> **Source:** https://permissionless.fi/zh/30-embedded-compliance > From *无需许可的金融* (无需许可的金融：从永续合约到链上全球市场) by Eric Cheung. Licensed under CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). # 第 30 章 嵌入式合规与自动化治理 2022 年 11 月，加密货币交易所 FTX 的崩溃暴露了高达 87 亿美元的客户资金缺口，随后的破产调查和司法审判揭示了其内部控制的彻底失效与大规模的资产挪用 [1]。这一事件标志着中心化加密金融机构在信任模型上的结构性破产，其核心教训并非仅仅是某一机构的个别失误，而是传统金融合规范式在面对具备完全资产控制权的数字原生机构时的结构性脆弱。传统金融合规的本质是一种依赖事后处罚的外部强制机制，其成立前提是机构在物理与技术上有能力违规、守规动力仅来自对处罚的规避（其逻辑与前提详见§30.1.1）。当中心化机构掌握了不受限制的资产私钥与数据库修改权限时，外部监管的滞后性使得任何定期的合规检查都无法阻止已经发生的资产挪用与账本篡改 [2]。这一系统性风险引出本章的核心问题：如何将监管合规要求与系统治理机制直接嵌入到链上金融系统的架构中，从而将合规从依赖机构自律的外部强制转变为系统在物理层面就不可能违规的内建保证？ 嵌入式合规提出了一个与传统监管截然不同的范式，其根本逻辑在于通过密码学与智能合约技术，设计一个在架构层面排除特定违规可能性的系统 [3]。在这一范式下，规则不再是纸上的法律条文或合规手册，而是直接编译为智能合约的执行逻辑。如果系统要求客户资产必须被严格隔离，这一规则将被编码为仅允许客户以私钥签名触发提款的合约函数，使协议开发者或运营团队在技术上无法挪用任何资产。这种将行为约束转变为架构约束的设计，实现了从要求机构守法到使机构不可能违法的范式转变。然而，将规则硬编码入智能合约并非万能：金融系统的复杂性要求其在不可篡改的安全性与适应市场变化的灵活性之间寻找平衡，完全的刚性会使系统无法应对极端市场波动或协议漏洞，而过度的灵活性则可能重新引入管理员权限带来的单点故障与信任风险。因此，构建稳健的链上金融系统，必须在规则的嵌入深度与治理机制的设计上进行精细的工程学权衡。需要指出的是，嵌入式合规的成立前提是智能合约代码的正确性可通过形式化验证等手段得到保障，如果合规规则本身的代码实现存在漏洞，架构约束的可信度将从根本上被削弱。 本章从工程实现的角度，系统性地构建将合规与治理嵌入链上架构的理论与方法论。合规的三层光谱理论按嵌入深度将合规机制划分为硬编码合规、参数化合规与报告性合规：硬编码合规适用于资产隔离等不可协商的安全底线，参数化合规处理保证金率等需灵活调整但必须保持透明的运营参数，报告性合规则利用链上数据的公开性实现自动化交易监控与实时风险披露。在治理层，时间锁与紧急权力二元架构通过常规变更的强制延迟审查与极端情况下的受限快速通道，在不可篡改与灵活响应之间求取均衡。最后，本章将此前探讨的监管框架与原则转化为具体的链上技术实现清单，完成从监管需求到工程代码的映射。 ## 30.1 嵌入式合规的理论基础 传统金融合规依赖外部强制来约束机构行为，这一模式在成本、实时性和跨境协调等方面暴露出结构性局限。链上金融系统通过将合规规则嵌入智能合约的执行逻辑，提供了一种从行为约束向架构约束转变的替代方案。然而，不同类型的合规需求对嵌入深度和灵活性的要求存在显著差异，这要求在硬编码、参数化与报告性三个层级之间进行工程化的权衡。本节首先分析传统模式的局限，随后阐述嵌入式合规的核心理念与三层光谱理论，最后展示如何将宏观监管原则映射为具体的链上实现路径。 ### 30.1.1 传统合规模式的局限 传统金融合规的核心逻辑建立在信任与验证的双重假设之上。监管机构制定规则框架，金融机构承诺遵守这些规则，随后由内部合规部门、外部审计师和监管机构通过定期检查来验证其合规性。这种模式的根本前提是，金融机构在物理和技术上完全具备违规的能力，它们之所以选择遵守规则，主要是出于对声誉受损和法律处罚的恐惧。