> **Source:** https://permissionless.fi/zh/29-decentralized-clearing
> From *无需许可的金融* (无需许可的金融：从永续合约到链上全球市场) by Eric Cheung. Licensed under CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/).

# 第 29 章 构建理想的去中心化清结算架构

本书前二十八章逐一分析了去中心化清算所的各个组成部分及其失效方式：合约更替如何以无人格的中央对手方吸收双边信用风险（第5章、第28章），多边净额轧差如何将大量双边敞口压缩为净头寸（第1章、第5章），标记价格如何成为未实现盈亏与保证金的计量基准（第14章），保证金与杠杆如何界定账户的强平边界（第11章），强平的反身性如何将个体审慎放大为系统脆弱（第11章），违约瀑布如何在穿仓后逐层吸收损失（第5章、第11章、第28章），以及保险基金与自动减仓如何将无法消除的尾部损失社会化（第12章）。然而，逐一厘清各组成部分，并不等于知道如何在缺少传统中央机构的前提下，将它们整合为一个可被信任的整体。

这一整合问题并非抽象。2025年10月，一场清算级联在单日内引发约一百九十亿美元杠杆头寸的强平 [1]。该级联的机制已在第11章完整分析，本章不再重述；此处引述，是为说明一个事实：当上述组成部分被整合为一个高杠杆、全天候、无人值守的系统时，组成部分之间的传导本身即可构成系统级风险。它不是本章的论据，而是本章的背景。

第28章在结束时确立了清算结算层的身份，即链上系统中与传统中央对手方职能最为对应的一层，其职能是清算（账面重算）与结算（账户状态提交），而非单纯的违约处置（§28.4.3）。该章同时向本章留下三个构造性问题：链上系统能否实现与传统中央对手方同等深度的违约瀑布？如何在风险控制与用户体验之间取得平衡？以及如何在一个不存在单一主体能够下达指令的系统中实现激励对齐（§28.3.6）？传统金融历经两百余年、在连续危机的推动下才形成今日的清算所，其违约瀑布的层级结构正是这一演化的产物 [2]。前二十八章为本章提供的是一份组成部分清单与一份失效目录，尚未给出将它们整合为整体的方案，也未回答整合过程中必然出现的上述三个问题。

这三个问题之所以必须留到整合阶段回答，是因为没有一个能在单个组成部分的层面上得到解决。深度问的不是某一层缓冲是否足够厚，而是各层资本以何种次序排列、由谁优先承担损失；降级问的不是某一次强平的快慢，而是当抛压、流动性与信心同时收缩时系统能否维持秩序；激励对齐问的不是某个参数是否合适，而是当所有参数都按设计运转、却仍有参与者理性地选择不行动时，由谁来承担最终损失。三者指向的都是组成部分之间的协同，而非组成部分自身的性能，因而只有在它们被整合为整体、相互作用清晰可见之后，才具备回答条件。这也是本章先进行系统整合、再回应三个问题的原因。

本章据此承担两项任务：整合与回应问题。整合，是首次将分散于全书的组成部分整合为一个完整的去中心化清算所，并指出系统的真正脆弱不在组成部分本身，而在它们之间的衔接。回应问题，是沿着这一系统的结构，逐一回答第28章留下的三问。在此之前，需要明确四个前提。第一，一个清算所系统的脆弱主要不在任何单个组成部分，而在组成部分之间的衔接；每一个组成部分都可能具备良好设计，突破系统的往往是它们之间的传导。第二，理想的去中心化清算所有两层在今天的链上仍然缺位，即利益攸关的自有股本第一损失层，以及会员之间的预先互济层，二者正是传统违约瀑布深度的来源（§28.3.6）。第三，存在一类极端场景是任何纯算法系统都无法完全清偿的：在没有最后贷款人的前提下，损失总量可能超过系统当下可动用的全部缓冲，完全清偿不再是可达的目标 [3]。第四，还有一道边界是市场激励无论如何设计都无法跨越的，即总有一些时刻，确定性代码必须允许人为裁量介入。这四点不是悲观的让步，而是本章全部论证的前提：只有先厘清何处无法整合、何处无法清偿、何处激励失灵，才能讨论如何最大限度地整合可整合的部分。

## 29.1 去中心化清算所的整体架构

### 29.1.1 单一确定性状态机

一个清算所系统并非若干风险机制的简单叠加，而是一个单一、确定性的状态机。前文单独解剖过的每一个组成部分，在这一系统中都只是一个阶段；它们的价值不在各自独立运转，而在被纳入一条不可中断的状态转换链。把保证金计算模块、净额轧差、盯市、保险基金、自动减仓分别描述清楚，并不会自动得到一个清算所系统，正如把各组成部分分别分析清楚，并不会自动得到一个能运转的整体。各组成部分之间还需要一套确定的衔接：上一个阶段的输出，必须是下一个阶段唯一且无歧义的输入；任何一处衔接出现失配，整个系统的状态就会发散。理解去中心化清算所，应当从理解这条状态转换链开始，而非从列举其组成部分开始。

把清算所理解为状态机，并非一个方便的比喻，而是一个有实质后果的定义。状态机的核心承诺是确定性：给定相同的初始状态与相同的输入序列，它必然演化到相同的终态，中间不存在任何依赖时序、依赖执行者、依赖场外协商的自由度。这是分布式系统数十年来用以构建容错服务的经典抽象，即把一项服务表达为一个确定性状态机，让一组互不信任、可能各自宕机甚至提交恶意状态的节点对同一条输入序列达成一致，从而对外呈现为一个永不出错的整体 [4]。拜占庭容错共识进一步把这一抽象推广到节点可能发生拜占庭行为的环境，使状态机的一致性即便在部分节点蓄意提交虚假信息时仍然成立 [5]。一个去中心化清算所系统，本质上就是把清算所这项服务纳入这一抽象框架：它要做的，是让多个无需彼此信任的验证者，对每个账户此刻的状态应当是什么达成无歧义的一致。

将这一抽象应用于清算所，需要区分一个层次，否则状态机这一术语的分析边界便会变得不清晰。确定性是一层问题，被复制的确定性是另一层问题，二者之间隔着这套系统全部的去中心化分量。一个传统清算所的计算模块，原则上也可以是确定性的，给定同样的输入，它也会算出同样的账；但它的确定性只在其内部系统副本中成立，外部参与者既无从获得那份输入序列，也无从持有那套规则，更无从把账重算一遍去核对。状态机复制理论真正苛刻的地方，不在于要求每个节点各自确定，而在于要求多个互不信任、可能各自宕机、可能各自被攻陷的节点，对同一条输入序列以同一套规则演化出同一个状态，并且这种一致必须在其中一部分节点失效或提交虚假信息时仍然成立 [4]。换言之，复制状态机的难点不只是计算结果正确，而是在没有可信裁断者的前提下，使所有参与者无法对计算结果提出相互冲突的有效状态声明。拜占庭容错共识进一步强化了这一条件：它要求即便有节点蓄意提交伪造的状态，诚实节点也能识别并把它排除，从而使复制出来的该状态在存在恶意节点的前提下仍保持唯一 [5]。一个去中心化清算所系统之所以是去中心化的，核心要求正在于这一层复制：它要求的不只是单一计算结果准确，而是没有任何人能私自篡改该结果，且所有人都能独立证实其未被篡改。

正是在这个意义上，去中心化清算所与传统中央对手方的差别，并非仅是去除中介。传统中央对手方并不满足状态机的确定性承诺：它的风险控制模型是保密的，它的压力测试参数不对外披露，它在极端时刻保留着裁量的空间。第28章曾以2022年3月伦敦金属交易所的镍合约危机为例，说明这种裁量如何与中立基础设施的界定相冲突（§28.7）。中央对手方之所以仍被信任，不是因为它可被复算，而是因为它的权威另有来源：充足的自有资本作为底层保障，完备的法律追索制度性保障，严格的监管持续审视 [6]。资本是对错误后果的损失吸收，法律是对失信行为的追索，监管是对内部失控的外部约束，三者合起来，构成的是一套关于责任的事后保险，而非关于过程的事前验证。普通用户从未、也无从核对一家中央对手方的保证金模型是否自洽、它的压力测试参数是否审慎；用户信任的从来不是该计算模块本身，而是围绕该计算模块的这一制度框架。传统清算所的可信，建立在资本、法律与监管这三项制度基础之上，而非建立在任何人都能重算一遍之上；可验证性的缺位，正是靠这三项制度基础来弥补的。中央对手方制度本身，就是把对手方风险从分散的双边信任，集中为对一个受监管专业机构的信任，这是一次信任的变换，而非信任的消除 [7]。

去中心化清算所失去了这三项制度基础。它不能诉诸资本，因为它没有央行级的自有资本；不能诉诸法律，因为它的对手是无国界的代码；不能诉诸监管，因为它运行在一个无人能单方面叫停的网络里。它能诉诸的，主要依赖确定性本身：把清算所完整地表达为一个状态机，让它的每一步演化都由公开的规则唯一决定，从而让任何一个节点都能基于相同输入、独立地重算出相同的输出。Hyperliquid 的设计是这一思路当前最完整的实现：它把撮合、清算与结算统一纳入名为 Hypercore 的链上状态机，由 HyperBFT 共识对每一次状态转换达成一致，使整条清算流程成为一个可被全网验证者复算的确定性对象 [8]。这套系统的权威，不再来自其背后的制度主体，而来自它的每一步都具备独立复算性（§28.6.2）。

这一替换有一个常被忽略的代价，需要在整合之初就阐明：确定性具有双重效应。确定性让清算所可被验证，也让它可被预判；一个完全确定的清算模块，其触发条件、其执行路径、其每一步的边界，原则上都能被一个具备充分计算能力的对手预先推算，这正是第12章所讨论的可预测性攻击的根源（§12.4.1）。传统清算所用裁量与保密换取了对这种预判的免疫，去中心化清算所则用可验证性换取了对这种预判的暴露。这不是设计上的疏失，而是范式的内在张力：清算所系统越依赖确定性，其执行边界也越容易被能够解析规则的参与者预先推算。本章后续讨论的激励边界与残余裁量（29.4），其根本原因正在于此。

去中心化清算所与传统中央对手方的核心差异，不在是否去除中介，而在两者的信任基础不同：后者的权威建立在资本、法律与监管之上，前者建立在任何人都能重算一遍并得到同样答案之上（§28.4.3、§28.6.2）。本节后续各小节描述的每一条状态转换，包括清算的账面重算、结算的账户状态提交、违约分支的层层承担，都必须被纳入这一单一状态机中理解。将这条状态转换链完整表示出来，就是本章的核心架构图（图29-1）。

![图29-1](./images/fig-29-1.png)

**图 29-1.** 去中心化清算所的整体状态机：常态流程（成交→清算→结算→链上最终性）与违约处置分支（强平→保证金→保险基金→清算金库→自动减仓），及其层间衔接

### 29.1.2 清算环节：合约更替、多边净额与重算

状态转换链的主线处理常态下的每一笔成交。成交进入系统后，首先经过清算（账面重算）。清算这一段由三个前文已各自讲透的动作构成，本节不重述它们各自的机制，只论它们如何被合成为一次状态转换。第一个动作是合约更替：中央对手方介入到买方与卖方之间，成为买方的卖方、卖方的买方，使任一方的违约不再直接传导给它的交易对手，而由系统统一承接（§1.1、§28.4.3）。第二个动作是多边净额轧差：同一账户在同一合约上的多笔成交、乃至跨对手的多笔敞口，被合并为一个净头寸变化，从而把需要在账本上落定的条目数压减至最低（§5.2）。第三个动作是重算：系统据此重新计算该账户的仓位、已实现盈亏与保证金占用，得出一组新的账户状态。这三步在传统清算的语汇里分别对应着头寸的更新、敞口的轧减与保证金的重定，是清算所每日运转的核心 [2]。

这三个动作在前文是分章讲述的，而整体架构视角要补足的、前文未曾点明的一件事是：在一个状态机里，它们不是三次先后发生的独立操作，而是一次原子的账面状态转换。所谓原子，是指这三步要么作为一个整体被提交、要么作为一个整体被回滚，中间不存在任何一个可被外界观测到的、合约更替已成而净额未轧或净额已轧而保证金未重算的中间态。这一点对传统清算所是一项需要靠日终批处理、靠对账、靠人工补偿来逼近的工程目标，因为它的合约更替、净额与保证金管理分属不同的操作环节、甚至不同的法律时点，要把它们对齐成一个无缝的整体，需要规则、流程与日终核对的层层支撑 [7]；而对一个链上状态机，这种原子性来自状态机的原生约束，因为状态转换的原子性本就是这一抽象的题中应有之义。合约更替、净额、重算之所以能在链上被合成为一次不可分割的账面转换，正是因为它们从一开始就被纳入同一确定性系统，而不是被分派给三个需要彼此协调的子系统。

这次原子转换的内部，还有一个常被忽略的次序，它直接影响对后续违约分支的理解：合约更替必须先于净额，净额必须先于重算。合约更替先行，是因为只有当中央对手方成为每一笔成交的共同对手方之后，原本属于不同双边对子的敞口才获得了被合并的资格；没有合约更替，甲对乙的多头与甲对丙的空头是两笔无法相抵的债权，有了合约更替，它们才都变成甲对系统的敞口，从而可以净额 [7]。净额先行于重算，是因为保证金与盈亏必须针对净头寸来计，而非针对成交流水来计；若在轧差之前就逐笔重算保证金，得到的将是一个被严重高估的占用，资本效率显著下降。这条合约更替先于净额、净额先于重算的内部次序，是清算这一段之所以能把数以万计的双边敞口压减为有限数量的净状态、并仍然准确计量每个账户风险的全部原因。

这次原子转换还有一个时序特征：它整个地发生在资金实际变动之前。清算所先在账面上把各账户应收应付金额、各账户保证金占用计算准确，资金的实际划转是后一段（结算）的事。这条先完成清算计算、再完成结算提交的次序不是会计习惯，而是风险管理的根基：正因为清算计算先于结算提交，系统才能在任何资金离开之前，就判定一个账户是否已经资不抵债、是否需要被引向违约分支。把清算理解为资金变动前的一次原子账面状态转换，就为下一节的结算、以及违约分支的触发，划清了它们各自的起点。

### 29.1.3 结算环节：盯市、资金费与最终性

清算计算完成之后是结算（账户状态提交）。如果说清算是把交易事件翻译成账面应计状态，结算就是把账面应计状态兑现为账户实际状态。它同样由几个前文已讲透的动作构成，本节只论它们如何串成状态转换链的第二段。系统按标记价格对未平仓头寸持续盯市，使每个账户的浮动盈亏随价格连续更新（§14.4）；收付永续合约特有的周期性资金费，使合约价格被持续地拉向现货，因为永续合约没有交割日，资金费正是它替代到期交割、维系锚定的机制（§10.1）；在平仓时把盈亏正式入账、释放对应的保证金占用；最后，由链的最终性把这一系列账户变动确认为不可撤销（§28.4.3）。

整体架构视角要补足的，是结算这一段的状态机意义：它是清算所对外做出的状态提交，而链的最终性是对这次提交的确认机制。盯市、资金费、入账这些动作，在清算计算阶段还只是账面上的数字演化；只有当它们被结算环节落定、并被共识确认进一段不可逆的链上历史，它们才从系统认为应当如此变成系统已经如此。这一提交动作之所以必须被单独识别出来、而不能与清算计算混为一谈，是因为它划定了责任的转移点：在提交之前，一笔尚未落定的盈亏只是计算模块的内部演算，可以随后续输入被覆盖、修正；在提交之后，它成为账户的既定权益，任何对它的更改都只能通过新的、同样可被验证的状态转换来进行，而不能无依据撤销。结算环节因此是这一系统将演算结果确认为既定状态的唯一边界。这里有一件容易被误解的事项必须先讲明：最终性从来不是一个自然事实，而是一个被构造出来的事实。直觉上人们以为资产转移一经确认即发生最终效力，仿佛不可撤销是交易本身固有的属性；但凡经历过一笔银行转账被退回、一笔交收因对家破产而被追回的人都知道，最终性何时成立正是最需要被人为确定下来的机制。一笔结算提交之所以不可撤销，不是因为物理上无法撤销，而是因为有一套规则明令禁止撤销，并对试图撤销者施加后果。这一区别在传统金融里被结算最终性的法律建构所承载：一笔结算何时不可撤销，由清算所规则、结算系统规则与破产法共同界定，欧盟甚至专门立法（结算最终性指令）以确保进入结算系统的指令不因某一参与方破产而被追溯撤销，从而防止系统性风险沿该缺口扩散 [9]。这条立法之所以必要，正说明了不加干预时这一边界本是模糊的：破产法的追溯效力会与结算的不可撤销正面冲突，必须靠专门的法律明文为结算划出一块豁免区，最终性才在那一块里成立。在链上，这同一道何时不可撤销的界线，不再靠法律明文来划，而是被共识的最终性所承载，由共识协议本身界定 [5]。两者划定的是同一道边界——边界之前的状态尚可重排，边界之后任何人不得反悔——区别只在工具：传统金融靠法律条文与法院执行，链上靠共识协议自身的活性与安全性。

这一对照揭示了链上结算一个容易被乐观情绪掩盖的微妙之处：最终性有强弱之分，而强弱直接关系到清算所的安全。传统结算最终性是一个法律事实，一旦达成便绝对；而许多区块链的最终性是概率性的，一笔交易被打包进区块只意味着它很可能不会被回滚，区块越深，被回滚的概率越低，却未必为零 [10]。这两类最终性的分野，在分布式系统理论里有其根：以最长链规则达成共识的协议，其安全性是对手算力或权益占比的递减函数，回滚概率随确认深度指数衰减却永不归零；而以拜占庭容错共识达成的最终性，一旦某个区块被合法数量的验证者签署确认，它在协议假设成立的前提下就是绝对的、不可回滚的，前者交付的是几乎确定，后者交付的是确定 [10]。对一般应用而言，几乎确定足够好用，多等几个区块即可把回滚概率压到可忽略；但对一个清算所系统而言，这种差别有实质后果，且其后果体现为一种不对称关系。清算所的损失承担具有单向执行特征：一笔盈亏一旦被结算环节落定、并据此触发了违约分支的下一层动作，这一层动作往往已经动用了非违约方资本，保险基金被支取，盈利方被减仓。若此时一次链重组把那笔本已入账的盈亏撤回，被支取的保险基金、被减仓的盈利方却难以恢复：前序账面状态可以被回滚，后续已经执行的损失承担却无法相应恢复。概率最终性因此在违约分支的损失承担上留下一道新缺口，源于前序可逆、后续不可逆的错配。这正是 Hyperliquid 一类系统选择拜占庭容错共识、追求一旦确认即不可逆的确定性最终性的原因之一：清算所对最终性的要求远比一般应用苛刻，因为它承受不起这一不对称 [8]。把结算理解为经最终性确认的状态提交，因此不只是一个抽象的定性，它同时是对底层共识必须提供何种最终性的一项硬约束。

澄清了最终性的角色，就能厘清一个常被混淆的次序。常态下，清算（账面重算）与结算（账户状态提交）合起来，就是这一系统所做的全部工作，即把连续交易事件，翻译成连续经最终性确认的账户状态变化。这条主线自我闭合：成交进、状态变、最终性落，持续循环，无需任何违约处置介入。违约分支之所以是分支而非主线的一部分，正是因为它只在主线无法自我闭合时才被触发，即某个账户的权益在盯市下跌破了维持保证金、清算计算先于结算提交判定它已资不抵债之时。主线适用于账户仍具备偿付能力的状态，违约分支适用于账户已不具备偿付能力的状态；下一节分析后者。

### 29.1.4 违约处置：强平与损失瀑布

主线之外有一条违约分支，只在某个账户的权益跌破维持保证金时才被触发。它在状态机里的位置，是一组有条件的状态转换，常态下完全休眠，唯有当清算阶段判定某账户已无法以自身保证金覆盖其敞口时，才被激活。它的触发点是强平：系统强制平仓资不抵债的头寸，把损失限制在其保证金范围内（§11.1.3）。强平本身是违约处置子机制，而非清算职能；把它纳入状态机框架分析，它是主线向分支的那个触发点，也是整个系统里第一个把某个账户的单一账户亏损转化为可能影响其他参与者的系统性问题的节点。

