> **Source:** https://permissionless.fi/zh/12-insurance-funds
> From *无需许可的金融* (无需许可的金融：从永续合约到链上全球市场) by Eric Cheung. Licensed under CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/).

# 第12章 保险基金的政治经济学

2025年10月10日，加密货币市场经历了一场史无前例的大规模清算事件。在短短24小时内，可见强平名义规模超过190亿美元（据 CoinGlass 口径约191–194亿美元；受部分平台强平数据每秒仅推送一条记录的限流影响，该可见强平名义额可能系统性低估，CoinGlass 估计真实去杠杆规模或达300–400亿美元），波及约162万名交易者，加密货币总市值蒸发约3,500亿美元。这场后来被称为“10/10”事件的灾难，将一个长期潜藏在永续合约交易机制深处的问题以直接且不可回避的方式暴露在所有市场参与者面前：当一连串的强制平仓最终突破了个体交易者的保证金底线，导致账户净值跌入负数（即发生“穿仓”）时，这笔亏损究竟由谁来承担？又该以何种方式承担？

在前一章中，我们详细分析了风险是如何从个体交易者的失败，通过级联清算的链式反应，演变为席卷整个市场的系统性风险。如果说前一章回答了“风险如何蔓延”的问题，那么本章将接续这一逻辑，探讨一个更为根本的命题：“系统如何吸收和分配这些风险”。穿仓产生的亏损缺口并不会凭空消失，它必须被填补。如果这种缺口被任由扩大，盈利的交易者将无法确定自己的利润能否被刚性兑付，市场的根基，即交易对手方风险的可信管理，便会彻底丧失其根本功能。在一个交易对手方信用无法被保障的市场中，做市商将拒绝提供流动性，机构投资者将选择离场，最终整个市场将因信任的崩塌而走向萎缩。

“如何承担损失”在本质上是一个风险社会化的问题。既然穿仓损失无法由违约者自身覆盖，它必然要被转移给系统中的其他参与者。在加密货币衍生品市场中，风险社会化沿两条截然不同的路径展开：事前集资（设立保险基金）与事后分摊（自动减仓或社会化亏损）。二者并非对立的替代方案，而是同一套风险社会化机制中紧密相连的两个层级，共同构成了一个层级化的风险处置体系（其罚金来源、缓冲池机理与分摊机制将在§12.1.2展开）。

在这个体系中，保险基金绝不仅仅是一个简单的“资金池”，它是一个充满政治经济学张力的制度安排。资金从哪里来？规模是否充足？谁有权决定何时使用？使用的规则是否透明？保险基金的存在本身是否又创造了新的道德风险？本章将深入论证：保险基金是永续合约体系中技术设计与政治治理交汇最深的节点。它的技术层面（规模、充足率和触发规则）可以通过精算模型来进行优化；但其治理层面（谁控制基金、谁决定使用、信息是否公开以及用户是否被告知真实风险）涉及的则是权力、信任和利益分配的深层问题。这些问题无法单纯依靠代码来解决，只能通过严密的制度来约束。与此同时，保险基金与自动减仓机制共同构成了风险社会化的双重制度安排，这种事前集资与事后分摊的制度安排，最终决定了永续合约市场的结算可信度与规则可预期性。围绕这一核心命题，本章将依次回答三个递进的问题：风险社会化的双重机制是什么，它们如何保证结算可信度？为什么这套体系必然牵涉政治经济学，设计参数如何在多方利益博弈中被决定？如何建立系统性的分析框架，评估不同平台的风险共担机制？

## 12.1 穿仓的不可避免性

在探讨风险如何被社会化之前，首先需要理解一个核心事实：强制平仓绝不等于无风险平仓。在理论上，清算引擎似乎总是能在价格触及破产线之前精准地关闭头寸，将损失完美地控制在交易者的保证金范围之内。然而，在现实中，理想化的清算模型与混乱的真实市场之间，存在着由多种摩擦因素造成的巨大鸿沟。正是这些摩擦使得穿仓在结构上变得不可避免，而穿仓的存在，正是催生出整个风险社会化机制及其全部制度安排的根本原因。理解这些摩擦，是理解保险基金为何必须存在的逻辑起点。

### 12.1.1 强平过程中的四种摩擦

当市场进入极端波动状态时，清算机制往往会遭遇四种核心摩擦。这些摩擦并非源于清算引擎本身的设计缺陷，而是植根于市场微观结构和基础设施的内在局限性之中。它们是导致穿仓的直接推手，也是我们理解保险基金必要性的关键切入点。

最直接的摩擦来自订单簿深度不足。在大规模清算发生时，巨额的市价平仓订单会瞬间耗尽订单簿上的流动性。做市商作为市场的流动性供给者，其核心商业模式建立在价差收入之上，而非承担方向性风险。当市场出现剧烈单边行情时，做市商为了规避自身承受过大方向性敞口的风险，往往会大幅扩大买卖价差甚至直接撤回报价。这种流动性的突然枯竭，导致清算订单只能以显著不利的价格成交，最终的成交价往往远劣于交易者的破产价格。在2025年的“10/10”事件中，这一现象尤为显著。根据研究机构 Amberdata 的数据，在短短40分钟的暴力级联阶段（20:50至21:30 UTC），高达69.3亿美元的头寸被清算，清算速率飙升至每小时103.9亿美元，是事件发生前8小时正常时段每小时0.12亿美元的约866倍 [1]。在如此集中的抛压下，比特币的顶层订单簿深度萎缩了90%以上，买卖价差从正常的个位数基点飙升至两位数百分比 [2]。清算引擎在这种极端流动性真空中根本无法在不引发穿仓的情况下完成平仓。图12-1将10/10事件置于加密衍生品历史重大清算事件的纵向对比中，从中可以观察到，2025年10月10日的清算规模（约193.7亿美元，CoinGlass 口径，逾190亿）几乎是此前最高纪录（2021年4月18日约100亿美元）的两倍，是2020年“黑色星期四”的近20倍，呈现出清算规模随市场杠杆化程度加深而加速增长的趋势。

![加密货币衍生品历史重大清算事件对比](./images/fig-12-1.png)

**图 12-1**. 加密货币衍生品历史重大清算事件对比（CoinGlass 口径，存在历史性低估；2021年4月18日与5月19日两次事件规模相近，均处约90亿至100亿美元区间，按现值校核以4月18日略高）

值得注意的是，仅凭绝对清算量进行跨时期比较可能产生误导，因为加密货币市场的总体规模在不同时期有着巨大差异。更具分析价值的标准化指标是清算量与同期加密货币总市值的比率。以2020年3月“黑色星期四”为例，约10亿美元的清算量对应当时约2,000亿美元的加密总市值，标准化比率约为0.5%；而2025年10月10日约193.7亿美元的可见清算量（CoinGlass 口径，需注意该可见名义额可能因平台限流而系统性低估）对应约3.5万亿美元的总市值，标准化比率约为0.55%。两次事件在标准化指标上的接近性初步暗示，极端清算事件的相对冲击烈度在不同市场周期中可能存在某种值得进一步验证的规律性。然而，必须审慎对待这一初步观察：仅基于两个数据点不足以建立统计意义上的稳健规律；其他历史极端事件（如2021年5月19日、2024年8月5日日本央行加息引发的清算事件）的标准化比率可能显著偏离上述区间；且宏观冲击的异质性（全球系统性恐慌与区域性地缘政治冲击在传导路径和清算烈度上可能存在本质差异）意味着不宜将两次比率的一致性简单归因为加密市场的内生结构属性。此外，使用未平仓合约总量（OI）而非总市值作为标准化分母可能产生不同的结论。如果这一初步观察在更大样本和更多元的标准化方法下得到验证，将对校准保险基金的精算模型具有重要的参考意义。

![10/10事件清算速率时间线](./images/fig-12-2.png)

**图 12-2**. 10/10事件清算速率与 BTC 价格时间线（逐分钟清算速率与价格序列为基于 Amberdata、CoinGecko 特征参数的重构示意，非原始逐笔数据；端点与峰值经核）

如图12-2所示，在21:15 UTC 的60秒内，高达32.1亿美元的头寸瞬间蒸发，这种极端的清算速率完全超出了市场的流动性承载能力。值得注意的是，订单簿深度不足并非仅在极端事件中才成为问题，在日常交易中，流动性的分布本身就具有高度的时变性和非均匀性，极端行情只是将这种常态性的脆弱性以最剧烈的方式放大。做市商的撤退行为虽然从个体层面看是理性的风险规避，但从系统层面看却构成了一种“流动性的顺周期性”，即市场最需要流动性的时刻，恰恰是流动性供给最为匮乏的时刻。

与流动性不足并行的另一类摩擦是价格跳空。在某些极端行情中，资产价格并非连续、平滑地变动，而是呈现断崖式的跳水。价格可能瞬间跳过交易者的清算价甚至破产价，导致头寸根本没有机会在预设的保护价位上成交。这种现象在传统金融市场中也存在（股票市场的涨跌停板和熔断机制正是为了应对类似的价格不连续性而设计的），但在7×24小时不间断交易且缺乏熔断机制的加密货币市场中，价格跳空造成的损失规模显著更大。2020年3月12日的“黑色星期四”便是最典型的案例。当天，受新冠疫情引发的全球恐慌性抛售影响，比特币价格在约24小时内（3月12日至13日跨两个交易日）从约7,900美元暴跌至3,800美元附近，跌幅超过50% [3]。在这种极端的价格跳空中，大量使用高杠杆的多头头寸直接陷入深度穿仓。根据 Ledger Prime 的研究报告，仅 BitMEX 一家交易所约24小时滚动窗口内的清算量就超过14亿美元，其在停机期间部署了1,627笔去杠杆持仓，保险基金由约35,500枚比特币降至约33,880枚（减少约1,620枚） [4]。价格跳空的本质在于，它使得清算引擎赖以运行的“价格连续性假设”彻底失效。当价格不再连续变动时，任何基于逐步触发的清算逻辑都会因为找不到可执行的中间价位而直接导致穿仓。

标记价格与成交价的偏离构成了第三类摩擦。为了防止市场操纵和单一交易所的异常价格波动触发不合理的清算，大多数交易所采用外部现货指数的加权平均价格作为触发清算的“标记价格”。然而，当交易所内部的衍生品市场发生崩溃时，内部合约成交价会与外部指数价格产生巨大的背离。这种背离创造了一个危险的“剪刀差”：清算引擎依据相对平稳的外部标记价格判断某个头寸尚未触及清算线，但当该头寸最终需要在崩溃的内部市场中被执行平仓时，实际成交价可能已经远低于破产价。反之，在另一些情况下，内部价格的异常波动可能触发本不应该发生的清算。在2018年3月30日 OKEx（现 OKX）的一次合约闪崩事件中，外部现货指数价格维持在约7,000美元，但交易所内部的季度合约成交价却瞬间暴跌至约4,755美元（部分来源整数化为约4,800美元）。这种相对指数逾25%（按上述价位计算约30%至32%）的巨大偏差，导致大量本不该被清算的交易者遭遇了非理性的强平，并由此产生了严重的穿仓损失（OKEx 事后将全部合约回滚至当日04:07并引入价格限制规则）。标记价格机制本身是一种重要的保护措施，但它无法消除内外市场在极端压力下的脱钩风险，而这种脱钩恰恰是穿仓的又一重要来源。

基础设施拥堵则从另一维度加剧了穿仓风险。即使清算机制在逻辑设计上完美无缺，其赖以运行的底层基础设施如果出现瓶颈，同样会导致严重的后果。这一问题在去中心化金融领域尤为突出，因为链上交易的执行速度和吞吐量受到区块链底层性能的硬约束。在2020年的“黑色星期四”期间，以太坊网络因为海量交易请求而陷入严重拥堵，Gas 费用从正常时期的约20 Gwei 飙升至超过500 Gwei，涨幅高达25倍。这导致 MakerDAO 的清算机器人无法及时发送清算交易，因为它们出价的 Gas 费不足以在合理时间内被矿工打包。结果，在长达约40分钟的窗口期内，一些投机者趁机以0 DAI 的极低成本“赢得”了价值数百万美元的以太坊抵押品拍卖，被零出价拍卖清走的抵押品总价值约达832万美元（在正常清算拍卖流程中，抵押品应被竞价出售以回收等值 DAI 偿还债务，但由于清算机器人无法及时参与竞拍，投机者以0 DAI 的出价赢得了本应价值数百万美元的 ETH 抵押品）；扣除这部分被无偿拿走的抵押品后，MakerDAO 协议最终产生了约567万 DAI（约450万美元）的未抵押坏账，该缺口最终由 MKR 代币增发拍卖予以弥补 [5]。值得补充的是，0 DAI 拍卖的成功还部分归因于 MakerDAO 拍卖合约的设计缺陷，即起始竞拍价格为0且缺乏底价保护，使得在无竞争者参与时，投机者可以任意低价赢得拍卖。这一事件表明，在 DeFi 领域，清算机制的有效性不仅取决于智能合约的逻辑正确性，还取决于底层区块链网络在极端压力下的可用性和可靠性。值得指出的是，自2020年以来，这一领域的基础设施已发生显著变革。当前的去中心化永续合约平台（如 Hyperliquid、dYdX v4）大多运行在独立的应用链或高性能 Layer 2上，Gas 拥堵问题已基本解决。然而，新架构引入了新的基础设施风险形态，包括排序器（sequencer）的单点故障风险、应用链共识延迟以及跨链桥依赖性，这些新型瓶颈在极端行情中同样可能导致清算延迟和穿仓。

这四种摩擦表明了一个核心事实：即使机制设计本身再完善，其赖以运行的基础设施瓶颈、市场流动性的内生限制以及价格发现的非连续性，都可能导致严重的穿仓。穿仓绝不是系统设计的缺陷，而是在真实市场摩擦下不可避免的结构性必然。这种结构性必然直接导致了对风险社会化机制的根本需求。

![强平过程中四种摩擦的典型案例与量化影响](./images/fig-12-3.png)

**图 12-3**. 强平过程中的四种摩擦及其典型案例（面板①取2025年“10/10”事件，面板②至④取2020年3月12日“黑色星期四”；各面板量纲异质，面板①以清算速率近似订单簿深度枯竭）

### 12.1.2 事前集资与事后分摊

穿仓的必然性决定了其经济学后果必须被系统性地处理。穿仓实质上是债务人（被清算且净值为负的交易者）对债权人（盈利的交易者）的违约。在传统金融市场中，券商可以通过法律途径向违约客户追讨欠款，因为客户的真实身份和资产状况是已知的。然而，在加密货币市场中，由于账户的匿名性（或至少是假名性）和缺乏现实世界的法律追索权，平台无法像传统券商那样向违约者追讨差额。这种制度特征在行为层面构成了一种隐性的道德风险激励：高杠杆交易者面临的是“有限责任+无限上行”的不对称收益结构：盈利归个人，而超出保证金的亏损由保险基金或其他交易者承担。正如 Jensen 与 Meckling (1976) 在经典的代理理论分析中所指出的，有限责任会系统性地激励风险偏好的上移 [6]。值得注意的是，随着了解你的客户（Know Your Customer, KYC）要求的普及和链上身份追踪技术（如 Chainalysis、Arkham）的进步，这一“无法追索”的约束正在被逐步侵蚀，但在当前阶段仍是加密衍生品市场的普遍现实。这意味着穿仓产生的损失无法被推向系统外部，它必须在系统内部被消化。换言之，损失必须被社会化，即由系统中的某些参与者群体来共同承担。理解这一必然性需要认识到永续合约市场在剔除资金费率与手续费后的（加总意义上的）零和本质：在加总层面，穿仓者的超额亏损恰好对应着合约另一侧持有者（通常为盈利方）的应收未实现利润。穿仓者的亏损超出了其保证金所能覆盖的范围，而这部分超额亏损在会计上对应着盈利方的应收利润。如果系统不通过某种机制将这笔“坏账”分摊出去，盈利方的利润将变成无法兑付的纸面数字。因此，风险社会化并非制度设计者的主观选择，而是零和结构下穿仓必然产生的逻辑结果。面对这一挑战，加密货币衍生品市场演化出了两条截然不同的风险社会化路径。

第一条路径是事前集资，其核心载体便是保险基金。保险基金在穿仓事件发生之前，通过向那些触发清算的风险制造者持续收取清算罚金，逐渐积累起一个公共的资金池。除清算罚金外，保险基金的收入来源还包括清算盈余（当清算执行价优于破产价时产生的价差，在正常市场条件下通常是基金增长的主要驱动力）以及部分平台从手续费收入中划拨的专项补贴。当穿仓真正发生时，这个资金池会作为第一道防线，统一出资填补亏损缺口。这种方式的核心优势在于：它对盈利交易者没有任何直接影响，不会侵蚀他们的利润，也不会破坏他们精心构建的对冲策略。更重要的是，由于保险基金的规则是事前确定的，它为市场提供了高度的规则可预期性。交易者在入场之前就能清楚地知道，在正常情况下，他们的盈利不会因为其他人的穿仓而受到侵蚀。

第二条路径则是事后分摊，主要表现为社会化亏损和自动减仓两种机制。当保险基金被耗尽，系统别无选择，只能将损失强加给盈利的交易者。社会化亏损采用全局分摊的方式，将总亏损按比例从所有盈利者的账户中扣除。这种方式虽然让每个人的损失相对较小，但其金额是完全不可预测的，交易者在结算时才会发现自己的利润被部分扣减。自动减仓则采取定向选择的方式，系统会根据收益率和杠杆率的综合排序，强制平掉排名靠前的盈利头寸，以冲销违约者的亏损。被自动减仓（Auto-Deleveraging, ADL）的交易者通常以穿仓者的破产价格被强制平仓，这意味着被选中的盈利交易者不仅失去头寸，还可能以远劣于当前市场价的价格被执行，其实际损失幅度可能远超账面盈利的回吐。这种机制对被选中的交易者来说可能是破坏性极强的：一个在多个交易所之间精心构建的跨市场对冲组合，可能因为其中一条腿被 ADL 强制平仓而瞬间从“市场中性”变为“裸露的方向性敞口”。被 ADL 后交易者面临的执行挑战远不止于此：另一交易所的对冲腿需要在同样流动性匮乏的市场中紧急平仓，跨平台资金再平衡依赖链上转账（在网络拥堵时可能延迟数十分钟），且极端行情中的滑点叠加效应使总损失远超 ADL 直接造成的账面影响。ADL 对跨平台对冲策略的实际破坏力远大于单一头寸的损失，其不可预测性严重破坏了市场的信任基础。