然而，这种依赖于事后惩戒的外部强制模式正在暴露出越来越严重的结构性局限。 最显著的局限体现在不断攀升的合规成本上。在现代金融体系中，合规已经成为一项高成本的运营负担。根据相关行业研究，合规成本约占金融机构运营开支的一成至两成，对部分小型社区银行和区域性金融机构这一比例更高 [4]。自2008年全球金融危机以来，零售和企业银行用于合规的运营成本增加了60%以上 [5]。这些高昂的成本最终通过更高的服务费用和更低的存款利率转嫁给了终端消费者。此外，全球反洗钱系统（软件与系统）市场支出预计到2028年将达到517亿美元 [6]。尽管投入巨大，但这种资源密集型的合规模式并未能完全阻止金融犯罪和系统性风险的发生。当然，传统合规体系的高成本并非完全无效，宏观审慎监管框架在降低系统性危机频率和限制危机影响范围方面有实证效果。嵌入式合规的改进空间主要在于将传统模式中“合规剧场”的无效开销重新配置为架构层面的内建保障，而非简单替代全部传统合规功能。 外部强制模式的第二个结构性缺陷是其缺乏实时性。传统的合规检查通常是基于季度的报告或年度的审计，这种低频的快照式审查无法捕捉到两次检查之间发生的违规行为。当审计师或监管机构发现问题时，违规行为往往已经持续了数月甚至数年，造成的损失可能已经无法挽回。FTX 事件就是这一局限性的极端体现。尽管该机构宣称拥有严格的内部控制，但在其实际控制人决定挪用客户资产时，没有任何定期检查机制能够在此类行为发生之前或发生当时进行拦截。 这种滞后性进一步催生了“合规剧场”现象。在许多金融机构中，合规活动的目的逐渐从“有效降低风险”异化为“通过监管检查” [4]。机构投入大量资源填写表格、生成报告和设计复杂的合规流程，这些活动在表面上满足了监管要求，但并未在实质上改变业务的风险敞口。当合规变成一种以满足监管指标为目的的形式化活动时，它不仅浪费了社会资源，还制造了一种虚假的安全感。 中心化加密货币交易所的合规困境将上述结构性缺陷推向了极端。与传统银行不同，CEX 的核心业务完全运行在数字化基础设施之上：订单撮合在链下的中心化服务器中完成，客户资产存储于交易所控制私钥的热钱包与冷钱包中，内部账本以数据库记录的形式存在且可被管理员任意修改。这种架构意味着外部审计师无法实时验证交易所声称的资产状态与实际链上地址余额之间的一致性。即便是定期的财务审计，其有效性也受制于交易所主动提供数据的完整性和真实性，而 FTX 的崩溃正是这一架构缺陷的极端印证。 跨境合规的碎片化使得上述问题变得更加复杂。在全球化运作的金融市场中，不同司法管辖区有着截然不同甚至相互冲突的合规要求。一家全球性金融机构必须同时满足数十个不同的监管框架，这不仅导致了合规成本的指数级增长，还使得机构在不同监管体系之间应接不暇，难以建立统一且连贯的风险控制体系。 ### 30.1.2 嵌入式合规的核心理念 面对传统合规模式的结构性失效，链上金融系统提出了一种范式转变：嵌入式合规。这一理念的核心在于，将合规从一种“行为约束”转变为一种“架构约束”。在行为约束模式下，规则告诉参与者“不应该做什么”，但参与者仍然拥有做这件事的物理能力；而在架构约束模式下，系统的设计使得违规行为在物理和技术层面上变得不可能发生。 这一理念可类比为建筑消防规范的演进：现代建筑规范不再仅依赖消防检查员的定期巡查，而是在设计阶段便将防火墙材质与洒水系统覆盖范围固定在建筑蓝图中，使建筑在物理结构上排除了特定消防违规的可能性。嵌入式合规遵循了相同的工程逻辑，将约束前置到系统设计阶段。 在链上金融系统中，智能合约充当了这一理念的执行引擎。智能合约一旦部署到区块链上，其逻辑将严格按照代码执行。代码的执行不受利益冲突或操作疏忽的影响，其输出完全由输入和逻辑决定。如果我们将合规规则编码为智能合约的一部分，那么这些规则就成为了系统不可分割的属性——这正是劳伦斯·莱西格“代码即法律”理念在金融监管领域的具体化 [3][7][8]。当一笔交易被广播到网络时，系统不仅会在技术层面上验证其有效性，还会在合规层面上验证其是否被允许。如果一笔交易违反了预设的合规逻辑，智能合约将直接拒绝执行，使得违规行为根本无法在链上发生。 