Guia do Construtor HIP-3: Como a Definição de Oracle Molda o Destino do Seu Mercado Perpétuo

Quando o Hyperliquid lançou o HIP-3, mudou fundamentalmente a forma como os mercados de contratos perpétuos entram em existência. Em vez de restringir a listagem de mercados através de um processo de aprovação centralizado, o protocolo abriu o acesso a construtores qualificados—mas essa liberdade veio com uma condição: os construtores agora assumem o risco operacional. A pedra angular dessa responsabilidade começa com uma decisão muitas vezes subestimada: a definição do seu oráculo.

Após mais de três meses desde o lançamento na mainnet, os mercados implantados por construtores no HIP-3 já acumularam mais de $13 bilhões em volume de transações. Essa escala não aconteceu por acaso. Ela reflete tanto a inovação do protocolo quanto os construtores que navegaram com sucesso sua complexidade. Mas para cada mercado bem-sucedido, há uma história de advertência—como o incidente de dezembro de 2025 no trade.xyz, onde um atacante explorou uma definição fraca de oráculo em um ativo não 24/7, drenando $13 milhões em posições longas por manipulação de preço.

Este guia explica a arquitetura, os riscos e as estratégias de controle comprovadas que diferenciam mercados prósperos daqueles que spiralam para cascatas de liquidação e gatilhos de ADL.

Compreendendo a Infraestrutura do Hyperliquid: A Base para a Definição de Oráculo

O Hyperliquid não pede que os construtores reinventem a roda. Ele fornece uma infraestrutura de duas camadas:

HyperCore: Uma blockchain personalizada Layer 1 otimizada para negociações perpétuas, processando 200.000 ordens por segundo com finalidade determinística. Match, clearing e liquidação acontecem no nível do protocolo—significando que os construtores não precisam construir motores de negociação do zero.

HyperEVM: A camada de aplicação que executa contratos inteligentes, compatível com as ferramentas existentes do Ethereum.

Ao reutilizar essas camadas de infraestrutura, os construtores podem focar no que realmente importa: definição de mercado e disciplina operacional. O mercado perpétuo nativo do Hyperliquid ainda segue os processos tradicionais de listagem de CEX—validadores votam em quais contratos incluir. Mas o HIP-3 inverte esse modelo: qualquer construtor que atenda ao limiar pode lançar.

Para lançar sob o HIP-3, é necessário apostar 500.000 tokens HYPE. Seus três primeiros mercados são implantados gratuitamente; mercados adicionais requerem lances em um sistema de leilão holandês (ciclos de 31 horas, começando em 2x o preço final da rodada anterior). A exigência de staking permanece por 30 dias mesmo que você suspenda todos os mercados—isto não é um seguro opcional; é seu mecanismo de responsabilidade.

Seu Papel como Construtor: Duas Responsabilidades Distintas

O HIP-3 divide o trabalho do construtor em duas fases: definição de mercado e operação de mercado.

Definição de Mercado é sobre acertar desde o primeiro dia. Você deve especificar:

1. Definição do oráculo: Qual fonte de dados irá ancorar os preços? Qual será o preço inicial do oráculo (oraclePx)? Para um perp de ações, é o Pyth? Para uma altcoin menos líquida, é um feed de preço de CEX? Essa decisão é irreversível uma vez que os traders entram em posições.

2. Especificações do contrato: Símbolo, tamanho mínimo de ordem, alavancagem máxima, ativo de garantia (USDC, por exemplo), e tabelas de margem que vinculam limites de alavancagem ao tamanho da posição.

Operação de Mercado significa vigilância contínua:

• Alimentação de preços: Você chama setOracle repetidamente para enviar preços do oráculo. Deve haver pelo menos 2,5 segundos entre chamadas; se o preço de referência (optional) não for atualizado em 10 segundos, o sistema volta ao preço do livro de ordens local.
• Ajuste de alavancagem: Você vincula as tabelas de margem ao seu mercado, definindo limites de alavancagem escalonados com base no tamanho notional da posição.
• Controles de emergência: Você pode invocar haltTrading para congelar o mercado, cancelar todas as ordens e liquidar posições ao preço de referência atual.