![风险社会化瀑布](./images/fig-12-4.png)

**图 12-4**. 永续合约清算与风险社会化瀑布

通过对比可以清晰地看出，无论是社会化亏损还是自动减仓，它们都是在用破坏规则可预期性的方式来解决眼前的危机。社会化亏损让所有盈利者的利润变得不确定，自动减仓则让部分盈利者的头寸存续变得不确定。这种不确定性是任何成熟金融市场都极力避免的“根本性缺陷”，因为它直接侵蚀了市场参与者对结算系统的信心。正因如此，事前集资的保险基金才显得具有决定性影响：它不仅是一个资金缓冲池，更是降低事后分摊机制被触发概率的最终缓冲。保险基金的规模越充足，事后分摊被触发的概率就越低，市场的结算可信度和规则可预期性就越高。

值得指出的是，事前集资与事后分摊并非唯一可想象的风险社会化架构。在传统金融和学术文献中，至少存在三类替代性或补充性机制。第一类是熔断机制，即当价格在短时间内跌幅超过预设阈值时，系统暂停交易，为流动性恢复和信息消化争取时间窗口。传统股票市场广泛采用这一机制，但在7×24小时运行且以抗审查为核心理念的加密市场中，“谁有权按下暂停键”本身就是一个治理难题。第二类是做市商担保机制，即指定做市商在极端行情下承担最后承接义务，类似于纽约证券交易所的指定做市商制度。然而，加密市场的做市商通常不受此类义务约束，且在极端行情中往往是最先撤离流动性的群体。第三类是强制对冲要求，即要求超过一定规模的单边头寸必须在外部市场持有对冲仓位，从根源上限制穿仓风险的产生。这一机制在概念上最为彻底，但在匿名化的加密市场中缺乏执行的技术基础。上述替代机制的实践局限性，从反面论证了当前“保险基金+ADL”双层架构在加密衍生品市场中的制度合理性。尽管它远非完美，但它是在现有技术和治理约束条件下最为可行的风险社会化方案。

### 12.1.3 负外部性内部化与公共品供给

从经济学的深层视角来看，保险基金的本质是一种将负外部性内部化的机制。在永续合约市场中，高杠杆交易者为了追求高额回报而承担了极大的风险。当市场反向波动导致他们穿仓时，这种亏损如果得不到妥善处理，就会直接转化为其他盈利交易者的损失。这种由部分人的冒险行为导致其他人受损的现象，在经济学中被称为典型的负外部性。在没有任何干预机制的情况下，风险制造者不需要为自己行为的全部社会成本买单，这会导致系统性的过度冒险，因为冒险的收益归个人，而冒险的损失却由集体承担。

保险基金通过一种巧妙的制度设计解决了这个问题。它向那些从事高风险行为并最终被清算的交易者征收一笔费用，即清算罚金。这笔费用可以被视为一种“风险税”，迫使风险制造者在事前就为自己可能造成的外部性付出代价。系统将这些税收汇集起来，形成一个公共的缓冲池，专门用于处理极端情况下的穿仓恶果。通过这种方式，保险基金在系统内部形成了一个风险定价和成本吸收的闭环，成功地将个体投机带来的负外部性进行了内部化处理。这种机制在经济学原理上与庇古税高度相似，通过对产生负外部性的行为征税，使私人成本趋近于社会成本，从而纠正市场失灵。需要指出的是，庇古税的核心功能是事前改变行为激励以减少负外部性活动的数量，而非事后补偿受害者。如果现有清算罚金水平不足以有效抑制过度杠杆行为（即未达到庇古最优税率），则保险基金更接近于一种“强制风险互助金”的制度安排而非严格意义上的庇古税。

![保险基金作为公共品内部化负外部性](./images/fig-12-5.png)

**图 12-5**. 保险基金将负外部性内部化的机制对比

如图12-5所示，有保险基金对应成本吸收的良性闭环，无保险基金则对应负外部性沿交易对手方链条的外溢扩散。

需要指出的是，保险基金的核心产出并不是通过投资这些资金来获取收益，而是为整个市场提供两项具有决定性影响的公共品。第一项公共品是结算可信度。只有在保险基金充当坚实后盾的情况下，盈利的交易者才能确信他们的账面利润能够被全额、刚性地兑付，而不必时刻担忧别人的失败会侵蚀自己的收益。这种确信对于做市商尤为关键：做市商之所以愿意在市场中持续提供双边报价，前提是他们相信自己的盈利能够被可靠地结算。如果这种信任被打破，做市商将选择撤离或大幅扩大价差，市场流动性将因此急剧萎缩。第二项公共品则是规则可预期性。国际清算银行在其《金融市场基础设施原则》中明确指出，确保对守约方的支付承诺得以履行，是任何金融市场基础设施的核心功能 [7]。在加密货币衍生品市场中，保险基金正是这一核心功能在加密市场中的制度载体。它使得“你赚了钱就一定能拿到”这一看似理所当然的承诺，在一个充满匿名交易者和极端波动性的市场中成为可能。

![主流交易所保险基金规模与持仓量比率对比](./images/fig-12-6.png)

**图 12-6**. 主流交易所保险基金规模与持仓量比率对比（基金与持仓量比率为作者估算口径，平台未公开该比率，其中 Hyperliquid 比率基于 HLP 总 TVL 上限估计；基金规模为 as-of 2025 快照，现值已变动、时效性强）

图12-6对比了主流交易所保险基金的绝对规模与相对规模。从该图可以观察到，绝对规模最大的平台（如 Binance，超过23亿美元）在基金/持仓比率上（约6.6%）反而低于绝对规模较小的去中心化平台（如 Hyperliquid，约18.6%）。这种差异表明，绝对规模本身可能产生误导，基金与总持仓量（此处“总持仓量”指全站所有交易对未平仓合约的名义价值总和，即 Open Interest 的美元计价聚合值）的比率才是衡量单位风险敞口对应缓冲厚度的有效指标。需要特别说明的是，此处 Hyperliquid 的约3.9亿美元为 HLP 金库总 TVL，涵盖做市策略和清算金库策略的共同资金池。在2025年 JELLY 事件后，清算金库已与 HLP 主池进行资产隔离，其独立规模被限定为 HLP 总余额的“一小部分”（具体比例未公开披露），显著低于 HLP 总 TVL。因此，将 HLP 总 TVL 直接用作保险基金规模进行跨平台比较可能高估 Hyperliquid 的实际风险缓冲厚度，18.6%的比率应被理解为基于 HLP 总 TVL 的上限估计。

然而，保险基金并非一种完美无缺的机制。它在解决负外部性问题的同时，也引入了关于规模充足性、透明管理以及道德风险等一系列新的复杂挑战。保险基金的规模是否足以应对极端事件？基金的使用规则是否透明且可验证？保险基金的存在是否反而鼓励了交易者承担更大的风险（因为他们知道有一个“安全网”在风险承担）？从委托-代理理论的视角来看，保险基金的运行嵌套着两层委托-代理关系。第一层是平台与交易者之间：交易者作为委托人将风险管理权委托给平台运营的保险基金，但平台作为代理人拥有关于基金真实状况的信息优势，这种信息不对称可能导致平台隐藏基金的真实风险敞口或挪用基金资产（隐藏行动型道德风险）。第二层是平台与流动性提供者之间：LP 将资金存入做市金库或保险池，委托平台代为管理风险承销，但 LP 对平台的清算策略、风险参数调整和极端情形下的裁量决策缺乏充分的可观测性（隐藏信息型逆向选择）。这种双重委托-代理结构意味着，保险基金的制度设计不仅需要解决“资金够不够”的技术问题，还需要通过激励相容的机制设计来缓解每一层代理关系中固有的道德风险。这些挑战不仅考验着平台的技术设计能力，更考验着其治理智慧。在后续的章节中，这需要从清算瀑布的制度架构、精算充足率模型、自动减仓的经济后果、政治经济学博弈、信心与流动性的传导机制、双重道德风险以及治理光谱等多个维度，对这些问题进行逐一的深入剖析。

## 12.2 自动减仓：风险社会化的最终机制

当极端行情导致清算引擎的平仓订单因流动性不足而无法执行，保险基金被完全耗尽时，系统便会触发其最后的防御机制，即自动减仓。作为清算瀑布的最底层，ADL 是加密衍生品市场中争议程度最高的制度设计。它不再试图通过市场化手段化解风险，而是通过强制干预，直接剥夺部分盈利交易者的利润与头寸，以换取整个系统的生存。ADL 不是简单的“风险承担开关”，而是一个复杂的机制设计问题，涉及排序算法的公平性、对不同参与者的差异化冲击，以及在偿付能力、收入和公平性之间无法逃避的三元悖论。理解 ADL，不仅是理解一种风控算法，更是分析加密市场在极端状态下效率、公平与偿付能力之间权衡关系的切入点。

![ADL决策流程图](./images/fig-12-7.png)

**图 12-7**. 从价格波动到 ADL 触发的决策流程

### 12.2.1 排序算法

当穿仓损失逐级突破保证金、清算引擎和保险基金三层缓冲后，系统最终进入 ADL 阶段（如图12-7所示）。ADL 的核心在于决定“谁来承担损失”。当穿仓损失超过保险基金当前余额，或基金余额降至预设阈值以下时，ADL 便被触发。系统首先识别穿仓亏损缺口的规模，然后在反向盈利头寸持有者中按排序算法确定减仓优先级，从排序最高者开始强制以破产价格平仓，直到亏损缺口完全填补。所谓“反向盈利头寸”在主流实现中严格限于同一合约的反向持仓，即 BTC 多头穿仓时，系统仅在 BTC 空头中的盈利者中选择 ADL 对象，不会跨合约执行。这一设计的直接后果是，对于低流动性的长尾资产，如果多空头寸高度失衡，可供 ADL 的反向盈利头寸极为有限，这正是§12.2.3中 WLD 案例结构性坏账的根本原因。在面对系统性的穿仓缺口时，交易所必须制定一套明确的规则，从众多盈利的交易者中挑选出“牺牲者”。这套规则的具体体现便是 ADL 的排序算法。目前，市场上的 ADL 算法主要演化出三种不同的范式，每种范式背后都蕴含着截然不同的设计哲学。

最古老、应用最广泛的是基于“利润率与杠杆率乘积”的队列排序算法。该排序公式由 BitMEX 于2016年引入（2015年 Huobi 最早引入的是 ADL 机制本身，但缺乏可估算的排序），此后几乎成为了包括 Binance（2019年采用该公式）、Bybit 以及去中心化平台 Hyperliquid 在内的行业标准 [8]。其核心逻辑在于，那些使用最高杠杆并获取最大未实现利润的交易者，被视为从当前极端行情中获益最多、同时也是对系统风险贡献最大的群体。因此，系统会根据收益率和有效杠杆倍数的乘积为所有盈利账户打分并排队。当需要进行 ADL 时，系统会严格按照从高到低的顺序，逐一强制关闭这些“头部赢家”的头寸，直到穿仓缺口被完全填补。这种算法的优势在于执行效率极高，能够以最少的操作次数消灭最大的风险敞口。然而，其核心的缺陷在于过度集中地惩罚了最成功的交易者，引发了强烈的道德风险和逆向选择。被选中的交易者可能损失全部盈利甚至更多，而绝大多数盈利者则完全不受影响。更严重的是，队列排序算法的 Sybil 抗性极低，精明的交易者可以通过将一个大账户拆分为多个小账户来降低每个账户的排序得分，从而有效规避被 ADL 选中的风险，这使得最终承受 ADL 冲击的往往是那些不够老练的参与者。然而，Sybil 规避策略本身并非零成本：在中心化交易所中，多账户操作面临 KYC 身份验证的硬性约束；在去中心化平台上，分散持仓导致每个子账户需独立维持保证金（丧失了交叉保证金的资本效率），且多账户管理在极端行情中增加了操作失误的概率。

![三类ADL排序算法对比](./images/fig-12-8.png)

**图 12-8**. 三类 ADL 排序算法的执行逻辑对比

如图12-8所示，队列排序集中打击头部赢家，按比例分摊均匀分配损失，风险加权分摊则根据账户的综合风险敞口动态分配。为了缓解队列排序带来的极端不公，部分去中心化交易所（DEX，如 Drift 和 Paradex）开始探索按比例分摊算法 [9]。这种算法放弃了对“最大赢家”的精准打击，转而将穿仓缺口按照所有盈利账户的利润比例进行均匀分摊。这意味着，无论杠杆高低，只要账户处于盈利状态，都必须为系统的生存缴纳一份“强制税”。按比例分摊在表面上显得更为温和与公平，每个人的损失较小，且 Sybil 抗性极高（拆分账户不影响比例分摊的结果）。然而，在实际执行中，由于涉及大量微小账户的同步操作，其计算复杂度和执行延迟显著增加，在分秒必争的极端行情中往往显得力不从心。更深层的问题在于，按比例分摊如果不考虑风险差异，会导致低风险交易者为高风险交易者提供隐性补贴。当这种补贴成本超过了低风险交易者从平台获得的交易效用时，他们将理性地选择退出，导致平台上的平均风险水平上升，进而迫使更多低风险者退出，形成自我强化的连锁退出效应。

近年来，学术界提出了更为先进的风险加权分摊算法。以 Tarun Chitra 在2025年底发表的研究为代表 [10]，RAP 算法试图在效率与公平之间寻找动态平衡。它不再单纯依赖静态的利润或杠杆指标，而是将账户的整体风险敞口、历史波动率以及当前市场的流动性深度纳入考量，通过复杂的数学模型实时计算出每个账户应承担的最优减仓份额。其核心思想是“风险与成本对齐”，即对系统风险贡献更大的账户应承担更多的减仓份额，而非简单地按利润或杠杆排序。Chitra 的研究进一步提出了 MDIC 算法，该算法能够实现O(√T)的遗憾界，而任何静态策略在对抗性环境中都会产生线性遗憾Ω(T)。这里的核心区分在于：静态策略（如固定的队列排序或固定的按比例分摊）在面对适应性对手时，其累积遗憾随时间步T线性增长，意味着策略的性能与最优事后基准之间的差距将不可控地扩大；而 MDIC 作为一种在线学习算法，通过在每一轮 ADL 事件后根据观测到的市场状态动态调整分摊权重，将累积遗憾压缩至O(√T)，即次线性增长。这一从Ω(T)到O(√T)的量级跃迁，在其形式化模型中论证了两个命题（该结论来自预印本，尚待同行评审复核）：第一，在对抗性（adversarial）市场环境的前提下，任何不随市场状态调整的静态 ADL 规则都无法达到次线性遗憾，因而是次优的；第二，存在可计算的动态策略能够渐近逼近最优性能 [10]。此外，在线学习框架渐近最优性（O(√T)遗憾界相对于Ω(T)的优势）建立在T趋于无穷的前提之上，而 ADL 事件极低频（10/10事件12分钟窗口仅产生约1,000次冲击，多数平台一年仅经历个位数 ADL 事件），T较小时（如T<100）二者的实际数值差异可以忽略。因此，MDIC 算法的工程价值可能更多体现在其动态调整权重的思想上，而非严格的渐近最优性保证。加之 MDIC 算法的计算复杂度（每轮需要求解一个凸优化问题）和工程实现的挑战，使其目前仍难以在生产环境中大规模部署，更多地停留在学术探索阶段。

### 12.2.2 三元悖论

深入剖析 ADL 机制，可以发现其面临着一个无法逃避的理论困境，即 ADL 三元悖论。在设计任何 ADL 策略时，交易所都试图同时实现三个核心目标：维持系统的偿付能力、保护平台的长期收入以及确保对交易者的公平性。然而，Chitra 在2025年的研究中在其形式化模型中证明，在该论文设定的目标与可行策略类下，不存在在偿付能力、长期收入与公平性三个维度上同时占优的 ADL 算法（三者构成帕累托权衡），交易所必须在其中做出艰难的权衡 [10]。

![ADL三元悖论雷达图](./images/fig-12-9.png)

**图 12-9**. 不同 ADL 策略的三元悖论表现（概念示意，作者定性评分，非实测数据）

图12-9以雷达图形式呈现了不同 ADL 策略在三个维度上的取舍：队列排序偿付能力最高而公平性最低，按比例分摊相反，风险加权分摊则寻求均衡。偿付能力是交易所的核心约束，要求 ADL 必须迅速、彻底地抹平所有的穿仓缺口。为了达到这一目的，最有效的方法就是采用激进的队列排序算法，直接切断最大赢家的头寸。然而，这种做法严重破坏了公平性，因为它让极少数人承担了不成比例的系统性代价。更严重的是，这种粗暴的掠夺会显著降低高净值交易者的参与意愿，导致他们在遭受 ADL 后选择永久性地离开平台（即用户流失）。高频交易者和做市商的流失，将直接导致平台流动性枯竭和长期手续费收入的锐减，从而损害了交易所的长期收入目标。

如果交易所为了保护长期收入和维护公平性，选择更为温和的按比例分摊或设置减仓上限，那么在面对海量的穿仓缺口时，ADL 的执行力度可能远远不够。这不仅无法在短时间内恢复系统的偿付能力，反而可能因为风险的持续蔓延而引发更大规模的恐慌和挤兑。而如果优先保护鲸鱼客户（高净值交易者）以维护收入，则意味着中小交易者需要承担更大比例的损失，公平性被进一步扭曲，且系统性风险可能因为大额头寸未被及时处置而持续累积。在这个三元悖论的框架下，现有的主流队列排序算法实际上是选择了“不惜一切代价保全偿付能力”，而将公平性和长期收入作为了牺牲品。