这种从事后检测到事前预防的转变，使得合规不再是独立于核心业务的附加流程，而是成为了金融基础设施本身的内在特征。它显著降低了传统合规中对人工干预的依赖，并降低了持续运营的合规成本，并将合规的确定性从概率层面提升到密码学保证层面。 然而，嵌入式合规并非没有局限。首先，并非所有的监管规则都适合或能够被转化为确定性的代码逻辑。许多合规要求包含着模糊的边界和需要主观裁量的空间。其次，代码本身可能存在漏洞，如果合规逻辑被错误地编码，可能会导致合法的交易被拒绝，或者违规的交易被放行。更为复杂的是，监管环境和市场条件是不断变化的，如果将规则完全僵化地硬编码在系统中，系统将失去适应未来变化的能力。更深层的局限在于，嵌入式合规虽然消除了执行层面的人类偏差，但代码本身是由存在认知偏差的开发者编写的，例如可得性偏差可能导致过度防范近期已知风险而忽视未知风险，将有偏的判断硬编码为不可变逻辑，实质上是将偏差从“可修正的运营决策”锁定为“不可变的系统架构”。此外，在传统合规框架中，违规行为的法律责任明确归属于金融机构；而当合规规则嵌入智能合约后，如果合约行为产生了违反法规的后果，责任归属在合约部署者、代码开发者、审计机构和治理投票者之间变得高度模糊，这一“责任缺口”是嵌入式合规被监管机构接受的核心实务障碍之一。这些局限引出了一个关键问题：如何在保持规则刚性的同时，赋予系统必要的演化能力。 ### 30.1.3 合规的三层光谱 为了解决嵌入式合规在灵活性和确定性之间的张力，本章提出了“合规的三层光谱”理论。这一理论认为，不应将所有的合规需求无差别地进行硬编码，而是应当根据规则的性质、违反规则的后果以及对灵活性的需求，将合规机制按照“嵌入深度”划分为三个不同的层级。 这三层在灵活性与确定性之间各有权衡，共同构成完整的链上合规框架。 ![图 30-1](./images/fig-30-1.png) **图 30-1.** 合规的三层光谱与嵌入深度、灵活性、确定性的关系 [3] 硬编码合规代表了最深的嵌入程度和最高的确定性。在这一层级中，合规规则被直接写入智能合约的底层逻辑中，且不提供任何修改接口。这类规则通常涉及系统的安全底线，其特点是“不可协商”且一旦违反将导致严重后果。例如，资产隔离原则必须被硬编码。系统必须通过代码确保，除了用户本人的加密签名授权和满足严格触发条件的清算事件外，没有任何管理员密钥或协议后门可以转移用户的资金。杠杆的绝对上限也是硬编码的典型应用，通过在代码层面设定不可逾越的最高杠杆倍数，系统有效防止了极端风险敞口的产生。硬编码合规的代价是灵活性的显著降低，任何对规则的修改都需要进行复杂的合约升级。 参数化合规位于光谱的中段，它提供了一种“规则框架固定，但具体参数可调”的折中方案。许多运营性的合规规则需要根据市场波动和监管政策的变化进行动态调整。例如，保证金率需要随着市场波动率的升高而提高，以吸收更大的潜在损失。在参数化合规中，“必须收取保证金”以及“保证金率的计算公式”是硬编码的，但公式中的具体系数则是参数化的。这些参数被存储在专门的注册表合约中，可以通过既定的治理流程进行修改。这种设计既保证了合规框架的稳定性，又赋予了系统适应环境变化的灵活性。 报告性合规代表了最浅的嵌入程度。并非所有的合规需求都适合作为事前限制条件。对于一些需要综合判断或事后追溯的行为，如异常交易模式的检测、洗售交易的识别以及市场操纵的防范，如果在交易执行前进行强制拦截，可能会严重影响系统的吞吐量和正常用户的交易体验。报告性合规利用了区块链数据的完全透明性和不可篡改性，通过将链上数据实时导出并接入分析模型，实现自动化的事后监控。此外，实时的风险披露和储备证明也属于这一层级，它们不限制用户的行为，但通过提供充分的信息可见性，满足了监管对透明度的要求。 这三个层级并非相互排斥，而是高度互补的。硬编码合规守住了系统不可触碰的安全底线，参数化合规提供了日常运营所需的弹性空间，而报告性合规补充了对复杂行为的持续监控能力。没有任何一个单一层级能够覆盖所有的合规需求，只有将三者有机结合，才能构建出一个既安全又可持续运行的链上金融系统。 ### 30.1.4 从监管原则到工程实现 在第26章中，我们提出了适用于去中心化金融的六条核心监管原则：资产隔离为底线、信息披露优先、功能性监管、拥抱嵌入式合规、国际最低标准与灵活调整相结合、基于证据演进。这些宏观原则构成了链上合规工程的需求规格，而三层合规光谱理论则为其提供了从“应该被监管”到“在技术上被保证”的系统化实现路径。下文三节分别展开硬编码（§30.2）、参数化（§30.3）与报告性合规（§30.4），§30.7再以完整映射表收束从监管需求到工程代码的闭环。 ## 30.2 硬编码合规 在嵌入式合规的架构设计中，硬编码代表了最深层次的约束。某些规则的违反将导致系统性的灾难，因此它们不应具备任何灵活性。硬编码合规的核心逻辑是将这些不可协商的底线直接写入智能合约的不可变逻辑中，使得任何人在任何情况下都无法在物理层面绕过这些限制。 ### 30.2.1 硬编码的适用条件 判断一项规则是否应当被硬编码，其核心标准在于违反该规则的后果是否具有严重且不可逆转的特征。如果一项违规行为能够在其被发现之前对系统造成严重损害，事后的惩罚与补偿将失去意义。在这种情况下，事前通过代码实现物理层面的不可能违规，便成为唯一的工程选择。 适合硬编码的规则通常具备广泛的普适性和较低的更新频率。资产隔离机制是硬编码应用的最典型场景。客户资产必须独立于协议运营资金，这一底线在任何市场环境和监管框架下都不会改变。如果允许协议运营者或管理员通过某种权限提取用户资产，系统就回归到传统的信任模型，FTX 事件的发生证明了这种信任模型的脆弱性。同样，杠杆绝对上限也属于适合硬编码的范畴。当杠杆率超过某个临界值时，极微小的价格波动就会引发清算，进而导致清算级联效应。这种系统性风险不应交由运营参数来动态调整，而必须在代码底层设定一个不可逾越的上限约束 [9]。保险基金的使用条件也必须硬编码，其资金仅能用于吸收清算损失，任何将其挪作他用的尝试都应在合约层面被自动拒绝。 相比之下，许多运营性规则并不适合硬编码。保证金率需要根据市场波动率动态调整，异常交易的判定依赖于复杂的模式识别和主观裁量，而具体的身份认证标准则会随着不同司法管辖区的法律演进而变化 [10]。将这些需要灵活响应的规则硬编码，会导致系统陷入过度刚性的困境，最终无法适应市场的真实需求。硬编码的适用范围必须被严格限制在那些定义了系统生存底线的核心逻辑上。 ### 30.2.2 资产隔离的硬编码 在传统金融体系中，资产隔离依赖于复杂的制度设计。以美国存管信托与清算公司为例，其通过严格的法律契约、定期的外部审计以及多层级的账户结构来确保客户资产与机构自有资金的隔离。这种基于制度信任的隔离机制虽然在过去200年中表现出较高的可靠性，但其本质仍然是防范违规行为，而非消除违规能力 [11]。当这种信任模型被平移至缺乏强力监管的离岸加密货币交易所时，其内在的脆弱性充分显现。 中心化加密货币交易所的资产托管模式放大了这种脆弱性。主流 CEX 普遍采用 omnibus wallet 架构，将所有客户资产汇集在交易所控制的少数链上地址中，客户的个体余额仅存在于交易所的内部数据库映射中。这意味着在链上层面，外部观察者无法区分交易所的自有资产与客户资产，更无法验证内部账本的准确性。交易所拥有对热钱包和冷钱包私钥的完全控制权，订单撮合在链下完成，资产划转无需客户授权。FTX 事件正是这种架构缺陷的极端体现：Alameda Research 能够直接动用 FTX 客户资产进行交易，而外部审计在长达两年的时间内未能发现这一事实。这种由单一实体同时控制资产保管与账本记录的模式，与链上金融的自托管架构形成了根本性对比。 链上金融系统通过智能合约实现了资产隔离的范式转变。用户存入的稳定币或其他抵押品被锁定在链上的保证金合约中。该合约的逻辑被严格限定，仅在以下四种被代码明确定义的条件下允许保证金余额的变动：其一是用户使用自身私钥对提款交易进行密码学签名；其二是当用户的仓位健康度低于清算阈值时，清算引擎触发强制平仓逻辑；其三是多空双方之间按照资金费率公式自动执行的定期结算划转；其四是当保险基金不足以覆盖穿仓损失时，自动减仓机制对盈利方仓位的强制部分平仓。