O protocolo impõe limites—o preço de referência não pode se mover mais de ±1% por atualização, e todos os preços são limitados dentro de 10x o valor do início do dia. Mas esses limites não são algemas. Dentro dessas restrições, suas escolhas determinam se seu mercado prospera ou implode.

Definição de Oráculo: O Ponto Crítico para a Estabilidade do Mercado

A definição do oráculo é onde o destino do seu mercado se diverge. É a primeira coisa que você configura e a mais difícil de corrigir. Veja por que isso importa tanto.

O que Significa Realmente a Definição do Oráculo

A definição do oráculo no HIP-3 abrange três camadas:

1. oraclePx (obrigatório): O principal âncora de preço. Geralmente proveniente do seu servidor relayer, que agrega feeds externos (Pyth, AMMs de DEX, preços de CEX). Este é seu ponto único de falha se o relayer cair ou sofrer DDoS.

2. MarkPx (opcional): Preços de marca personalizados que você envia—até 2 conjuntos—para calcular o ponto de liquidação real. Aqui os construtores com modelos de precificação proprietários brilham, mas também é onde decisões ruins podem matar mercados.

3. ExternalPerpPx (obrigatório): A mediana ponderada dos preços médios de perpétuos de múltiplos CEXs. Atua como uma verificação de sanidade, impedindo que seu mercado isolado se desvie demais do consenso mais amplo.

O sistema então combina esses elementos em um preço de marca final: mediana do (livro de ordens local), seus conjuntos de preço de marca enviados, e externalPerpPx###. Se qualquer camada falhar, o sistema passa para a próxima. Se todas falharem, você negocia às cegas.

( 24/7 vs. Ativos Não 24/7: Duas Definições de Oráculo Diferentes

Para ativos 24/7 )BTC, ETH, a maioria das altcoins(: A definição do oráculo é direta. Pyth, Chainlink ou feeds diretos de CEX fornecem sinais de preço contínuos e líquidos. Seu relayer os agrega. Manipulação é cara, pois detectar discrepâncias contra dezenas de mercados externos é imediato.

Para ativos não 24/7 )ações, índices, commodities(: A definição do oráculo torna-se existencial. Pegue ações da NASDAQ. Durante o horário de mercado, Pyth fornece preços limpos. Após o fechamento, não há preço externo. Sua definição de oráculo agora precisa sobreviver no vácuo.

A armadilha: durante as horas fora do expediente, seu mecanismo setOracle não consegue buscar um preço de mercado real. Então você recorre a “último fechamento + pressão do livro de ordens interno”. Mas sem um âncora externo, a pressão interna vira um espelho—o preço reflete apenas o que está dentro do seu mercado, não o valor real do ativo subjacente.

O protocolo impõe um limite de ±1 com cap de maxLeverage na movimentação de preço )exemplo, 10x de alavancagem → variação máxima de 10%###. Em ativos de alta volatilidade durante o horário normal, isso é razoável. Em uma ação de baixa liquidez no fim de semana, com preços externos zerados, uma variação de 10% pode liquidar carteiras inteiras e disparar cascatas de ADL.

Liquidação & ADL: Como a Definição de Oráculo Impacta os Riscos de Cascata

Uma vez abertas as posições, a definição do oráculo determina quando os traders são chamados à margem.

( O Gatilho de Liquidação

A liquidação ocorre quando o valor da sua posição isolada cai abaixo dos requisitos de margem de manutenção. A verificação usa o preço de referência )calculado a partir da sua definição de oráculo(, não o preço de uma transação específica. Matematicamente:

Preço de Liquidação = )valor notional × margemRequerida### / tamanho da posição

A margem de manutenção é escalonada—alavancagem maior implica margem mais apertada, o que faz a liquidação acontecer mais cedo. Sua tabela de margem vincula esses níveis ao seu mercado, então se você definir uma alavancagem irrealisticamente alta em um mercado de baixa liquidez, as liquidações se concentram.

( Quando a Liquidação se Torna ADL

O verdadeiro horror começa quando ordens de liquidação não encontram compradores. Imagine que seu preço de referência mostra $3.000 )calculado a partir da sua definição de oráculo(, mas a profundidade do livro de ordens é escassa. Ordens de liquidação executam a $2.910—uma diferença de 3%. Se essa diferença for grande o suficiente para que as perdas de liquidação excedam a margem do trader, você criou uma “dívida ruim”.