为了量化这种不公平性，Chitra 引入了利润-偿付能力比率这一指标 [10]。PTSR 衡量了交易者在遭受 ADL 后保留的利润与其对系统偿付能力贡献之间的关系。数学分析表明，PTSR 的量级约为O(b_n/n)，其中b_n是最大赢家的利润，n是交易者总数。对于轻尾（薄尾）的概率分布，最大赢家利润相对总规模渐进可忽略（b_n = o(n)），这意味着随着交易所规模的扩大，ADL 对顶级赢家的“剥夺”趋于完全，在足够大的交易所中，最成功的交易者将趋于失去几乎全部利润。需要强调，这一结论以轻尾假设为前提：当损失/利润分布呈本章§12.3.5所述的幂律重尾（尾部指数α<2）时，b_n 可能与总规模同阶，此时该剥夺结论会被削弱甚至逆转——而这恰恰是长尾/Meme 资产场景下最可能出现的情形。理想状态下，PTSR 应接近0.5，意味着风险分担是相对均衡的（此处0.5的基准隐含了一种对称公平性假设，即每单位偿付能力贡献应保留约一半的利润；在不同的公平性理论框架下，如 Rawlsian maximin 原则优先保护最弱势参与者、功利主义框架追求总效用最大化，理想的 PTSR 值可能存在差异）。然而，在传统的队列排序算法下，最大赢家的 PTSR 往往低于0.001，甚至达到千分之一的极端水平，这意味着他们几乎被剥夺了所有的合法利润。相比之下，按比例分摊和风险加权分摊策略的 PTSR 在0.3至0.5之间，显著更为公平。

![PTSR对比图](./images/fig-12-10.png)

**图 12-10**. 不同 ADL 策略下的 PTSR 对比（PTSR 数值为作者构造或示意，基于 Chitra、Gauntlet 的 ADL 研究，一手论文未核实；“智能队列”无独立来源，仅定性排序成立）

图12-10量化了这种不公平性差异。从 Stackelberg 博弈的视角来看，这一三元悖论还具有更深层的动态含义。ADL 的博弈结构可建模为序贯博弈。在无承诺的同时博弈（Nash）设定下，存在一种“坏均衡”：交易者预期 ADL 的严厉程度会很高，因此选择撤出或降低仓位；交易者的撤出反过来减少了可供减仓的盈利头寸总量，迫使系统在下一次危机中对剩余参与者施加更高的减仓强度，形成恶性循环。而在 Stackelberg 设定下，交易所可以通过事先承诺一种激励兼容的策略（如 RAP 或 MDIC），向市场发出可信的信号，协调参与者走向“好均衡”，即交易者相信减仓将是公平的，因此愿意留在平台上，从而为系统提供更充足的减仓缓冲 [10]。

### 12.2.3 形式化分析与实证检验

长期以来，关于 ADL 的讨论多停留在经验和直觉层面，缺乏严格的数学框架和大规模的实证检验。直到2025年底，Tarun Chitra 发表了关于 ADL 机制的首份严格形式化分析论文 [10]，才将这一领域的认知推向了科学的维度。Chitra 的研究不仅在理论上证明了 ADL 三元悖论的存在，更通过对真实历史事件的高保真逐笔数据回放，揭示了现有机制的巨大缺陷，为 ADL 算法的优化提供了坚实的实证基础。

这项研究的核心实证基础是发生在2025年10月10日的极端市场崩盘事件（业内称为“10/10事件”）。在那个黑色星期四，受宏观地缘政治消息的突发冲击，加密市场在短短24小时内触发了超过190亿美元的可见强平名义规模，波及约162万名交易者，创下了有记录以来最高的可见清算纪录 [11]。在 Hyperliquid 等去中心化平台上，ADL 机制被频繁触发。Chitra 的研究聚焦于2025年10月10日21:16至21:27 UTC 的12分钟窗口，在这短暂而剧烈的时间段内，Hyperliquid 发生了约21亿美元的头寸清算，涉及约160个资产和19,337个钱包，产生了T=1,097次 ADL 冲击，其中201次产生了正的亏损缺口（即真正的穿仓） [10]。

通过对这12分钟内发生的1,097次 ADL 冲击进行逐笔数据重放，Chitra 的分析揭示了一个显著的现象：过度减仓。在生产环境中运行的队列排序算法，由于缺乏对全局缺口的动态感知，往往会机械地关闭远超实际需要的头寸。数据表明，在这短短12分钟内，累计实际亏损总额（即所有穿仓事件中账户净值跌破零后产生的负债缺口（shortfall）的动态累计值）约为2,324万美元，而所有盈利者可供减仓的总利润（即同一时间窗口内反向盈利头寸的未实现利润总和，亦即可削减的 PnL 额度）仅为662万美元。然而，生产环境的队列排序策略竟然累积执行了高达约6.536亿美元的过度减仓（此处“过度减仓”以被强制平仓头寸的**权益价值**（equity，即保证金+未实现利润）衡量，而非以利润口径衡量），单次最大过度减仓高达4,710万美元 [10]。这三个数字之间看似矛盾的量级差异（百万级 vs. 亿级）源于两套不同的计量口径：亏损缺口和可用利润以“盈亏（Profit and Loss, PnL）美元”衡量（仅计入利润/损失部分），而过度减仓以“权益美元”衡量（包含保证金本金+利润的完整头寸价值）。本书据公开数据测算，受影响交易者的平均权益/利润比率约为6.66倍（论文本身未直接给出该比率），意味着每1美元的可削减利润对应约6.66美元的头寸权益 [10]。队列排序算法的核心问题在于，它会将排名最高的盈利者的**整个头寸**强制全额平仓，而非仅削减填补缺口所需的最小利润份额。举一个简化的数值示例：假设一个 BTC 空头穿仓产生10万美元的亏损缺口，而反向最大盈利者持有500万美元权益价值的多头头寸（其中保证金425万美元，未实现利润75万美元）。队列排序算法会将该多头的全部500万美元权益头寸强制平仓以填补10万美元的缺口，其中490万美元权益价值的平仓是不必要的过度减仓。正是这种“为了消除小额缺口而关闭大额头寸”的粗糙逻辑，导致系统对盈利者施加了数十倍于必要规模的强制平仓。所有经过优化的替代策略（包括 Smart Queue、Mirror Descent、Vector Optimization 和 Hybrid Blend）都将过度减仓控制在接近零的水平，以被强制平仓的权益总额计，这表明约98%属于填补缺口所不必要的过度减仓，纯粹是排序算法粗糙设计对盈利交易者造成的额外伤害。

![ADL过度减仓对比图](./images/fig-12-11.png)

**图 12-11**. 不同 ADL 策略的累计过度减仓规模对比（柱高为被强平头寸的权益美元口径，含保证金本金与未实现利润，非 PnL 实际亏损缺口；实际亏损约2,324万美元，过度减仓约为其28倍）

图12-11对比了不同策略的累计过度减仓规模，生产环境的队列排序策略与接近于零的优化策略（Smart Queue、Mirror Descent 等）之间的巨大差距印证了静态排序规则的粗糙性。在链上环境中，12分钟内执行1,097次 ADL 冲击涉及大量的状态变更和资金划转，其操作风险亦不容忽视：交易排序的不确定性、部分执行失败以及状态一致性保障等链上特有风险，使得 ADL 的工程实现远比中心化环境中的数据库事务更为复杂。

更具理论意义的是，Chitra 的研究指出了 ADL 在数学上的绝对失效边界，即结构性坏账地板。在10/10事件中，部分小市值资产遭遇了严重的流动性真空。最极端的案例出现在 WLD 资产上：在某一瞬间，该资产产生了高达约1,156万美元的单笔穿仓缺口，而此时系统中该资产所有盈利者能够提供的最大减仓容量仅为约2,500美元 [10]。两者之间的差距高达4,600倍以上，覆盖率仅为0.02%。在这种极端不对称的微观结构下，无论采用何种精妙的 ADL 算法（无论是队列排序、按比例分摊还是最先进的风险加权分摊）都无法在数学上填平亏损。这种结构性的坏账地板表明，ADL 并非万能的救命稻草。当市场的单边倾斜达到极致，当某一资产的多空头寸严重失衡到几乎所有参与者都站在同一方向时，社会化机制将彻底失效，系统将不可避免地产生坏账。在整个12分钟窗口内，至少有1,660万美元的亏损在结构上无法被任何 ADL 策略覆盖，构成了不可消除的“硬性坏账下限” [10]。

![WLD极端案例](./images/fig-12-12.png)

**图 12-12**. WLD 资产的穿仓缺口与可用减仓容量对比（案例数值为作者来源待补或示意，一手论文与新闻均查无 WLD 实例，非公开实测）

图12-12直观呈现了 WLD 资产这一极端案例的悬殊对比，展示了 ADL 机制在结构性流动性失衡面前的数学失效。这一发现具有深远的制度设计含义。它意味着，即使 ADL 算法本身被优化到极致，系统的韧性仍然取决于前置机制，包括保险基金的充足率、清算引擎的效率、风险参数的审慎设定以及流动性管理的质量。ADL 只是最终的止血措施，而非治本之策。正如 WLD 案例所揭示的，当底层的流动性结构本身存在关键缺陷时，再精妙的社会化分摊机制也无力回天。这一认知将注意力从“如何优化 ADL”重新引导回“如何加强前置防线”，为后续章节关于保险基金治理和风险瀑布工程学重设计的讨论奠定了实证基础。

### 12.2.4 ADL 作为反向指标

尽管 ADL 对交易者而言意味着利润和头寸的被动损失，但在专业的量化机构和高频做市商眼中，ADL 的触发频率和规模却是一种具有分析价值的微观市场信号。从市场微观结构的视角来看，ADL 的本质是流动性的严重匮乏与单边持仓的高度集中在清算层面的集中爆发。它不仅是交易所风险管理水平的反向指标，更是市场情绪周期转折的潜在先行信号。这种双重信号价值使得 ADL 成为连接平台微观风控与宏观市场状态的独特观测窗口：通过分析 ADL 的触发模式，可以同时推断平台层面的机制健康度和市场层面的情绪极值。

ADL 触发频率和规模是衡量交易所整体风险管理水平的关键反向指标。当一个交易平台开始频繁触发 ADL 时，它向市场传递了几个明确的信号：该平台的保险基金已经耗尽或严重不足；其做市商群体已经撤退，导致清算引擎无法在市场上找到足够的流动性来消化破产订单；其风险参数可能过于激进（例如允许过高的杠杆倍数或上线了流动性不足的长尾资产）；其清算引擎的效率可能存在问题。频繁触发 ADL 暗示着保险基金规模不足、清算引擎效率低下、风险参数过于激进或流动性管理不善。反之，一个从未触发过 ADL 的平台，并不意味着其 ADL 机制设计得有多好，而是意味着其前几层风险控制机制（保证金制度、清算引擎和保险基金）足够有效，将风险消化在了更前端的环节。

然而，ADL 作为反向指标的价值远不止于评估平台风险。敏锐的交易者往往将 ADL 视为一种强烈的市场情绪反转信号。当市场在暴跌中伴随着大规模的 ADL 警报时，这通常意味着恐慌盘已经出尽，空头的动能正在通过这种破坏性的方式被强制消耗。被 ADL 平掉的盈利空单并非通过在订单簿上发出买入指令来执行，而是通过对手方之间的配对了结（match-off）在簿外完成，因此 ADL 不直接产生买方订单流，不会对市场产生即时的买方价格冲击。然而，ADL 通过强制减少空头持仓，改变了市场的多空力量格局；此外，被 ADL 的交易者失去头寸后若不选择重建，相当于间接移除了市场上的一部分卖方力量。这种间接的力量再平衡，往往在 ADL 的高潮期后对价格产生支撑效应，推动价格迎来反弹或反转。反之，在牛市顶点，如果多头头寸开始遭遇 ADL，说明多头的杠杆已经达到了系统无法承受的上限，缺乏实际资金的支撑。这种由于清算机制崩溃而引发的强制去杠杆，往往是趋势终结、市场即将迎来深度回调的先兆。在这个意义上，ADL 不仅是交易所维持偿付能力的最终机制，更是市场情绪周期从过度乐观走向均值回归的结构性催化因素。

然而，正如 WLD 案例所揭示的，即使最优的 ADL 算法，面对结构性的流动性不足也无能为力。ADL 作为反向指标的有效性，建立在一个前提之上：市场中仍然存在足够的反向头寸可供减仓。当这一前提被打破，即某一资产的多空头寸极度失衡、所有参与者几乎都站在同一方向时，ADL 既无法挽救系统，也无法提供有意义的反转信号。在这种极端情况下，ADL 的触发更多地标志着一种结构性的市场失败，而非周期性的情绪极值。因此，将 ADL 作为交易信号使用时，必须结合对底层流动性结构的深入分析，区分“情绪驱动的极端”（ADL 后大概率反转）与“结构驱动的崩溃”（ADL 后可能继续恶化）。这种区分能力，构成了专业交易者在极端行情中的核心竞争优势。需要进一步指出的是，ADL 作为反向指标的有效性本身可能因市场参与者的学习而衰减，这是 Goodhart 定律在交易信号领域的典型体现。如果“ADL 触发后市场反转”的模式被广泛认知并据此交易，该信号的信息内容将逐渐被协调效应所替代。更甚者，攻击者可能故意触发 ADL 来诱导跟风买入，从而在反弹中获利了结。因此，ADL 的信号价值需要在 Lo (2004) 的适应性市场假说框架下动态评估，而非视为静态的结构性规律 [12]。

## 12.3 信心即流动性假说

传统金融模型在分析衍生品市场系统性风险时，往往侧重于资金的绝对规模和清算算法的效率。然而，在缺乏中央银行作为最终贷款人的加密市场中，保险基金的有效性并非仅仅取决于其账面余额的多少，更取决于其在市场参与者心中所建立的信心。本节提出“信心即流动性假说”，旨在论证：在极端市场条件下，保险基金的规模本身就是一个强烈的市场信号，它通过影响交易者和做市商的信心，直接决定了市场的流动性深度，进而决定了系统抵御穿仓风险的真实能力。保险基金的“信号功能”比其“吸收功能”更具经济影响力。信心管理，在本质上等同于风险管理。

### 12.3.1 传导机制

保险基金余额作为市场中为数不多的可公开观测的系统性健康指标，其数字的每一次跳动都在向市场传递着复杂的信号。这种信号直接作用于市场参与者的信念层，进而改变他们的行为，最终重塑整个市场的流动性环境。我们可以将这一传导过程分解为四个层次：信号层、信念层、行为层和结果层。

![信心传导机制](./images/fig-12-13.png)

**图 12-13**. 保险基金余额的信心传导机制

如图12-13所示，可观测的保险基金余额信号依次作用于信念层、行为层和结果层，并通过清算效率对基金余额的反馈形成闭环。

在正向传导链中，当保险基金被市场参与者认为“充裕”时，一系列积极的连锁反应随之展开。用户相信系统可以应对极端事件，做市商因穿仓风险较低而愿意报出更窄的买卖价差，流动性提供者愿意在金库中保留更多资金（因为他们相信极端损失会被基金吸收），交易者则愿意持有更大的仓位并选择更高的杠杆。这些信念的巩固直接转化为积极的市场行为：交易规模扩大、流动性供给加深、资金持续净流入。最终，在结果层面上，市场展现出极高的流动性和卓越的清算效率，即流动性更深、价差更窄、市场质量更高。而高效的清算反过来又将穿仓损失降至最低，进一步保护了保险基金的余额，形成了一个良性的生态循环。

反向传导链则呈现出完全相反的图景。当保险基金被认为“不足”，或其治理受到质疑时，恐惧情绪沿着同一条链路反向传播。用户担心极端事件可能导致 ADL 或系统崩溃，做市商迅速扩大价差、缩减报价深度以要求更高的风险补偿，流动性提供者从金库中撤出资金（“我不愿承担不理解的风险”），交易者缩减仓位（“我不确定平台是否安全”）。最终结果是流动性萎缩、价差扩大、市场质量急剧下降。而流动性的恶化又进一步降低了清算效率，增加了穿仓风险，对保险基金形成更大的压力。

### 12.3.2 正反馈循环

当市场遭遇突发的黑天鹅事件，导致保险基金出现显著缩水时，一个极其危险的信心崩溃正反馈循环便可能被触发。在传统金融市场中，这种循环通常会被监管机构的紧急干预或中央银行的流动性注入所强行打断；但在去中心化或缺乏有效监管的加密市场中，这种循环往往会以自由落体的方式演进，直到某种外部力量介入或系统彻底崩溃。这一过程与经典的银行挤兑机制高度同构。更具体地说，Diamond 与 Dybvig (1983) 在其经典的银行挤兑模型中揭示了多重均衡的存在：在“好均衡”中，储户相信银行有偿付能力而不会挤兑，银行因此得以维持运营；在“坏均衡”中，储户预期他人将挤兑，因而理性地选择率先提款，导致挤兑成为自我实现的预言 [13]。将这一框架映射到保险基金的 LP 行为上：当 LP 相信 HLP 金库的风险敞口可控时，资金留存构成“好均衡”；而一旦 LP 预期其他 LP 将因恐慌提款，即使基金在基本面上仍然充足，理性的 LP 也会选择提前撤出以避免成为最后离场者，这正是§12.3.3中 Hyperliquid 鲸鱼事件的动态写照。

![信心崩溃的正反馈循环](./images/fig-12-14.png)

**图 12-14**. 信心崩溃与流动性枯竭的正反馈循环

循环的起点通常是一次未能被市场顺利消化的巨额清算，导致穿仓损失直接冲击保险基金。当保险基金的余额下降并跌破市场参与者的心理预期阈值时，恐慌情绪开始在流动性提供者中蔓延。为了规避潜在的系统性风险，做市商和流动性提供者会本能地选择撤销订单、提取资金。流动性的突然抽离使得原本就脆弱的市场深度进一步恶化。在缺乏足够承接盘的情况下，后续的清算订单只能以更大的滑点成交，这不仅加剧了资产价格的暴跌，也导致了更严重的穿仓损失。这些新增的穿仓损失进一步由保险基金承担，导致其余额进一步急剧下降，从而触发新一轮、更强烈的恐慌与撤资。

在这个恶性循环中，信心的丧失直接等同于流动性的枯竭。正反馈循环将持续运转，直到金库缩减至某个最小可行规模，或者信心被某种外部干预所恢复，无论是协议参数的紧急调整、外部资本的注入，还是核心团队的透明沟通。然而，一旦螺旋启动，打断它的成本和难度都将急剧上升。这正是为什么预防性的信心管理远比事后的危机救助更为重要。