但强平常常无法把损失完全限制。市场跳空、深度不足、标记价与成交价偏离，都会让平仓所得不足以覆盖头寸的亏空，留下穿仓（第12章）。于是分支继续向下，进入违约瀑布：保证金之后是保险基金，保险基金之后是清算金库（如 Hyperliquid 的 HLP），金库之后是自动减仓（§28.3.6、第12章）[8]。将违约瀑布纳入状态机框架，它的每一层都是一次条件状态转移：上一层的缓冲被耗尽，是下一层被激活的条件；而每一层在被激活时，都在以不同的方式回答同一个问题，即这一笔无法由违约者自己承担的损失，接下来由谁承担。保证金这一层的答案是违约者自己；保险基金这一层的答案是全体交易者预缴的公共池；金库这一层的答案是自愿为系统提供流动性的资本；自动减仓这一层的答案，则是被强制平仓的盈利方。瀑布之所以被设计成层层递降的结构，其用意正是让承担者沿着越靠前越该承担、越靠后越无辜的次序排列，使非违约方尽量晚、尽量少地被波及 [2]。

把瀑布读成一串条件状态转移，还澄清了一件容易被忽略的事：这条分支与主线共享同一状态机、同一套确定性、同一份可验证性。强平何时触发、保险基金何时被动用、自动减仓选中谁，均由公开规则唯一决定，没有任何一步留给场外协商或事后裁量，这与传统中央对手方在违约处置时仍保有的、需要专门治理程序加以约束的裁量空间形成鲜明对比 [11]。违约分支因此不是主线之外的另一套逻辑，而是同一系统在偿付不起的世界里的延续；正因如此，它的每一步同样要接受人人复算的检验，这一点在29.1.5会回到。

但这条分支也有整个系统最严格的一个限度，它直接对应引子里的第三句承诺。自动减仓是瀑布的最后一层，而它的存在本身就宣告了一件事：当损失的总量超过前面所有层可动用的资本时，系统不再试图补齐亏空，而是直接把盈利方的头寸按比例削掉，让账目在更低的水平上重新平衡。第12章已证明，在确定性、抗冲击与公平性三者之间，任何纯算法的违约处置都无法同时满足，这构成一个结构性的坏账下限，即总有一类极端场景，损失无法被完全清偿，只能被分摊或被截断（§12.2.3）[12]。将自动减仓纳入状态机框架分析，它不是一个失败的标志，而是这一系统对无法完全清偿这一事实所能给出的、既定约束下的次优确定性处置。

正是在由谁承担这个问题上，链上瀑布与传统违约瀑布显示出其核心差异，而这一差别构成了第28章三问之首。传统中央对手方的违约瀑布有五层：违约者保证金、违约者缴纳的违约基金、中央对手方的自有资本（利益攸关）、非违约会员缴纳的违约基金（互济）、最后的恢复与处置（§5.2.3、§28.6.2）[2]。实证地看，这五层的资源高度集中在最前端：在信用衍生品类中央对手方的违约瀑布里，违约者自缴的初始保证金约占全部预筹资源的77.9%，而中央对手方自有的利益攸关资本仅占约2.0%；后者数额虽小，位置却具有结构性影响，因为它置于所有非违约会员互济资金之前，迫使中央对手方自己先承担损失（§5.2.3）[13]。链上瀑布只有四层，而且它跳过的正是中间那两层，将损失承担从全体预缴的公共池直接分配给被强制减仓的盈利方，中间既没有一层利益攸关的自有股本先于用户承担，也没有一层会员之间的预先互济来分摊。瀑布的深度不在于它有几层，而在于它在把损失分配给非违约盈利方之前，设置了几层愿意优先承担的资本；这两层缺位的后果，是29.2要专门审计的衔接。本节仅明确分支的结构：它是主线在偿付不起时的延伸，每一层都是一次条件状态转移，每一次转移都在重新指认损失的承担者。

### 29.1.5 清偿权威的集中与验证的开放

将主线与分支合并表示（图29-1），即可得到完整清算所系统的整体架构图。该图的重点并非各个方框内部的机制，相关内容已在第5、11、12、14、28章分别分析；重点在于方框之间的连接关系，以及系统作为整体所必须满足的总约束。讨论这一总约束之前，需要区分一对常被混淆的概念：清偿权威，以及对清偿权威的验证。

清偿权威，是由何种机制裁定每个账户的最终状态的权力。在这一系统里，这个权力是单点的：所有清算计算、结算提交与违约处置，都汇集到一个确定性计算模块，由它给出唯一的裁断。从形式上看，这接近中心化；清偿的裁量确实并不分散，它集中在一处。但去中心化清算所的去中心化，从来不许诺把清偿权威本身分散给所有人；若将裁断权交给多个主体分别裁量，得到的不是一个清算所系统，而是无法收敛的状态分歧。一个值得对照的事实是：传统中央对手方同样是单点清偿，去中心化的设计在这一点上并未与之相异；区块链共识的全部工程努力，正是为了让多个分散节点能就同一个确定状态达成一致，而不是各自维护一份彼此冲突的账本 [4]。它真正许诺的是另一件事：清偿权威虽单点，但对这个单点的验证，人人可为。

这条原则的技术承载，是一个常被一带而过、却直接影响后续机制的对象，即状态指纹。计算模块每完成一次状态转换，它的完整状态都会被一个密码学哈希压减为一个定长的指纹；这个指纹的关键性质是抗碰撞：要找到两个不同的状态却得到相同的指纹，在计算上是不可行的，因此指纹相同就几乎等价于状态逐位相同 [14]。这一性质表面上平常，但实际上承载着整套验证逻辑的全部重量。抗碰撞哈希提供的，是一种密码学意义上的承诺：把成千上万个账户的仓位、保证金、盈亏压缩为一个数十字节的指纹，这个指纹一旦公布，发布者便再也无法辩称当时的状态实质上是另一个样子，事后任何对状态的篡改都会暴露为指纹不一致。这种承诺的可校验性普惠而廉价：验证者无须信任发布者、也无须复制其全部算力，只需把自己独立算出的状态过一遍同一个哈希，比对两个指纹是否一致——逐位比对庞大状态的问题因此被压减为一次几十字节的比对。没有这样一个可被人人廉价复算、又无法被发布者抵赖的承诺对象，人人验证就只是一句口号；有了它，验证才第一次成为普通节点可以实际承担的操作 [14]。在以这一状态机为核心的链上清算所里，这个指纹通常以 app_hash 的形式被写进每个区块：每个验证者各自独立地把同一批输入代入同一套规则，算出自己那份状态指纹，再通过共识比对；只要所有节点算出的 app_hash 一致，就证明它们看到了同一个清算所系统走过的同一条路径（§28.4.3、§28.6.2）。这就是人人可验证的具体实现方式：验证不是去信任模块的自我声明，而是独立重算其账户状态，再用一个无法伪造的指纹去核对。Hyperliquid 的 HyperBFT 共识，正是把这种单点裁断、人人复算制度化的一套系统：裁断由协议唯一地产生，而每个验证者都在持续地复算并就结果达成一致 [8]。

这就把去中心化清算所的可信，建立在一个与传统中央对手方截然不同的基础上。去中心化不在清偿权威本身，而在对清偿权威的验证。这一命题需要与常见理解相对照，才能得到准确理解。一种常见理解是：去中心化就该把每一个决定都交给众人投票，权力越是被分散到更多主体手中，系统就越去中心化。但清算所正是这种理解最难成立的场景，因为账目需要一个唯一的、收敛的裁断，若将某一账户在特定时点的状态也交给众人各自裁量，得到的不是更去中心化的清算所，而是一个永远无法对账、无法收敛的系统。这里的关键在于：可以、且必须被分散的，不是裁断本身，而是对裁断的核验权。裁断必须单点，否则系统不收敛；核验必须人人，否则单点不可信。区块链共识的全部工程努力，即让多个分散节点对同一个确定状态达成一致，本就不是为了把决定权分给每个人，而是为了让每个人都能独立证实那个唯一的决定未被篡改或操纵 [4]。它许诺的去中心化，从来是验证的去中心化，而非裁断的去中心化。传统中央对手方也是单点清偿，但它的单点之所以可被容忍，是因为外部有资本、法律与监管在持续地约束它、并在它失职时追究它；普通用户无从验证它的风险控制质量，只能信任那套外部约束（第28章称之为受监管的不透明，§28.7）[6]。去中心化清算所则采取相反设计：它不要求用户信任那个单点不会恶意行为，它要求那个单点的每一步都公开给所有参与者、随时可被任何人重算证伪。前者用外部权威担保单点，后者用普遍可验证性约束单点。这条原则，是把前几节那条状态转换链称为去中心化清算所、而非仅仅自动化清算所的全部理由：自动化清算所只需确定，去中心化清算所还必须可被人人复算。也正因如此，这条可验证性的链不能在任何一个环节断裂：即使只有一个关键输入（例如标记价格的来源）脱离可被复算的范围，整条链的去中心化承诺就会失效，这引出下一节将分析的衔接问题。

### 29.1.6 层间传导与系统性脆弱

关于方框之间的连线，本章其余部分的真正起点，是一个比单点权威、人人验证更值得警惕的论断。第28章曾描出一条级联失败的路径：预言机失效，引发强平模块无法正确定价，进而是大规模错误强平或强平延迟；错误强平迅速耗尽保险基金；保险基金耗尽，触发自动减仓机制对盈利头寸的强制减仓；而减仓摧毁了市场最后的损失承接能力，招致信心崩溃与流动性撤出压力式提款（§28.8.1）。这一机制路径上的每一环，单独看都设计良好：预言机有多源聚合，强平有触发阈值，保险基金有精算模型，自动减仓有排序规则。可是把它们接起来，灾难正是从一环向下一环的传导中长出来的，即上一环的失效，成了下一环的触发条件。

这并非链上独有的偶然，而是一切复杂金融网络的共性。系统性风险研究反复指出，金融系统最危险的脆弱性，往往不源于任何单个节点的体量，而源于节点之间的连接结构，即风险沿着这些连接传染、放大，使一处本可局部消化的冲击演成全局的崩溃 [15]。这一研究还揭示了一个对清算所尤为要紧的非线性：金融网络的稳健与脆弱并不随连接程度单调变化，而是呈现出一种相变式的反转。在冲击较小时，密集的连接是有利的，它把一处损失摊薄到众多对手身上，使任何单点都不至于被压垮；可一旦冲击越过某个临界规模，同一套密集连接就骤然由稳健的分担网络转为脆弱的传染网络，方才用来分摊损失的每一条连接，此刻都成了把损失放大着传出去的导管 [15]。这意味着系统的安全裕度并非随缓冲的增厚平滑提升，而是存在一道非线性临界点：在临界点之内一切表面上稳健，越过临界点则连接本身转为传染的载体。第28章已点明，分层架构的价值在于切断这种传染链条、把瞬时全面崩溃降级为渐进式压力传导，但它同时坦承，分层并未消除系统性风险，只是改变了它的传导路径（§28.8.1）。本节要把这一洞察推到它的逻辑终点：既然风险沿衔接传导、且传导在临界点上会相变式地放大，那么一个清算所系统的安全裕度，就不是它各层缓冲的简单加总，而是由它最薄弱的那一处衔接环节单独限制的，因为崩溃总是从最先被越过的那道临界点上出现缺口。

这就引出了本章贯穿始终的核心论断：一个清算所系统的强度，不取决于它最强的组成部分，而取决于它最脆弱的衔接环节。前二十八章的逐项分析，主要把注意力引向各组成部分：每一章把一个机制分析至公式层面，证明它各自如何复杂、又各自如何失效。但整体架构视角揭示的是一个分章叙述不易呈现的事实，即系统级的崩溃几乎从不始于某个组成部分的内部，而总是始于两个组成部分之间那处无人专门负责的衔接环节。预言机与强平之间的衔接、强平与保险基金之间的衔接、保险基金与自动减仓之间的衔接、自动减仓与市场流动性之间的衔接，前述那条级联路径，本质上就是这连续衔接被依次突破的轨迹。衔接之所以格外危险，有一个结构性的原因：每一个组成部分都有明确的负责人，做市商负责流动性，风险控制团队负责保证金参数，预言机团队负责喂价质量，但两个组成部分之间的传导往往落在所有人的视野边缘，成为无人专门负责的环节。这种无主性不是疏忽，而是分工的结构性副产品：正因为每个团队都被指派去优化自己那个组成部分、并以其局部指标为考核，组成部分之间的传导便天然地被排除在明确责任边界之外，不属于任何一份岗位说明书，于是无人专门为它的失效负责。系统的强度因此服从一条近乎薄弱环节约束的逻辑，即它由最弱的衔接环节单独限制，而非由最强的组成部分抬升；任何一处衔接被突破，前后两个组成部分各自的复杂都无法阻止级联发生。将清算所整合为一个状态机的全部意义，最终就落在对这些衔接的识别与加固上，而不在于把任何一个已经足够复杂的组成部分继续增加复杂度。

于是本章其余各节的任务，可以沿着这些衔接被精确地界定下来。本章将逐一回答第28章的三问，而每一问，问的实质上都是某一处衔接。违约瀑布的深度，是强平与最终损失承担之间的衔接：损失从违约者的保证金出发，究竟要经过几层愿意优先承担的资本，才轮到非违约盈利方？这是29.2的题目。极端场景下的有序降级，是清算冲击与市场损失承接能力之间的衔接：当强平抛压袭来、而无人扮演最后贷款人时，系统如何把瞬时全面崩溃转化为受控的渐进失效？这是29.3的题目 [3]。激励对齐，则是确定性代码与那个无论如何都无法被代码取代的人为裁量之间的衔接：纯粹的市场激励在哪里失灵、残余的裁量又如何被约束到最窄？这是29.4的题目。把三问读成三处衔接，是本章从局部机制分析转向整体架构分析的关键一步，也是把前文分散讨论的失效目录，第一次收拢进一张统一的脆弱性地图。

## 29.2 违约瀑布的层级缺位

§29.1末尾把第28章的三问分解为三处衔接，其中第一处最直接，也最先出现：违约瀑布的深度，是强平与最终损失承担之间的那处衔接。强平止损于违约者自己的保证金，这是分支的触发点；但强平常常无法把损失完全限制，市场跳空、深度不足、标记价与成交价偏离都会留下穿仓，于是损失超过保证金覆盖范围，沿违约瀑布逐层下移，并继续转向下一层损失承担主体。所谓深度，关注的是这条瀑布在把损失分配给非违约方之前，究竟可动用多少层、用何种资本来源去吸收它。第28章把这处衔接凝成了一个问题，即链上系统能否实现与传统中央对手方同等深度的违约瀑布（§28.3.6），并把它留给了本章。

本节的回答是直接的，也是较为严峻的：当前链上系统尚不能实现。这并非指链上缺少瀑布。§29.1已经描出它的四层结构，即保证金、保险基金、清算金库、自动减仓，层数甚至不比传统的少。问题在于，在这四层之间，正是缺少使传统瀑布具备纵深的那两层关键资源。所缺的不是机制的想象力，而是一层尚无明确主体愿意承担的资本，即协议自有股本是否愿意位于第一损失顺位。本节通过六个小节证明这个判断：先阐明深度究竟来自哪里，再逐一检视链上为弥补这两层所做的种种尝试，分析其为何都尚未形成可持续运行机制，最后回到那个被一再推迟、却始终无法回避的问题，即何种资本愿意承担第一损失。

### 29.2.1 违约瀑布深度的来源

要判断链上能否复制传统中央对手方的违约瀑布，需要先界定传统瀑布的深度究竟是什么意思。一个常见的误解，是把深度理解为层数多、或者准备金规模大。第28章已经给出过完整的层序：违约方的保证金是第一层防御，违约方缴纳的违约基金是第二层，中央对手方的自有资本是第三道，这一层被专门称作利益攸关，其余非违约会员共同缴纳的违约基金是第四道，再往下是恢复与处置程序（§28.6）。五层之中，真正使这条瀑布与只依靠保证金支撑的清算所拉开质的差距的，并不是它有五层之多，而是处于违约者资源与非违约方资源之间的那两层，即利益攸关的自有资本与会员预先互济的违约基金。这两层之所以关键，不在它们的规模，而在它们的位置。

利益攸关那一层的意义，几乎全部在于它的次序。Paddrik 与 Zhang 在2020年对信用衍生品类中央对手方的统计给出了一组对比鲜明的数字：违约会员自己缴纳的初始保证金约占全部预筹资源的77.9%，而中央对手方投入的自有资本只占约2.0%（§5.2.3）[13]。需要说明的是，这组比例因清算品种而异，此处取的是信用衍生品类中央对手方（Central Counterparty, CCP）的实证，其绝对数值不宜外推为所有 CCP 的普遍值。2.0%这个比例小得几乎可以忽略，单看规模，它对吸收损失的实际贡献微乎其微。但传统中央对手方规则与监管实践之所以保留这一层，要的从来不是它的厚度，而是它被放置的次序：它通常排在违约者自身资源之后、其余会员互济基金之前，先于非违约会员资本去承担损失[2][13]。这个位置安排的全部用意，是把清算所自身的利害与它所经营的风险控制绑在一起。

为说明这个次序为什么重要，可以设想把它移除。一家清算所对会员设定多高的保证金、接受何种抵押品、以多严的标准做压力测试，这些裁量都直接决定了瀑布会不会被突破，而它们均由清算所自身掌握。如果清算所的自有资本不在瀑布之内，或者被放在所有会员的互济基金之后，那么它放松一寸标准所招致的损失，第一个用于承担损失的是会员资本而不是它自有资本，于是它便有了一个清晰的动机：把保证金定得宽松些以招徕更多业务，将风险尽量转移给会员承担。这正是中央对手方这一业务模式里基本的道德风险，即经营风险控制的人可以不为风险控制的失败承担损失。利益攸关那一层就是针对这个道德风险的结构性矫正。一旦它自己的股本被强制置于其他会员资本之前，它在做每一项风险控制裁量时，就不再是一个无需承担后果的规则制定者，而是一个会先于客户承担损失的利益相关方。它使经营风险控制者与风险控制失败的后果承担者重新保持一致，这正是它名字的由来，也正是它的价值无法用规模去衡量的原因。学理上，这一层被理解为对中央对手方激励的一种校准：当清算所可以把风险控制失败的代价完全转嫁给会员时，它就有动机去放松标准、扩大业务；强制它把自有资本置于第一损失顺位，是重新校准这种被扭曲的激励的最直接办法[6][7]。换言之，2.0%对应的并非主要吸损能力，而是一种可信的承诺，即清算所相信自己设定的风险控制参数，相信到愿意以自有资本承担这些参数选择的风险。

会员互济那一层的意义则在另一个维度，关键在于两点：一是预先，二是非违约。预先，意味着这笔资金在危机到来之前就已经到位、已经被锁定，它不依赖任何一方在压力场景中临时的善意或决断。危机最能检验的，是临时筹资能力，因为此时市场流动性枯竭、各主体优先保护自身流动性、参与者普遍缺乏意愿在极端压力场景中提供流动性；一笔事先就缴纳并锁定的互济基金，缓解了这一困境，它在压力场景中是一笔确定的、已经在账上的资源，而不是危机中仍待兑现的承诺。非违约，意味着承担损失的是那些本来非违约会员，而不是某个无过错盈利方。这两点合起来，使中央对手方在面对单个会员的崩塌时，权限范围内握着一笔不需要临时筹措、也不会临时撤出的缓冲。它把一次单点的违约，转化为整个会员群体事先同意分摊的、有边界的集体损失，而不是让损失沿着市场随机分配给某个非违约参与者[11]。这里的事先同意尤其要紧：会员在加入清算所、缴纳违约基金时，就已经接受了在他人违约且其资源不足时其缴纳会被动用这一规则；因此当损失真的发生、互济基金被动用时，没有谁是被意外征用的，每一个出资人都是按事前的契约在承担一份有上限的、可预期的义务。

一个设计良好的违约瀑布，正是靠这两层，即一层让经营者先承担损失以扭正其激励，一层让受益的集体预先备好、按约共担的资本，才在违约者的保证金与非违约市场参与者之间，形成足够厚且次序分明的缓冲。规范层面，金融市场基础设施原则要求中央对手方持有足够的预先注资资源、建立违约管理程序并披露关键规则；CPMI-IOSCO 的恢复指南与 FSB 的处置指南又把恢复工具、损失分配与处置连续性进一步制度化[2][16][17]。利益攸关与会员违约基金的具体层序，则在中央对手方规则与实证瀑布中体现为一套让清算所、违约会员和非违约会员按事前顺序承担损失的安排[13]。深度，从根本上看就是这套被制度化、次序分明的资源安排；它衡量的不是资本规模，而是在损失分配给非违约方之前，有多少层预置资本能够按既定次序、无条件地先行吸收损失。带着这个对深度的理解，即它是次序、是预先性、是无条件，而不是层数或规模，再去看链上，缺位的地方就清晰呈现了。

