格、杠杆限制，以及在需要时对市场进行结算

HIP-3 继承了 HyperCore 技术栈，包括其高性能保证金系统和订单簿。例如，交易 HIP-3 永续合约的 API 与其他 HyperCore 操作是统一的。要交易 HIP-3 资产，只需按此处的 schema 设置资产 ID 即可。

规格

主网的质押要求为 500k HYPE。随着基础设施的成熟，该要求预计会逐步降低。质押超过最新要求的部分可以解除质押。在 dex 部署后，质押要求至少维持 183 天。
任何满足质押要求的部署者都可以部署一个永续合约 dex。提醒一下，每个永续合约 dex 拥有独立的保证金系统、订单簿和部署者设置。未来的升级可能支持共享同一部署者和质押要求的多个 dex 部署。
任何计价资产都可以用作 dex 的抵押资产。提醒一下，未能满足无许可计价资产要求的资产，将基于链上验证者投票失去计价资产资格。该投票同时会禁用以该资产作为抵押的永续合约 dex。部署者主动禁用某计价资产并不会禁用相应的永续合约 dex。
HIP-3 部署者不受与计价资产相关的罚没（slashing）影响。在未来的升级中，计价资产被禁用的 dex 将支持迁移到新的抵押代币。这种情况预计不会在主网上发生，因为计价代币部署者有独立的质押和罚没条件。总之，计价资产的选择对于手续费和产品方面的考量很重要，但对 HIP-3 部署者而言并非生死攸关的风险。
在任一永续合约 dex 中部署的前 3 个资产无需参与拍卖。额外资产需通过荷兰式拍卖，其参数（包括频率和最低价格）与 HIP-1 拍卖相同。额外永续合约的 HIP-3 拍卖在所有永续合约 dex 之间共享。未来的升级将改进为时效性强的未来部署预留资产的操作体验。部署者还可获得 7 + 0.2 * n_auction_deployments 个预留部署名额，可按当前拍卖价格使用，但绕过拍卖计时器。
HIP-3 市场包含常见的手续费折扣来源，包括质押折扣、推荐奖励和一致抵押品折扣。HIP-3 部署者可以配置 0-300%（增长模式下为 0-100%）的额外手续费分成。如果分成高于 100%，协议费用也会提高到与部署者费用相等的水平。
一致的稳定币抵押品将在一致性条件（正在根据用户和部署者的反馈进行更新）实施后自动获得较低的手续费。

结算

部署者可以使用 haltTrading 操作对资产进行结算。这会取消所有订单，并按当前标记价格对持仓进行结算。同一操作也可用于恢复交易，实际上相当于回收该资产。这可以用于上架定期合约，而无需为每个新合约参与部署拍卖。

一旦所有资产都已结算，部署者所需质押的份额即可解除质押。

预言机

虽然预言机在协议层面是完全通用的，但只有当存在定义明确、难以操纵且具有底层经济意义的底层资产或数据源时，永续合约在数学上才是最合理的。大多数价格指数并不适合作为永续合约的预言机来源。部署者在上架市场之前应仔细考虑各种边缘情况，因为其 DEX 上的所有已上架市场都可能使其遭受罚没。

罚没

注意：在下文所有用法中，"slashing" 仅在 HIP-3 的语境中使用。

为确保市场质量并保护用户，部署者必须维持 500k 质押的 HYPE。一旦发生恶意市场运营行为，验证者有权通过质押加权投票罚没部署者的质押份额。即使部署者已解除质押并发起质押提币，在 7 天解质押队列期间，该质押份额仍可被罚没。

虽然罚没最终由验证者法定多数决定，但协议准则源自对测试网的仔细分析、用户反馈和部署者反馈。其指导原则是，罚没是为了防止危及协议正确性、可用性或性能的行为。一个有用的经验法则是：任何可罚没的行为都应伴随协议实现中的一个 bug 修复。因此，HIP-3 在其最终状态下不应需要罚没。然而，对于这一大型功能集的实际推出而言，罚没是一个重要的安全机制。

罚没是技术性的，不区分恶意行为与不称职行为。相应地，罚没不区分以下情形

偏离设计良好的合约规格的部署者
忠实遵循设计糟糕的合约规格的部署者
私钥泄露的部署者

关键因素是部署者行为对协议造成的影响。注意，任何发现的 bug 只要符合漏洞赏金计划的条件（包括负责任地披露而不加以利用），都将获得该计划的慷慨奖励。我们非常感谢此类报告。

即使是未导致协议问题的恶意部署者输入企图，也可被罚没。类似地，确实导致协议问题但不属于异常的输入则不可罚没。特别是，正常运营下与部署者输入无关的 bug 不在罚没范围内。"异常"输入的解释由验证者投票决定，包括利用边缘情况或绕过系统限制的漏洞的输入。所有部署者交易都在链上，任何利益相关方都可以独立分析。

某些恶意行为按协议定义是有效的，但按某些主观解释是不正确的。罚没原则规定，协议不应干预主观事务。其动机在于：虽然权益证明区块链可以通过硬分叉回退不良的状态转换，但它们极少这样做。平台的中立性是一个极其重要、需要维护的特性。相应地，部署者被罚没的质押份额会被销毁，而不是分发给受影响的用户。这同样基于权益证明原则，并防止用户与部署者之间某些形式的激励错位。虽然协议层不强制执行主观的异常行为，但下游的应用层和社会层可以。归根结底，部署者的声誉和未来成功始终处于风险之中。

单次罚没的金额最终是验证者投票的质押加权中位数。但作为一般准则：导致无效状态转换或长时间网络中断的异常输入，最高可被罚没 100%。导致短暂网络中断的异常输入，可被部分罚没，最高 50%。导致网络劣化或性能问题的无效输入，可被部分罚没，最高 20%。

最后，罚没条件与质押者构成无关。因此，LST 运营者应仔细尽调部署者。LST 运营者还应仔细、清晰地向其用户传达罚没风险。对部署者设置自我绑定要求可能是有意义的。

在最可能的结果中，主网上永远不会发生罚没。大量的技术工作使 HIP-3 成为一个自包含且技术稳健的系统。除非出现实现问题，HIP-3 继承了 Hyperliquid 精心设计的数学偿付能力保证。

全仓保证金

重要提示：对资产启用全仓保证金是不可逆的。部署者在启用之前应仔细考虑以下条件。

尽管有系统层面的保护，用户在跨不同部署者的 DEX 使用全仓保证金时仍承担更大的风险。为了更好地保护用户，主网验证者将强制要求 HIP-3 部署者仅对满足既定资格标准的资产启用全仓保证金，包括：充足的可观察流动性、可靠的外部预言机来源，以及抗价格操纵能力。特别是，每当某资产的 `externalPerpPx` 相对当日开盘价变动超过 50% 时，验证者将进行审查，以确定部署者是否因操纵行为而应被罚没。预计每月出现超过一次 50% 日波动的资产，不符合启用全仓保证金的资格，并会使部署者遭受罚没。

后备清算者

每个 HIP-3 DEX 都在 0x400..00 + {dex_index} 处关联一个完全链上的策略，用于接管指定 HIP-3 DEX 中可被后备清算的仓位。链上后备清算者只接受已启用全仓保证金的资产，这使得这些资产在未来高波动事件中发生 ADL 的可能性显著降低。每个 DEX 的链上后备清算者是一个独立的用户，并回退到 ADL 以在数学上保证该 DEX 的偿付能力。