### 12.3.3 信心乘数的实证

2025年3月发生的 Hyperliquid 巨鲸清算事件 [14]，为“信心即流动性假说”提供了量化实证。该事件展示了账面损失如何通过信心传导机制被放大数十倍，最终演变为一场严重的流动性危机。

事件的起因是一位地址以0xf3F开头的巨鲸交易者在 Hyperliquid 平台上建立了一个名义价值超过3亿美元（Arkham 口径；按清算价约1,915美元、约11.3万 ETH 计约为2.1亿美元，差异源于持仓峰值与清算时点计价不同）的以太坊多头仓位，开仓时名义杠杆高达50倍。当市场价格出现不利波动时，该交易者并未选择常规平仓，而是通过战略性地提取抵押品的方式，主动触发了系统的强制清算。该交易者选择“策略性清算”路径而非直接在订单簿上平仓，具有清晰的经济理性：对于一个名义价值超过3亿美元的巨额头寸，直接市价平仓将在流动性有限的订单簿上造成数百个基点的价格冲击，而通过清算转移给 HLP 则将这一滑点成本外部化给了流动性提供者。本质上，这是对清算机制的一种套利，利用规则中的缺口将私人的交易成本转化为公共池的社会化损失。最终，该仓位在约1,915美元的价格被清算，交易者成功套现约180万美元的利润离场。然而，由于仓位体量过于庞大，平台公开订单簿的流动性无法完全消化这一清算订单，导致剩余仓位被迫转移至 Hyperliquid 的流动性提供者金库中进行后备清算。

在处理这一巨额仓位的过程中，HLP 金库因巨大的市场滑点而承受了约400万美元的实际亏损，相对于金库总规模（事发前约4.5亿至4.8亿美元）约为1%。在动辄数亿美元交易量的加密衍生品市场中，400万美元的绝对损失似乎并不致命。然而，这一损失却在流动性提供者群体中引发了强烈的心理震荡。金库参与者突然意识到，作为自动化做市商的被动风险承担者，他们不仅分享交易手续费的收益，更要在极端情况下被迫吸收这种难以处理的高风险清算订单流，承担巨额的社会化损失。更令人不安的是，这种风险的规模和频率在事前并未被充分理解和预期。恐慌的驱动力不是“400万损失不可接受”，而是“突然意识到资金暴露于未充分理解的风险之中，未来可能遭受更大的损失，宁可先撤出”。

![Hyperliquid巨鲸事件信心杠杆实证](./images/fig-12-15.png)

**图 12-15**. Hyperliquid 巨鲸事件中的信心杠杆效应（HLP 金库 TVL 与累计提款的中间序列为链上估算示意，仅端点与32.5倍经核；32.5倍为关联放大，非严格因果）

图12-15中两条曲线之间的剪刀差，直观呈现了 HLP 金库总锁仓价值（Total Value Locked, TVL）下滑与累计 LP 提款之间的背离。

恐慌情绪迅速转化为挤兑行为。在24小时内，超过1.3亿美元的资金从流动性提供者金库中被恐慌性撤出。400万美元的账面亏损，伴随产生了1.3亿美元的流动性流失，两者之间的比例约为32.5倍（本书测算，定义为二级恐慌赎回额／一级金库直接损失）。这一显著的关联放大系数，揭示了在去中心化架构中，流动性提供者的信心是何等脆弱。

> 关联放大系数约为32.5倍（相关性度量，非严格因果估计），其放大效应远超资本杠杆：50倍杠杆仅将保证金放大50倍，而信心相关的放大将账面损失扩展至30倍以上，且这种“杠杆”不受任何保证金制度的约束。

需要审慎指出的是，上述32.5倍的信心乘数来源于单一平台（Hyperliquid）的单一事件（2025年3月鲸鱼清算），其外部有效性存在以下局限。首先，Hyperliquid 作为一个新兴的去中心化平台，其 LP 群体的风险认知和行为模式可能与成熟 CEX 平台的 LP 存在系统性差异，后者通常具有更丰富的极端事件经验和更高的风险容忍度。其次，该事件发生在 Hyperliquid 的早期成长阶段，平台尚未经历过类似的穿仓事件，LP 的恐慌部分源于“首次风险暴露的认知冲击”，这一因素在后续同类事件中可能会被减弱。此外，32.5倍的放大系数在因果归因上也需审慎对待：LP 提款行为可能同时受到同期宏观风险偏好下降（如2025年3月的美联储政策预期调整）、社交媒体上恐慌叙事的病毒式传播、竞品平台收益率变化等多重因素驱动，而非纯粹对 Hyperliquid 单一事件的信心反应。如果同期其他 DeFi 协议也出现了同步的 TVL 下降，则部分 LP 提款可归因于系统性风险偏好恶化而非平台特定的信心冲击。因此，32.5倍应被理解为多因素叠加后的“关联放大系数”，实际可归因于纯信心传导的乘数可能显著低于此值，应被视为特定条件下的观测值而非普适常数。要建立更稳健的信心杠杆模型，需要跨平台（CEX 与 DEX）、跨事件类型（操纵性穿仓与市场性穿仓）以及跨市场周期（牛市与熊市）的系统性实证比较。尽管如此，即使真实的信心乘数在不同情境下存在显著差异，Hyperliquid 事件所揭示的核心定性结论，即信心冲击的放大效应远超账面损失本身，仍然是稳健的。

Hyperliquid 巨鲸事件揭示的核心机制在于，信心丧失不是对“已发生损失”的线性反应，而是对“可能发生的未来损失”的恐惧性放大。恐惧的幅度与已发生损失严重不成比例。账面上的微小裂痕，一旦触及了参与者对系统安全边界的信任底线，就会触发大规模的资金出逃。这种非线性放大效应在行为金融学中有充分的理论基础。Kahneman 和 Tversky 的前景理论指出，损失的心理权重约为同等收益的两倍 [15]，而在涉及系统性风险认知的场景中，这一不对称性可能被进一步放大。流动性提供者的决策并非基于对已实现损失的精确计算，而是基于对未来最坏情景的主观概率估计。当一次意料之外的损失事件更新了他们对系统脆弱性的认知模型时，他们对未来极端损失的主观概率会急剧上升，从而触发远超实际损失规模的撤资行为。前景理论从个体认知偏差的角度解释了恐慌的心理基础，但忽略了加密市场中恐慌传导的关键放大器，即社交媒体的信息级联效应。Banerjee (1992) 和 Bikhchandani et al. (1992) 的羊群行为理论揭示了，在信息不确定的环境下，个体会理性地选择追随他人行为而忽视自身私有信息 [16][17]。在共享相同 Discord 频道和 Twitter 信息流的加密 LP 群体中，少数先行提款者的行为可能通过信息级联触发指数增长的跟随性提款，其放大效应远超个体层面的损失厌恶。如果 LP 提款的时间分布呈现典型的级联特征（少数先行者触发跟随者的指数增长），则社交媒体驱动的羊群效应可能是关联放大系数的主导放大机制。这一实证有力地证明了：保险基金（或做市金库）的“信号功能”比其“吸收功能”更具经济影响力。

### 12.3.4 信心管理作为风险管理

面对信心传导的关联放大效应所带来的巨大破坏力，交易所和去中心化协议必须将“信心管理”提升到与“资产负债表管理”同等重要的战略高度。对保险基金和做市金库的运营者而言，管理信心可能与管理资本同样重要，甚至更为重要。信心管理的核心在于通过制度设计和透明度建设，稳定市场参与者对系统风险吸收能力的预期。

有效的信心管理首先依赖于透明的沟通机制。当穿仓事件发生时，平台必须迅速、准确地向流动性提供者和用户通报损失规模、原因和应对措施。“信息真空”是恐慌的温床。正如 Shiller (2019) 的叙事经济学所指出的，在信息真空中形成的“病毒式叙事”（如“协议即将破产”“团队已经跑路”）其传播动态更接近流行病学模型，传染力与情感激发度正相关而非与事实准确性正相关 [18]。当参与者无法获得权威的第一手信息时，社交媒体上的猜测和谣言将迅速填补空白，放大恐惧情绪。Hyperliquid 巨鲸事件中，社区对事件性质的误读和对系统安全性的过度担忧，很大程度上源于信息传播的滞后和不完整。与事后沟通同等重要的是预期的事前设定：平台应在流动性提供者存入资金之前，清晰地传达“你的资金可能面临的极端损失场景”，使 LP 在存入时做出“知情的”决策，而非在危机中“突然发现”自己暴露于未曾预料的风险之中。Hyperliquid 事件中，许多 LP 之所以恐慌，正是因为他们此前并未充分理解 HLP 金库作为后备清算接盘方所承担的尾部风险。如果这些风险在事前就被充分披露和量化，恐慌的程度很可能会大幅降低。

信心管理的另一核心问题是充足率的选择性披露。公布保险基金的精算充足率可以增强透明度，但如果充足率不佳，公布反而可能引发恐慌。这种“透明度与稳定性”之间的权衡，与传统金融中央行的“建设性模糊”策略异曲同工。央行并不总是公布其对银行体系脆弱性的完整评估，因为过度的透明在某些情况下可能成为自我实现的预言。对于加密市场的保险基金管理者而言，关键在于找到一个平衡点：提供足够的信息让市场参与者做出理性判断，同时避免在敏感时刻释放可能被过度解读的信号。

此外，平台需要建立多层次的防御纵深。单一的保险基金池在面对极端冲击时容易被迅速耗尽，从而引发恐慌。通过引入自动减仓机制作为安全阀、建立分级隔离的保险资金池、以及引入外部保险资本等手段，可以有效延缓风险的蔓延速度，为市场信心的恢复争取宝贵的时间窗口。FTX 事件的教训从反面印证了信心管理的制度价值。据联合创始人 Gary Wang 的法庭证词披露 [19]，FTX 对外展示的保险基金规模完全是由包含随机数的公式生成的伪造数据，与基金真实余额毫无关系。在某一时刻，FTX 声称基金持有550万美元和500万枚 FTT 代币，而实际上基金中没有任何 FTT。这种欺诈行为将保险基金从风险管理工具彻底沦为虚假营销工具，最终在真相败露时瓦解了用户对平台的信任基础。

### 12.3.5 悬崖效应

保险基金规模与市场信心之间存在一种显著的非线性特征，可将其概括为“悬崖效应”。这种效应表明，市场信心并非随着保险基金充足率的下降而呈现平缓的线性衰减，而是在某个特定的阈值区间内发生断崖式的崩溃。这一非线性特征与传统金融中银行资本充足率对存款人信心的影响具有结构上的同构性。Basel III 框架下的最低资本要求之所以设定在特定水平，正是因为监管机构意识到资本充足率的下降对市场信心的冲击并非线性递增的，而是在临界点附近呈现指数级的放大效应。在加密衍生品市场中，由于缺乏存款保险制度和最终贷款人机制，这种非线性特征表现得更为剧烈。

![信心悬崖效应](./images/fig-12-16.png)

**图 12-16**. 保险基金充足率与市场信心的非线性关系（概念示意，非实测数据；阈值为示意临界带、非精确临界，正文亦强调阈值事前不可精确获知）

我们可以将精算充足率定义为保险基金当前规模与预期极端市场条件下可能产生的最大穿仓损失（以 VaR 或 ES 度量）之比。这一定义的学术根基可以追溯到经典精算科学中的 Cramér-Lundberg 破产模型 [20]。在该模型中，保险基金的余额被建模为一个随机过程：保费收入（对应清算罚金的稳定流入）以恒定速率增长，而索赔（对应穿仓损失）则以复合泊松过程到达。破产概率（即基金余额首次降至零以下的概率）取决于保费率与索赔强度的比值以及索赔规模的尾部分布。将这一框架应用于加密衍生品保险基金，关键的建模选择在于尾部风险度量的选取：VaR（在险价值）度量了给定置信水平下损失的分位数阈值（即仅有1−α概率被超越的损失水平），但它忽略了超过该阈值后损失的严重程度；ES（期望短缺，又称 CVaR）则度量了超过 VaR 阈值后的条件期望损失，能够更好地捕捉“尾部之尾部”的极端风险。鉴于加密市场穿仓损失分布的重尾特征（如10/10事件中 WLD 资产的单笔穿仓缺口达到约1,156万美元，远超该资产穿仓损失的 VaR 估计），因此 ES 相比 VaR 是更为审慎和适当的度量选择。进一步地，如果穿仓损失分布呈现幂律尾部（尾部指数α<2），则即使 ES 也可能面临估计不稳定的挑战，需要结合极值理论的方法（如广义帕累托分布拟合）来进行更稳健的尾部风险建模。因此，本章后续的充足率分析将优先采用 ES 作为分母的基准度量。在操作化这一定义时，关键的参数选择包括：置信水平（99.5%或99.9%，两者在重尾分布下的估计值可能相差数倍）、以及极端情景的时间窗口（单日最大损失还是连续多日的累积损失）。这些参数选择对充足率的数值影响巨大，因此在进行跨平台比较时，必须确保使用一致的参数基准。需要指出的是，经典 Cramér-Lundberg 模型的两个核心假设在加密市场中面临显著偏离。其一，该模型假设索赔到达服从复合泊松过程（即索赔事件之间相互独立），但加密市场的穿仓事件高度聚集，例如10/10事件中12分钟内发生1,097次 ADL 冲击，这种尾部聚集性严重违反了泊松到达的独立性假设，需要引入 Hawkes 过程等自激发模型来更准确地捕捉穿仓损失的聚集特征。其二，该模型假设保费率（对应清算罚金收入）恒定，但保险基金的收入本身是顺周期的（在牛市中较高，在极端行情中恰因清算量激增但支出同步爆发而可能为负），这种收支的同向波动进一步削弱了模型的适用性。当充足率处于较高水平（即稳定区）时，市场参与者通常将系统的安全性视为理所当然。在这个区间内，无论保险基金是增加还是减少几千万美元，都不会对市场信心产生实质性影响。交易者和做市商的注意力主要集中在寻找交易机会和优化做市策略上，保险基金的存在不会引起关注。

然而，当穿仓事件频发导致保险基金持续消耗，充足率逼近并跌入某个心理阈值区间时，情况将发生剧变。在这个狭窄的区间内，哪怕是微小的进一步损失，都会被市场放大解读为系统即将破产的先兆。此时，市场情绪瞬间从“绝对安全”翻转为“极度恐慌”，参与者的行为模式从追求利润转变为不计成本地逃离。这种信心的急剧崩塌，直接触发了前文所述的流动性撤资和正反馈循环，最终导致系统的全面崩溃。从“没人关心”到“所有人恐慌”，中间几乎没有平滑的过渡地带。

悬崖效应的一个关键特征在于，阈值的位置事前不可精确知道。它取决于用户心理、市场环境、近期事件的记忆效应以及社交媒体的情绪放大等多重因素。在牛市中，参与者的风险容忍度较高，阈值可能被推至较低的水平；而在熊市或刚经历过重大安全事件之后，阈值则会显著上移，系统变得更加脆弱。这种不确定性意味着保险基金的管理者面临一个“不可精确优化的挑战”：维持在阈值之上需要充足的安全边际，但过高的安全边际又意味着资本效率的损失。

如图 12-6 所示，不同交易所在保险基金的规模和相对充足率上存在巨大差异。Binance 以超过23亿美元的绝对规模远超其他平台，但从基金规模与总持仓量的比例来看，格局发生了显著变化。Hyperliquid 基于 HLP 总 TVL 计算的约18.6%的相对比例远超 Binance 的6.6%（OKX 因仅披露安全基金而非期货清算保险基金，其比率不可同口径比较，详见§12.5），但如前文所述，这一比率可能因 HLP 总 TVL 与清算金库独立规模的区分而被高估。尽管如此，这一差异仍然反映了去中心化平台在缺乏中心化信用背书时，必须依靠更为厚实的资金缓冲来维系社区的信心。对于去中心化协议而言，保险基金的相对规模就是其信用评级的链上等价物。

理解悬崖效应的意义在于，它警告风险管理者：绝不能等到保险基金即将耗尽时才采取补救措施。一旦系统跌入悬崖，重建信心的成本将是天文数字，远远超过事前维持充足安全边际所需的资本成本。因此，平台必须在悬崖边缘设置充足的安全缓冲带，并在充足率触及预警线时，果断启动资本补充或风险熔断机制，以坚决的姿态捍卫那道脆弱而又具有决定性影响的心理防线。由此可见，保险基金管理既是精算问题，也是信心治理与制度约束问题。

综合以上关于信心传导、正反馈循环和悬崖效应的分析，我们可以构建一个统一的理论框架来解释保险基金耗竭如何触发非线性的系统崩溃。这一框架包含两个层次的机制：宏观层面的阈值效应与微观层面的放大机制。在宏观层面，悬崖效应意味着保险基金充足率存在一个临界阈值，跌破该阈值后市场信心将发生相变，从“稳定均衡”不可逆地跳转至“恐慌均衡”。在微观层面，信心崩溃通过三条放大渠道传导：做市商撤离导致流动性枯竭（价格冲击放大）、LP 挤兑导致保险缓冲进一步削弱（资本缓冲放大）、以及交易者去杠杆化导致订单流失衡加剧（清算级联放大）。宏观阈值与微观放大的耦合产生了典型的非线性崩溃动态：一旦充足率跌破临界点，三条微观放大渠道同时启动，它们之间的正反馈互动使得系统的恢复路径远长于其崩溃路径，这正是为什么“重建信心的成本是维持信心成本的数十倍”。这一“宏观阈值+微观放大=非线性崩溃”的框架，为理解历次加密市场危机中保险基金的失效模式提供了统一的分析视角，也为后续章节关于风险瀑布工程学重设计的讨论提供了理论锚点。