### 29.2.2 链上瀑布的层级缺口

把上一节厘清的深度标准放回链上，§29.1描出的四层结构，即保证金、保险基金、清算金库、自动减仓，只要追问每一层的资金来源，就会发现它在传统瀑布最关键的那两处，都形成缺位。

从利益攸关那一层。链上最接近违约基金形态的，是 dYdX v4、Perp v2 那样的 USDC 保险基金，它们确实预先存在、确实位于用户承担损失之前，从这两点看，它们似乎已经具备了一个缓冲层该有的样子。但只要追问这些基金的资金从哪里来，差异即显现：它们的资金来源几乎全部是交易手续费的累积[18][19]。这是一个由协议代收、再回拨到风险缓冲里的公共池，本质上是把市场参与者自己缴的费用累积用于损失吸收，而不是协议拿出自有股本去承担风险。这个区别表面上细微，却正是利益攸关层的全部要害所在。手续费公共池里的每一单位资金，最终都来自交易者缴纳的费用，它是市场参与者的资金在系统内部的一次再分配，协议只是这笔资金的归集者和管理者，其自身财务利益并未被置于风险承担顺位之中。没有任何一方的股本，像中央对手方那2.0%一样，被强制放在第一损失顺位、并先于其他所有人承担。于是链上有一个基金，却没有一层利益攸关。上一节说过，利益攸关获得的是一种可信承诺，是经营者愿意为自身风险控制参数承担经济后果；而一个由交易者手续费供给的公共池，无论积累得多厚，都无法形成这个承诺，因为经营该系统的协议的财务命运并没有被绑定到风险控制失败的后果上。这正是第28章那句逐字判断所指的：链上瀑布通常缺少与中央对手方利益攸关相对应的层级（§28.3.6）。

从会员互济那一层。链上四层瀑布的最末端是自动减仓，在保险基金与清算金库都耗尽之后，它强制削减盈利方的头寸来弥补穿仓。从形式上看，自动减仓也是在分担损失，似乎扮演了互济的角色，但以上述两个条件加以比较，它与传统互济在两处都并不等同。其一，它不是预先的。自动减仓是事后才发生的事后强制分配，在危机之前没有任何一笔资本被预留出来，它不是一笔已经入账的确定资源，而是危机发生时临时从盈利方头寸中提取的资源。预先互济避免了临时筹资约束，自动减仓则正是在危机发生时才临时提取这笔资金，且筹的方式是强制削减其他参与者本可继续持有的盈利仓位。其二，承担损失的不是事先同意共担的非违约集体，而是那些恰好处于盈利方向的非违约交易者，他们从未签署过任何愿意承担他人的违约损失的契约，他们的盈利头寸被削减，仅因为在那个时刻他们在该时点持有盈利头寸、因而可被强制减仓。第28章已经把这层区别点明：自动减仓削减的是盈利方头寸，它与传统违约瀑布中由非违约清算会员预先注资、共同分担的互济，在承担损失的人群与激励上并不等同（§28.3.6）。预先互济是一组主体事前同意共担、有边界、不在危机中撤出的资本；自动减仓是一种事后施加于特定非违约方的损失分配。二者仅具形式相似性，经济含义并不相同。

把这两处缺位放在一起，就能识别链上瀑布的真实结构。它从一个手续费供给的公共池，直接转向对盈利方的事后强制损失社会化，中间那两层，即自有股本第一损失与会员预先互济，均处于缺位状态。这种层级缺口，正是链上瀑布比中央对手方更浅的根本原因。它不是浅在层数，§29.1描出的四层一层不少；它浅在：当保险基金这个公共池被耗尽时，系统可动用范围内不存在第二层由协议股本或会员预先注资构成的缓冲可供动用，只能立刻转向自动减仓，将尾部损失更快、更直接地分配给非违约盈利方（§29.1）。具有利益攸关与会员互济层级的违约瀑布，在公共资源耗尽后还有两层各自独立、各有出资人的缓冲在依次承接；而链上瀑布呈现为缺少中间缓冲层的结构，公共资金池耗尽后即转向非违约方承担损失，中间不存在其他缓冲层。瀑布的深度本应体现为在损失分配给非违约方之前还设置有多少层缓冲，而链上正是在最应设置缓冲的环节存在两处缺位。本节后续小节，就是逐一检视链上为弥补这两处缺位所做的尝试，即它们或者把第一损失转移给外部资本提供者，或者用一种顺周期的资产去作为股本替代物，或者试图将互济机制迁移到链上但多数未能持续运行，识别它们为什么至今没有任何一种方案真正补足缺位。

### 29.2.3 流动性提供者作为对手方：第一损失外包

既然尚无主体愿意以自有股本位于第一损失顺位，链上便找到了一条规避这一约束的路径：把第一损失位置外包给协议外资本。GMX、Gains 是显性的流动性池对手方模式，交易者的对家不是另一个交易者，而是一个由流动性提供者注入资本的资金池；盈亏在交易者与该资金池之间结算，资金池既是做市的流动性，也是承接穿仓的第一损失[20][21]。Synthetix 的债务池、Liquity 的稳定池与再分配机制并不是同一种对手方池，但它们在经济含义上同样把尾部承担交给质押者、稳定池存款人或其他协议参与者，而非协议自有股本[22][23]。这个设计谱系确实为链上找到了若干第一损失承担者，从形式上看，它似乎弥补了该缺位，毕竟这里有一批预先存在的资本，在用户之前承接损失。但它弥补的方式，正是把缺位那一层的意味暴露得更清楚：第一损失被外包了。协议本身依旧不位于第一损失顺位，它只是把一类自愿进入且可随时退出的资本提供者，置于第一损失位置上。

GMX 的经历把这种外包的代价清楚显示。它的 GLP 持有者直接承担过两次损失，而两次都没有任何协议层的缓冲在其承担损失之前。第一次是2022年9月一场针对 AVAX 的预言机操纵，据 PeckShield 估算造成约56.5万美元的损失[24]。这个数字是估算值，攻击者的身份至今不明，这一点必须如实点出，它与第12章讨论过的那些有明确归属的操纵案例不同，不能张冠李戴；而 GLP 持有者没有得到任何补偿，这笔损失由其承担。第二次是2025年7月一场 GMX V1 合约的重入漏洞，造成约四千二百万美元的损失[25]，事后协议才安排了约四千四百万美元的补偿[26]。需要指出的是，GMX 并没有一个保险基金，它没有那个由手续费供给的公共池，损失就是 GLP 的损失，其承担损失之前不存在协议层损失吸收安排[20]。两次事件合起来，共同构成流动性提供者即对手方这一模式的存在性证明与代价证明：它确实让链上有了一个承接穿仓的第一损失层，但这个第一损失层是一组可以随时撤资的自愿者，而不是协议以自有股本承担的无条件第一损失。把两次事件对照分析还能看出另一层意味，即补偿是事后的、自由裁量的、因事件而异的：2022年那次无人补偿，2025年那次却安排了超额补偿。补偿的有无与多寡取决于事后的决断而非事前的契约，这正是说明 GLP 持有者承担的并不是一份有规则、有边界的第一损失义务，而是一种敞口不定、补偿具有不确定性的风险。

稳定币侧的 crvUSD 给出了同构的另一例。它同样没有专用的保险基金：铸币侧一旦出现缺口，由全体 crvUSD 持有者以脱锚风险的形式被动承担；而隔离借贷市场里的坏账，则由那个市场的出借人各自承担[27]。两笔实证把这种承担机制公开呈现：2024年6月，Curve 创始人本人以 CRV 抵押的头寸在 CRV 价格下挫约三成时被多个借贷协议（含 Curve 的 LlamaLend）连环清算，他本人公开承认由此造成约一千万美元的坏账（这笔坏账后经第三方折价接盘而大部分被弥补）[28]；2025年10月的崩盘中，一个隔离的 CRV 多头 LlamaLend 市场又留下约七十万美元的坏账，由该市场的出借人自担[29]。这里要分清两件容易混淆的事：crvUSD 的 LLAMMA 连续软清算与分市场的债务上限，是将损失限制在单个市场、防止它蔓延的预防性设计，而不是一笔在损失发生后用于吸收损失的损失吸收基金。预防与损失吸收是两件事，隔离市场，限制的是损失能波及的范围，它本身并不提供任何用来吸收损失的资本；当坏账真的在某个隔离市场里发生，最终还是由那个市场的出借人自己承担，没有任何一层股本位于其承担损失之前。隔离做的是限制损失波及的范围，而不是为发生损失的市场提供吸收损失的资本。

把 GMX 与 crvUSD 并置，这一类设计的共性就清楚了：它们都并非缺少第一损失的承担者，相反，它们都明确地指定了承担者，即 GLP 持有者、稳定币持有者、隔离市场的出借人。问题在于，这些承担者均是被外包来的自愿者，而不是协议自身的股本。这与上一节说的利益攸关层正好相反：利益攸关层的全部要义，在于让经营风险控制的人先于客户承担损失、从而扭正其激励；而外包第一损失所做的，正是把承担损失的位置从经营者身上挪开，交给一类对风险控制参数没有话语权、却要承担其后果的资本提供者。流动性提供者即对手方为链上找到的，不是利益攸关那一层，而是它的相反面：协议将第一损失位置转移给外部资本提供者，自身不处于第一损失顺位。这不是把缺位补足，而是以另一类资本提供者的资金暂时覆盖这一缺位，而这类资本提供者可以随时撤出资金，连这层暂时的覆盖也并不牢靠。

### 29.2.4 反身性代币担保的顺周期失效

如果利益攸关那一层缺位，而把第一损失外包给流动性提供者又只是暂时覆盖该层缺位，那么一个更接近协议自有股本的想法，是让协议的代币去承担该层职能，即让代币持有人质押代币作为损失吸收，在用户蒙受损失之前，先罚没这些质押。这一机制路径已经在链上出现，而且有一个较为清晰的存在性证明：Aave 的安全模块。质押进安全模块的 stkAAVE 可以在协议出现亏空时被罚没，用于弥补缺口[30]；其后续的 Umbrella 进一步把这套机制做成可按市场配置、分仓承保的保险层[31]。作为原语，它的意义不容低估：它确实证明了链上可以构造一个预先注资、可被罚没、且先于用户损失承担的第一损失层。从结构上看，这比手续费公共池更接近利益攸关的本意，因为被罚没的是与协议利害直接绑定的资产持有人，他们持有并质押治理代币，本身就是对协议未来建立了风险共担承诺，把他们的质押放在损失第一损失顺位，传递的是对风险控制参数承担经济后果的承诺。就存在性而言，链上并非无法构造利益攸关层的等价机制；stkAAVE 与 Umbrella 就是现实反例。

但用代币去做这一层，有一个无法回避的张力，而这个张力正是在最需要其发挥作用时显现：代币的价值是顺周期的。中央对手方置于第一损失顺位的是现金，危机来临时它的面值不变，一美元还是一美元，它的吸损能力与市场的状况彼此独立。协议代币相反，在系统真正需要它去吸收损失的那场危机里，代币的价格往往与被损失吸收的资产同向暴跌。这里的逻辑是闭合的：系统承压、坏账浮现、市场恐慌，这些正是代币最应承担损失的时刻；而代币的价格本就是市场对该协议前景的贴现，协议出了重大风险事件，市场对它前景的判断会立刻恶化，代币便在同一时刻同步大幅下跌。于是损失吸收的能力，在最需要它的瞬间反而下降了：名义上质押了价值充足的代币，真到了要变现去弥补亏空时，这些代币自身的市场价值已经下降；更糟的是，为了弥补亏空而抛售这些代币，又会进一步压低其价格，形成一个自我强化的价格下跌过程。

这不是一个抽象的担忧，链上已有案例显示。Synthetix 曾长期以 SNX 质押和债务池机制来支撑 sUSD，这是反身性代币背书最持久、也最具代表性的实例之一[22]；但2025年4月，sUSD 一度脱锚至约0.68美元[32]，到2026年6月，SIP-423 已进一步提出冻结并退役 legacy sUSD、以新铸 SNX 兑换存量 sUSD，并将 SNX staking 与 legacy sUSD 义务脱钩[33]。这意味着 sUSD 已不宜再被描述为一个仍由 SNX 质押稳定支撑的当期成功案例；更准确的读法是，它把反身性背书的尾部脆弱性暴露到了治理退出阶段。当背书资产的价值与被背书资产的稳定性相互影响时，sUSD 的稳定本应由 SNX 的价值来支撑，而 SNX 的价值又系于这套系统是否运转良好，一旦 sUSD 开始脱锚、市场对系统失去信心，两者便会一同下滑。Perpetual Protocol 则提供了另一个较弱的旁证：其 v2 通过基于 Uniswap v3 的撮合结构，降低了对保险基金本身的依赖[19]。这类设计变迁说明，协议代币可以被纳入尾部工具组合，却很难被作为违约瀑布中的主要承压资本，因为在危机中抛售或增发一个正在承压的代币去弥补亏空，往往会进一步叠加抛售压力，削弱而非增强偿付能力。

反身性代币损失吸收之所以在尾部放大而非吸收冲击，正是因为它把系统的偿付能力，建立在了一个与系统高度正相关的资产之上。现金式的自有资本之所以能当缓冲，前提是它的价值与系统的健康状况不相关；而协议代币的价值，本就是市场对该协议未来的贴现，它与协议自身的命运高度正相关。把第一损失层建立在这样一个资产上，等于让缓冲资本与被缓冲的风险对象在同一场压力场景里一同失效。这并不意味着代币罚没毫无价值，stkAAVE 与 Umbrella 证明了它在结构上可以扮演利益攸关的角色，在常态和中小冲击下，它确实提供了一层真实的、可被罚没的缓冲，对那些不会同时击垮代币价值的局部亏空，它是有效的。它的局限在于尾部：正是在那种会突破整条瀑布、最考验深度的极端场景里，顺周期性会把它的吸收能力削弱。换言之，链上为利益攸关层找到的这个代币化替代，在它最不该失灵的地方最容易失灵，而违约瀑布的深度，衡量的正是尾部场景下的损失承接能力。一层仅在常态中有效、但在压力场景中价值显著下降的缓冲，还不能被算作瀑布真正的深度。

### 29.2.5 跨协议互济与重质押的共模风险

利益攸关那一层尚且只是被外包或被顺周期资产有限替代，会员互济那一层在链上的处境则更艰难。它的链上候选，是跨协议的互助或去中心化的担保基金，即让多个协议共享一个后备担保，在结构上等价于传统瀑布里由会员预先注资、共同分担的违约基金。这个方向被反复尝试过，但总体结果并不乐观，多数尝试未能持续运行或实现规模化；为回答第一项悬而未决的问题，就不能跳过这段历史。

真正在链上留下过持续赔付记录的跨协议担保，最典型的是 Nexus Mutual[34]。它是这个领域里少有的、确实在事件发生后向投保人赔付过的互助担保，因此常被当作链上会员互济可行的存在性证明。但这一单一案例本身说明了问题的难度：在它周围，其余互助型尝试大多未能持续运行。InsurAce、Unslashed 这类互助型保险，往往在相关性冲击下暴露出准备金与治理裁量的压力。UST 脱锚就是一例：InsurAce 后续披露的 UST De-Peg 理赔统计显示，234 份 cover 对应 173 笔理赔申请，155 笔获批、18 笔被拒，扣除后赔付约1173万美元，而其相关保费收入约9.4万美元[35][36]。这组事实不能简单写成“拒赔”或“收紧赔付”，它更准确地说明了互助担保面对系统性、同向触发事件时的资本压力：承保事件常常一起发生，一场系统性冲击会让大量保单同时触发理赔，而事先积累的准备金可能远小于同时到来的赔付请求。逐市场的参数型保险，如 Y2K、Cozy、Risk Harbor，试图用更精细的、按特定风险事件触发的合约来承保，避开互助型的裁量问题，但它们又面临另外两项结构性约束：一是基差风险，即赔付的触发条件与投保人实际遭受的损失之间存在缺口，触发赔付并不必然覆盖实际损失，实际发生损失也不必然满足触发条件；二是流动性的碎片化，即按事件、按市场切得越细，承保能力就被分散到一个个孤立的小资金池里，越难形成有意义的规模。这些协议多数已经停运或转型。把这些连续尝试摆在一起，链上对会员互济这处缺位的回答是：已有反复尝试，但多数未能持续运行或实现规模化，说明这一层并不容易构造。

新近出现的重质押，是这个方向上最新的原语，也常被寄予厚望。它把同一份质押同时投向多个应用，用一份底层的经济安全去为多个协议提供担保，EigenLayer 与 Symbiotic 是其中的代表[37][38]。从形式上看，这很像一个跨协议的共享后备担保，似乎正好能充当链上的会员互济，即一份资本为许多协议同时损失吸收。但它有两重还无法回避的问题。第一重是经验上的：EigenLayer 的 AVS 罚没主网上线时间是2025年4月17日，且其设计允许 AVS 设置自定义罚没条件、Operator Sets 与 Unique Stake Allocation[39]；截至2026年6月25日公开资料，它尚未经历一次真正的、大规模的损失事件去检验它在压力下能否按设计兑付。一个从未被实际动用过的缓冲，其可靠性仍停留在设计层面；而违约瀑布每一层的价值，最终都要在它被真正突破、真正动用的那一刻才能被验证。一层没有经历过这种时刻的担保，还不能被当作已经可以计入的瀑布深度。

第二重，也是更要害的，是结构上的：共享安全层会把一部分风险重新聚到同一份底层质押上。这一点必须讲清，因为它直接影响把重质押当作互济原语的边界。传统的会员互济之所以能起作用，依赖一个隐含前提，即会员们的违约在很大程度上是彼此独立的，因此当一个会员倒下时，其余会员是健康的，有能力分担。重质押的结构会削弱这个前提。第28章已经就此发出过明确的警告：重质押使同一份质押同时为多个应用担保，聚合的安全性是被共享而非简单求和的，针对不同应用的罚没与运营者故障会因此变得相互关联，这恰好重新引入了共模故障与相关性风险（§28.6.5）。需要公平地说，EigenLayer 的 Unique Stake Allocation 试图把某个 AVS 的罚没限定在运营者分配给该 AVS 的那部分 stake 上，以隔离无关任务的罚没风险[39]；这降低了无关 AVS 之间的直接传染，却没有消除底层抵押资产价格、运营者重叠、流动性撤出压力与同时罚没请求这些更高层的相关性。一份被多个协议共同依赖的经济安全，一旦在系统性冲击中缩水，它为所有相关协议提供的担保也会同步下降；如果多个依赖它的协议同时遭遇压力，对底层质押的罚没或退出诉求会同时出现，而其规模可能不足以覆盖多方同时请求。它是一个新原语，却远不是一个已被验证的解决方案，既未经尾部检验，又仍带着它本应缓解的相关性问题。

### 29.2.6 同等深度瀑布在链上的现状缺位

把前五个小节合起来，第28章那个最直接的问题，在本文截至2026年6月25日检视的主要链上清算、永续与借贷协议范围内，只能得到一个直接结论：与传统中央对手方同等深度的违约瀑布，链上尚不能实现（图29-2）。

![图29-2](./images/fig-29-2.png)

**图 29-2.** 违约瀑布的深度对比：传统中央对手方五层、链上现状四层、与理想架构（补回利益攸关自有股本层与预先互济层）

这个结论的分量，要落在深度二字被重新厘清之后才得到准确理解。深度从来不是层数，也不是规模，而是在损失分配给非违约方之前，有多少层预置资本能够按既定次序、无条件地先行吸收损失。图29-2 把三者并排：传统中央对手方的五层瀑布，在违约者的保证金与非违约方之间，设置有利益攸关的自有资本和会员预先互济这两层；链上现状的四层瀑布，从手续费供给的保险基金直接转向对盈利方的自动减仓，中间那两层是缺位；而一个理想的去中心化清算所，需要把这两层补回去。表 29-1 则把每一层的资金来源与最终承担者逐项对照，让那两处缺位的位置清晰呈现：传统瀑布里协议自有股本和会员预先互济两栏都有明确的出资人和承担者，链上对应的两栏却要么写着手续费公共池这种并非股本的机制，要么指向了事后被征用的盈利方。两张图表合起来说明的是同一件事，即链上瀑布的层数并不处于劣势；真正缺少的是位置正确、次序分明、无条件到位的那两层资源。

| 瀑布层级 | 传统中央对手方 | 链上现状 |
| :--- | :--- | :--- |
| 第一损失顺位·违约者自身 | 违约会员初始保证金（信用衍生品类 CCP 约77.9%） | 账户保证金 |
| 自有股本第一损失（利益攸关） | 中央对手方自有资本（信用衍生品类 CCP 约2.0%，置于会员互济之前） | 缺位——保险基金由手续费供给，非协议自有股本 |
| 预先互济 | 非违约会员预先注资、共同分担的违约基金 | 缺位——自动减仓事后削减盈利方头寸，非预先互济 |
| 后备与社会化 | 追加摊派与恢复工具 | 清算金库（流动性提供者资本）→ 自动减仓（盈利方社会化） |