O sistema não tolera dívida ruim. Ele aciona o ADL )Auto-Deleveraging(: posições lucrativas na direção oposta são fechadas à força ao preço de referência anterior )$3.000###, não ao preço de mercado atual. Os lucros são recuperados para preencher a lacuna, transferindo a perda para os vencedores.

Do ponto de vista do construtor, o ADL é um aviso de contágio. Cada evento de ADL indica que seu mercado está sob estresse—ou sua definição de oráculo está quebrada, ou suas configurações de alavancagem convidaram risco demais para livros de ordens rasos.

Parâmetros Críticos: Configurando a Definição de Oráculo e Alavancagem para Seu Mercado

Sua implementação de setOracle é um ajuste com potencial de alavancagem enorme. Erros podem se propagar.

( Frequência do Oráculo & Regras de Atualização

Você deve chamar setOracle pelo menos a cada 10 segundos, ou o sistema volta ao preço do livro de ordens local )deixando o preço de referência inalterado se seus feeds estiverem mais informados(. A maioria dos construtores envia atualizações a cada 2-5 segundos durante períodos voláteis.

Mas o detalhe: cada chamada de setOracle pode mover o preço de referência em no máximo ±1%. Se as condições de mercado reais mudarem 5% em um segundo )não incomum em altcoins de baixa capitalização ou eventos black swan###, sua definição de oráculo ficará desatualizada por necessidade. Liquidadores verão preços desatualizados e agirão de forma agressiva.

Definição de Oráculo para Ativos Não 24/7: O Problema do Fim de Semana

Ações e ativos tradicionais não negociam nos fins de semana. Um construtor planejando perpétuos de ações no HIP-3 deve decidir: Como definir preços de oráculo no sábado de manhã, quando não há mercado aberto?

Abordagens atuais:

Abordagem 1: Conservadora – Suspende negociações ou liquidações fora do horário. Lighter protocol e Optium fazem isso. Traders perdem acesso 24/7, mas o mercado permanece estável.

Abordagem 2: Precificação Interna – Usa “último preço externo + pressão do livro de ordens interno” para manter operação. Foi essa a tentativa do trade.xyz antes do incidente de dezembro.

A abordagem 2 expõe uma fraqueza crítica na definição do oráculo: o piso de preço de ±1/maxLeverage vira um teto de risco. Em uma ação de baixa liquidez no domingo, mesmo uma variação de 10% pode ocorrer com algumas ordens grandes. Sua definição de oráculo precisa impedir isso, mas os limites não são suficientemente rígidos.

Uma definição de oráculo melhor para ativos não 24/7 inclui âncoras suplementares:

• Blue Ocean ATS: Fornece preços de ações após o expediente. Menos líquido que negociações regulares, mas são preços reais de mercado, não estimativas internas.
• Cotações CFD de IG no fim de semana: Oferecem sinais de “movimento esperado na abertura”. Combinados com o último fechamento + preço interno, dão uma chance ao seu oráculo de permanecer ancorado.

Esses complementos não substituem um design rigoroso de oráculo—eles o aumentam. Sua definição de oráculo deve ser: “Durante o horário de mercado, Pyth. Fora do horário, último fechamento do Pyth ajustado pelo meio do Blue Ocean ATS + pressão do livro interno, limitado a ±X%.”

Controle de Risco do Oráculo: Estratégias de Monitoramento em Tempo Real para Estabilidade do Feed de Preços

Aqui o teoria encontra a operação. Sua definição de oráculo é tão boa quanto seu sistema de monitoramento.

Detecção de Falha no Feed de Preços

Seu relayer é um ponto único de falha. Se o processo travar ou perder conexão, setOracle para de funcionar. Em 10 segundos, o sistema volta ao preço do livro de ordens. Para mercados líquidos com spreads apertados, isso é suportável. Para os demais, é uma armadilha de liquidação.

Plano de ação:

• Alerta Nível 1: Feed de preços indisponível por >2,5 segundos. Faça verificação de saúde imediata nos nós do relayer. Troque para infraestrutura de backup. Publique relatório de status.
• Alerta Nível 2: Feed de preços indisponível por >10 segundos. Chame setOpenInterestCaps para congelar novas posições. Posições existentes ainda podem ser fechadas. Assim evita cascatas de liquidação enquanto reconstrói o pipeline do oráculo.