## 12.4 治理困境与治理光谱

加密衍生品市场的核心矛盾之一，在于系统需要应对极端且不可预测的市场风险，而这往往要求赋予管理者某种形式的裁量权；但与此同时，加密精神的核心又是“代码即法律”，强调消除人为干预和信任假设。这种矛盾在保险基金的管理和清算机制的设计上表现得尤为突出，形成了一种难以调和的治理困境。正如传统金融中央行在“规则”与“裁量”之间永恒的摇摆一样，加密衍生品平台也面临着在确定性与灵活性之间寻找平衡的挑战。然而，由于区块链技术的不可篡改性和智能合约的自动执行特性，这种平衡的寻找变得更加复杂且充满张力。

![规则刚性与裁量权的根本张力](./images/fig-12-17.png)

**图 12-17**. 保险基金治理中规则刚性与裁量权的张力

### 12.4.1 规则刚性的局限

“代码即法律”是去中心化金融的基石。在理想的去中心化衍生品平台中，清算触发、罚金收取、保险基金赔付以及自动减仓的执行，都应当由预先编写好的智能合约自动完成。这种规则刚性带来了高度的确定性和透明度，彻底消除了中心化平台中常见的暗箱操作、偏袒大客户或内部寻租等道德风险。交易者在参与市场前，可以明确知道在何种价格下会被清算，以及面临多大的罚金，没有任何人可以随意更改这些规则。

然而，金融市场的复杂性往往超出代码逻辑的预设范围。规则刚性的最大局限在于其无法有效应对“未知的未知”。智能合约只能按照既定的参数执行，缺乏对极端异常事件的上下文理解能力。当市场遭遇前所未有的流动性枯竭、底层区块链网络拥堵导致交易无法打包，或者更常见的预言机喂价被恶意操纵时，严格执行代码反而可能导致系统性的灾难。在这些极端场景下，如果平台完全坚持规则刚性，任由清算引擎盲目抛售资产，不仅会加剧价格的恶性循环，还可能导致保险基金在瞬间被耗尽，最终触发大规模的自动减仓，使得无辜的盈利交易者承担巨大的损失。

规则刚性的另一个进一步的问题在于其对攻击者的“可预测性”。当所有规则都被透明地编码在链上时，攻击者可以精确地计算出操纵市场所需的成本和预期收益，从而设计出针对性的攻击策略。这种可预测性在传统金融中并不存在，因为监管者和做市商可以通过不可预测的裁量行为来增加攻击者的不确定性。因此，即使是标榜高度去中心化的平台，在面临生死存亡的危机时，也常常不得不寻找某种形式的紧急干预机制，这就引出了“最终担保人”的问题。

### 12.4.2 最终担保人与裁量权

为了弥补规则刚性的缺陷，系统往往需要引入“最终担保人”或“紧急管理员”的角色。在中心化交易所中，这一角色自然由平台运营方担任；而在去中心化平台中，则可能表现为拥有多重签名权限的核心团队或特定的治理委员会。最终担保人被赋予了在紧急情况下暂停交易、修改清算参数甚至回滚交易的裁量权。

这种裁量权在应对系统性危机时具有不可替代的功能。它赋予了系统一种“弹性”，使得平台能够在代码逻辑失效时，通过人为判断来阻断风险的蔓延。然而，引入裁量权不可避免地重新引入了信任假设，这直接违背了加密货币去信任化的初衷。更严重的是，一旦赋予了某人或某个组织干预系统的权力，就必然面临“谁来干预”、“触发条件是什么”以及“如何防止权力被滥用”等一系列棘手的治理难题。

2025年3月发生的 Hyperliquid JELLY 事件为这一困境提供了典型的实证。攻击者在 JELLY 永续合约上构建双向头寸并主动撤出保证金触发自我清算，迫使平台的流动性提供池接管空头，随即在 Solana 链上的 Raydium 交易所拉升 JELLY 现货价格，使 HLP 承受巨额未实现亏损（地址数、双向头寸规模、拉升幅度、亏损额与回滚价等机械细节详见§12.6.2）[21]。此处需要精确区分两种不同性质的操纵：攻击者实施的是“基础资产价格操纵”（通过在薄弱的现货市场投入真金白银改变资产的实际成交价格），而非“预言机信号注入”（通过技术手段直接篡改预言机的数据传输）。预言机在 JELLY 事件中忠实地传递了被操纵后的“真实”市场价格，其本身的技术完整性并未被破坏。这一区分具有重要的制度设计含义：防御基础资产价格操纵需要的是流动性门槛和持仓上限等市场结构层面的措施，而防御预言机信号注入则需要密码学验证和多源聚合等技术层面的措施。面对这一危机，Hyperliquid 的验证者节点紧急投票决定覆盖预言机价格，将 JELLY 的结算价格强制回滚至攻击发生前的水平，从而避免了保险基金的巨额损失 [22]。

这一事件集中展示了最终担保人角色的两面性。从积极的角度看，验证者的紧急干预确实阻止了一次有计划地实施的市场操纵攻击，保护了保险基金和绝大多数用户的利益。但从消极的角度看，这种强制覆写价格的干预引发了社区的广泛质疑：如果验证者可以在任何时候覆盖预言机价格，那么 Hyperliquid 与中心化交易所的本质区别在哪里？Binance 创始人 Changpeng Zhao 更是公开批评 Hyperliquid 的做法，质疑其去中心化的真实性。从法律视角审视，验证者强制以非市场价格结算用户头寸的行为可能在多个司法管辖区引发法律风险。在合同法层面，即使用户协议中包含“紧急情况”条款，该条款的可执行性在不同法域下存在显著的不确定性。在财产权层面，对持有 JELLY 多头头寸的非攻击者而言，“全额退款”的价格基准选取本身就是一个法律争议点。在监管层面，欧盟 MiCA 框架下具有类似中央对手方（Central Counterparty, CCP）功能的实体单方面更改结算价格可能触发审查。Eisenberg 在 Mango Markets 事件中被起诉、定罪又被撤销的反复（详见§12.4.3）恰恰暴露了加密市场操纵刑事追诉在审判地与欺诈构成要件上的法律不确定性；与此同时，平台方面的干预行为是否超出了合理的自助救济范围，也可能成为未来诉讼的焦点。这一法律维度的不确定性，为§12.4.4所讨论的“剩余控制权”问题增添了跨国法律协调的额外复杂性。历史经验表明，不受约束的裁量权极易演变为对用户利益的侵犯。即使在动机纯正的情况下，干预的边界也非常模糊。例如，当某个大户的爆仓可能引发连环清算时，平台为了保护保险基金而选择暂停清算，这实际上是对该大户的变相救助，同时也是对其他按规则交易的用户的极不公平。这种“大而不能倒”的现象，正是传统金融体系备受诟病的问题，如今却在加密市场中以另一种形式重现。

### 12.4.3 预言机风险

预言机风险是治理困境中的核心议题。预言机是连接链下现实世界价格数据与链上智能合约的桥梁，也是去中心化衍生品平台最脆弱的环节。无论平台内部的清算逻辑设计得多么严密，一旦预言机输入的标记价格被扭曲，整个系统的风险控制机制就会瞬间失效。以 Hyperliquid 为例，其使用自建的预言机系统，喂价来源于多个外部交易所的现货价格聚合。然而，对于 JELLY 这类低流动性资产，其现货交易可能仅集中于一两个去中心化交易所的流动性池中，使得预言机的数据源多样性严重不足，操纵成本相应极低。这揭示了一个关键的设计缺陷：对于低流动性资产，预言机应设定最低数据源多样性门槛，如果可用数据源低于阈值，系统应自动限制该资产上的最大持仓量或暂停其衍生品交易。预言机风险之所以在保险基金治理中占据特殊地位，是因为它引发的穿仓损失并非源自正常的市场风险，而是源自外部输入的恶意操纵，这使得传统的风险管理框架在面对此类攻击时几乎完全失效。

预言机操纵攻击在实践中表现为多种模式。最直接的方式是现货价格操纵，即攻击者在流动性较差的现货市场通过巨额资金人为拉升或打压代币价格，导致预言机捕获到异常价格并将其传输给衍生品平台。更为隐蔽的方式是利用 DeFi 协议的闪电贷功能，在单笔交易中借入巨额资金操纵价格，完成攻击后立即归还借款，整个过程在一个区块内完成。此外，攻击者还可以利用预言机更新频率的间隙，在预言机尚未反映最新价格时进行套利交易。据 Chainalysis 的估算，仅2022年一年，DeFi 协议就因预言机操纵攻击损失了约4.032亿美元，涉及41起独立事件（该数字由 Chainalysis 明确标注为估算值，统计口径覆盖整个 DeFi 生态而非永续合约专属）[23]。另据安全研究者的估计，自2020年以来，预言机操纵约占主要 DeFi 安全事件的15%至20%（该比例缺乏统一的“重大事件”界定与公开方法论，宜审慎对待）[24]。需要说明的是，上述统计数据主要来源于公开披露的安全事件报告和链上数据分析，实际损失规模可能因未披露事件而被低估。

![预言机攻击路径与损失规模图](./images/fig-12-18.png)

**图 12-18**. DeFi 历史重大预言机操纵攻击损失规模（Bonq/ALBT 的1.2亿美元为铸造名义额，受 wALBT 流动性限制，实际提取约170万至400万美元）

图12-18呈现了预言机操纵攻击损失规模自2020年 bZx 事件以来从百万级跃升至亿级的演化，反映出 DeFi 协议在外部价格输入防护方面的持续脆弱性。

2022年10月发生的 Mango Markets 事件是预言机操纵的典型案例。攻击者 Avraham Eisenberg 利用 MNGO 代币薄弱的现货流动性，通过在多个市场同时建仓来人为操纵预言机价格，随后利用虚高的账面利润从协议中借出了价值高达1.16亿美元的各种加密资产 [25]。尽管该协议的智能合约完全按照既定规则运行，没有任何代码漏洞，但外部输入的虚假价格直接导致了协议的破产。Eisenberg 于2023年1月被美国司法部以商品欺诈、商品操纵及电信欺诈罪起诉，并于2024年4月经陪审团定罪；但2025年5月23日，纽约南区联邦法院依据《联邦刑事诉讼规则》第29条，以审判地不当及电信欺诈要件不足（Mango Markets 无服务条款、未禁止相关操作、亦无还款约定，故不构成实质性虚假陈述）为由撤销了全部刑事定罪，检方已提起上诉，案件截至本书撰写时仍在第二巡回上诉法院审理中 [26][27]。

预言机风险给保险基金治理带来了一个根本性的难题：由非市场风险导致的穿仓损失，应该如何处理？如果保险基金按照既定规则赔付，那么攻击者实质上是在从保险基金中“合法”地窃取资金；如果平台选择干预并拒绝赔付，那么又回到了前文所述的裁量权滥用问题。这种两难困境没有完美的解决方案，只能通过更精细的预言机设计（如时间加权平均价格、多源聚合、异常值过滤等）来降低攻击的成功概率，同时通过治理机制来规范紧急干预的触发条件和执行流程。

### 12.4.4 不完全合约理论

要从理论上深刻理解这种治理困境，我们可以引入经济学中的“不完全合约”理论。由 Oliver Hart（2016年与 Bengt Holmström共获诺贝尔经济学奖）与 John Moore 提出的这一理论指出，由于人类的有限理性和未来的不可预测性，缔约双方不可能在事前预见到所有可能发生的情况，并将其写入合约之中 [28]。因此，所有的合约在本质上都是“不完全”的。

在加密货币语境下，智能合约正是这种“不完全合约”的极致体现。尽管智能合约被称为“合约”，但它实际上只是一段部署在区块链上的计算机代码。开发者在编写代码时，只能基于对过去市场行为的认知和对未来有限场景的预测来设定参数。他们无法预见所有形式的市场操纵、黑客攻击或极端黑天鹅事件。当这些未被代码覆盖的情况发生时，智能合约就出现了“空白”或“漏洞”。Mango Markets 的开发者不可能预见到有人会用如此极端的方式操纵一个小市值代币的价格；Hyperliquid 的设计者也不可能在代码中穷举所有可能的跨链攻击向量。

哈特-摩尔模型进一步指出，在合约不完全的情况下，关键在于谁拥有“剩余控制权”，即在合约未规定的情形下做出决定的权力。在传统的中心化交易所中，平台拥有绝对的剩余控制权，这赋予了它们极大的灵活性，但也带来了前文所述的平台道德风险。而在完全去中心化的理想模型中，剩余控制权被试图完全消除，一切交由代码执行。然而，由于智能合约的固有不完全性，彻底消除剩余控制权是不切实际的。当预言机失效或市场崩溃等未预期事件发生时，必须有人或某种机制来处理代码未覆盖的情形，行使剩余控制权以拯救系统。

这一理论框架为我们提供了理解加密衍生品治理困境的关键视角：问题的核心并非“是否需要裁量权”，而是“如何分配和约束裁量权”。理想的制度设计应当遵循一种“双层架构”：在日常运行中，严格遵守代码规则，确保确定性和公平性；在系统性危机发生时，授权经过严格程序约束的最终担保人进行干预，但干预的范围、触发条件和事后问责机制都必须事先明确。这正是为什么即使是最硬核的 DeFi 协议，最终也往往需要保留某种形式的治理机制或紧急暂停功能。治理困境的本质，其本质是如何在去中心化的理念下，妥善分配和约束这种不可避免的剩余控制权。

### 12.4.5 信息不对称与信号博弈

在展开治理光谱的具体分析之前，有必要从信息经济学的视角审视保险基金治理的深层逻辑。George Akerlof 在其开创性的“柠檬市场”论文中揭示了信息不对称如何导致市场失灵：当卖方拥有买方无法观察到的质量信息时，高质量产品会被低质量产品驱逐出市场 [29]。将这一框架映射到加密衍生品保险基金的治理中，“柠檬问题”以一种独特的形式呈现：平台（卖方）掌握着保险基金的真实状况（包括实际余额、风险敞口、历史赔付记录和精算充足率等私有信息），而用户和 LP（买方）只能观察到平台选择性披露的公开信号。

在这种信息不对称下，Spence 的信号博弈理论 [30] 提供了理解平台行为的关键视角。高质量平台（保险基金充足、治理透明）有动力通过发送“昂贵信号”来将自己与低质量平台区分开来。这些信号包括：公开链上储备证明（可被独立验证，造假成本高）、接受第三方精算审计（需要真实数据支撑）、以及将清算规则完整编码为可审计的智能合约（一旦部署便不可单方面篡改）。这些信号之所以有效，是因为低质量平台（基金不足或存在挪用行为的平台）模仿这些信号的成本极高：一个虚构保险基金的平台无法通过链上储备证明的验证，一个规则不透明的平台无法承受智能合约审计的曝光风险。FTX 的案例恰好构成了一个反面教材：它通过伪造保险基金数据发送虚假信号，最终的暴雷证明了虚假信号在长期内不可持续。

信号博弈的逻辑直接引出了治理光谱的分析。从G0到G3的演进，本质上是平台向市场发送的“质量信号”从廉价空谈向可验证承诺的渐进升级。

### 12.4.6 治理光谱G0–G3

面对规则刚性与裁量权之间的张力，加密衍生品平台并未停留在非黑即白的二元对立中，而是在实践中探索出了不同程度的治理模式。将治理的透明度、去中心化程度以及对裁量权的约束作为衡量标准，可以描绘出一条从完全中心化黑盒到完全链上自治的“治理光谱”。我们可以将其划分为四个主要的层级：G0至G3（表 12-1）。这一分类框架与本书第五章讨论的可验证性阶梯形成呼应，保险基金的治理层级本质上是平台整体可验证性的一个关键维度。

| 层级 | 名称 | 透明度 | 裁量权约束 | 代表平台 |
| :---: | :--- | :--- | :--- | :--- |
| G0 | 完全不透明 | 规模/来源/规则全部不公开 | 无任何约束 | 早期 BitMEX、FTX |
| G1 | 规模可见 | 发布 PoR 或链上余额 | 治理流程不透明 | Binance、OKX（当前） |
| G2 | 规模+规则可见 | 规则链上编码，可审计 | 升级权集中于核心团队 | Hyperliquid |
| G2–G3 | 规则可见+部分链上治理 | 链上投票+时间锁已在生产环境运行 | 升级权由 DAO 治理约束，但仍保留紧急权限 | dYdX v4 |
| G3 | 完全链上治理 | 升级需社区投票+时间锁 | 程序化约束裁量权 | 理论标准（尚无完全达到） |

**表 12-1.** 保险基金治理光谱G0–G3层级定义与代表平台（数据来源：作者构建）

G0级别代表了完全不透明的黑盒治理。处于这一层级的平台，其保险基金的规模、资金来源、赔付规则以及清算逻辑全部不对外公开。平台运营方拥有绝对且不受任何监督的裁量权。早期的 BitMEX 以及后来崩溃的 FTX 是这一层级的典型代表。在G0模式下，用户只能盲目信任平台的道德操守，而历史一再证明，这种信任往往会被辜负，导致严重的后果。FTX 的保险基金欺诈案例表明，在G0层级下，保险基金甚至可以是完全虚构的，用户对此毫无察觉的能力。

G1级别引入了初步的透明度，可以称为“规模可见，治理不透明”。这一层级的平台开始定期发布储备证明或公开保险基金的链上钱包地址，使得公众可以验证资金的真实存在。然而，关于这些资金如何被使用、清算引擎的具体参数以及紧急情况下的决策流程，仍然掌握在中心化团队手中。当前市场上的主流中心化交易所，如 Binance 和 OKX，大多处于这一层级。它们通过展示庞大的保险基金规模来建立信任，但在规则执行上依然保留了广泛的自由裁量权。G1相比G0的进步在于，至少用户可以验证“钱是否真的在那里”，但对于“钱会如何被使用”仍然无从知晓。

G2级别是向去中心化迈出的关键一步，特征为“规模与规则双重可见，但升级权集中”。处于这一层级的主要是新一代的去中心化衍生品协议。它们将清算逻辑、罚金收取和保险基金的运行规则完全编码为智能合约，部署在链上供所有人审计。系统的日常运行实现了“代码即法律”。然而，为了应对不完全合约带来的风险，核心团队仍然通过多重签名等方式保留了修改关键参数或升级合约的权力。Hyperliquid 在 JELLY 事件中的表现正是G2层级的典型写照：日常运行完全透明且自动化，但在危机时刻，验证者（实质上由核心团队控制）可以紧急干预。这种模式在透明度上有了质的飞跃，但依然存在团队单方面作恶或遭受监管胁迫的单点风险。