**表 29-1.** 违约瀑布各层的资金来源与最终承担者：传统中央对手方与链上现状的对照（数据来源：作者基于 Paddrik & Zhang 2020 [13] 整理；表中约77.9%、约2.0%为预筹资源的实证占比，因清算品种而异，不宜外推为所有 CCP 的普遍值）

链上为这两处缺位找过替代，本节逐一看过了它们，而它们都尚未形成可持续运行机制。为利益攸关那一层找的替代有两条：把第一损失外包给流动性提供者，用可罚没的代币去作为股本替代物。前者只是把承担损失的位置转移给外部资本提供者而非协议自己，而且承担该位置的对象是一类可随时撤资的自愿资本提供者；后者虽然在结构上最接近利益攸关，却带着顺周期的先天缺陷，在最需要发挥作用的尾部场景里最容易失灵。为会员互济那一层找的替代也有几条：跨协议互助、参数型保险、重质押。前两者已被反复尝试而大多未能持续运行，重质押则虽是新原语，却因共模风险而与分散的初衷相悖、又未经尾部检验；而瀑布末端的自动减仓，更是把本该由预先互济承担的损失，事后强加给了非违约盈利方。每一种替代都触及了正确的结构位置，但尚未形成无条件投入该层股本的安排，它们或者将该位置转移给外部资本，或者用一种会在压力场景中蒸发的机制占据该层位置，或者将损失分配给不应承担该损失的主体。

因此，最终判断已经明确，且其原因并不在技术层面。缺少的不是某一种复杂机制，也不是工程上的可行性；可罚没的安全模块、跨协议的共享担保等原语已经出现，本节也已说明其存在。真正缺少的是两层最基础且最难获得的资本：一层，是有何种主体的自有股本，愿意先于所有人去承担损失；一层，是有一组主体，愿意在压力场景到来之前就共同预先注资、按约共担。链上为前者找到的替代发展时间仍较短，且都带着顺周期或共模的固有缺陷；为后者找到的替代，则把损失事后分配给不应承担该损失的主体。把这两层补足，是去中心化清算所从具备违约瀑布转向违约瀑布具备足够纵深的前提；而补足它们的难处，从一开始就不是技术，而是那个基本的政治经济问题，即何种资本愿意承担第一损失。这就是第28章第一项悬而未决的问题在深度这一维度上的直接答案。它也预示了下一节将要面对的、同样基础且难以处理的衔接：当损失终究超出了任何瀑布所能吸收的极限，一个没有最后贷款人的系统，又该如何有序失效。

## 29.3 无最后贷款人下的有序降级

第28章留下的第二个问题关注风险控制与用户体验之间如何取得平衡（§28.3.6）。沿着这一系统继续追问，这个问题会迅速收敛到一处更硬的衔接上，即清算所对违约头寸施加的清算冲击，与市场在那一刻所能提供的损失承接能力之间的衔接（29.1）。强平必然向市场抛出头寸，而市场未必具备充分承接能力，无法被承接的部分就是有序降级要处理的对象。本节回答的是，当一个清算所系统既不能假设外部救援、又必须独自面对自己极端压力场景时，它如何在这处衔接上把不可避免的失效控制在受控范围内。

### 29.3.1 无最后贷款人与设计目标的转变

传统金融的极端时刻通常存在一组外部稳定工具，最后贷款人只是其中最醒目的一个。去中心化清算所没有这样一个公共信用支持者，这一点本书已反复确认（第11章，表 11-2）。它的含义并非仅意味着少一道救济，没有最后贷款人意味着系统不能把流动性尾部风险外包给公共部门的临时融资，必须独自面对自己极端压力场景。央行可以在恐慌中向一家濒临流动性撤出压力、但仍有偿付能力的机构敞开流动性窗口，监管者或交易场所可以在失序中触发暂停机制，做市商在特定市场制度下可能承担持续报价义务；这些外部支撑在不存在单一主体能够下达指令的链上清算所里没有同等物。

为说明这个缺位的分量，需先把传统金融用来平抑冲击的那几件工具逐一列出，再逐一确认链上缺的是哪一种同等物。第一件是央行的最后贷款人职能，它通过贴现窗口在恐慌中向缺乏流动性却仍具偿付能力的机构注入资金，把一场本会演变为流动性撤出压力的流动性危机截断在它升级为偿付危机之前（第11章，表 11-2）；链上没有任何主体掌握这样一个可以凭空创造公共信用的公共流动性供给机制，保险基金与清算金库的余额都是有限且预先注资的，用一笔少一笔。第二件是交易所的熔断与暂停权，传统市场在价格于短时间内跌破预设阈值时可以强制停盘数分钟到十几分钟，为追加保证金、消化信息、重估风险提供一个时间窗口，把恐慌性抛售与机械清算之间的正反馈切断一截（第11章）；链上的永续市场通常全天候运行，部分协议虽有管理员暂停、参数调整或治理应急通道，但这些是协议内裁量而非外部公共权威。第三件是做市商被规定或制度性激励的持续报价义务，传统市场在特定规则下仍保留最低限度的报价与市场维护安排；链上做市大多是自愿资本，越是危机时刻越倾向于撤单，损失承接能力正是在最需要它的瞬间蒸发。第四件是保证金的风险期缓冲，传统中央对手方按一个以日计的平仓风险期来计提保证金，给追保、协商与有序平仓留出缓冲，而链上把这一时间尺度压缩到了实时逐笔，发现不足到执行强平之间几乎没有任何斡旋余地（第11章）。这些工具并非在所有传统市场都以同一强度存在，也并非链上毫无内部替代；关键差异在于，链上没有与公共信用、外部停盘权和强制报价义务等制度化冲击吸收器完全等价的外部后盾 [3]。

因此，一个没有最后贷款人的清算所系统，其设计目标必须从避免失效改写为在最坏的情况下受控失效。这一调整不是对风险治理的放弃，而是对资源约束的承认。第12章已经论证过，当损失超过违约者自身的全部资源且系统缺少足够外部资本时，完全清偿不再能被机制本身保证；Chitra 关于自动减仓的模型也从偿付、收入与公平三者不可兼得的角度给出同方向的形式化约束[12]。问题于是从“能否让任何人都不损失”转为“损失落给谁、落多少、以什么节奏”。一个把目标定为零损失的系统，是在向一个无法由既有内部资源保证的状态许诺；一个把目标定为受控失效的系统，才真正面对了自己的处境。所谓可控，可以拆成三个更具体的工程目标：可预期，即损失发生的路径与上限事先就由规则写定，而非在危机中临时裁量；可隔离，即损失被限制在其应承担的范围内，不向无关的参与者外溢；可吸收，即承担损失的那一层在事件发生时确实备有相应的资源去吸收它。完全清偿不能被内部机制无条件保证这一结论，在工程上并不意味着系统注定崩溃，而意味着系统必须放弃不留损失的幻想，转而把不可避免的损失塑造成可预期、可隔离、可吸收的形状。承认这一点是有序降级的起点，系统不再追求那个不可能由自身资源吸收的零损失，转而追求把不可避免的损失约束在可预期、可隔离、可吸收的范围内。

这正是国际清算银行在评估去中心化金融时点出的结构性缺陷之一：链上系统普遍缺少传统金融赖以平抑冲击的那些冲击吸收器，没有央行的流动性窗口，没有可由交易场所或监管者行使的外部暂停权，也没有被制度性约束在危机中持续报价的做市商 [3]。一类与本节论点同构的研究亦指出，去中心化的清算设计在缺少这类吸收器的条件下，其稳健性必须从机制内部去构造，而非寄望于外部干预 [40]。冲击吸收器的缺位不是某个协议的疏忽，而是无许可架构的内在属性；既然不能向外求援，唯一的处置路径就是把吸收冲击的能力内建进清算所自身的结构里。这就把本节的问题精确化了：处理那道清算冲击与市场损失承接能力之间的衔接，链上最直接、最可工程化的两类内建手段，是将冲击限制在尽可能小的范围内，以及把冲击本身变成一个可以主动调节的设计变量。在冲击这一端，系统无法凭空增厚市场的损失承接能力，却可以决定冲击以多大的规模、多快的节奏抛向市场；在损失承接能力这一端，系统无法吸引外部的救援资金，却可以决定哪一个资金池负责承接，从而把冲击的波及面框定下来。前者是把冲击当作设计变量来主动管理，后者是把承接的范围用隔离划定，二者一个作用于冲击的形状，一个作用于承接的边界，构成一个无外援清算所系统在这处衔接上最主要的内部干预方向。本节其余各节依次展开这两个手段，再点出它们共同的代价。

### 29.3.2 风险池隔离

第一种手段是将单一市场坏账限定在该市场自身的风险池内，使它无法传染给别处。它的反面教材，第12章已经解剖过：在2025年3月的 JELLY 事件中，Hyperliquid 的流动性金库 HLP 被迫接管了一个单一山寨币的违约头寸，一个本应局限于某个小众市场的风险几乎危及了整个金库的偿付能力（§12.6）[41]。问题不在于金库的规模，而在于金库的混同，所有市场的风险共用同一个损失承担池，于是任何一个市场的尾部事件都能传染给所有其他市场的参与者。一个资金池资金同时为所有市场损失吸收，表面上提高了损失承接能力，实际上是把所有市场之间形成高度风险相关性，一旦最脆弱市场发生尾部事件，其他市场也会受到影响。

正面的设计因此指向同一个原则：让每一个市场的风险尽可能由这个市场自己的参与者承担，而不向外溢出。这一原则在链上已有多个成熟的实现，它们各自在不同位置设定隔离边界，值得逐一识别其机制。Aave V3 的隔离模式为风险较高的抵押品单独划定一套约束，被列为隔离资产的抵押品，其上借出的债务受一个以稳定币计价的债务上限封顶，且只允许借出经治理批准的稳定币，而不能借出任意资产 [42]。这两道约束合起来，把一个高风险资产可能引致的坏账事先就锁定在一个有上限、且以最易清算的稳定币计量的范围内，使它无法穿透到整个借贷池。2024年9月上线的 Euler v2 把隔离推到了更充分的位置，它以一个个独立金库为单位组织借贷，每个金库自带一套风险参数，风险边界即由金库边界确定，一个金库内部的坏账被该边界挡在金库之内 [43]。Compound III 则把整个协议组织成若干以单一基础资产为中心的市场，每个市场只有一种可借出的基础资产、围绕它配置若干抵押品，出借人把资金投入哪个市场，就只承担那个市场的风险，市场与市场之间互不连通 [44]。Morpho Blue 走得更远，它把借贷拆成大量彼此不可变、互相隔离的市场，每一个市场在创建时就把抵押品、借出资产、清算贷款价值比等参数一次性固定、此后不可更改，出借人因此面对的是一个边界与参数都事先确定、且无人能事后调整的孤立风险敞口 [45]。Hyperliquid 自身也在 HIP-3 中引入了由部署者承担风险的隔离市场，发起一个新市场的人需要质押担保，把这个市场可能产生的风险连同它的坏账一并纳入发起者质押的承担范围，而不使其回流至共享金库 [46]。需要说明的是，把 HIP-3 直接说成由 JELLY 催生缺乏依据，但作为概念对照，JELLY 所暴露的混同问题正是隔离市场旨在解决的那类问题。

保险层也在沿同一方向演化，而且这条演化线索与29.2讨论的利益攸关问题直接相关。29.2 已论及的 Aave 安全模块，其质押的代币可在亏空事件中被罚没，是一个共享的第一损失池，所有市场的坏账都可动用同一笔质押来弥补 [30]；它的后续设计 Umbrella 把这个原本共享、可被罚没的资金池按市场拆分为隔离的保险，让质押者得以选择只为某一个或某几个市场提供第一损失担保，从而把谁为这个市场的坏账损失吸收的问题限定在愿意为它损失吸收的那部分人身上 [31]。从一个资金池共享、对所有亏空一视同仁的安全模块，到按市场分仓、各自承保的保险，走的正是从混同到隔离同一演化方向；它把29.2 所论的第一损失担保，与本节所论的隔离原则，结合于同一设计中。

隔离切断传染的代价，是它同时导致流动性碎片化，这是本节需要指出的第一项代价。一个被隔离的市场，无法调用其他市场的深度来吸收自己的冲击，当它真的发生尾部事件时，它可动用的损失承接能力仅限于它自己资金池里的既有资源。混同的资金池虽然会传染，却也意味着任何一个市场都能借用全池深度吸收冲击，隔离把这层互助切断了。这道代价在前述每一个原语身上都以同样的形态出现：Aave V3 给隔离资产设的债务上限，在挡住坏账外溢的同时也限制了这类资产可获得的承接深度；Morpho Blue 把市场拆得越细、参数锁得越死，单个市场在危机中能调动的流动性就越薄；Umbrella 把共享的保险按市场分仓，固然让承保人各负其责，却也让每个市场失去了从一个资金池共享保险里调用全部厚度的可能。这就引出了一道无法回避的前沿张力：资金池分得越细，传染越被充分切断，可单个市场在危机中能调动的深度也越薄，越容易被一笔不大的清算突破；资金池合得越大，单个市场能借用的损失承接能力越厚，但一旦某一市场发生尾部事件，风险扩散至整个网络。深度与传染因此是同一权衡的两个方向：隔离用流动性碎片化换取传染阻断，风险边界划得越严，能用来吸收风险的资源越少，不存在同时兼得较厚承接深度与传染阻断的最优解。

### 29.3.3 主动冲击管理

第二种手段是把清算施加于市场的价格冲击，从一个被动承受的后果改写为一个主动设计的变量。第11章把清算冲击当作级联动力学的一个被动后果来分析，价格下跌触发强平，强平的抛售又压低价格，冲击在反馈回路中自我放大（§11.3、§11.5）。主动冲击管理的思路是把这个冲击从因果链的末端前移到设计的起点：既然清算必然向市场抛出头寸，那么以什么价格、以多快的节奏、向谁抛出，就都不再是完全外生且不可控的外生变量，而是可以预先设计的参数。

这一思路最清晰的实证对照来自 MakerDAO 清算系统的两个版本，它们恰好分处这个手段被发现之前与之后 [47]。2020年3月12日的黑色星期四是旧系统的一次充分暴露。当日以太坊单日下跌约43%，链上拥堵使清算拍卖只有极少数清算人能够提交出价，旧系统采用的固定时长英式拍卖于是出现了零元中标，约832万美元的抵押品以0 DAI 的价格成交，系统被迫增发超过两万枚 MKR 来弥补由此产生的坏账[48]。这里有两个数字必须分开：以零价成交的约832万美元，是被以零价拍走的抵押品规模，而最终落在系统承担范围内的坏账约为450万至530万美元，两者并非同一问题。失败的根源不在市场下跌幅度过大，而在拍卖机制本身把损失承接能力的范围压得太窄。为说明这一点，需先识别英式拍卖的机理：英式拍卖在一个固定的时间窗口内向上叫价，出价最高者获得标的，可一旦链上拥堵、出价交易排不进区块，能挤进窗口的有效买方数量便显著下降，执行边界到时即关闭，于是抵押品在事实上无人有效竞买的情况下以零价成交 [47]。固定时长这一设计将损失承接能力的进入条件限制为必须在拥堵中优先提交一笔成功上链的出价，而该进入条件正是在系统最需要买方参与时最为受限。

2021年4月上线的 Liquidations 2.0 逐一回应了该日暴露出的机制失效，而其回应方式正是把拍卖的每一个维度都改造成可调的参数 [47]。它把英式拍卖改为荷兰式降价拍卖，而荷兰式拍卖的机理恰好缓解了拥堵带来的排他性：起拍价被设为高于市场价的一个乘数，价格此后沿一条预设曲线随时间向下递减，清算人无需在拥堵中优先出价、争夺有限的区块空间，只要等待价格降到对自己有利的水平再参与交易即可成交，损失承接能力的执行边界因此不再以固定方式随时间关闭 [47]。这条降价曲线本身就是一组可调参数，而这组参数恰好对应着旧系统失败的几个维度。起拍价相对市价的乘数决定拍卖从多高处起步，为抵押品设置一个高于市价的初始价格、再让市场来发现它真正的承接价位。拍卖时长设有一个上限，价格下降经过这一时长仍无人接手，拍卖便被视为达到上限而需要重置，这道时长上限确保一场拍卖不会无限期地持续保留一笔尚未处置的风险头寸。价格沿曲线允许跌到的最大降幅则设了一道下限，规定单场拍卖里价格最低可降至市价的某一比例，越过这道下限就触发重置而非继续低价处置，避免抵押品在一场失控的降价里被零价拍走，这正是直接回应黑色星期四零元中标的该执行边界。而曲线的步长决定价格是平滑连续地下降还是按离散的台阶跳降，步长越细，损失承接能力被吸引的价位就越接近抵押品的真实清算价。调动这几个参数，等于在调动整场拍卖吸引损失承接方的节奏与代价。它还以原子化的方式即时结算成交，并允许闪电贷参与竞买，竞买者可以在同一笔交易内借入资金、买下抵押品、再将其卖出还款，无需事先持有现金，于是潜在买方从当时持有现金的少数清算人被扩展到任何能在一笔交易内借到钱、买入、再卖出的人，竞买者的范围因此被极大地拓宽。它支持按批分割的部分成交，把一场拍卖里的抵押品拆成可以分批承接的小份，不要求单个买方一次性承接全部抵押品，于是一笔大额清算可以被多个小买家分批共同消化，承接一笔大额清算所需的单笔资金量被拆小，进一步放宽了对单一买家财力的要求。它还配备了 ClipperMom 断路器，可在预言机价格出现异常偏离、或拍卖呈现出非预期行为时被授权触发拍卖参数的重置乃至暂停，作为机制层面的一道保险。把这两个版本并置（图29-4 对比英式与荷兰式拍卖的价格-时间曲线，英式拍卖在固定时长内等待出价、执行边界到期即截止，荷兰式拍卖则让价格沿曲线持续下降、随时可被原子化地承接），就能识别主动冲击管理的全部要义：它不是让清算冲击被完全消除，而是把清算的价格与节奏转化为可由设计者预先配置的机制参数。旧系统每一处将损失承接能力排除在执行范围之外的设计，都被改成了一道可调的、向更多承接者敞开的参数。其官方设计文档并未点名黑色星期四，但这套机制的每一项都精确对应着那一天的某一处失败。

![图29-4](./images/fig-29-4.png)

**图 29-4.** 英式拍卖与荷兰式拍卖的价格—时间曲线对比（定性轴，概念示意，非实测数据）

### 29.3.4 其他降级机制

荷兰式拍卖只是主动冲击管理工具的一种，链上还演化出若干思路不同、却都拒绝将清算冲击视为外生变量的降级原语。Liquity 采用吸收机制而非拍卖机制：它设立一个稳定池，让稳定币持有者预先把资金存入其中，当某个金库被清算时，稳定池即时销毁相应数量的稳定币、换取被清算的抵押品，由稳定池的存款人按份额承接这些抵押品并分摊其损益 [23]。由于清算只在头寸的抵押率跌破阈值、即抵押品价值仍略高于债务时触发，稳定池存款人换得的抵押品在正常情形下价值略高于他们销毁的稳定币，这部分差额就是他们承接损失风险的补偿，吸收因此并非无补偿承担，而是一笔有对价的交易。该机制路径还配有一道补充机制以应对稳定池被耗尽的情形：当稳定池中的稳定币不足以抵消一笔清算时，该笔被清算金库的债务与抵押品会被按比例再分配给其余仍然活跃的金库，由这些金库的所有者共同承接 [23]。两道机制合起来的价值是即时、且不向公开市场抛售，从而完全规避了拍卖所要面对的损失承接能力问题；代价是它把损失社会化给了稳定池的存款人乃至其余借款人，并且稳定池这条主路径的吸收能力受限于稳定池当时的余额，稳定池耗尽后，系统就只能退而依赖再分配这条更稀释、也更具传染性的备用路径。