( Desalinhamento do Preço: Quando sua Definição de Oráculo Desvia

Mesmo que seu relayer esteja online, os preços do oráculo podem se afastar da realidade. Isso ocorre quando:

• Seu feed Pyth fica levemente desatualizado )acontece durante congestionamentos(.
• O preço médio do livro interno diverge devido à baixa liquidez.
• Os preços externos de CEX )usados em externalPerpPx( se movem mais rápido que suas atualizações.

Defina limites de desalinhamento quantitativamente:

• Limite A: |oraclePx - externalPerpPx| > 2%.
• Limite B: |markPx - média do livro interno| > 1%.
• Limites C & D: Medidas similares para desvios sustentados )>5 segundos###.

Plano de ação:

• Nível 1: Se 2+ limites forem acionados, chame setOpenInterestCaps para bloquear crescimento de novas posições.
• Nível 2: Atualize gradualmente as tabelas de margem, reduzindo a max leverage tier por tier. Ative o clamp de ±1% no setOracle como mecanismo de segurança.
• Nível 3: Continue as ações do Nível 2 enquanto envia alertas. Se os desvios persistirem por >30 segundos, invoque haltTrading como último recurso.

( Degradação do Livro de Ordens: Detectando Mercados Ralos

A liquidez pode desaparecer sem que o oráculo falhe. Monitore:

• Faixa de profundidade )±x%###: Volume total de ordens dentro de x% do preço médio. Típico: ±0,5%.
• Spread: melhorAsk - melhorBid. Saudável: <0,1%. Perigoso: >1%.
• Volume agressivo: volume de takers nos últimos Δt segundos. Se exceder a profundidade, há problema.

Quando a profundidade colapsa enquanto o volume agressivo aumenta, ordens de liquidação sofrerão slippage. Este é seu sinal para reduzir limites de interesse aberto antes que o ADL se propague.

Ativos Não 24/7: Definição de Oráculo Durante Fechamentos de Mercado

Vamos aprofundar no pesadelo específico: perpétuos de ações numa sexta à noite. Mercado fecha às 16h ET. Sua definição de oráculo precisa levar o mercado até o fim de semana.

( O Incidente Trade.xyz de dezembro de 2025

Em 14 de dezembro de 2025, atacantes exploraram exatamente esse cenário. Criaram uma grande posição short em XYZ100 )um perp do índice NASDAQ-100( quando o mercado estava ilíquido. O ataque:

1. Posicionamento fora do horário: Após o fechamento, com âncoras externas mínimas e livros de ordens finos, criaram enorme pressão de venda.
2. Falha na definição do oráculo: O preço de marca interno )baseado em negociações internas limitadas + último preço externo( divergiu para cima em relação às ordens de compra existentes.
3. Cascata de liquidação: Posições longas foram chamadas à margem a preços artificialmente altos. Ordens de liquidação empurraram ainda mais o mercado para baixo.
4. Cascata de ADL: O sistema fechou posições short lucrativas )incluindo a do atacante$13M a preços de marca desatualizados, mas a lacuna foi tão grande que eventos de ADL se propagaram.

A causa raiz: definição de oráculo para ativos não 24/7 fora do horário era muito frouxa. Um limite de preço baseado em 10% de alavancagem parece rígido até perceber que são 10 pontos percentuais de latitude em uma ação que pode mover apenas 2-3% em dólares reais na negociação normal.

Melhor Definição de Oráculo para Fora do Horário

Sua definição de oráculo para ativos não 24/7 deve incluir:

1. Âncora principal durante o horário: Pyth ou feeds de troca.
2. ** Âncora suplementar fora do horário**: Blue Ocean ATS ou cotações CFD da IG para sinalizar gaps de abertura esperados.
3. Verificação de sanidade interna: Se o preço interno do livro divergir >X% do âncora suplementar, acione alertas e reduza a alavancagem.
4. Gestão assimétrica de risco: Durante o horário, pode usar 10x de alavancagem. Fora do horário, reduza para 2-5x máximo. Assim diminui o risco de cascata de liquidação quando a definição de oráculo está limitada pela falta de preços externos.