G3级别代表了目前行业探索的最高标准：“完全链上治理与时间锁约束”。在这一层级中，不仅规则和资金完全透明，而且剩余控制权被交给了去中心化的社区（通常通过代币投票实现）。任何对系统参数的修改、合约的升级或对保险基金的动用，都必须经过链上提案和投票流程。更重要的是，系统引入了时间锁机制，即在投票通过后，代码的更改必须经过一段强制的等待期（通常为24至72小时）才能生效。这为不同意该决定的用户提供了充足的时间撤出资金，实现了一种“用脚投票”的退出权保障。dYdX v4通过其基于 Cosmos SDK 的独立应用链架构，正在积极探索这一方向。G3模式通过程序化的民主流程和时间缓冲，最大程度地在保持系统弹性的同时，约束了裁量权的滥用。

![治理光谱G0-G3阶梯图](./images/fig-12-19.png)

**图 12-19**. 加密衍生品平台治理光谱与主要平台定位

图12-19呈现了各平台在G0至G3治理光谱上的定位，行业整体呈现从低透明度向高透明度渐进演化的趋势。

然而，即使是G3级别也并非完美无缺。完全的链上治理面临着投票率低下、治理代币集中化以及紧急响应速度不足等现实挑战。当系统遭受攻击时，等待社区投票和时间锁到期可能意味着数小时甚至数天的延迟，在此期间攻击者可能已经完成了资金转移。因此，部分协议在G3框架内引入了“紧急多签”作为安全阀，允许在极端情况下绕过正常的治理流程进行干预，但事后必须接受社区的审查和追认。这种设计虽然在一定程度上牺牲了去中心化的纯粹性，但在实用性和安全性之间找到了一个务实的平衡点。此外，DAO 投票机制本身也面临多种行为偏差的挑战：治理代币的集中持有导致“鲸鱼治理”（plutocratic governance），少数大户的利益可能与普通 LP 系统性不一致（例如，大量持有治理代币的做市商可能投票反对降低杠杆上限，因为高杠杆交易带来更多的手续费收入）；投票参与率长期低迷使得少数活跃参与者主导决策；代币持有者可能为短期币价利益而非系统长期稳健性投票。这些行为因素意味着G3在实践中可能并不总是优于精心设计的G2机制。

从监管视角审视保险基金治理同样具有重要意义。国际清算银行支付与市场基础设施委员会和国际证监会组织联合发布的《金融市场基础设施原则》为中央对手方清算所的违约管理设定了国际标准，其中要求业务风险更复杂或在多法域具系统重要性的 CCP 维持足以覆盖“两个最大参与者及其关联方违约”情景的预筹资源（业界称“Cover 2”标准），其余 CCP 则至少覆盖单一最大参与者违约（“Cover 1”；欧盟 EMIR 随后将 Cover 2提升为对其辖内所有 CCP 的硬性下限）。这一标准为评估加密衍生品保险基金的充足性提供了可参照的基准。尽管加密市场的保险基金在法律性质上并非 CCP 担保基金，但其功能角色高度同构。在监管框架层面，欧盟《加密资产市场监管法案》（Regulation (EU) 2023/1114，2023年6月29日生效，针对加密资产服务提供商的核心规则自2024年12月30日起适用）对加密资产服务提供商提出了资本充足率和审慎经营要求，但其对衍生品保险基金的具体监管标准仍在细则制定过程中 [31]。值得警惕的是，G0-G3光谱中治理透明度较低的平台（G0-G1），恰恰可能通过注册在监管宽松的司法管辖区来规避上述要求，形成“监管套利”，即平台在监管严格的市场获取用户，却在监管空白处运营其核心风险管理机制。这种套利行为不仅削弱了全球金融稳定的一致性，也使得保险基金的跨境监管协调成为加密金融监管中亟待解决的议题。除监管框架的适用性外，保险基金在法律上的定性本身也存在未解决的不确定性。核心争议包括：保险基金是否构成“客户资产”从而受到更严格的隔离和信托义务约束；在平台破产清算中（如 FTX 案例），保险基金在债权优先级中的法律地位（它是归属于全体交易者的共有财产，还是平台的自有资产）；以及清算罚金在税务上如何分类（保险费、手续费还是罚款），不同的分类对平台的合规义务有截然不同的影响。这些法律问题的悬而未决，构成了保险基金制度可持续性的又一维度的不确定性。

从G0到G3的演进，不仅是技术架构的升级，更是加密衍生品市场对信任机制的深刻重构。在这个光谱中，没有绝对完美的终点，只有在透明度、效率、安全性和去中心化理念之间不断寻找更优平衡的探索过程。保险基金的治理，正如一条链条中最薄弱的环节，决定了整个平台治理体系的上限。一个在交易撮合和资产托管上都实现了高度透明的平台，如果其保险基金的管理仍然停留在G0或G1层级，那么整个系统的可信度就会被这一短板所拖累。保险基金的政治经济学，最终归结为如何通过制度设计，在充满不确定性的市场环境中，建立起一套既能抵御系统性崩溃，又能防御人性贪婪的治理共识。

## 12.5 评价框架与横向对比

为了全面评估不同衍生品平台在保险基金机制设计上的优劣，我们需要跳出单一的规模指标，建立一个多维度的综合评价体系。正如§12.1.3所论，单纯比较“谁的保险基金更大”不仅是肤浅的，而且可能是误导性的：绝对规模最大的平台，其单位风险敞口所对应的缓冲厚度未必最高。通过对资本充足性、激励相容性、过程质量与效率，以及治理与可验证性四个维度的系统性考察，我们可以更清晰地洞察各平台在应对极端风险时的真实防御能力，也为投资者和协议设计者提供一个结构化的分析工具。

### 12.5.1 四维评价体系构建

资本充足性是衡量保险基金防御能力的首要基础，也是最直观但最容易被误读的维度。这一维度包含三个层次的考察。基础指标是基金规模与全站未平仓合约的比率，这一相对指标比绝对规模更能揭示单位风险敞口所对应的资金储备厚度。在传统金融中，中央对手方清算所通常维持严格的保证金和担保基金比例，并定期进行压力测试以确保在极端情景下的偿付能力；而在加密市场中，由于资产波动性更高、市场结构更碎片化且缺乏统一的监管标准，这一比率的合理区间仍处于动态探索之中。在此之上，压力测试覆盖率，即基金能否覆盖历史极端行情（如2020年3月的“黑色星期四”、2021年5月的清算级联、2025年10月的“10/10事件”）或模拟未来极端情景下的最大总亏损。这需要将第十一章建立的清算反身性方程（及其发散临界条件）与本章§12.3.5的尾部风险分布建模相结合来进行定量估算。进而，补充机制的可靠性，即当基金在极端事件中被大幅消耗后，是否存在明确、可信且迅速的再资本化机制。一个在危机后需要数月才能恢复的保险基金，其在连续极端事件中的防御能力将大打折扣。

激励相容性考察的是平台机制是否能够将各参与方的利益诉求与系统的长期稳健性有效对齐。这一维度涵盖三个关键子指标。清算罚金结构的合理性是第一个关键点，即罚金是否对高风险行为形成有效威慑，同时不过度惩罚正常交易者。过低的罚金无法约束高杠杆投机行为，过高的罚金则可能导致交易者在接近清算线时采取更激进的“赌一把”策略，反而加剧了系统风险。在此基础上，道德风险的抑制能力同样重要，特别是在平台层面，即平台是否通过“利益绑定”使自身利益与系统稳健保持一致。如果平台控制着保险基金但不承担任何损失风险，那么基金就可能沦为营销工具甚至欺诈工具。综合以上分析，利益对齐程度也是核心考量，即资金来源、使用规则和增值部分的利益分配是否与实际的风险承担者相匹配。如果流动性提供者承担了高昂的尾部风险却无法获得相应的风险溢价，或者平台在处理穿仓损失时缺乏利益攸关的约束，这种机制在极端行情下必然面临崩溃的风险。

过程质量与效率聚焦于清算机制在实际运行中的表现，特别是其在面对网络拥堵、预言机延迟或恶意操纵等极端事件时的响应速度和执行准确度。这包括清算执行速度和滑点（极端波动时能否快速有效地处置风险头寸而不产生过大的市场冲击）；穿仓率与 ADL 频率（作为清算链条前几层问题的终极结果指标，穿仓率越高意味着清算机制的前端防御越薄弱）；以及极端行情下的系统表现（是否出现宕机、API 延迟或订单无法成交等问题）。2025年10月10日的全市场清算级联事件（“10/10事件”）为这一维度提供了具有重要分析价值的实证数据：在该事件中，多家主流交易所出现了不同程度的系统性能下降，部分平台的清算引擎吞吐量不足以应对瞬时爆发的强平订单，导致穿仓损失远超正常水平 [32]。

除上述四个维度外，一个日益重要但常被忽视的补充维度是系统性风险贡献。随着加密衍生品市场的规模扩大和跨平台互联程度的加深，单一平台保险基金的失效可能通过多种传导渠道（包括做市商的跨平台敞口、稳定币的系统性赎回压力以及恐慌情绪的跨市场蔓延）对整个生态系统产生溢出效应。传统金融中已发展出成熟的系统性风险度量工具，其中 Adrian 和 Brunnermeier 提出的 CoVaR（条件在险价值）[33] 度量了单一机构陷入困境时整个系统的在险价值增量，而 Acharya 等人提出的 MES（边际期望短缺）[34] 则度量了系统性危机期间单一机构的预期损失贡献。将这些工具移植至加密衍生品领域，可以评估“如果平台X的保险基金被击穿，其他平台和整个市场将面临多大的额外风险？”这一核心问题。然而，直接移植这些传统工具面临加密市场特有的障碍：跨平台头寸数据的透明度极度不足使得条件尾部依赖结构难以估计；加密市场的波动率 regime 转换更为频繁，基于历史数据的条件分位数估计可能严重滞后；交易所之间的关联性可能主要通过做市商的跨平台库存渠道传导，而非传统的资产负债表关联。因此，将 CoVaR 和 MES 应用于加密衍生品领域时，需要针对上述特有的传导渠道进行建模适配。尽管上述数据可获得性和跨平台头寸的透明度仍然是主要障碍，但系统性风险贡献维度的引入，将保险基金评价从“单一平台的稳健性”扩展到“整个生态系统的韧性”层面，与宏观审慎监管的逻辑框架实现了对接。

治理与可验证性则涉及保险基金的透明度和规则执行的确定性。这不仅要求基金余额的链上可验证，更要求清算规则、资金动用条件以及紧急干预机制具有高度的透明度和可预期性。具体而言，这一维度考察规则透明度（资金流入、消耗和补充机制是否公开、明确且代码化）、资金可审计性（余额和每笔收支流水能否被第三方独立实时验证），以及参数变更的治理机制（由平台单方面决定还是通过 DAO 投票等去中心化制衡流程）。正如本章§12.4所建立的治理光谱G0-G3所揭示的，从完全黑箱操作（G0）到完全去中心化的链上治理（G3），平台在这一光谱上的位置，直接决定了其在危机时刻能否维持用户的信任。值得强调的是，“链上可见余额”不等于“治理透明”，规模可见但使用规则不可验证，仍是不完整的透明。保险基金通常是平台治理链中“最薄弱的环节”，因为它涉及的资金规模最大、决策的紧迫性最高、而透明度的要求却往往被以“安全”为由而降低。

![四维评价框架雷达图](./images/fig-12-20.png)

**图 12-20**. 主要衍生品平台保险基金机制四维评价雷达图（概念示意，作者定性评分，非实测数据）

### 12.5.2 平台对比分析

图12-20以雷达图形式呈现各平台在四个维度上的表现轮廓：中心化平台在资本充足性上占据优势但在治理可验证性上存在明显短板，去中心化平台则呈现相反的特征。将这一四维评价框架应用于当前市场的主流平台，我们可以观察到截然不同的机制选择和能力侧重。没有任何单一平台在所有维度上都占据绝对优势，这种“不可能全优”的格局，本质上反映了保险基金设计中资本效率、激励相容性、过程可靠性和治理透明度之间的深层权衡。

中心化交易所凭借庞大的交易体量和长期的运营积累，拥有绝对规模巨大的保险基金。根据2025至2026年的公开数据，Binance 的期货保险基金（各合约分组隔离基金之聚合，CoinGlass 口径，截至2025年）规模常年维持在23亿美元以上，应与其约10亿美元的用户安全资产基金（Secure Asset Fund for Users, SAFU）用户保护基金相区分，是全行业规模最大的单一期货保险基金 [35]。然而，由于其庞大的未平仓合约基数（全合约总 OI 约350亿美元，随行情波动），其基金/持仓比率通常维持在6.6%左右。Binance 的清算罚金采用分层递增结构，根据杠杆倍数和头寸规模设定不同的罚金比例，在一定程度上对高风险行为形成了威慑。在过程质量方面，Binance 的中心化撮合引擎在常规市场条件下表现较为稳定。但在10/10事件中，Binance 也出现了 API 延迟和部分功能宕机的情况，暴露了其在极端负载下的性能瓶颈。在治理与可验证性方面，Binance 仍处于G0-G1水平，虽然部分基金地址已公开，但基金的动用规则、清算参数的调整逻辑和紧急干预机制对外部观察者而言仍是黑箱，所有参数变更由平台单方面决定。OKX 并未公开披露其期货清算保险基金的规模；其对外披露的约5亿美元（现已扩充至逾7亿）为安全基金（Security Fund，主要覆盖平台侧被黑与漏洞造成的用户损失，对标 Binance 的 SAFU），不应直接作为期货保险基金或基金/持仓比率使用。OKX 在透明度上做出了部分改进（公开了更多运营数据），但核心治理机制仍由平台控制，整体评价与 Binance 类似。

在去中心化衍生品协议中，dYdX v4通过将其保险基金与社区金库深度绑定，实现了高度的治理可验证性（G2-G3级别）。其约1,600万美元的保险基金虽然绝对规模较小，基金/持仓比率仅约2.0%，但完全由 DAO 治理控制，资金的注入和使用规则透明且可预期 [36]。清算规则完全代码化，参数变更需经过 DAO 投票，任何社区成员都可以提出治理提案并参与讨论。这种高度透明的治理模式使 dYdX v4在治理维度上远超中心化竞争对手。然而，这种基于社区金库的社会化风险承担模式，在激励相容性上仍有提升空间：代币持有者被动承担了系统的尾部风险，却缺乏精细化的风险定价机制来补偿这种风险承担。在10/10事件中，dYdX v4曾出现链暂停的情况，暴露了其在极端负载下的过程质量短板。此外，较低的基金/持仓比率意味着其在面对大规模清算级联时的缓冲空间有限，补充机制的速度也受到 DAO 治理流程的制约。

Hyperliquid 则在市场化风险承销方面探索了新的方向。其 HLP 金库总 TVL 在2025年中后段约为3.9亿美元（2025年3月11日峰值曾超过5亿美元；截至2026年中已回落至约2.7亿美元），基于此计算的基金/持仓比率高达约18.6% [37]。然而，如§12.1.3所述，将 HLP 总 TVL 整体用作保险基金规模可能高估实际风险缓冲厚度。此外，长尾资产（如 JELLY、POPCAT 等低流动性 Meme 币）的尾部风险远大于 BTC/ETH 等主流资产，18.6%的平均比率掩盖了特定资产类别上可能严重不足的覆盖率，正如§12.6案例研究所揭示的“风险池混同”问题。更重要的是，Hyperliquid 通过开放清算金库，允许流动性提供者基于市场化原则自主参与风险承销，HLP 的年化收益率直接反映了市场对清算风险的动态定价，在激励相容性上形成了与其他平台的显著差异化。其清算规则链上可查，验证者共识机制为参数治理提供了一定程度的去中心化制衡，整体治理水平处于G2级别。然而，正如我们在§12.6的案例中所见，这种复杂的市场化机制在面对长尾资产的极端操纵时，其过程质量与效率仍面临严峻考验：10/10事件中 Hyperliquid 首次触发了 ADL 机制，而2025年的 JELLY 事件更是暴露了风险池混同的结构性缺陷。此外，验证者共识机制虽然提供了紧急干预能力，但其决策过程的中心化程度和透明度仍有待提升。

![平台保险基金对比](./images/fig-12-21.png)

**图 12-21**. 主要衍生品平台保险基金规模与资本充足率对比（资本充足率为作者估算口径，平台未公开该比率；基金规模为 as-of 2025 快照，现值已变动、时效性强）

图12-21将上述分析转化为可视化对比，直观印证了前文关于“绝对规模可能产生误导”的论断（参见§12.1.3）。表 12-2 汇总了四大平台在四维评价框架下的系统性对比，为读者提供一个结构化的参照坐标。

| 评价维度 | 关键指标 | Binance | OKX | dYdX v4 | Hyperliquid |
| :--- | :--- | :--- | :--- | :--- | :--- |
| 资本充足性 | 基金规模 | 约23亿美元（期货保险基金，别于约10亿 SAFU） | 未披露‡ | 约1,600万美元 | HLP 总 TVL 约3.9亿美元（含做市+清算）† |
| | 基金/持仓比率 | 约6.6% | 不可比‡ | 约2.0% | 约18.6%（基于 HLP 总 TVL 的上限估计）† |
| | 补充机制 | 不透明 | 不透明 | DAO 治理 | 市场化补充 |
| 激励相容性 | 罚金结构 | 分层递增 | 分层递增 | 链上规则 | 统一低费率 |
| | 利益对齐 | 低 | 低 | 中 | 高 |
| 过程质量 | 10/10事件表现 | 宕机与 API 延迟 | 部分延迟 | 链暂停 | ADL 触发 |
| | ADL 频率 | 极罕见 | 极罕见 | 链暂停替代 | 10/10首次触发 |
| 治理可验证性 | 资金透明度 | 黑箱（G0-G1） | 部分透明（G1） | 完全链上（G2-G3） | 链上可查（G2） |
| | 参数治理 | 平台单方决定 | 平台单方决定 | DAO 投票 | 验证者共识 |