Euler 的软清算则把清算折扣设计成一条随账户健康度下降而上升的连续曲线，使清算在头寸刚刚越过边界、折扣还很小的时候就被触发 [43]。为说明它的机制优势，作为对照，Compound III 采用的是一个固定折扣的清算模型，清算人无论在头寸刚越界还是已深度资不抵债时介入，拿到的折扣都是同一个事先写定的固定值 [44]。固定折扣的问题在于，它在头寸刚越界、折扣相对于风险显得过厚时，会激起清算人为争夺这笔确定利润而展开的优先交易与 gas 费竞价。Euler 的连续折扣曲线正是对这一问题的回应，它把给清算人的奖励设计成随健康度的恶化而连续增长，可以粗略理解为奖励正比于健康度偏离健全水平的程度，头寸越接近资不抵债，折扣越高 [43]。这条连续激励曲线的效果是让清算在边际刚刚变得有利时就被吸引：折扣不再是一个跨过阈值才一次性兑现的固定值，而是从较低水平连续上升，于是清算变得更早、更小、更分散，单笔清算可攫取的利润上限被压低，清算人之间为争夺一笔大额清算而展开的优先交易与 gas 费竞价也随之被削弱。crvUSD 的 LLAMMA 把清算改写为沿价格区间连续发生的过程，它将抵押品分布在一段价格带上做市，价格下跌时自动沿这段带把抵押品逐格换成稳定币、价格回升时再换回，使头寸在下跌过程中被逐步、平滑地软清算，而非在某个阈值上被一次性硬性强平 [27]。这套机制实质上是将清算冲击分配到一整段价格区间的连续做市过程之中，每跌一格只换出一小部分抵押品，价格冲击因此被切成多个较小的增量，而不再是某个阈值上一次性的大额抛售；只有当价格深度跌出这段软清算带、且长时间不回的极端情形，才会落入硬清算。它本质上是将清算从一个离散且不可逆的事件，转化为一段连续且在价格回升时可逆的转换过程。Ajna 则采用另一种简化路径，它取消了对预言机的依赖，改由出借人在存入资金时各自指定愿意接受的抵押定价，市场的清算阈值因此由出借人的报价内生地决定，而非由一个可能被操纵、也可能在危机中失灵的外部预言机给定 [49]。当某个借款头寸按出借人的内生定价已抵押不足时，任何人都可以启动一次清算操作，对该头寸启动一场荷兰式清算，由降价拍卖去寻找承接者 [49]，它因此把29.3.3 的荷兰式拍卖，与一套不依赖预言机的清算触发条件结合为同一机制组合，并将清算触发判定从外部预言机依赖中分离出来。这些设计的共同点是它们都拒绝接受清算冲击是一个只能被动承受的外生变量这一前提；它们各自从不同环节入手，却都把那个被第11章当作被动后果的冲击转化为可由设计者配置的参数。需要说明这组例子和永续清算所之间的关系：它们大多来自借贷与超额抵押稳定币系统，不能直接证明永续清算所已经拥有同等机制；它们证明的是，强制处置的价格、时间、触发和承接方可以被工程化地重塑。若迁移到永续清算所，还需要处理头寸可转移性、盘口连续性、逐仓/全仓保证金、做市库存和预定义损失层之间的兼容问题。这些路径并非互斥，而是把同一种被动冲击拆解成若干可干预的环节——抛售的去向、激励的形状、清算的时间分布、触发的判定来源，每一环都曾是外生不可控的条件，如今被某个原语改写成可设计的内生变量。链上对清算冲击的主动管理因此不是某个协议的孤立设计，而是一条横跨多个协议、从多个角度同时推进的工程路线。它们与 29.3.3 的荷兰式拍卖一道，构成了链上既有的有序降级工具组合（图29-3 把这两个手段对级联路径的作用并置，风险池隔离切断横向的传染，主动冲击管理放缓纵向的升级）。

![图29-3](./images/fig-29-3.png)

**图 29-3.** 风险池隔离与主动冲击管理：从被动级联到有序降级（概念示意）

### 29.3.5 有序降级的三重代价

每一种有序降级机制都存在必须承担的代价。每一种手段都只是将损失从一个位置转移至另一个位置，并不能消除损失本身，这正是第12章那条不可能定理在架构层面的再现（§12.2.3）。该定理表明完全清偿不再可达；在架构层面，这意味着任何降级机制都只能在谁承担、何时承担、以什么形式承担之间做选择，而无法让承担本身消失。

第一重代价是拍卖放缓与坏账加深之间的两难。荷兰式拍卖用放慢节奏来削弱单次冲击，但放得越慢，抵押品价值在拍卖期间继续下跌的风险越大，最终留下的坏账可能越深。MakerDAO 自己的设计文档对这一两难有近乎逐字的承认，而且同时指出两个方向：降速太快，价格曲线下降速度快于损失承接能力进入的速度，竞买者付出的价格会远低于他们本愿意付出的水平，从而产生本可避免的永久性坏账；降速太慢，拍卖价格又可能始终追不上仍在下跌的市场价，抵押品在缓慢的降价中不断贬值，同样留下坏账；文档甚至坦承，价格曲线的选择仍是一个活跃的研究领域，没有一条曲线能同时在两个方向上都最优 [47]。这一两难无法靠调参一次性解决：它的两端各自指向相反的失败，并非存在单一最优解的问题，而是一道两端都通向损失的双重约束，设计者能做的只是在两种损失之间选相对更可承受的。一项以模拟方法量化清算速度与激励成本之间权衡的研究为这一两难提供了定量的刻画，证实了更慢的清算需要更高的激励成本来吸引损失承接方这一关系并非定性的直觉，而是可被测度的，清算每放缓一档，要在那一刻仍吸引买方参与，就得付出更高的折扣或激励，而这部分额外激励本身就是系统承担的一项成本 [50]。这项量化的意义在于，它把快与慢这对表面上可以凭经验判断的取舍转化为一条可以被测度、却无法被消除的成本曲线：为更快争取到的是更小的市价下跌风险，为此付出的是更高的即时激励成本，两者只能此消彼长。有序降级不存在统一标准解，原因即在于此，拍卖的快慢处于两类坏账风险之间，任何一个方向的极端化选择都会产生损失。

第二重代价是吸收型机制把损失社会化。Liquity 的稳定池与再分配用即时吸收换来的，是损失从被清算者转移到了稳定池的存款人身上 [23]，这部分存款人并非任何头寸的违约方，却因为预先把资金投入了稳定池，而在清算发生时分担了损失。值得分辨的是，社会化在这里包含两层不同含义。在正常情形下，存款人换得的抵押品价值略高于其销毁的稳定币，他们承接的与其说是损失，不如说是一笔有折价补偿的交易；只有当市场跌得足够深、抵押品在被换得后继续贬值到不足以覆盖那份稳定币时，存款人才真正承担了净损失。再分配路径则更进一步，把一个违约金库的亏空分配给一组与这笔违约毫无关系的其他借款人，社会化的范围因此从自愿入池的存款人扩散到了并未选择承接任何人风险的旁人。社会化不是这一机制路径的缺陷，而是它的运作方式，它正是靠把损失摊薄到一组预先就位、且大体自愿承接的承担者身上，才换来了即时与无抛压。也就是说，吸收型机制并没有消灭那笔损失，它只是把损失从一个被迫承担的违约者转移给了一组事先同意承担、并以折价取得抵押品作为补偿的存款人，或在极端情形下转移给一组被动承担损失的其他借款人，损失改变了承担者，但总量并未减少。

第三重代价是隔离换来流动性的碎片化，这一点29.3.2已经点明：隔离用阻断传染换来的，是每个资金池只能依靠自己既有资源深度去吸收冲击。把三重代价并排来看，会发现它们实质上是同一条结构性事实的三个侧面，即损失只能在不同的维度上被再分配，而无法被消除。拍卖的快慢是把损失在时间维度上再分配，即现在就以折价兑现，还是拖到以后承受更深的贬值；吸收型机制是把损失在参与者维度上再分配，从违约者挪到预先就位的承担者；隔离则是把损失在市场维度上再分配，决定它由本市场独自承受、还是向全池外溢。三者合起来指向同一个事实：有序降级的核心设计任务不在于消除这些代价，而在于在给定的市场结构下选择一个能让系统得以存活的代价组合。它们都是第12章那条不可能定理在不同侧面上的投影，损失既不能凭空消失，那么所有的工程努力就只能是关于损失如何被分配的工程。

### 29.3.6 清算执行的激励失灵

还有一道代价，比上述三者更隐蔽，也更深，因为它把讨论引向下一节的主题。所有这些主动冲击管理机制，无论是拍卖、软清算还是稳定池，都默认了一个前提：在清算需要发生的那一刻，总会有参与者愿意执行清算。链上没有被监管强制履约的清算人，清算依靠的是市场激励，谁来清算取决于清算在那一刻是否有利可图。为说明这个前提有多脆弱，需先识别链上清算人的成本收益关系。清算人决定是否执行，算的是一道成本收益差：清算这笔头寸能拿到的折扣或奖励，减去把这笔清算交易送上链所需的 gas 成本，差为正才值得做。平静时这道成本收益差较大，gas 便宜、折扣可观，清算人积极参与；而正是在最需要清算的极端时刻，这道差会同时从两头被挤压。一头是 gas 成本，危机中链上交易激增，区块空间竞争加剧，清算人要让自己的交易及时上链，就得在优先费的拍卖里不断加价，gas 成本随之飙升，甚至会反超清算本身的利润。另一头是损失承接能力，被清算的抵押品要卖得出去才能兑现折扣，而危机中市场深度恰好蒸发，清算人即便获得头寸处置机会也可能在抛售后仍出现负收益。两端同时收缩，那道本该为正的差就转为负值，于是清算人理性地选择不参与，清算在最需要它的时刻发生了执行者退出。

这道成本收益关系还有一层更尖锐的动态，表现为 gas 成本一侧的动态变化。链上区块空间的分配本身就是一场以优先费出价高低来排序的拍卖，谁愿意为自己的交易付更高的优先费，谁的交易就更先被打包。平静时这场拍卖拥堵程度较低，清算人付一份微不足道的优先费即可如愿上链；可一旦危机降临、大量交易争抢同一批稀缺的区块空间，优先费就被竞相抬高，而清算人为了赶在抵押品进一步贬值前完成清算，往往不得不加入这场加价。于是一笔清算的 gas 成本不是一个外生的常数，而是一个随拥堵程度内生上涨的变量，拥堵越重，把清算送上链的代价越高，而这正是发生在最需要清算迅速完成的时刻。当优先费被抬到超过清算折扣的高度，理性的清算人就会停止参与，不是因为他们找不到该清算的头寸，而是因为算下来无利可图。拥堵与无利可图在此叠加成一道正反馈：越是危机，gas 越贵、损失承接能力越薄，清算越无利可图，愿意执行清算的清算人越少，未被处置的坏头寸持续累积，进一步加剧了危机。清算人的集体停止参与本质上是一场没有组织、却由相同的经济算计同时触发的执行者退出。

这不是一种理论上的担忧，而是被反复观察到的事实。2021年5月的剧烈下跌中，链上拥堵与 gas 成本飙升导致部分清算无法及时执行，清算本身有利可图，但执行它所需的链上交易在拥堵中要么排不进区块、要么 gas 成本抵消了清算利润 [51]。2022年11月，Aave 上的一个 CRV 借贷头寸在一场针对性的市场操纵中迟迟无法被清算人有效处置，最终在该市场留下坏账 [52]，清算人并非不存在，而是当清算在那样的价格与流动性条件下无利可图、或链上拥堵使其无法成交时，他们理性地选择了不参与。Qin 等人对拥堵导致清算失败的现象有系统的实证刻画，把清算的执行依赖于一个在危机中可能恰好失效的市场条件这一脆弱性从个案上升为可被测度的普遍规律 [51]。这两个案例分处一道光谱的两端，一端是 gas 拥堵让有利可图的清算执行不了，另一端是市场条件让能执行的清算无利可图，而它们指向的是同一个结构性弱点：清算的发生系于一个在危机中最不可靠的条件之上。

这就是市场激励替代监管强制的结构性缺口。监管可以命令一个清算会员必须履约，无论那一刻履约是否对它有利；而市场只能在有利可图时才吸引来清算人，无利可图时它便无人响应。命令式履约与激励式履约的分野正在于此：前者把执行清算当作不容拒绝的义务，会员即便亏本也必须履约，在危机中愈发刚性；后者把它设定为可自由选择是否参与的活动，清算人在无利可图时可以退出，于是执行约束在危机中趋于弱化，而危机正是它最需要保持刚性的时候。这道缺口并非某个激励参数设置不当，而是以激励替代强制这一选择本身的内禀属性：只要清算的发生取决于它在那一刻是否划算，就总存在一个收益为负的极端时刻，让所有精心设计的降级机制集体失去执行者。一个用激励替代命令的清算所系统，其有序降级的全部能力，无论隔离、拍卖还是软清算，最终都受制于同一个条件：它的激励在最坏的那一刻是否仍然成立——而这个以执行者愿意在该时点参与为内核的假设，恰在最需要它成立时最不可靠。有序降级由此显示出其自身边界；该边界不能再通过改进降级机制加以解决，而必须被正面回答：当系统的稳定依赖于市场激励，而市场激励又会在危机中反转时，该清算所系统还能依靠何种机制。这正是下一节回答的问题。

## 29.4 市场激励的边界与残余裁量的约束

上一节结尾停在一道缺口上。在最需要清算的极端时刻，清算人可能因无利可图而集体缺席，而一个用激励替代命令的清算所系统，其有序降级的能力最终受制于它的激励在最坏时刻是否仍然成立。该缺口不是一个可以通过改进代码解决的工程缺陷，而是一个关于代码能做什么、不能做什么的边界问题。它引出本章的最后一处衔接：在一个以确定性代码运行的清算所系统里，确定性的代码与那种无论如何都无法被代码取代的人为裁量之间，存在一处衔接。本节要做的，是界定这处衔接的确切位置，即市场激励能够覆盖到哪里，从哪里开始裁量变得不可消除，以及不可消除的那部分裁量该如何被约束到最小。

这处衔接之所以是本章最难的一道，是因为它不像前两道那样可以靠增加一层股本缓冲、换一种拍卖机制来收窄。它问的不是如何改进系统本身，而是系统的能力到此为止之后，剩下的既有资源由谁、以什么方式来补。回答它，要先理解去中心化清算所赖以运转的第一项机制假设，再识别这一机制假设的边界，最后说明边界之外由人为裁量承担的范围应如何被压缩并约束。

### 29.4.1 市场激励替代监管强制

去中心化清算所赖以运转的第一项机制假设，是用市场激励替代监管强制。这一机制假设是它与传统中央对手方在根基处的分野，理解它，要从两种截然不同的动员逻辑说起。

在传统的中央对手方体系里，让清算会员注资违约基金、让它们在危机时充当损失承接能力的，归根结底是一种基于义务的逻辑。一家机构要取得清算会员资格，就必须按规则缴纳违约基金份额、必须满足持续的资本与保证金要求、必须在违约管理拍卖中承接被处置的头寸，这些都不是它是否愿意的选择，而是会员资格本身附带的强制义务，其背后是清算所的会员规则与监管当局的审慎要求在共同施压（§5.3.4）[2]。本书在比较两类违约瀑布时已点出这种强制力最严格的那一面：传统清算所不仅预先募集了违约基金，还握有向会员法定追加摊派的权力，而链上协议的保险基金普遍缺乏这种强制补充机制（§5.4.5、表 5-2）。中央对手方因此可以在它最需要资源的时刻，向一个被规则绑定的会员群体直接征召；正是这种可征召性，构成了违约瀑布上那几层互济资本的可靠性来源。把损失外部化给系统的负外部性之所以能够被内部化，靠的也不全是参与者的善意，而首先是这套强制性的制度安排在背后发挥约束作用（§12.1.3）。

去中心化清算所没有可以发布强制性指令的会员规则，也没有可以强制履约的监管者。它能依靠的只有另一种逻辑，即基于自利的动员。流动性提供者自愿把资金存入清算金库，是因为做市与承接清算的收益足以补偿其所承担的风险；清算人自愿去执行强平，是因为清算折扣对其有利可图；套利者自愿去弥合标记价与现货价之间的偏离，是因为价差本身就是一笔利润。本书的违约瀑布对照表把这一分野压缩到了最后损失吸收与清算执行两栏：传统体系的终极承接者是被法定义务绑定的结算会员，链上体系的承接者却是外部套利者与协议清算人，靠的是清算折扣这一市场化的力量而非任何指令（§5.4.5、表 5-2）。没有任何一个环节是被命令的，整套系统的运转，建立在一个复杂的假设之上：每一个理性自利的参与者，在追逐自身收益的过程中，恰好会做出系统稳定所需要的那个动作。清算所不去命令谁，而是去设计一组报酬，让分散的、互不信任的、未对系统承担制度性义务的参与者，仅仅出于自利就维持系统运行。

这一替代有它明确的制度吸引力。它无需信任任何特定主体，没有单一会员构成系统稳定的必要支柱，任何一个清算人退出，都会有另一个被同样的折扣吸引；它也无需任何人获得许可，成为清算人或流动性提供者不需要资质审批，只需要一个地址和一笔资金。用机制设计的语言说，这套系统追求的是激励相容：把规则设计成让参与者的占优策略恰好等于系统所期望的行为，于是激励的相容性本身就成了执行机制，无需在激励之外再叠加一层强制（§12.5.1）[53]。第12章评价 Hyperliquid 的清算金库时所点出的正是这种逻辑的充分体现，即清算利润归流动性提供者所有，金库年化收益直接成为市场对清算风险的动态定价，风险管理由此从平台的负担变成社区的机会（§12.6.1）[8]。这也是不完全合约理论所揭示的那种治理的镜像：既然无法靠完备合约穷尽并强制所有应尽义务，那就退而求其次，把剩余的协调交给恰当设计的产权与报酬，让当事人为自己的利益自发执行符合系统目标的行为（§12.4.4）[54]。在这个意义上，一个去中心化清算所系统与其说是一部执法系统，不如说是一套激励结构：它不规定参与者必须做什么，它只确保当参与者为自己打算时，其所做的恰好是系统需要的。

这两种逻辑的差别，比强制与自愿的字面对立要深。基于义务的逻辑，本质是一种依托监督与惩罚的治理，它预设了一个能够观察会员是否履约、并在其违约时施加制裁的权威；这个权威的存在本身，就是一项需要被资本、法律与机构持续供养的昂贵设施。基于自利的逻辑则试图把治理的成本前移到机制的设计阶段：一旦报酬结构被调校到让自利与系统目标重合，事中就不再需要一个监督者时刻盯着每个参与者，因为没有人有动机去做系统不希望的事。这正是机制设计这门学问的雄心：用事前设计好的规则，诱导出本来需要靠事中强制才能得到的行为（§12.5.1）[53]。去中心化清算所把这份雄心推到传统机构不敢去的极端：它索性取消监督权威，把全部机制假设押在报酬本身足以替代监督这一命题上——当报酬够用时，这是一项成本收益上有吸引力的制度替代，用可被任何人复算的报酬规则替代了整套需要信任与持续维护的监管体系。但这一制度替代隐含着一个它无法回避的脆弱点：监督权威的价值，正在于它不依赖被监督者此刻是否仍然认为履约有利；而纯粹的报酬激励，正是把系统的可靠性，系在了参与者此刻是否仍觉得划算这一随市场状态变化的条件之上。

把基于义务的逻辑替换成基于自利的逻辑，是一次真正的制度负担转移，它移除了中央对手方赖以运转的整套会员资格与监管框架，换来了无许可与去信任。但这次替换并非没有代价。被移除的该框架里，原本封装着一种在危机时刻仍然有效的强制力；当它被自愿激励取代之后，一个隐蔽的问题就被一并继承了下来：自利与稳定的那种一致，在所有时刻都成立吗？