Construindo seu Painel de Risco: Monitoramento de Preço, Profundidade e Posições

Construtores profissionais operam três canais de monitoramento simultaneamente:

Canal 1: Indicadores de Preço

Acompanhe a saúde do oráculo a cada 1-2 segundos:

• Latência do feed (tempo desde a última chamada setOracle)
• Desvio de preço em relação a benchmarks externos
• Quebra de limites (preço em ±1% por períodos sustentados)

Canal 2: Indicadores do Livro de Ordens

Monitore profundidade e spread a cada 5-10 segundos:

• Profundidade em ±0,5%, ±1%, ±2% do médio
• Tendências do spread bid-ask
• Correlação de volume agressivo de compra/venda

Volume agressivo alto + profundidade em colapso = sinal pré-liquidation.

Canal 3: Indicadores de Posição

Acompanhe interesse aberto e concentração por hora:

• OI total vs. volume de 24h (razão crescente = modo especulação)
• Tamanho da maior posição como % da margem disponível
• Longs vs. shorts na maioria (P&L não realizado) como % da margem

Quando o P&L da maioria exceder 80-90% da margem em preços extremos, qualquer choque de mercado dispara ADL.

A maioria dos construtores usa esses dashboards de forma reativa—alertas acionados, respostas dadas. Construtores avançados automatizam respostas:

• Queda de feed de preço >10 segundos → redução automática de OI para 50%.
• Colapso de profundidade + volume agressivo alto → redução automática de alavancagem.
• P&L da maioria >80% da margem → disparar alerta, considerar parada de mercado.

Da Definição de Oráculo à Estabilidade do Mercado: O Quadro de Responsabilidade do Construtor

O HIP-3 deu autonomia aos construtores. Também lhes deu responsabilidade.

Se seu mercado apresentar mau funcionamento—seja por definição de oráculo ruim, alavancagem imprudente ou monitoramento insuficiente—validadores podem votar para reduzir sua aposta de 500k HYPE. O protocolo não distingue malícia de incompetência. Apenas avalia os resultados: as posições foram fechadas corretamente? Os preços do oráculo ancoraram corretamente? O mercado foi estável?

O caminho para os construtores é a responsabilidade por meio da padronização:

1. Publique sua definição de oráculo: Divulgue exatamente quais fontes de dados alimentam o oraclePx, com que frequência você atualiza e sua lógica de fallback. Transparência constrói confiança e revela falhas antes que causem o colapso do mercado.

2. Implemente sistemas de prova: Para cada chamada de setOracle, gere uma prova (fontes de dados, passos de cálculo, resultado). Assine e envie para uma Merkle tree publicada na blockchain a cada hora. Permite auditoria pública das suas decisões de precificação.

3. Monitore obsessivamente: Implemente dashboards em tempo real que acompanhem preço, profundidade e saúde das posições. Configure circuit-breakers automáticos que reduzam limites de OI e alavancagem antes que a crise aconteça.

4. Projete cuidadosamente para ativos não 24/7: Se lançar perpétuos de ações, use âncoras suplementares (Blue Ocean ATS, cotações CFD) e alavancagem assimétrica (menores fora do horário). Aprenda com o colapso de trade.xyz em dezembro.

5. Estabeleça procedimentos de escalonamento: Documente quando e como invoca haltTrading. Nunca trate isso como uma alavanca casual—é o freio de emergência do seu mercado.

A inovação do HIP-3 não é tornar a implantação sem atritos. É torná-la padronizada—permitindo acesso, operação e responsabilidade. Se seu mercado sobreviverá depende de quão rigorosamente você implementa a definição de oráculo, monitora feeds de preço e responde a sinais de alerta precoce.

Os $13 bilhões em volume implantado por construtores mostram a oportunidade. O incidente trade.xyz mostra o risco. Seu sucesso depende de tratar a definição de oráculo não como uma simples caixa de verificação técnica, mas como o compromisso fundamental que determina se você está operando um mercado ou uma fazenda de liquidação.

Para suporte contínuo de segurança, preparação para auditoria e implementação de infraestrutura de monitoramento de risco, considere envolver empresas especializadas como a BlockSec, que podem ajudar a traduzir esses princípios em sistemas de produção. O custo da consultoria é uma fração do que um ataque bem coordenado pode custar.