**表 12-2.** 四大平台保险基金机制四维评价汇总（数据来源：作者整理自各平台公开文档）

> 注：† HLP 总 TVL 涵盖做市与清算两大策略的共同资金池，整体用作保险基金规模可能高估实际风险缓冲厚度，18.6% 应理解为基于 HLP 总 TVL 的上限估计（参见§12.1.3）。‡ OKX 未公开披露其期货清算保险基金规模；其对外披露的约 5 亿美元为安全基金（对标 SAFU、覆盖平台被黑），与其他平台的期货保险基金不可同口径比较，故“基金规模/比率”列计为“未披露/不可比”。

从这一横向对比中可以提炼出几个关键洞察。资本充足性与治理透明度之间在当前市场中呈现出一种可观察的描述性关联：资金规模最大的平台往往治理最不透明，而治理最透明的平台资金规模最小。然而，这一关联可能主要反映了历史路径依赖而非因果性的制度权衡：中心化平台成立更早、运营时间更长，在缺乏 DeFi 基础设施的早期行业环境中自然以不透明方式运营并积累了规模优势；而去中心化平台较新，尚未经历足够多的牛熊周期来积累大规模基金。此外，不透明且资金不足的平台（如 FTX）已经倒闭不在当前样本中，幸存者偏差也可能扭曲了观察到的关联。随着去中心化平台的成熟，是否会出现“高透明度+高资本充足性”兼具的平台从而打破当前的关联模式，是一个值得长期跟踪的命题。在此基础上，激励相容性与过程可靠性之间也存在权衡：Hyperliquid 的市场化机制在激励设计上相比其他平台更为精细，但其复杂性也带来了更大的攻击面和更多的边缘情况。综合以上分析，没有任何平台在所有维度上都达到了理想水平，选择取决于用户对不同维度的优先级排序：追求资本安全的大型机构可能偏好 Binance 的绝对规模，追求透明治理的 DeFi 原生用户可能偏好 dYdX v4，而追求资本效率和创新机制的专业交易者可能偏好 Hyperliquid。

## 12.6 案例研究：JELLY 事件

理论框架的优劣最终需要经过真实市场极端压力的检验。2025年发生在 Hyperliquid 平台上的系列风险事件，特别是3月份的 JELLY 代币操纵案，为我们提供了一个极其罕见且具有研究价值的实证研究案例。这些事件不仅暴露了复杂去中心化清算架构中的隐蔽脆弱性，也生动展示了去中心化治理在危机时刻的艰难抉择，更揭示了市场化风险承销机制在面对蓄意恶意博弈时的内在局限。JELLY 事件之所以值得深入研究，不仅因为其攻击手法的精巧和后果的严重，更因为它将保险基金的技术设计、治理机制和政治经济学张力集中体现在一个单一事件中，成为本章所有理论论述的最佳注脚。

### 12.6.1 HLP 架构设计

要理解 JELLY 事件的本质，首先需要深入剖析 Hyperliquid Vaults 的架构设计。Hyperliquid 的核心创新在于其 HLP 金库系统，即一个社区拥有的、执行多种自动化策略的协议金库。用户存入 USDC 成为 LP 后，资金会被分配到多个子策略中，共享策略组合的整体盈亏。其中最关键的子策略包括做市策略（在订单簿上持续提供双边报价以赚取买卖价差）和清算金库。保险基金的功能正是作为 HLP 内嵌的核心策略，即清算金库来执行的。这种将做市功能与保险功能整合在同一个金库中的设计，是 Hyperliquid 区别于其他协议的关键特征，也是其高资本效率的来源：同一笔资金既可以赚取做市收益，又可以在需要时充当清算缓冲。

清算金库的设计初衷是为了解决去中心化订单簿在极端行情下流动性枯竭的问题。其风险承销流程遵循严格的层级逻辑：当一个杠杆头寸的净值跌破维持保证金要求时，系统首先尝试在公开订单簿上通过市价单进行平仓，这是一个开放竞争的过程，任何市场参与者都可以作为对手方吃下这笔清算订单。如果订单簿深度不足，或者价格滑点过大导致头寸净值跌至维持保证金的三分之二以下，该头寸将被直接转移至清算金库。清算金库接管该穿仓账户的所有头寸和剩余保证金后，会利用其庞大的资金储备吸收瞬时冲击，随后通过算法在市场上逐步平仓，以最小化对市场价格的破坏。利润或亏损由全体 HLP 的 LP 共担 [38]。值得注意的是，HLP 清算金库的运行模式与中心化交易所的保险基金存在根本性差异。CEX 保险基金通常采用“差额填补”模式，即清算引擎以市价执行平仓后，穿仓差额由基金补足，基金本身不承担方向性风险。而 HLP 清算金库采用的是“头寸接管”模式，即完整接管穿仓账户的头寸和剩余保证金，承担持有方向性敞口的市场风险，直到能在市场上逐步平仓。这种设计差异使得 HLP 暴露于一个 CEX 保险基金所不面临的额外风险维度，即“持仓风险”：在极端行情中，接管的头寸可能在平仓过程中进一步恶化，JELLY 事件正是这一风险维度的极端体现。

这种设计的精妙之处在于，它将瞬时的清算冲击转化为平缓的流动性释放，极大地增强了系统的抗脆弱性。作为最终防线，Hyperliquid 还设计了自动减仓机制：当清算金库面临的潜在损失超过一定阈值时，系统将强制平掉盈利用户的头寸，以弥补清算亏损，确保协议的整体偿付能力。在 ADL 之上，还存在一个终极裁量权层，即验证者共识机制，验证者可以通过投票决定是否进行特殊干预。在理论推演中，这一套由“订单簿市价平仓—清算金库吸收—ADL 终极风险承担—验证者共识”组成的四级防御体系，似乎构建了一道完备的安全防线。

HLP 的三大机制优势使其在§12.5的评价框架中获得了较高的综合评分：第一，风险的市场化定价，即 HLP 的年化收益率直接充当了动态的风险价格信号，当系统面临较高的清算风险时，更高的收益预期会吸引更多的风险承销资本，反之则挤出过剩资本，实现了保险基金规模与实际风险敞口之间的动态平衡；第二，初步的风险分层与隔离，即允许用户创建自定义 Vault 专注于特定资产或策略，为未来更精细的风险管理奠定了基础；第三，增强的激励相容性，即清算利润归 LP 所有，激励社区持续优化清算策略，使风险管理从“平台的负担”转变为“社区的机会”。

![HLP架构图](./images/fig-12-22.png)

**图 12-22**. Hyperliquid Vaults 风险承销架构与清算流程

图12-22以箭头与阈值标注呈现这一四级风险承销架构的流动方向与触发条件。然而，JELLY 事件证明了理论与实践之间存在显著落差。

### 12.6.2 事件时间线

然而，2025年3月26日的 JELLY 事件，暴露了这套防御体系中的结构性缺陷。JELLY 是一个在 Solana 链上通过 Pump.fun 发行的 Meme 币，彼时市值仅约1,000万美元，链上流动性极度匮乏。攻击者精准地利用了 Hyperliquid 在长尾资产风控上的漏洞，有计划地实施了一场跨链价格操纵与清算机制漏洞的联合攻击 [22]。这次攻击的精巧之处在于，它并非试图从价格方向性的博弈中获利，而是直接瞄准了清算机制本身的结构性缺陷。

攻击的布局阶段，攻击者在链上创建了三个全新地址，准备了数百万美元的资金。在 Hyperliquid 上，攻击者针对 JELLY 这一低流动性标的，同时开立了总价值约450万美元的空头头寸（集中在一个地址），以及两笔总计约500万美元的多头头寸（分布在另外两个地址）。这种多空对冲的布局，使得攻击者在 JELLY 价格变动中的净风险敞口极小。JELLY 事件暴露的不仅是清算架构的缺陷，更是基础运营风控能力的缺失。在传统衍生品市场中，三个新创建地址在短时间内同时对同一低流动性标的开立反方向巨额头寸，这种模式会立即触发关联交易监控警报；450万/500万美元的双向持仓相对于 JELLY 仅约1,000万美元的市值意味着未平仓合约接近该标的的整体市值，这是一个明显的操纵预警信号；主动逐步撤出保证金的行为模式本身就是自我清算的明确信号。上述基础的异常行为检测能力在传统衍生品交易所中是标准配置，其在 Hyperliquid 上的缺失反映了去中心化平台在运营风控基础设施建设上的系统性滞后。真正的攻击利润来源并非价格方向性的博弈，而是对清算机制本身的套利，即通过将一笔注定亏损的空头头寸“注入”清算金库，然后在外部市场操纵价格使清算金库承受巨额亏损，最终通过多头头寸的盈利来实现净利润。

随后进入清算触发阶段。攻击者开始从持有空头头寸的地址中逐步撤出保证金，主动将该头寸推向清算线。这一操作的关键在于“逐步撤出”而非“一次性撤出”，通过精确控制保证金的撤出速度，攻击者确保了清算的发生时机与其跨链操纵的节奏精确同步。由于 JELLY 在 Hyperliquid 订单簿上的深度极度匮乏（对于一个市值仅1,000万美元的 Meme 币而言，订单簿上几乎不存在能够吸收数百万美元清算订单的对手方），清算引擎无法在市场上找到足够的流动性来完成平仓。按照系统设计的逻辑，这笔庞大的空头头寸被顺理成章地转移到了 HLP 的清算金库中。至此，攻击者成功地将一笔巨额空头风险敞口“注入”了 HLP，而这正是整个攻击链条中最关键的一步。

在空头头寸被清算金库接管的几乎同一时间，攻击进入跨链价格操纵阶段。攻击者在 Solana 链上的去中心化交易所（主要是 Raydium）动用巨量资金疯狂扫货 JELLY 现货。由于 JELLY 的链上流动性极度稀薄，这种集中买入导致该代币价格在极短时间内飙升约400% [21]。这一剧烈的价格波动通过预言机迅速传导至 Hyperliquid 平台。预言机的设计初衷是为了确保链上价格与链下市场价格的一致性，但在这一场景中，预言机忠实地传递了一个被人为操纵的价格信号，反而成为了攻击链条中不可或缺的传导工具。这一环节揭示了跨链 DeFi 生态中的一个系统性风险：当一个协议的风险管理依赖于外部市场的价格信号时，外部市场的可操纵性就成为了该协议的安全边界。

随着 JELLY 价格的飙升，HLP 面临严重的偿付压力。清算金库手中被迫持有的巨额空头头寸瞬间产生了约1,200万至1,350万美元的未实现亏损（OAK Research/Halborn 计约1,200万，CoinDesk、perp.wiki 计约1,350万、相当于 HLP 金库约27%的临时回撤）。这一数字几乎足以耗尽整个 HLP 金库的流动性缓冲。此时，系统本应触发 ADL 机制来化解危机，即通过强制平掉盈利用户的头寸来弥补清算亏损。然而，一个严重的架构缺陷导致了 ADL 机制的完全失效。

ADL 的触发逻辑是基于清算金库的未实现亏损与其对应资金池的比率超过预设阈值。但在当时的系统设计中，清算金库的资金池并未与 HLP 主池完全隔离，清算金库只是 HLP 内部的一个子策略，而非一个独立的资金实体。这意味着 ADL 触发比率的分母被设定为整个 HLP 金库的庞大总资产（数亿美元），而非清算金库本身的独立资金量。面对 HLP 数亿美元的资金盘，1,230万美元的亏损并未达到 ADL 的触发阈值。事后修补将清算金库独立隔离后，ADL 触发比率的分母大幅缩小，使安全阀的灵敏度得到显著提升。但具体的触发阈值数值并未向社区公开披露，Hyperliquid 文档仅描述了 ADL 在“账户价值或隔离仓位价值变为负数”时激活的一般性条件，而未给出精确的比率参数，这本身也是G2级治理中需要持续改进的透明度问题。系统陷入了一个矛盾的僵局：巨额穿仓损失正在真实发生，但最终的安全阀却因“池子太大”而保持沉默。这正是本节所分析的“风险池混同”问题在极端条件下的致命体现：做市策略的资金和清算策略的资金混合在同一个池中，导致风险信号被削弱，安全机制的灵敏度下降。

面对迫在眉睫的系统性偿付危机，Hyperliquid 团队启动了四级防御体系中的最终一层，即验证者共识机制。在危机爆发的短短几分钟内，平台验证者全票通过了一项紧急决议：无视预言机传回的真实市场价格，强制将 JELLY 的结算价格覆写为操纵发生前的0.0095美元。基于这一人为设定的价格，系统强行平掉了所有相关头寸，瞬间消除了 HLP 高达千万美元的账面亏损。这一操作的本质是：验证者集体行使了“价格裁量权”，用人为判断替代了市场价格和预言机数据，以维护系统的整体偿付能力。在危机解除后的善后阶段，Hyperliquid 对所有无辜的 JELLY 多头持仓用户按照事件发生前的市场公允价格进行了全额退款，确保普通用户不因平台的机制缺陷而遭受损失。攻击者的账户被冻结，最终净损失约91万美元（Arkham 口径，为“若被冻结资金无法取回”情形下的上限估计）[21]。具体而言，攻击者的损益结构大致如下：空头头寸因主动触发清算而损失了全部保证金；两笔多头头寸在价格飙升后产生了可观的账面盈利，但验证者的价格回滚将结算价强制恢复至攻击前水平，抹消了多头的大部分盈利；跨链价格操纵过程中在 Raydium 上的买入滑点构成了额外的执行成本。91万美元的净损失是上述各项收支轧差后的最终结果。反事实推演揭示了干预的经济影响：如果验证者未干预，攻击者通过多头盈利减去空头损失和操纵成本后的净收益可能高达数百万美元，同时 HLP 将承受约1,230万美元的实际亏损。从纯粹的经济角度来看，攻击者的攻击并未成功获利；但从系统安全的角度来看，这次攻击暴露的架构缺陷远比91万美元的直接损失更为严重。

![JELLY事件时间线](./images/fig-12-23.png)

**图 12-23**. JELLY 事件跨链操纵与危机演进时间线（图中“价格飙升约250%”为初始操纵窗口涨幅；至验证者共识覆写点累计涨幅约429%，正文“约400%”介于二者之间，系同一事件不同时窗的口径差异）

图12-23将各阶段时间节点、关键操作与资金流向整合为完整的时间线。整个攻击从布局到解除历时不足数小时，凸显了跨链 DeFi 环境中风险演化的速度。

JELLY 事件并非孤立事件，而是 Hyperliquid 在2025年经历的一系列风险事件中的高潮。在此之前的2025年3月12日，Hyperliquid 已经经历了一次大型鲸鱼操纵事件：一名交易者利用50倍杠杆开立了超过3亿美元的 ETH 多头头寸，随后通过策略性提取保证金触发清算，导致 HLP 承受了约400万美元的损失 [39]。这次事件虽然损失相对有限，但已经暴露了 HLP 在面对大额定向操纵时的脆弱性，并引发了社区对 HLP 安全性的广泛讨论。而在 JELLY 事件之后的2025年11月，POPCAT 事件进一步暴露了类似的脆弱性，但其攻击向量与 JELLY 并不相同：攻击者从 OKX 提取约300万美元 USDC、拆分至19个钱包，以高杠杆建立 POPCAT 多头，并在 Hyperliquid 自家订单簿挂出约2,000万美元假买墙伪造需求、随后骤然撤单，触发其自身多头的清算瀑布，迫使 HLP 承接约490万美元坏账；攻击者明知会损失全部约300万美元保证金仍执意为之。须注意：POPCAT 属平台内订单簿幌骗（order-book spoofing）叠加清算机制套利、并未涉及 JELLY 式的跨链现货/预言机操纵；二者的共性在于均针对深度薄弱的模因币、且均愿牺牲自有本金以将损失外溢给 HLP，链上聚类显示二者疑出自同一攻击者集群。这种“损己伤人”的策略表明，对于有预谋且不计成本的定向操纵，市场化风险承销机制依然面临严峻挑战：当攻击者的目标不是获利而是破坏时，基于经济理性假设的防御机制将面临根本性的失效。

POPCAT 事件尤其值得深入分析的原因在于，它发生在 Hyperliquid 针对 JELLY 事件实施了一系列修补措施之后。JELLY 事件后引入的三项核心改进（清算金库与 HLP 主池的资产隔离、基于市值和订单簿深度的动态持仓上限、以及验证者投票下架机制）在 POPCAT 事件中均未能有效防御攻击。资产隔离确实使 ADL 机制能够在适当阈值触发，避免了 JELLY 事件中“池子太大导致安全阀沉默”的问题；然而，动态持仓上限被攻击者通过分散地址、逐步建仓的方式规避，验证者的下架投票则因“攻击是否已发生”的判断模糊性而未能在损失产生前及时启动。这一结果揭示了制度演化的一个根本性局限：每一轮修补措施本质上都是针对“上一次攻击向量”的定向补丁，而适应性攻击者会主动寻找新的攻击面。这种“攻击→修补→新攻击”的演化动态，与生物学中的红皇后效应高度同构，即防御者必须不断进化，仅仅为了维持与攻击者之间的相对位置不变。从经济学理论的角度，这一演化动态可以被更精确地理解为 Goodhart 定律的表现：当防御规则（“度量”）被透明地公开时，攻击者（“行为人”）会针对性地调整策略使该规则失效。Lucas 批判的逻辑同样适用：基于历史攻击模式制定的防御策略，会因为攻击者对策略本身的预期而改变未来的攻击模式。对于去中心化协议而言，这意味着风险管理不能仅依赖事后的漏洞修补，而需要建立系统性的对抗性思维：在机制设计阶段就将“攻击者会如何利用这个规则”纳入核心考量，并为未知攻击向量保留足够的制度弹性。

![三次重大事件对比](./images/fig-12-24.png)

**图 12-24**. Hyperliquid 2025年三次重大风险事件对比

图12-24将三次事件按时间、攻击手法、损失规模和平台响应四个维度进行了结构化对比。从中可以观察到三个递进趋势：攻击的复杂度从单一平台操纵（3月12日鲸鱼事件）升级到更复杂的薄流动性模因币攻击，其中 JELLY 体现为跨链现货/预言机操纵，POPCAT 则体现为平台内订单簿幌骗叠加清算机制套利；攻击者的风险偏好从套利获利转向不计成本的破坏性策略（POPCAT 攻击者愿意牺牲约300万美元本金）；平台的响应也从被动承受损失（鲸鱼事件）演变为主动干预价格（JELLY 事件）和事后架构改革。这一演化路径表明，市场化风险承销机制在面对持续进化的对抗性攻击时，需要同步迭代其防御能力。