### 29.4.2 顺周期与可预测性攻击

市场激励的边界，正是在系统最需要它的时刻显现得最清楚。本节提出的第一个论断是：自利与稳定的一致，是一个顺周期的假设，它在平静时成立，在危机时反转。

这个假设的脆弱，前一节已经从一个侧面看到：清算人会在最需要清算的时刻，因无利可图或链上拥堵而理性地退出（§29.3）[51]。但退出的不止清算人。同样的逻辑施加于清算金库的流动性提供者身上，会得到一个更严格的结论。流动性提供者把资金留在金库里承接清算，是因为常态下的做市收益补偿了他承担的尾部风险；可是当波动骤然放大、当标记价开始剧烈跳动、当连续强平正排队等待被承接时，他面对的不再是一笔风险溢价合宜的业务，而是一个可能导致本金损失的敞口。一个理性的流动性提供者，会在此刻撤资，而这正是系统最需要损失承接能力的时刻。激励在这里没有失灵，它按照理性自利逻辑充分运转：正是激励的正确运转，让本应充当缓冲的资本，在缓冲最被需要的时刻撤出流动性。前文已经刻画过这种信心与流动性的顺周期共振，从无人关心到所有人恐慌，中间几乎没有平滑的过渡地带（§12.3）。市场激励替代监管强制所付出的第一项代价即表现于此：它把一种本可在危机中被强制征召的资源，换成了一种在危机中倾向于退出的资源。国际清算银行在评估去中心化金融时所点出的缺少冲击吸收器，其更深一层的含义正在于此，即链上系统不只是少了央行的流动性窗口，它连那些被监管要求在危机中持续报价、持续承接的私人主体也一并没有了，剩下的均为可随市场条件退出的自愿资本（§29.3）[3]。

本节提出的第二个论断更微妙：纯算法清算所的确定性本身，构成一个攻击面。中央对手方的违约管理之所以难以被精确利用，部分原因在于它的关键时刻包含裁量因素，监管者与做市商可以用不可预测的临场判断，给任何想要利用系统规则获利的人增加一层不确定性。去中心化清算所正是采取相反设计：它的全部规则都被透明地编码在链上，它对每一种状态的反应都完全确定、完全可推演。这种确定性是它的制度优势，任何人都能预先验证系统会如何待自己；但同一种确定性也是它的弱点，任何人也都能预先计算，把系统逼入某个特定状态需要多大成本、又能从系统在该状态下的确定性反应中可提取价值规模（§12.4.1）。当一个系统对每一种输入的输出都可被精确预判时，它就不仅可以被使用，也可以被策略性利用。攻击者可以预先部署在一场可被算法触发的强平或自动减仓的前方，让系统在被推入该状态时的那个确定性动作，将价值转移至攻击者控制范围内。第11章与第14章所解剖的那些清算级联与预言机操纵，许多都带有这种利用可预测性的结构：攻击者并不需要突破任何一项防御规则，他只需要知道防御规则会在何处、以何种方式触发，然后利用后续状态转换。2022年那场针对 Aave 上某 CRV 借贷头寸的操纵，正是这一结构的实证，攻击者算准了系统的清算规则会如何反应，把可被预测的清算逻辑当成了攻击参数（§29.3）[52]。

这种被反向利用的可预测性，有一个比攻击面更普遍的名字；接下来要引入的 Goodhart 定律、Lucas 批判与保护性的不透明，都是确定性被反向利用这同一现象的不同侧面。当一条防御规则被透明地公开，它就从一条单纯的规则，变成了攻击者优化的目标函数，攻击者会精确地针对这条规则的字面来调整自己的策略，使规则在它最该生效的地方恰好失效。第12章在分析 Hyperliquid 那连续事后修补为何总被绕过时，正是借 Goodhart 定律与 Lucas 批判说明了这一点：一旦某个度量被当作控制目标公开，它就不再是一个可靠的度量；基于历史攻击模式制定的防御，会因为攻击者对这套防御的预期而失效（§12.6）[41][55][56]。这就解释了为什么纯算法清算所处于一个难以自行解除的循环中：它的合法性要求规则透明，而规则的透明又把每一条规则变成了可被针对的优化目标；它越是把自己解释清楚，就越是完全暴露自身反应函数。中央对手方之所以没有同样深地陷在这个循环里，靠的正是它在关键处保留了不透明：监管者与做市商在危机时刻能做什么、不做什么，本身就是一个攻击者无法预先求解的变量。去中心化清算所用透明换来了可验证，也就一并放弃了这层保护性不透明，这不是某个协议的疏失，而是规则以代码形式执行、人人可验证这一根本承诺的必然结果。

这两个论断指向同一个更深的判断：可预测性既是去中心化清算所的制度基础，又是它的根本弱点，而这一两难无法靠进一步细化规则来摆脱。把规则写得更细，只是把可被算计的状态描述得更清楚；把激励调得更高，也只是在顺周期的资本撤出面前暂时延缓失效。市场激励因此不是一种可以无条件依赖的力量，它在边际有利时强大，在系统性危机中却可能集体失灵，甚至因其自身的透明与确定而被反向利用。前沿协议对此已有直接经验：每一轮针对已知攻击向量的事后修补，都会被适应性的攻击者绕到新的攻击面上，这种攻击、修补、新攻击的循环，正是被透明公开的防御规则在博弈中失效的表现（§12.6）[41]。承认该边界，不是承认去中心化清算所的失败，而是确认它的能力范围有一个明确边界。超出该边界之后，还存在一类比顺周期与可预测性都更根本的处境。

### 29.4.3 不完全合约与最终担保人

在市场激励所能企及的范围之外，还有一类最根本的时刻：合约根本没有为之准备规则的状态。前两节谈的是激励在某些时刻不够强、或被反向利用；这一节讨论的是另一类问题，即在某些时刻，根本无规则可循。

经济学对此早有定论：合约是不完全的。由于人的有限理性与未来的不可预测，缔约者不可能在事前预见并写下未来的每一种状态；总有一些情形，是规则的起草者从未设想、因而从未规定的（§12.4.4）[54]。智能合约把这条定理推到了极致。它名为合约，实为一段部署在链上的代码，开发者只能基于对过去的认知和对有限场景的预想去设定参数，无法穷举一切操纵手法、攻击向量与极端尾部事件。当一种从未被代码覆盖的情形真的降临时，代码并不具备自主判断能力：它要么按字面机械执行，给出一个在那个情境下不适当甚至破坏性的结果，要么干脆没有对应的分支可走。不完全合约理论给这一处境提供的关键概念，是剩余控制权，即在合约未曾规定的情形下做出决定的那份权力，必须落在某个人或某个机构身上（§12.4.4）[54][57]。问题从来不是是否存在合约未规定的状态，因为那是必然的；问题是当它出现时，由谁来行使这份剩余控制权。

去中心化清算所给这份剩余控制权安排的承担者，第12章称之为最终担保人。它是那个在系统落入代码无从应对的状态时，被授权暂停、改参、乃至回滚的角色；在中央对手方那里这个角色由清算所运营方与监管当局担当，在去中心化系统里则可能落到持有多重签名权限的核心团队或一组验证者身上（§12.4.2）。这个角色的存在本身就是一个尖锐的悖论：一套以去信任和规则代码化执行为原则的系统，最终却要在最危急的关头，重新依赖一组主体临场裁量，裁量一旦被引入，被移除的信任假设就以隐性形式重新引入。可正因为合约的不完全是结构性的、不可消除的，这个悖论也就无法靠进一步提高机制严格性来回避：任何宣称完全不需要最终担保人的系统，不是真的不需要，而是把那个无规则可循的时刻转化为无规则状态下的系统性失效。

这就是为什么激励的这处衔接，是本章四处衔接里最难的一道。前两处衔接，即瀑布的深度与降级的节奏，尽管难，毕竟还是工程问题：可以靠增加一层股本缓冲、换一种拍卖来收窄。这一道却不是工程问题，而是一个关于权力的问题，因而它把去中心化清算所引向其最难处理的两难。一方面，若最终担保人的裁量太弱、太迟，系统就会在那个无规则可循的时刻被攻击者有序拆解，对完全自动化的坚持可能导致系统性失效；另一方面，若这份裁量太强、太频繁，它就会逐步转向它本要取代的那个中心，更危险的是，它会以保护系统之名，实施选择性救助。第12章已经说明这层危险：当某个大户的爆仓可能引发连环清算时，最终担保人为护住保险基金而参与交易干预，对那个大户实际上是一次变相的救助，对其余按规则行事的参与者却是显著不公平；传统金融里那个大而不能倒的问题，就这样通过紧急裁量机制，在链上重新现身（§12.4.2）。一道既要强到能在极端压力场景中完成危机处置、又要弱到不会被用来谋私或偏袒的裁量，无法靠把代码写得更好来得到，它只能靠把这份裁量的形状，事前就设计成某种特定的样子。这就把问题从该不该有最终担保人，转化为这一不可或缺且高风险的角色，应被纳入何种制度约束框架。

JELLY 事件就是这样一个时刻的实证标记。当一场对低流动性代币的操纵把系统推入一种它的代码没有任何现成规则可循的状态时，即清算金库被迫接住一个本不该由它承担的头寸，而预言机此刻忠实回传的正是那个已被操纵污染的真实市场价，系统本应承接尾部损失的自动减仓机制，却因清算金库当时尚未与主金库隔离、其触发阈值的分母被算成了整个金库的庞大资产而未被触发（§12.6）。代码给不出答案，于是 Hyperliquid 最终的处置，不是任何一条预先写好的规则的执行，而是一次未受预设规则约束的裁量：验证者集体投票，无视预言机回传的真实价格，把该市场的结算价覆写为操纵发生之前的水平、并据此强行平掉了所有相关头寸（§12.6）[41]。尤其值得注意的是，把损失承接交还给市场所必需的那几样机制，即清算金库与主金库的资产隔离、独立的减仓触发阈值、随市值与深度调整的动态持仓上限、以及验证者依链上投票下架异常资产的权力，均是在 JELLY 之后才被补足的（§12.6）。这一事后补足本身，就是对事发那一刻合约是不完全的这件事最直接的承认：事后补足的每一条规则，都说明当时并无规则可循，因而都是对当时无规则可循的追认。而它同时暴露的，是这种事后规则修订的限度，后来的 POPCAT 事件证明，针对上一次攻击向量进行的定向修订，无法阻止适应性攻击者找到的下一个缺口（§12.6）[41]。这正是从反面印证了不完全合约的不可消除：系统能为已经发生过的意外立规，却永远无法为尚未被设想的意外立规。

这就是引子里所说的那道边界，现在可以把它说得更精确了：无论市场激励设计得多复杂，无论代码写得多周密，它们都跨不过合约未曾规定的状态这一边界；在那道坎之后，必定有一份剩余控制权要由人来行使。承认这一点，理想架构面对的就不再是能否消灭裁量这个注定缺位的问题，而是一个真正可以工程化的问题：既然裁量无法消除，如何把它约束到最小？

### 29.4.4 残余裁量的三项约束

理想架构对该边界的处理，不是消除裁量，而是把不可消除的裁量约束到最小。本节提出的第一个论断是：承认裁量不可消除，绝不等于为任意的人为干预提供正当性。

这两者之间的距离，正是去中心化清算所的全部价值所系。若以裁量无法消除为由，把宽泛的临场处置权常态化地交还给一个中心，那么这一系统就退回成了它本要取代的那个不透明中央化机制；既然关键时刻仍由人为主体裁定，可被任意节点复算的确定性、无需信任特定主体的承诺，便都只具有形式意义（§29.1）。因此，承认裁量的不可消除，必须立刻被一个相反方向的约束接住：先把系统的状态空间一分为二。在合约能够预先规定的那一大类状态里，即常态下的清算与结算、健康度明确的强平、参数清楚的违约处置，裁量不仅多余，而且有害；这些状态应当被完全依赖确定性的代码，不为人的介入留任何余地，因为任何此处的灵活都只是削弱确定性。只有在合约确实无法预先规定的那一小类状态里，才允许裁量介入。这正是第12章从不完全合约推出的那个双层架构的精神，即日常严守代码，危机才授权干预（§12.4.4）；而本节将在这一原则基础上，进一步追问那被允许的裁量本身该被塑造成什么形状。

本节提出的第二个论断，就是这一结构的三项约束：对那部分残余的裁量，设计的目标是让它同时满足窄、慢、可见。其一，窄，是指裁量的授权被严格限定在特定的范围与情形之内，干预者可动用的权力，仅够处理那个具体的、合约未及的状态，而不能借一次紧急授权之名，去做授权范围之外的任何事；一份可以在预言机被操纵时强制结算受影响市场的授权，绝不等于一份可以在任何自认为紧急的时刻改写任何价格的授权，二者的差别，就是被约束的裁量与不受约束的权力的差别。其二，慢，是指除有明文界定的紧急情形外，裁量的行使必须经过一项时间锁约束，使它无法被瞬时、单方地执行，即决定做出之后、生效之前，留出一段强制的等待，让不同意的参与者有时间行使退出选择、撤出资金，也让仓促与胁迫下的决定有被纠正的窗口；而为速度保留的紧急通道本身，也必须有明确的边界与事后追认的义务，不能成为绕过全部约束的未受约束路径（§12.4.6）。其三，可见，是指每一次裁量的行使都发生在链上、可被任意节点审计，即谁在何时、以什么授权、做了什么、依据为何，都留下不可抵赖的记录。可见这一条，正是 29.1 所说的验证人人可为在治理层面的自然延伸：清偿的裁量可以集中于少数人，但对这少数人之裁量的验证，必须向所有人敞开（§29.1）。清偿权威的单点与验证的人人可为，在常态下约束的是代码的执行，在极端状态下约束的，就该是人的裁量。

这三项约束各自防止的，是裁量失控的一种不同的路径，缺一不可。窄所防止的，是授权的蔓延；历史一再表明，一份为应对某种特定危机而设的权力，极易在下一次被援引来处理它本不该触及的情形，直到那个本为例外而设的紧急权，由此成了常规的统治工具；把授权切窄，等于在事前限定最不利情形的损害上限，使干预者即使试图越界，其可造成的损害范围也受到限制。慢所防止的，是仓促与胁迫；危机中的决定往往在信息最不充分、压力最大的几分钟里做出，而一道强制的等待期，既给了市场以行使退出选择的退出权，也给了决定本身一个被复核、被推翻的机会，把不可复核的单边决定的单边行为，变成一个可被纠错的过程。可见所防止的，则是事后的抵赖与非透明决策；若一次裁量的依据与过程不被完整记录在链，那么它究竟是为了拯救系统、还是为了掩护某种私利，便永远无法被外部分辨；可见把裁量从事后任凭解释约束为即时留痕，使每一次干预都必须准备好接受所有人的复盘。值得强调的是，这三者之间存在顺序上的优先关系：窄约束的是授权范围，慢与可见约束的是权力行使程序；一份足够窄的授权，即便慢与可见尚不完善，其能造成的最大伤害也已被框定，而一份过宽的授权，纵有再严的程序，也只是在为一份本不该被授予的过宽权力配上一套程序约束。

将这三项约束置于第12章描出的那道治理光谱上，可以识别理想架构究竟补足了什么。第12章把治理从完全不透明的 G0 排到完全链上治理叠加时间锁约束的 G3，其中最成熟的 G3 以链上投票和时间锁，恰好覆盖了这里说的慢与可见，它让裁量缓下来、公开披露（§12.4.6）。但那道光谱衡量的，是透明度、去中心化程度与对裁量行使过程的程序约束；它回答了裁量该多慢、多公开，却没有回答裁量该多窄。一个达到 G3 的系统，完全可能在程序上无可挑剔，即每一次干预都经过投票、都过了时间锁、都记录在链，而授权的范围却宽得足以让干预者在那一刻几乎无所不能。慢与可见约束的是裁量行使程序，窄约束的是裁量能够触及的授权范围。因此窄是理想架构需要在 G3 之上额外补足的一维，它不是用程序把宽泛的权力加以程序化包装，而是从源头上限制权力本身的范围。一份窄的授权，即使程序简陋，也比一份宽的授权配上再程序完备的投票与时间锁更接近理想，因为前者从源头上限定了最不利情形可能造成的最大损害。

窄、慢、可见这三项约束合在一起，给出了一个可以衡量任何残余裁量的评估标准。它们要约束的，不是某一次具体的干预对不对，而是干预者所握有的那份权力本身的边界与行使条件；一份范围足够受限、执行足够延后、披露足够充分的权力，即便偶尔被误用，其破坏性也受到结构性上限约束。这一评估标准同时也重新定义了合格去中心化清算所的含义：合格的标志不是它从不需要人，而是当它不得不需要人时，该主体可能造成的损害已经被事先限定得足够小。

### 29.4.5 JELLY 事件与纯算法清算的边界

以上述标准作为分析基准，再回到 JELLY 事件，其意义可以分为两个层面。作为事件，它是一次失败，一次系统被推入无规则可循之境、不得不靠一组主体的临场投票才得以自救的失败。但作为标记，它精确地指出了纯算法清算所的边界位于何处，而这正是本节最后一个、也是最重要的论断：边界不在是否需要裁量，而在裁量是否被约束得足够窄、足够慢、足够可见。

用这三项约束去量 JELLY 当时的那次处置，显示出的多处是不足。它不够窄：验证者所行使的，是一份宽泛到可以推翻预言机价格、强制改写结算价的权力，而非一份仅够处理那个特定操纵状态的授权。它不够慢：决议在极短时间内、零反对地达成（§12.6），没有留出任何让不同意者退出或让仓促决定被纠正的时间窗，本应仅适用于真正紧急情形的快速通道，在这里几乎就是唯一的通道（§12.6）。它的可见性也只是部分成立：执行结果与链上状态转换可以被追踪，但决策理由、授权边界、替代方案评估和事后问责记录并没有以同等充分的方式事前公开，先行动、后解释取代了先公开依据、再执行行动（§12.6）。再叠加上外界对验证者独立性与治理权力分布的可审计信息有限，所谓一致投票通过并不足以自动等同于充分去中心化的治理共识（§12.6）[41]，这次裁量在窄、慢、治理可见性三项约束上都远未达标。把 JELLY 放到评估标准上，它显示出的不是链上不该有裁量，而是这一次的裁量被约束得太松。

这正是 JELLY 作为边界标记的价值：它不是在证明去中心化清算所行不通，而是在标定它行得通的条件。一个误读会说，JELLY 证明了纯算法系统终究需要中心化治理；本节给出的读法正相反，JELLY 证明的是，残余裁量的存在不可避免，但它被约束的程度可宽可严，而一个清算所系统的质量取决于这种约束程度。顺着这个读法，理想的去中心化清算所，就不该被想象成一个永远不需要人为裁量的系统，那是一个连不完全合约都无法兑现的幻想；它该被想象成另一种制度安排：在绝大多数时候不需要任何人，因为合约能规定的状态都交给了确定性的代码；而在极少数必须有人的时刻，该人为主体的权力又被切得足够窄、执行足够延后、披露足够充分，使其即使存在私人动机也只能造成有限损害。前者构成常态运行方式，后者构成边界状态下的治理安排；常态依赖代码，边界状态依赖对裁量的约束。

这样一来，理想的去中心化清算所就处于两种具有吸引力但不可成立的理想化模型之间，对二者都予以否定。它否定了不透明中央化机制的理想化模型，即总有一个能力充分且值得信任的运营者会在关键时刻替参与者做对决定的那种信任基础，本书前面的篇章已用连续失败反复证明其代价（第12章）。它也否定了纯算法的理想化模型，即只要把代码写得足够完备就再不需要任何人插手的那种完全自动化，被不完全合约这一定律所否定：合约的空白不是当前技术不够好留下的暂时缺口，而是任何写定的规则面对未知未来时的永恒处境。规范性目标不在这两端，而在一种受约束的中间状态：将能够由代码处理的状态尽可能交由代码执行，将代码无法处理且必须由人为主体接管的状态范围尽量缩小，并将这一最小化后的范围，用窄、慢、可见三项约束严格限制。这种理想不承诺一个全知的治理主体，也不承诺一个全能的自动化系统；它只要求在不得不依赖人为主体的既有资源上，将人为裁量可能造成的损害限制到最低。它不假装边界不存在，而是把全部治理重心放在如何治理那条边界上。

由此，JELLY 也提供了评估任何现实系统的标准。面对一个自称去中心化的清算所系统，需要提出的不再是是否仍需人为主体介入这一二元问题，因为该问题的答案已经确定为需要；该关注的是三个可以分级回答的问题：它把多少状态真正交给了代码而非留给了裁量？它的裁量被切得多窄、放得多慢、披露得多充分？当它不得不动用该残余裁量时，最坏的情形被事前框定在了哪里？将这三个问题标准化、并用其逐项评估当今最前沿的系统，识别理想与现实之间那道精确的差距，正是下一节要做的事。

至此，本章四处衔接已经逐一明确。深度的衔接，关注的是穿仓损失由何种主体的股本先承担；降级的衔接，关注的是极端冲击如何被隔离与放缓；而激励的这处衔接，问的则是当激励抵达边界、裁量无法回避时，该剩余权力的范围被限定得多小、约束程度有多强。把这第四条标准，即残余裁量须窄、须慢、须可见，连同前三节提炼出的其余标准合在一起，我们就形成了一张可以用来衡量任何现实系统的检查清单。一张清单的价值，不在于陈述理想，而在于用其评估现实系统并识别差距。这正是最后一节的任务。

## 29.5 理想架构检查清单与 Hyperliquid 差距审计

把上一节末尾那条关于裁量边界的标准并入检查清单，前面四节的提炼工作即告完成。本章沿着四处衔接，各自得到了一条理想去中心化清算所应当满足的规范性原则。现在要做的，是将这四条原则整理为可反复使用的评估标准，再用这一评估标准衡量当今最前沿的系统离理想究竟有多远。这一节因此既是对全章的收束，也是向下一章的过渡。它要把“理想架构应当是什么样”这一在前文以连续论证展开的命题，固化为一份可逐项核对的清单，并用这份清单做一次诚实而克制的差距审计。

### 29.5.1 四条规范性原则

把前四节提炼成检查清单，须先辨认出这四节实质上在回答四个逐级递进的问题，而非四个彼此孤立的问题。它们沿着同一系统从外部结构到内部激励排列：先问这一系统是否被正确地整合成了一个整体，再问当它开始吸收损失时纵深够不够，进而问当损失大到无法被纵深完全吸收时它能否有序降级，最后问驱动整个系统运行的激励在哪里失效、失效之后由谁接管。四条原则，就是这四个问题各自的合格线。把它们立为原则而非偏好，理由也在于此：每一条所守的，都是系统一旦失守便会沿某条确定路径退化的那个临界点，因此它们是必要条件，而非锦上添花的优化项。

整体架构的完整性是这一切的基础。§29.1确立的判准是，一个去中心化清算所系统必须是一个单一、确定性的状态机：清算、结算与违约分支不是三套可以各自为政的子系统，而是同一条不可中断的状态转换链上的不同阶段，任一阶段的输出都是下一阶段的确定输入。这条原则的关键意义不在确定性本身（传统中央对手方的清算模块同样是确定的），而在确定性之上叠加的那个去中心化特有的要求：清偿的裁量可以集中于单一模块，但对这一计算模块每一步输出的验证必须向所有人开放，任意一个节点都能独立把同一笔账重算一遍并得到逐位相同的结果（§28.4.3、§28.6.2）。一旦这一边界失守，退化的路径是确定的。若清偿不再单点而被切成几套各自结算的子系统，同一笔违约就可能在不同分支上被记成不一致的账，违约处置便从一道可执行的状态转换退化为一组难以一致解决的事后争议。若验证不再人人可为，外部参与者就只能信任运营者自报的结果，系统于是退回成了一个恰好部署于链上的不透明中央化机制，它丢掉的不是性能，而是它之所以被称为去中心化的唯一凭据。因此整体架构完整性的合格线有两半：一半是清偿的单点确定性，另一半是验证的人人可为，两半缺一，系统就不再具有同一性。这条原则还包含一个常被忽略的子项，即系统是否已识别并加固了自己最脆弱的衔接环节（§29.1.6、§28.8.1）。它的缺失状态同样确定：只要还有一处衔接未被加固，攻击者要做的就不是攻破最坚固的模块，而是径直找到该衔接，让整个系统在一处无人明确负责的环节上整体失效。

在这一基础之上，纵深衡量的是损失被分配给非违约方之前，违约瀑布中究竟还设置了多少层缓冲。§29.2把传统瀑布的纵深拆解为两层在链上普遍缺位的结构。一层是某一方以自有股本构成、且位于任何会员或用户之前的第一损失档，即利益攸关，其意义不在规模而在位置；另一层是在危机之前就已到位、由参与各方共同注资、专门吸收单个成员违约外溢的预先注资互济。这两层正是传统中央对手方瀑布纵深的来源：经典层级把违约者保证金、中央对手方自有资本、会员共同违约基金依次排开（[2]），经验上违约者自身资源占绝大部分，自有资本一档虽小却位于会员互济之前的关键位置（§5.2.3，[13]）。这两层各自的缺失状态，暴露了它们为何是必要条件而非装饰。第一损失层一旦缺位，设计者就不再与系统的安危绑定：设计者可以提高杠杆、放松上币标准，因为这些激进参数选择的代价主要由用户而非设计者自身承担，于是风险偏好系统性地朝对设计者有利、对用户不利的方向偏移——第一损失层真正约束的，正是设计者本人的风险偏好。预先互济一旦缺位，系统面对单个成员违约的外溢就只剩两条同样不利的处置路径：要么动用本不该担损的盈利方头寸弥补亏空，把个别违约强制摊给非违约多数参与者；要么让坏账留在账上、由协议自身持续承受损失。前者损害公平，后者损害清偿能力，而预先互济的意义，正是在危机之前就预先形成这笔共同资金，让系统那一刻不必在这两类不利处置路径之间选择。这条原则的合格线，是瀑布在到达对盈利方的强制社会化这一最后手段之前，必须先经过这两层，而不是从一个由手续费被动累积起来的公共池直接转向自动减仓。§29.2给出的结论是，截至2026年6月25日本文检视的主要链上系统尚未真正补足这两层，缺的不是机制的想象力，而是何种主体的股本愿意承担第一损失这一政治经济意愿；而这一意愿能否被制度性地诱导出来，已溢出风险工程的边界、指向第30章的规则治理。

纵深之外，有序降级处理的是纵深被突破之后的处置问题。§29.3的前提是一个被全书反复确立的事实：链上系统没有最后贷款人，因而不能假设任何外部流动性救援。叠加上完全清偿不再可达这一结构性约束（§12.2.3，[12]），系统的设计目标就必须从避免失效改写为在最坏的情况下受控失效。这条原则的合格线由两个相互独立又彼此补充的手段构成：风险池隔离，将单个市场坏账限制在本市场资金池内、切断市场间传染；主动冲击管理，把清算施加于市场的价格冲击从被动承受的后果改造成可主动调节的设计变量（荷兰式降价拍卖、连续软清算或部分强平），替代那种集中抛售、极易招致零元中标的临界点式清算。这两个手段各自的缺失状态，同样指向确定的灾难形态。隔离若缺位，单个边缘市场的一笔坏账就会沿共享资金层扩散到所有市场，把本可被局部吸收的小事件放大成全系统的偿付危机。主动冲击管理若缺位，清算就退回成临界点式的一次性抛售：大额抵押品在买方流动性不足时被集中抛售，价格被清算行为自身进一步突破、招致零元中标，清算非但没有回收价值，反而进一步扩大亏空并以连锁强平传导出去。有序降级的合格，不是系统永不亏损，而是系统为最不利情形预先做了准备，且清楚地知道每一种准备各自要付出什么代价。

激励与裁量的边界，向内追问驱动整个系统运行的激励机制。§29.4指出，去中心化清算所的第一项机制假设是用“愿意”的市场激励替代“必须”的监管强制，但这股力量有一道顺周期的边界：它在边际有利时强大，在系统性危机中却可能集体失灵，且系统反应的完全可预测性本身会变成一个攻击面。更根本的是，合约是不完全的，总有一些状态是它的起草者从未设想、因而缺少既定规则的，在那样的状态里，必须有人来决定。这条原则的合格线因此不是消除一切裁量（强求这一不可实现的目标，只会使系统退回不透明中央化机制），而是把状态空间一分为二：合约能够预先规定的绝大多数状态完全交给代码、不留人为介入余地，只在合约确实无法预先规定的少数状态允许裁量介入，并把这部分残余裁量约束得同时满足窄、慢、可见——授权范围严格受限、行使须经时间锁延宕、每一次行使都发生在链上可被任意节点审计（§12.4.6）。窄、慢、可见三项约束任一缺失，退化的方向也各不相同。缺少窄授权，一次本应限于极端状态的干预就可借机改写任何参数，紧急权力不断向外侵蚀本该交给代码的领地。缺少时间延迟，规则可以在用户来不及退出的瞬间被改写，时间锁所要保护的退出窗口随之消失，只剩既成事实。缺少公开可审计性，裁量转为非公开状态，外部参与者既无法判断它是否被滥用、也无从追责，于是它与不透明中央化机制中不可审计的裁量不再具有实质差异。可见性这一维度，正是整体架构完整性所要求的验证人人可为在治理层面的自然延伸。

### 29.5.2 Hyperliquid 差距审计

基于上述四条原则，就可以用它们去衡量一个具体的系统。审计的对象选 Hyperliquid，理由较为明确：它是今天链上最接近一个完整且自带链上清算结算模块的去中心化清算所系统，用它来校准，得到的距离最能代表整个领域的前沿水平。审计所依据的事实，全部取自前文已经讲透的内容，它的共识与状态机架构在第28章，它的瀑布层级与 JELLY 事件中的裁量行使在第12章，因此这里不再重述这些机制是如何运转的，只把它们逐项放到清单上评定（表 29-2）。

| 检查项 | 理想标准 | Hyperliquid 现状 | 评定 |
| :--- | :--- | :--- | :--- |
| 整体架构完整性 | 单一确定性状态机；清偿单点、验证人人可为；验证与治理路径不重新集中 | HyperBFT 共识与 Hypercore 链上状态机使状态转换可独立复算；但验证者独立性、治理裁量边界与决策理由公开仍构成残余信任假设（§28.6.2，§12.6） | 部分达标（状态可复算达标） |
| 瀑布深度 | 含自有股本第一损失层（利益攸关）与预先互济 | 保证金→保险基金→HLP 金库→自动减仓；保险基金由手续费供给而非自有股本，无利益攸关层；自动减仓削减盈利方头寸，非预先互济 | 部分达标 |
| 有序降级 | 风险池隔离与主动冲击管理 | JELLY 暴露风险池混同；事后将清算金库与 HLP 隔离、引入动态持仓上限与 HIP-3 隔离市场；已有自动减仓与部分强平，但缺少拍卖式的事前冲击管理 | 部分达标 |
| 激励与裁量边界 | 市场激励；残余裁量窄、慢、可见 | HLP 为无许可的市场化金库；JELLY 时验证者全票推翻预言机价格并强制结算——执行痕迹可见，但决策过程与依据可见性不足，且快（紧急、无时间锁）、范围宽 | 部分达标 |

**表 29-2.** 理想去中心化清算所检查清单与 Hyperliquid 达标审计（数据来源：作者整理）

四项之中，Hyperliquid 最接近达标的是第一项里的状态可复算子项，而这恰是四条原则中最难、也最根本的部分。之所以称其最根本，是因为它是其余三项得以成立的前提：瀑布、降级、激励都建立在账本被所有人公认这一基础之上，若验证不可为，后三项无论设计得多复杂都失去了被外部参与者检验的支点，一个无人能独立核账的系统里，谈论瀑布够不够深、降级是否有序是没有意义的。之所以称其最难，是因为它要同时满足两个方向相反的诉求：清偿必须足够集中，才能以毫秒级完成那条不可中断的状态链；而验证又必须足够开放，才能让任意一个旁观者把这条高速运转的链逐位重算一遍。在同一系统中同时实现集中执行与开放验证，是整个去中心化金融最难调和的一对张力，多数系统正是在这里退守，要么为开放牺牲执行的速度，要么为速度把验证收进少数人权限范围内。Hyperliquid 没有在状态机可复算性上退守：它的共识由 HyperBFT 产出，它的状态由 Hypercore 这一链上状态机维护，清算与结算的规则被硬编码进协议、对所有头寸一视同仁地执行，任何人都可以拉取链上状态、用同一套规则把账独立复算一遍并校验出相同结果（§28.6.2，[8]）。这意味着它在清偿输出可复算这一点上确实给出了最强的工程证明。但状态转换可复算，不等于整套验证者组织、治理授权与紧急裁量也已经无需信任；JELLY 暴露出的正是这一差别。因而第一项不能简单判为整体达标，只能判为状态机层面达标、整体架构层面部分达标。这份审计里最明确的肯定应归于“高速清偿与开放复算可以工程化地调和”这一子命题，而不是落在“治理与验证权力已经完全去中心化”这个更强命题上。

其余三项都只是部分达标，且差距的位置高度一致地落在本章前几节早已指认出的那些缺位上。这种一致说明，这三处差距不是实现上的疏漏，而是前文从原理上预言过的那几个结构性空缺在一个真实系统里的现身。瀑布深度一项，它确有四层，即保证金、保险基金、HLP 清算金库、自动减仓，但用§29.2的两层判准去衡量，前置的两层缓冲都不到位。它的保险基金由交易手续费被动供给，是一个代收的公共池，而非协议以自有股本担险的利益攸关第一损失档，这正是上一节所说第一损失层缺位则设计者不再与系统安危绑定的具体落点，手续费池无论多大，都不构成设计者把自有股本写在用户之前的那道承诺。它的自动减仓削减的是盈利方的头寸，本质上是把尾部损失强制社会化给非违约对手方，而不是一笔在危机之前就已注资到位的真正互济（§28.3.6），正是上一节所说预先互济缺位则只能在损害公平与损害清偿之间二选一时所选的前一条不利处置路径。换言之，它的瀑布跳过了理想标准要求的那两层，直接从公共池转向损失社会化。判它部分达标而非不达标，是因为它确实建起了一道在多数情况下能够运作的多层瀑布，只是纵深不够，差的不是层数，而是恰好最关键的那两层的性质。

有序降级一项，它的得分主要是由一次失败推动形成的。JELLY 事件正是§29.3用作反面教材的那种风险池混同，HLP 金库被迫接管一个单一山寨币的头寸，从而危及整个金库（§12.6，[41]），这正是上一节所说隔离缺位则单个边缘市场的坏账沿共享资金层扩散的一次完整表现，传染通道当时是默认打开的。事件之后，它做了一系列加固，把清算金库与 HLP 隔离、引入动态的持仓上限、并通过 HIP-3 开放了隔离的部署者市场（[46]），这些都朝着风险池隔离的方向收敛。但用§29.3的两个手段去衡量，它补足的主要是隔离这一手段，且补得偏被动，是事后的补救性调整，而非事前就为最不利情形设计好的架构，其边界是根据已发生过的事件类型设定，对下一类尚未设想到的混同未必同样有效。而主动冲击管理这一手段，它仍不完整：它有自动减仓、部分强平、触发清算的时间加权机制，却没有荷兰式降价拍卖那样把价格冲击当作可调设计变量来主动降低的机制，它具备将损失分摊出去的手段，但仍缺少在分摊之前先压缩冲击本身的机制，而后者正是§29.3所示 MakerDAO[47]、Liquity[23]、Euler[43] 这些借贷侧范例的核心所在。隔离已立、主动冲击管理尚缺，所以是部分达标。

激励与裁量边界一项，该项评估最复杂。它的核心资金层 HLP 是一个无许可的、市场化的金库，任何人都可以存入资金充当对手方，这一侧完全靠市场激励驱动，符合这条原则中关于市场激励的前半。问题在于残余裁量这一侧。JELLY 时它落入了一种合约无规则可循的状态并行使了裁量，由验证者全票投票推翻预言机价格、强制结算于操纵发生前的水平（处置经过见§29.4.5，[41]）。用窄、慢、可见三个约束去衡量这次裁量，结论恰好分裂：执行痕迹和最终状态转换在链上可追踪，但决策依据、授权边界、替代方案评估和事后问责并未以同等充分的方式公开；这是治理可见性不足，而不是状态执行不可验证。它既不慢也不窄：这是一次在极短时间内做出的紧急干预，没有任何时间锁的延宕，把上一节所说缺少时间延迟则用户来不及退出、只剩既成事实表现为现实事件；而推翻预言机定价、强制结算整个市场，其范围也远不是一个被严格限定的窄授权。状态可见、治理不够可见，慢与窄也都不足，所以同样是部分达标；它欠缺的慢、窄与治理披露都属事前制度约束，本可用预设时间锁、限定授权范围与完整的链上决策记录补足，因此这一项的差距尤其属于可被工程化收敛的那一类。

### 29.5.3 未达标项与领域前沿

读这份审计，常见误读是把多个部分达标读成对 Hyperliquid 的指摘。更准确地说，审计指出的缺口，没有一处是 Hyperliquid 一家的疏忽，它们是整个领域共同尚未解决的边界。利益攸关的自有股本第一损失层、预先注资的真正互济、永续清算所侧尚未成熟的主动冲击管理，以及尚未被约束得足够窄与足够慢的裁量，把这份清单用于衡量任何一个别的链上系统，得到的缺口只会更多而不会更少。§29.2已经逐一检视过，截至2026年6月25日公开资料，从手续费供给保险基金的 dYdX[18]、把第一损失外包给流动性提供者的 GMX[20]，到反身性代币背书并进入 sUSD 退役流程的 Synthetix[33]、乃至无专用保险基金的 crvUSD，本文检视范围内尚无永续或借贷协议真正补足那两层缓冲。§29.3也已表明，主动冲击管理的成熟范例至今主要来自 MakerDAO[47]、Liquity[23]、Euler[43] 这些借贷侧协议，在永续清算所一侧仍稀缺。同时需要指出的是，这几处缺口分属三种不同性质的难：第一损失与互济受制于政治经济意愿，主动冲击管理受制于工程范式的迁移，被约束的裁量受制于事前制度设计的缺席，却不约而同地存在于所有系统面前。Hyperliquid 在状态机可复算性上处于前沿水平、却在其余维度受制于同一道边界，这本身就说明，这些缺口是结构性的，而非个体性的：它尚未达标的位置，不是它技术不及他人之处，而是整个领域共同的基准线。

这几处结构性缺口，实质上是同一个更高层判断的具体化。§29.3引述过国际清算银行对去中心化金融的那个评估：链上系统普遍缺少传统金融赖以平抑冲击的那些冲击吸收器[3]。这是一个高度概括的诊断，本身并不指出在一个具体清算所系统中该从何处改进，而该四项审计的价值，正在于把该抽象的冲击吸收器缺口，落实到清算所这一层、翻译成四个具体的、可逐项检验、也可逐项改进的坐标。缺少利益攸关的第一损失层，即缺少一种内生的、先于用户和非违约者承担损失的股本吸收器；它不同于央行流动性窗口，吸收的是设计者自己的股本损失，而非公共部门临时提供的流动性。缺少预先互济，即缺少已经预先形成、专待违约外溢的共同基金，链上尚未形成对应机制。缺少被约束的主动冲击管理，即缺少一种把冲击本身压低、从而减小所需吸收量的吸收器，它的功能近似于在动荡中仍维持损失承接能力的做市安排与失序时的暂停机制，但必须被改写成协议内、可验证的机制。而仍然过快且过宽的裁量，则是当所有内建吸收器都被突破时、必须由人为主体承担的最后吸收器尚未被工程化约束好，传统金融把这角色交给有章可循的处置当局，链上尚未为其形成相应治理规则。国际清算银行提出的是概括性判断，这份清单将其分解为四个可以逐项补足的结构位置，并为每一项标出了它在旧世界里大致对应的吸收器，空缺因此不再是一句概括性的判断，而成了四项具备明确规格的工程目标。

正因如此，这份审计的真正用途不是评判，而是界定：它把前沿系统距离理想架构还有多远这一问题，改写成了一组可以分别立项、分别解决、分别验收的工程目标，即仍缺少这四项条件、每一项条件具备何种结构、以及由何种主体承担。它在状态可复算子项上对 Hyperliquid 的明确肯定，正是这份界定最有价值的部分：它证明了去中心化清算所中最难的一块，让清偿的裁量集中却让状态输出向所有人开放复算，在工程上确实可行，已经被一个真实运行的系统实现了。一旦这个基础被证明可建，余下几处缺口就不再是是否可能的疑问，而是何时被补足、由何种主体的股本补足、并用何种治理规则加以约束的待解决问题。

### 29.5.4 四原则的相互依赖

还需要补充一点，否则这张清单容易被误读成四个可以逐项独立满足、互不相干的独立项。它们不是。这四条原则构成同一系统内的逐级依赖关系，后一级的有效性，系于前一级是否到位。这意味着四项的总质量并非各项得分的简单相加，而更接近它们沿依赖链相乘的结果：任一环节的不足都会沿依赖关系传递并放大。