### 12.6.3 去中心化治理的边界

JELLY 事件是一个典型的“不完全合约”案例，它证明了任何事先设计的规则体系都无法穷尽所有恶意攻击向量。无论代码多么精密，总存在规则制定者未曾预见的边缘情况。当这种边缘情况发生时，系统最终依赖的是拥有裁量权的“最终担保人”。在传统金融中，这个角色由央行或监管机构扮演；而在 Hyperliquid 的案例中，这个角色由验证者集体承担。这一事实将去中心化衍生品平台推向了一个根本性的困境，这个困境可以被精确地表述为：一个以“去中心化”和“代码即法律”为核心叙事的协议，在面对足以摧毁自身的攻击时，是否应该拥有紧急的中心化“断路器”？ 如果答案是肯定的，那么这个断路器应该由谁掌握？触发条件是什么？如何防止其被滥用？如果答案是否定的，那么协议是否应该接受被蓄意攻击者摧毁的可能性，以维护其去中心化的纯粹性？

Hyperliquid 给出的答案是“验证者共识”，即一种介于完全集中决策和完全无治理之间的中间路线。验证者作为协议的利益相关者（通常需要质押大量代币），有动力维护协议的长期健康。通过要求全票或绝对多数票通过，这一机制在理论上既保留了紧急干预的能力，又通过集体决策降低了单点滥用的风险。然而，需要正视的事实是，JELLY 事件发生时（2025年3月，无许可验证者集尚未上线，网络仍运行由基金会引导的小规模验证者集），Hyper Foundation 控制了约81%的质押 HYPE 代币，外部独立验证者的参与比例极低。正是这种高度集中的验证者结构使得紧急决议能够在约2分钟内零反对达成“全票通过”，而这一速度在实质上更接近于“核心团队的单方面决策”，而非真正的去中心化共识。这一现实意味着 Hyperliquid 在治理光谱上的实际位置可能更接近G1-G2而非G2。事件后验证者集合已扩展至16个节点，但基金会仍运营其中五个且控制多数质押代币，节点软件仍未开源。随着验证者集合的进一步去中心化，这一治理机制的可信度将相应提升，但当前阶段的治理实践应被如实评价。在 JELLY 事件中，验证者的决策过程仍然高度中心化：决策在几分钟内完成，社区没有参与讨论的时间，决策的依据和过程也未被充分记录和公开。这种“先行动、后解释”的模式，虽然在危机时刻挽救了协议，但也对平台“去中心化”的叙事构成了严峻挑战。批评者指出，如果验证者可以在几分钟内覆写预言机价格并强制平仓，那么这与中心化交易所的后台操作在本质上有何区别？

这一事件在社区中引发了激烈的辩论。支持者认为，在面对蓄意的恶意攻击时，保护协议和用户的利益是最高优先级，验证者的干预是必要且正当的，正如传统金融中的央行在系统性危机时拥有“最终贷款人”的裁量权。反对者则认为，这种干预破坏了“代码即法律”的基本原则，为未来的选择性执法和利益冲突埋下了隐患：如果验证者可以在某些情况下覆写价格，那么谁来保证他们不会在其他情况下为自身利益而滥用这一权力？

从更宏观的视角来看，JELLY 事件揭示了当前 DeFi 发展阶段的一个制度现实：绝对的去中心化在当前技术条件下难以完全实现。几乎所有成功的金融系统，无论是传统的还是加密的，都在规则刚性与最终裁量权之间维持着一种脆弱而必要的平衡。传统金融中的 CCP 拥有“违约管理委员会”来处理规则无法覆盖的极端情况；各国央行拥有“最终贷款人”的裁量权来应对系统性危机；甚至以太坊本身也曾在2016年的 DAO 攻击事件后通过硬分叉来“回滚”被盗资金。Hyperliquid 的验证者共识机制，本质上是这种古老智慧在去中心化语境下的一次初步但必要的实践。从操作安全角度来看，紧急干预机制本身也构成了一个攻击面：如果攻击者能够通过社会工程或技术手段控制足够多验证者的密钥或投票权，便可能利用同一紧急干预机制实施更具破坏性的攻击。此外，验证者在“几分钟内”完成全票投票的过程暗示了高效但可能不安全的通信渠道（如 Telegram 群组），这些渠道本身是否成为安全隐患值得审视。紧急干预机制的设计不仅需要解决“谁有权干预”的治理问题，还需要解决“干预过程本身如何被保护”的操作安全问题。

事件发生后，Hyperliquid 迅速实施了一系列系统性的修补措施，试图在不放弃市场化风险承销模式的前提下堵住已暴露的漏洞。将清算金库与 HLP 主池进行严格的资产隔离，并为清算金库设定了独立的 ADL 触发阈值，彻底修复了风险混同导致的机制失效问题：这意味着即使清算金库的亏损相对于 HLP 总资产微不足道，只要其相对于清算金库自身的资金量超过阈值，ADL 就会被触发。在此基础上，引入了基于真实市值和订单簿深度的动态持仓上限公式，从源头上遏制了长尾资产的过度杠杆化：如果一个代币的市值仅有1,000万美元，系统将不再允许在该标的上积累数百万美元的未平仓合约，从而使攻击者无法在低流动性资产上构建足以威胁系统的巨额头寸。综合以上分析，赋予了验证者通过链上投票下架异常资产的权力，为应对未来类似的长尾资产操纵提供了制度化的工具 [40]。

然而，2025年11月的 POPCAT 事件表明，这些修补措施虽然堵住了 JELLY 事件中暴露的具体漏洞，但并未从根本上解决市场化风险承销机制面对蓄意操纵时的脆弱性。当攻击者愿意承担数百万美元的净损失来制造更大规模的系统性破坏时，任何基于经济理性假设的防御机制都将面临挑战。这一认识将我们引向一个更深层的命题：保险基金机制的设计，不仅是一个技术优化问题，更是一个关于风险、权力和信任的政治经济学问题。正如本章标题所揭示的，保险基金是永续合约体系中“技术设计”与“政治治理”交汇最深的节点，其技术层面可以用精算模型来优化，但其治理层面涉及的是权力、信任和利益分配的问题，这些问题无法用代码解决，只能用制度来约束。

## 12.7 本章小结

至此，我们完成了对保险基金这一制度安排的系统性分析。作为第四篇“设计——永续合约的核心机制”的收官之作，本章将永续合约的风险管理从纯技术层面扩展到利益博弈、权力分配和信任建构的制度层面。保险基金与自动减仓共同构成了应对极端风险的双重社会化机制。保险基金通过事前集资，将高杠杆交易产生的负外部性在系统内部消化，其核心产出并非投资回报，而是无可替代的结算可信度与规则可预期性，这是国际清算银行《金融市场基础设施原则》所强调的金融市场基础设施核心功能在加密衍生品领域的具体体现。而当这一机制的资金被耗尽，ADL 作为事后分摊的最终手段被迫启动，它始终面临着偿付能力、长期收入与用户公平之间无法调和的三元悖论。10/10事件中约6.5亿美元的过度 haircut，以及接近于零的利润-损失对称比率，以实证数据揭示了静态 ADL 策略在面对复杂市场环境时的根本性不足。

本章提出的信心即流动性假说，揭示了保险基金更为深层的经济学意义。基金的信号功能远比其单纯的资金吸收功能重要得多。Hyperliquid 鲸鱼事件中“400万美元实际损失引发1.3亿美元恐慌提款”的实证，展现了约32.5倍的关联放大效应，远超任何资本杠杆的放大效应（尽管这一系数可能受同期宏观因素和社交媒体信息级联等混杂因素的影响）。信心与充足率之间的非线性“悬崖效应”表明，对信心的管理在本质上就是最高维度的风险管理。

精算充足率模型将“基金规模够不够”这一模糊的定性问题，转化为基于尾部风险分布的严谨定量分析。然而，充足率所呈现的顺周期悖论（在最不需要时累积，在最需要时枯竭）直接揭示了依赖清算罚金作为单一收入来源的结构性缺陷。“收入的渐进累积”与“支出的突发爆发”之间的期限错配，是保险基金设计中必须正视的根本性挑战。

此外，保险基金的存在不可避免地催生了双重道德风险：交易者因隐性风险承担而倾向于承担更大风险，平台运营者则面临挪用资金或滥用裁量权的诱惑。FTX 虚构保险基金的极端案例警示我们，“有保险”绝不等于“更安全”，保险本身可能创造新的系统性风险。因此，我们引入了从G0到G3的治理光谱，指出保险基金的治理往往是整个平台可验证性阶梯中最薄弱的一环。规模的可见并不等同于规则的透明，唯有将过程置于阳光之下，信任方能建立。

基于上述洞察，我们提炼出构建稳健机制的五项设计原则：风险必须被精准定价以消除交叉补贴，平台利益必须与系统稳健深度绑定以杜绝道德风险，运行过程必须具备极高的可验证性以建立信任，复杂的风险必须被精细化分层隔离以防止传染，同时必须承认并用制度严厉约束拥有最终裁量权的“最终担保人”。图12-25将第四篇三章的因果链条整合为一条完整的弧线，从资金费率的常态调节到清算级联的爆发，再到保险基金的吸收与 ADL 的最终分担，直观呈现了各机制之间的层级递进关系。

![](./images/fig-12-25.png)

**图 12-25**. 第四篇的完整因果弧线

随着本章的结束，第四篇的完整弧线至此闭环。我们清晰地看到了一条严密的因果链条：从第十章资金费率维持的常态调节功能，到极端行情下费率机制失效引发的系统性失衡；从保证金的持续消耗，到第十一章清算引擎触发的大规模连锁清算与级联反身性；当这一连串的冲击最终突破个体防线产生穿仓缺口时，本章的保险基金作为风险吸收层紧急介入填补损失；而一旦基金耗尽，ADL 作为最终的风险分担机制便会将损失强制分摊给盈利交易者。这三章并非三个独立机制的并列罗列，而是一个从常态运行到极端崩溃再到危机善后的完整生命周期叙事。这套核心机制的设计质量，直接决定了永续合约作为一款金融产品的安全性、资本效率和基本公平，更为我们后续探讨市场的价格发现、套利行为、流动性演变以及波动率特征，奠定了系统性的机制认知基础。

在理解了“市场机制各环节如何协调运作”之后，下一篇将正式进入价格发现领域，探究纷繁复杂的信息是如何被融入价格之中的，外部的价格基准是如何无形中塑造市场形态的，以及在这个充满摩擦的加密世界里，市场的信息效率究竟达到了何种境界。

## 参考文献

[1] Marshall, M. (2025). How \$3.21B vanished in 60 seconds: October 2025 crypto crash explained through 7 charts. *Amberdata Research Blog*. https://blog.amberdata.io/how-3.21b-vanished-in-60-seconds-october-2025-crypto-crash-explained-through-7-charts （访问于 2026-06）

[2] FTI Consulting. (2025, December). Crypto crash Oct 2025: Leverage meets liquidity. https://www.fticonsulting.com/insights/articles/crypto-crash-october-2025-leverage-met-liquidity

[3] Decrypt. (2020, April). How Black Thursday reshaped the Bitcoin futures market. https://decrypt.co/26299/black-thursday-reshaped-bitcoin-futures-market-report

[4] Ledger Prime Research. (2021, August). Crypto's Black Thursday: The market crash of March 2020. https://www.research.ledgerprime.com/p/cryptos-black-thursday-the-market

[5] WhiteRabbit. (2020, March). Black Thursday for MakerDAO: \$8.32 million was liquidated for 0 DAI. *Medium*. https://medium.com/@whiterabbit_hq/black-thursday-for-makerdao-8-32-million-was-liquidated-for-0-dai-36b83cac56b6

[6] Jensen, M. C., & Meckling, W. H. (1976). Theory of the firm: Managerial behavior, agency costs and ownership structure. *Journal of Financial Economics*, *3*(4), 305–360. https://doi.org/10.1016/0304-405x(76)90026-x

[7] Bank for International Settlements. (2012, April). Principles for financial market infrastructures. CPSS-IOSCO. https://www.bis.org/cpmi/publ/d101a.pdf

[8] Binance. (n.d.). Auto-deleveraging. Binance Support. https://www.binance.com/en/support/faq/auto-deleveraging

[9] Drift Protocol. (n.d.). Socialized loss & ADL. Drift Protocol Documentation. https://docs.drift.trade/

[10] Chitra, T. (2025). Autodeleveraging: Impossibilities and optimization. *arXiv preprint*, arXiv:2512.01112. https://arxiv.org/abs/2512.01112 https://doi.org/10.48550/arXiv.2512.01112

[11] CoinGlass. (2025). Liquidation data — October 10, 2025. https://www.coinglass.com/liquidation

[12] Lo, A. W. (2004). The adaptive markets hypothesis: Market efficiency from an evolutionary perspective. *Journal of Portfolio Management*, *30*(5), 15–29.

[13] Diamond, D. W., & Dybvig, P. H. (1983). Bank runs, deposit insurance, and liquidity. *Journal of Political Economy*, *91*(3), 401–419. https://doi.org/10.1086/261155

[14] Arkham Intelligence. (2025). Hyperliquid whale passes \$4M loss to HLP vault. Arkham Research. https://info.arkm.com/research/hyperliquid-whale-passes-4m-loss-to-hlp-vault

[15] Kahneman, D., & Tversky, A. (1979). Prospect theory: An analysis of decision under risk. *Econometrica*, *47*(2), 263–291. https://doi.org/10.2307/1914185

[16] Banerjee, A. V. (1992). A simple model of herd behavior. *The Quarterly Journal of Economics*, *107*(3), 797–817. https://doi.org/10.2307/2118364

[17] Bikhchandani, S., Hirshleifer, D., & Welch, I. (1992). A theory of fads, fashion, custom, and cultural change as informational cascades. *Journal of Political Economy*, *100*(5), 992–1026. https://doi.org/10.1086/261849

[18] Shiller, R. J. (2019). *Narrative Economics: How Stories Go Viral and Drive Major Economic Events*. Princeton University Press. https://doi.org/10.1515/9780691189970

[19] The Block. (2023). FTX used random numbers to generate the size of its insurance fund. https://www.theblock.co/post/255352/ftx-used-random-numbers-to-generate-the-size-of-its-insurance-fund

[20] Asmussen, S., & Albrecher, H. (2010). *Ruin probabilities* (2nd ed.). World Scientific.

[21] Oak Research. (2025). Hyperliquid JELLY attack: Context, vulnerability, team solution. https://oakresearch.io/en/analyses/investigations/hyperliquid-jelly-attack-context-vulnerability-team-solution

[22] Halborn. (2025). Explained: The Hyperliquid hack (March 2025). https://www.halborn.com/blog/post/explained-the-hyperliquid-hack-march-2025

[23] Chainalysis. (2023). Oracle manipulation attacks rising: A unique concern for DeFi. https://www.chainalysis.com/blog/oracle-manipulation-attacks-rising/ （存档于 web.archive.org）

[24] Smart Contract Hacking. (2025). Oracle manipulation & price manipulation attacks. https://smartcontractshacking.com/attacks/oracle-manipulation-attacks

[25] Solidus Labs. (2022). The Mango Markets exploit: An order book analysis. https://www.soliduslabs.com/post/mango-hack

[26] U.S. Securities and Exchange Commission. (2023). SEC charges Avraham Eisenberg with manipulating Mango Markets [Press release]. https://www.sec.gov/newsroom/press-releases/2023-13

[27] United States v. Eisenberg, No. 23-cr-10 (S.D.N.Y. May 23, 2025) (order granting Rule 29 motion and vacating conviction); 另见 CoinDesk. (2025, May 24). Mango Markets exploiter Avraham Eisenberg's fraud conviction overturned.

[28] Hart, O., & Moore, J. (1990). Property rights and the nature of the firm. *Journal of Political Economy*, *98*(6), 1119–1158. https://doi.org/10.1086/261729

[29] Akerlof, G. A. (1970). The market for "lemons": Quality uncertainty and the market mechanism. *The Quarterly Journal of Economics*, *84*(3), 488–500. https://doi.org/10.2307/1879431

[30] Spence, M. (1973). Job market signaling. *The Quarterly Journal of Economics*, *87*(3), 355–374. https://doi.org/10.2307/1882010

[31] European Union. (2023). Regulation (EU) 2023/1114 of the European Parliament and of the Council of 31 May 2023 on markets in crypto-assets (MiCA). *Official Journal of the European Union*. https://eur-lex.europa.eu/eli/reg/2023/1114/oj

[32] CoinGecko. (2026, February). What is October 10th? Crypto's 10/10 mass market liquidation event. https://www.coingecko.com/learn/october-10-crypto-crash-explained

[33] Adrian, T., & Brunnermeier, M. K. (2016). CoVaR. *American Economic Review*, *106*(7), 1705–1741.

[34] Acharya, V. V., Pedersen, L. H., Philippon, T., & Richardson, M. (2017). Measuring systemic risk. *The Review of Financial Studies*, *30*(1), 2–47. https://doi.org/10.1142/9789814417501_0003

[35] Binance. (n.d.). Insurance fund & SAFU. Binance Support. https://www.binance.com/en/support/faq/insurance-fund

[36] dYdX. (n.d.). dYdX community dashboard. https://dydx.community/dashboard

[37] Hyperliquid. (n.d.). Hyperliquid vaults dashboard. https://app.hyperliquid.xyz/vaults

[38] Hyperliquid. (n.d.). Hyperliquid documentation. https://hyperliquid.gitbook.io/hyperliquid-docs

[39] The Block. (2025). Hyperliquid whale 50x leverage ETH event. https://www.theblock.co/post/344553/hyperliquid-whale-50x-leverage-eth

[40] Hyperliquid. (2025). Post-JELLY risk-management updates [Documentation, risk-management/clearinghouse section]. Hyperliquid Documentation. https://hyperliquid.gitbook.io/hyperliquid-docs （访问于 2026-06；具体见文档风险管理章节）