纵深为降级提供可被逐层释放的缓冲空间。如果瀑布本身就浅、前置的两层缓冲都缺位，那么需要被有序处理的损失就来得更早、规模更大，留给降级机制的调整空间也更小；瀑布越浅，降级的执行负担越重。反过来，再复杂的降级也无法弥补纵深的缺失：它能改变损失被释放的方式，却改变不了需要被释放的损失总量。所以有序降级的质量，部分地取决于纵深补足程度，这正是上一节里 Hyperliquid 那道跳过两层的瀑布，与它那套尚缺事前冲击管理的降级机制，之所以同时停留在部分达标状态的深层原因：浅瀑布把过重的执行负担转移给了本就不全的降级，两处缺口在依赖链上彼此加重。

降级反过来依赖激励去执行。无论风险池隔离设计得多干净、荷兰式拍卖的降价曲线调得多复杂，这些机制都需要由市场激励驱动的执行主体参与才能兑现。§29.3末尾那道清算人退出的缺口已经说明，一旦激励在危机中反转、执行者同步退出，再有序的降级设计也只是未被执行的设计，链上拥堵推高费用、清算无利可图，清算就会延迟甚至失败，这一点既有实证案例（如2022年11月 Aave 上的 CRV 头寸，[52]），也有学术研究的系统刻画（[51]）。这层依赖还含一种反馈：瀑布越浅、被推到降级环节的损失越大，清算人要承接的头寸风险越高、所要求的风险补偿也越高——同一处纵深缺位既加重了降级的执行负担，又抬高了执行者参与所需的补偿。

而激励本身，又受制于裁量的边界。市场激励之所以可靠，前提是规则确定、人人可预测、谁也不能临时修改规则。可一旦裁量过宽、过快、过随意，比如一笔头寸的结算价格可以被一场紧急投票事后推翻，那么按规则行事就能获利这一让激励得以成立的承诺本身就被动摇了，理性的参与者会开始为规则随时可能被改这一风险定价，从而在系统最需要他们的时刻反而更早退出。其反身性特征尤其明显：裁量往往在危机中、在系统最依赖执行者参与处置的时刻被行使，而那一次越界恰会在最坏的时点削弱执行者赖以参与的确定性，用于应急处置的裁量，反而瓦解了本可支持应急处置的激励。被约束得窄、慢、可见的裁量，因此不只是为了防止权力滥用，更是市场激励赖以维系的可信度基础——激励与裁量边界并非两件事，而是一件事的两面：裁量的边界划得越清，激励的承诺才越可信。

把这层依赖关系合起来看，这张清单要传达的就不是四项各自达标即可，而是达标必须自基础层逐级累积：没有整体架构的完整性，难以形成可信的违约瀑布；没有足够的纵深，降级难以有序；没有能够持续发挥作用的激励，降级无人执行；没有被约束的裁量，激励本身就不可信。依赖关系的两端由此连接为一种反馈关系，末端的可见裁量约束，前文已指出它本就是最初那条验证人人可为在治理层面的延伸，于是这条逐级依赖并非一条相互割裂的线性关系，而是具有自我强化特征的依赖关系。一个理想的去中心化清算所系统，因此不是四项机制组合的简单并列，而是一个必须自基础层向上逐层衔接才能成立的结构，这也解释了为什么 Hyperliquid 能把状态可复算这一基础子项较为稳固，却在整体架构与其余三项上同时止步：基础的一部分已经建立，但上方的每一层，都仍取决于那些比工程实现更难的问题能否得到回答。

### 29.5.5 从风险治理到规则治理

至此，本章完成了两项任务。整合，把分散于全书的组成部分第一次整合成一个完整的去中心化清算所系统，并指出真正的脆弱不在组成部分而在衔接。回应问题，沿着这一系统的四处衔接，把第28章留下的三个问题逐一作了回答，并把答案固化成一张可以衡量任何现实系统的四项清单。这张清单给出的结论，与全章的主线彼此印证：即便是今天最前沿的 Hyperliquid，也只是把可被复算的单一状态机这一子项推进到最接近达标的位置；一旦把验证者独立性、治理裁量、瀑布纵深和降级机制一并纳入，完整架构仍然存在可以逐项指认的距离，而那些距离背后，几乎都不是技术问题，而是关于何种主体的股本愿意优先承担损失、何种主体在代码未覆盖的状态中行使裁量的政治经济问题。

但这恰指向一个本章无法单独解决的命题。本章把清算所作为风险治理架构来分析，它要解决的，是损失如何被吸收、冲击如何被降级、激励如何被对齐。然而那三处最难补足的缺口，没有一处能靠更复杂的合约独自补足：利益攸关的第一损失层，关注的是何种主体愿意将自有股本纳入规则、并接受规则强制它先亏；预先注资的互济，关注的是依靠何种制度安排使互不熟悉的参与者在危机之前就共同将资金注入资金池、并相信这笔资金会被公正动用；被约束的裁量，关注的是当代码必须允许授权治理主体介入时，该主体的权力如何被规则事先框定。这些问题都已经溢出了风险工程的边界，转入另一个领域，即规则本身如何被书写、被执行、被治理。也就是说，要完成这一风险治理架构，必须先有一个能够可信制定与执行规则的治理系统。

下一章由此转向规则治理问题。当合规与治理不再是从外部强加给系统的约束，而被直接工程化进协议本身，当规则的制定、变更与强制执行都成为链上可被验证的过程时，这一系统将如何运转。从风险治理架构到规则治理系统，后续分析由此从如何吸收损失转向如何治理规则。第30章将分析的，正是这一规则治理系统：嵌入式合规与自动化治理。

## 本章小结

本章完成了两项工作：把分散于全书前二十八章的各个组成部分整合为一个完整的去中心化清算所系统，并沿着这一系统的四处衔接，逐一回答第28章在结束时留下的三个问题。第一项工作是工程层面对前文机制分析的回应，前文已说明每个组成部分如何失效，本章回答的则是如何在没有中央机构的前提下，把这些组成部分重新整合为一个可以被信任的系统；第二项工作则是对三个构造性追问的正面作答，而非对既有机制的再次复述。

整合给出的第一个结论是，一个清算所系统的强度不在单个组成部分，而在它们之间的衔接。本书前文已把每一个组成部分逐一分析到公式层面，包括合约更替、多边净额、盯市、保证金、强平的反身性、违约瀑布、保险基金与自动减仓；但突破一个清算所系统的，通常不是其中某一个组成部分的失效，而是组成部分之间的传导：预言机失效引发错误强平，错误强平耗尽保险基金，保险基金耗尽触发自动减仓，自动减仓又削弱了市场的损失承接能力。将这一系统表述为一条状态转换链之后，真正需要加固的部位便清晰起来，即不是任何单一环节，而是环节之间的连接。

沿着这四处衔接回答三个问题，得到的是四条规范性原则，也是四个迄今尚未补足的结构位置。瀑布的深度，要求在损失分配给非违约方之前至少设置自有股本第一损失层与预先注资互济层，而链上恰在这两处缺位，只能从手续费公共池直接转向对盈利方的强制社会化；有序降级，要求在没有最后贷款人的前提下为最不利情形而设计，以风险池隔离切断传染、以主动冲击管理把清算冲击限制在可吸收范围内，而隔离与拍卖各带无法回避的代价；激励与裁量的边界，要求将绝大多数状态交由确定性代码、只在合约无法预先规定的少数状态容许裁量，并把残余裁量约束得窄、慢、可见。把这四条原则作为一项评估标准去衡量目前最前沿的 Hyperliquid，可以发现它在“可被任何人复算验证的单一状态机”这一子项上最接近达标，但在整体架构、瀑布纵深、有序降级和裁量约束上仍有可以逐项指认的距离。

贯穿这三个答案的是同一个事实：去中心化清算所最难的部分，大多并非技术问题。把损失瀑布做深，难点在于缺少愿意首先承担损失的自有股本；把降级机制保持有序，难点在于每一种代价最终都需要有人承担；把裁量约束到最小，难点在于总会出现某个时刻，代码必须允许授权治理主体介入。这些都不是更复杂的合约能够独自解决的问题，它们指向的是规则如何被书写、被执行、被治理。本章给出的四项检查清单，正是用来逐项衡量任意现实系统在这四个维度上达标程度的工具。当合规与治理不再是外部强加的约束，而被直接工程化进协议本身时，这一风险治理架构将以何种方式运转，正是第30章（嵌入式合规与自动化治理）要进入的领域。

## 参考文献

[1] CoinDesk Research. (2025, October 17). *Market spotlight: Inside crypto's $19 billion liquidation event*. CoinDesk. https://www.coindesk.com/research/market-spotlight-the-19-billion-liquidation-that-shook-crypto

[2] Committee on Payment and Settlement Systems, & Technical Committee of the International Organization of Securities Commissions. (2012). *Principles for financial market infrastructures*. Bank for International Settlements & IOSCO. https://www.bis.org/cpmi/publ/d101a.pdf

[3] Aramonte, S., Huang, W., & Schrimpf, A. (2021). DeFi risks and the decentralisation illusion. *BIS Quarterly Review*, December 2021, 21–36. Bank for International Settlements. https://www.bis.org/publ/qtrpdf/r_qt2112b.htm

[4] Lamport, L. (1998). The part-time parliament. *ACM Transactions on Computer Systems, 16*(2), 133–169. https://doi.org/10.1145/279227.279229

[5] Castro, M., & Liskov, B. (1999). Practical Byzantine fault tolerance. In *Proceedings of the Third USENIX Symposium on Operating Systems Design and Implementation (OSDI '99)* (pp. 173–186). USENIX Association. https://www.usenix.org/conference/osdi-99/practical-byzantine-fault-tolerance

[6] Pirrong, C. (2011). *The economics of central clearing: Theory and practice* (ISDA Discussion Papers Series No. 1). International Swaps and Derivatives Association. https://www.isda.org/a/yiEDE/isdadiscussion-ccp-pirrong.pdf

[7] Cont, R. (2017). Central clearing and risk transformation. *Financial Stability Review, 21*, 127–138. Banque de France. https://publications.banque-france.fr/sites/default/files/medias/documents/fsr21_web.pdf https://doi.org/10.2139/ssrn.2955647

[8] Hyperliquid. (n.d.). *Hyperliquid documentation*. Retrieved June 25, 2026, from https://hyperliquid.gitbook.io/hyperliquid-docs

[9] European Parliament, & Council of the European Union. (1998). Directive 98/26/EC of 19 May 1998 on settlement finality in payment and securities settlement systems. *Official Journal of the European Communities, L 166*, 45–50. https://eur-lex.europa.eu/eli/dir/1998/26/oj/eng

[10] Garay, J., Kiayias, A., & Leonardos, N. (2015). The bitcoin backbone protocol: Analysis and applications. In *Advances in Cryptology – EUROCRYPT 2015* (pp. 281–310). Springer. https://doi.org/10.1007/978-3-662-46803-6_10

[11] Duffie, D., & Zhu, H. (2011). Does a central clearing counterparty reduce counterparty risk? *The Review of Asset Pricing Studies, 1*(1), 74–95. https://doi.org/10.1093/rapstu/rar001

[12] Chitra, T. (2025). *Autodeleveraging: Impossibilities and optimization* (arXiv:2512.01112, v3 revised 2026) [预印本，未经同行评审]. arXiv. https://doi.org/10.48550/arXiv.2512.01112

[13] Paddrik, M., & Zhang, S. (2020). *Central counterparty default waterfalls and systemic loss* (OFR Working Paper No. 20-04). Office of Financial Research. https://www.financialresearch.gov/working-papers/files/OFRwp-20-04_central-counterparty-default-waterfalls-and-systemic-loss.pdf

[14] Merkle, R. C. (1988). A digital signature based on a conventional encryption function. In *Advances in Cryptology – CRYPTO '87* (pp. 369–378). Springer. https://doi.org/10.1007/3-540-48184-2_32

[15] Acemoglu, D., Ozdaglar, A., & Tahbaz-Salehi, A. (2015). Systemic risk and stability in financial networks. *American Economic Review, 105*(2), 564–608. https://doi.org/10.1257/aer.20130456

[16] Committee on Payments and Market Infrastructures, & Board of the International Organization of Securities Commissions. (2017, July 5). *Recovery of financial market infrastructures: Revised report*. Bank for International Settlements. https://www.bis.org/cpmi/publ/d162.htm

[17] Financial Stability Board. (2017, July 5). *Guidance on central counterparty resolution and resolution planning*. https://www.fsb.org/2017/07/guidance-on-central-counterparty-resolution-and-resolution-planning-2/

[18] dYdX Foundation. (2023, November 1). *v4 technical architecture overview*. https://www.dydx.xyz/blog/v4-technical-architecture-overview

[19] Perpetual Protocol. (n.d.). *Perpetual Protocol v2 documentation*. Retrieved June 25, 2026, from https://docs.perp.com/

[20] GMX. (n.d.). *GMX documentation*. Retrieved June 25, 2026, from https://docs.gmx.io/

[21] Gains Network. (n.d.). *Gains Network documentation*. Retrieved June 25, 2026, from https://docs.gains.trade/

[22] Synthetix. (n.d.). *Synthetix documentation*. Retrieved June 25, 2026, from https://docs.synthetix.io/

[23] Liquity. (n.d.). *Liquity v1 documentation*. Retrieved June 25, 2026, from https://docs.liquity.org/liquity-v1

[24] Malwa, S. (2022, September 19). *DeFi trader nets over $500K by using DEX GMX to manipulate Avalanche token*. CoinDesk. https://www.coindesk.com/markets/2022/09/19/defi-trader-nets-over-500k-by-using-dex-gmx-to-manipulate-avalanche-token

[25] Behnke, R. (2025, July 15). *Explained: The GMX hack (July 2025)*. Halborn. https://www.halborn.com/blog/post/explained-the-gmx-hack-july-2025

[26] Okwatch, L. (2025, August 14). *GMX finalizes $44M payout to GLP holders affected by V1 exploit*. crypto.news. https://crypto.news/gmx-44m-payout-glp-holders-v1-exploit-2025/

[27] Egorov, M. (2022). *Curve stablecoin design* [Whitepaper]. Curve Finance. https://docs.curve.finance/developer/resources/whitepaper

[28] Malwa, S. (2024, June 13). *DeFi giant Curve roiled as founder's loans get liquidated; CRV slides 30%*. CoinDesk. https://www.coindesk.com/markets/2024/06/13/crv-slides-30-as-loans-tied-to-curves-founder-face-liquidation-risk

[29] Rodrigues, F. (2026, April 27). *Curve founder pitches market-based fix for $700K bad debt in contrast to Aave bailout*. CoinDesk. https://www.coindesk.com/markets/2026/04/27/curve-founder-pitches-market-based-fix-for-usd700k-bad-debt-in-contrast-to-aave-bailout

[30] Aave. (n.d.). *AAVE token and the Safety Module* [Documentation]. Retrieved June 25, 2026, from https://aave.com/docs/ecosystem/aave

[31] Aave. (n.d.). *Umbrella* [Documentation]. Retrieved June 25, 2026, from https://aave.com/docs/aave-v3/umbrella

[32] Cointelegraph. (2025, April 28). *What happened to sUSD? How a crypto-collateralized stablecoin depegged*. Cointelegraph. https://cointelegraph.com/explained/what-happened-to-susd-how-a-crypto-collateralized-stablecoin-depegged

[33] Synthetix. (2026, June 12). *SIP-423: sUSD retirement & staking reform*. Synthetix Improvement Proposals. https://sips.synthetix.io/sips/sip-423/

[34] Nexus Mutual. (n.d.). *Nexus Mutual documentation*. Retrieved June 25, 2026, from https://docs.nexusmutual.io/

[35] InsurAce. (n.d.). *InsurAce protocol whitepaper*. https://files.insurace.io/public/InsurAceWhitepaper.pdf

[36] Benzinga. (2022, August 23). *InsurAce announces $12 million insurance payouts to 155 victims of Terra $UST crash*. Investing.com. https://m.uk.investing.com/news/cryptocurrency-news/insurace-announces-12-million-insurance-payouts-to-155-victims-of-terra-ust-crash-2730016?ampMode=1

[37] EigenLayer Team. (2023). *EigenLayer: The restaking collective* (Whitepaper v1.0). https://docs.eigencloud.xyz/assets/files/EigenLayer_WhitePaper-88c47923ca0319870c611decd6e562ad.pdf

[38] Symbiotic. (n.d.). *Symbiotic documentation*. Retrieved June 25, 2026, from https://docs.symbiotic.fi/

[39] EigenCloud. (2025, April 2). *Intro to slashing on EigenLayer: AVS edition*. https://blog.eigencloud.xyz/intro-to-slashing-on-eigenlayer-avs-edition/

[40] Heimbach, L., Schertenleib, E. G., & Wattenhofer, R. (2023). Short squeeze in DeFi lending market: Decentralization in jeopardy? In *Financial Cryptography and Data Security. FC 2023 International Workshops* (pp. 316–331). Springer. https://doi.org/10.1007/978-3-031-48806-1_22

[41] Knight, O. (2025, March 26). *Hyperliquid delists JELLYJELLY after vault squeezed in $13M tussle*. CoinDesk. https://www.coindesk.com/markets/2025/03/26/hyperliquid-delists-jellyjelly-after-vault-squeezed-in-usd13m-tussle

[42] Aave. (n.d.). *Aave V3 technical overview* [Documentation]. Retrieved June 25, 2026, from https://aave.com/docs/aave-v3/overview

[43] Euler Labs. (n.d.). *Euler v2 lite paper: The modular lending platform*. Retrieved June 25, 2026, from https://docs.euler.finance/euler-v2-lite-paper/

[44] Compound. (n.d.). *Compound III documentation*. Retrieved June 25, 2026, from https://docs.compound.finance/

[45] Morpho Association. (2023). *Morpho Blue whitepaper*. https://github.com/morpho-org/morpho-blue/blob/main/morpho-blue-whitepaper.pdf

[46] Hyperliquid. (n.d.). *HIP-3: Builder-deployed perpetuals* [Documentation]. Retrieved June 25, 2026, from https://hyperliquid.gitbook.io/hyperliquid-docs/hyperliquid-improvement-proposals-hips/hip-3-builder-deployed-perpetuals

[47] MakerDAO. (2021). *MIP45: Liquidations 2.0 — Liquidation system redesign* [Maker Improvement Proposal]. GitHub. https://github.com/makerdao/mips/blob/master/MIP45/mip45.md

[48] Eichholz, L. (2020, March 17). *What really happened to MakerDAO?* Glassnode Insights. https://research.glassnode.com/what-really-happened-to-makerdao/

[49] Ajna Labs. (2024). *Ajna protocol whitepaper*. https://www.ajna.finance/pdf/Ajna_Protocol_Whitepaper_01-11-2024.pdf

[50] Kirillov, A., & Chung, S. (2022). *StableSims: Optimizing MakerDAO Liquidations 2.0 incentives via agent-based modeling* (arXiv:2201.03519). arXiv. https://arxiv.org/abs/2201.03519 https://doi.org/10.48550/arXiv.2201.03519

[51] Qin, K., Zhou, L., Gamito, P., Jovanovic, P., & Gervais, A. (2021). An empirical study of DeFi liquidations: Incentives, risks, and instabilities. In *Proceedings of the ACM Internet Measurement Conference* (pp. 336–350). ACM. https://doi.org/10.1145/3487552.3487811

[52] Sandor, K. (2022, November 22). *Mango exploiter's funds get liquidated after roiling Aave using $20M of borrowed Curve tokens*. CoinDesk. https://www.coindesk.com/markets/2022/11/22/mango-exploiter-gets-liquidated-after-roiling-aave-using-20m-of-borrowed-curve-tokens

[53] Maskin, E. S. (2008). Mechanism design: How to implement social goals. *American Economic Review, 98*(3), 567–576. https://doi.org/10.1257/aer.98.3.567

[54] Hart, O., & Moore, J. (1990). Property rights and the nature of the firm. *Journal of Political Economy, 98*(6), 1119–1158. https://doi.org/10.1086/261729

[55] Goodhart, C. A. E. (1984). Problems of monetary management: The U.K. experience. In *Monetary Theory and Practice* (pp. 91–121). Palgrave Macmillan. https://doi.org/10.1007/978-1-349-17295-5_4

[56] Lucas, R. E., Jr. (1976). Econometric policy evaluation: A critique. *Carnegie-Rochester Conference Series on Public Policy, 1*, 19–46. https://doi.org/10.1016/S0167-2231(76)80003-6

[57] Grossman, S. J., & Hart, O. D. (1986). The costs and benefits of ownership: A theory of vertical and lateral integration. *Journal of Political Economy, 94*(4), 691–719. https://doi.org/10.1086/261404