除上述由代码明确定义的清算与交易操作（以及交易手续费扣减、平仓已实现盈亏结算等同类代码定义路径）外，没有任何自主性的管理指令可以移动用户的资产，协议开发团队、运营管理员或任何第三方均不拥有可以绕过这些路径的特权接口。需要前置说明的是，当这些逻辑部署在可升级代理合约中时，上述保证属于“版本硬编码”，其强度取决于升级权限本身的约束机制（详见§30.6.3）。 图 30-2 呈现这一基于智能合约的资产隔离架构：用户资产被锁定在非托管保证金合约内，四种资产移动路径均由代码明确定义其触发条件与执行范围。 ![图 30-2](./images/fig-30-2.png) **图 30-2.** 资产隔离的硬编码设计架构 [11] 这种设计的核心约束在于消除了传统意义上的管理员权限。即使是部署该合约的协议开发团队，也无法通过后门密钥或超级权限来提取用户的保证金。资产的安全性不再依赖于团队的道德操守或法律约束，而是由以太坊等底层区块链的共识机制和密码学原语来保证。 需要强调的是，代码级资产隔离的有效性建立在一系列运营前提之上。在用户端，私钥安全是第一道防线，如果用户的私钥被钓鱼攻击窃取，攻击者可以通过完全“合法”的签名路径提走其全部资产，硬编码的隔离逻辑对此无能为力。在系统端，清算引擎的活性保证是隔离机制的关键运营依赖，如果清算机器人宕机、网络拥堵导致清算交易无法及时上链、或 gas 价格飙升导致清算无利可图，清算路径将失效，系统可能出现穿仓。预言机喂价的可靠性与及时性同样构成关键前提。此外，“有权提款”与“能够及时提款”之间存在重大差距：网络拥堵可能导致提款交易长时间无法确认，跨链桥接暂停可能阻止资产回到主网，紧急暂停机制则可能在保护系统的同时暂时限制个体用户的提款。硬编码合规消除了管理员挪用资产的风险，但无法覆盖这些运营层面的失效模式。 然而，这种纯粹的代码级隔离在工程实现中面临着显著的挑战。最大的风险敞口往往存在于跨链桥接环节。在 Hyperliquid 等应用链架构中，用户的原生资产（如以太坊主网上的 USDC）通常需要通过桥接合约锁定，进而在应用链上铸造等效的合成资产。2022至2024年间的一系列重大桥接安全事件揭示了多种攻击路径：桥接合约的验证逻辑漏洞可能允许攻击者伪造跨链消息；验证者私钥的泄露或社会工程攻击可以直接获取桥接控制权（如2022年 Ronin 事件中攻击者控制了9个验证者中的5个签名权（4个 Sky Mavis 验证者密钥被窃加上滥用第三方验证者授权），导致约6.25亿美元损失）；中继器欺骗可能绕过消息验证机制（如 Nomad 事件中的消息验证绕过）；桥接合约的升级权限被攻击者获取则可能从根本上改变资产转移逻辑。这些攻击向量中的任何一种，都可能使攻击者在无需用户签名的情况下转移资产，从而绕过保证金合约的隔离限制。对于 Hyperliquid 等使用与共识层共享同一验证者集合的“同源桥”架构，桥接安全性与共识安全性完全耦合，验证者集合的妥协意味着桥接和共识的双重失效，这种风险聚集特性与使用独立验证者集合的通用跨链桥存在本质差异。 此外，保证金合约本身的升级权限构成了另一重风险。如果合约保留了升级权限，拥有该权限的实体理论上可以通过替换合约逻辑来解除隔离限制。这使得升级权限的管理成为硬编码合规体系中最敏感的信任假设。 硬编码的资产隔离还面临来自智能合约可组合性的结构性挑战。在链上金融生态中，当保证金合约中的资产或衍生凭证可以被其他协议引用或用作抵押品时，合约间的交互可能在经济层面上绕过隔离约束，即使每个单独合约的代码逻辑都是正确的。系统设计者面临“封闭隔离”与“开放隔离”之间的权衡：前者通过禁止保证金资产参与任何外部合约交互来维持最严格的隔离保证，但牺牲了资本效率；后者允许有限度的跨协议交互但施加额外约束，却在安全审计的复杂度上引入了新的风险维度。 此外，上述关于智能合约资产隔离的讨论隐含了一个重要的区分：在以太坊等通用公链上，保证金合约的逻辑可以被任何第三方独立审计和形式化验证；但在 Hyperliquid 等应用链架构中，核心的保证金管理逻辑运行在共识层状态机中，而非独立可审计的智能合约。这意味着资产隔离的信任假设从“代码逻辑的正确性”转变为“验证者多数诚实假设”，而在仅有约二十余个活跃验证者的网络中，这种共识安全性远低于以太坊主网数千个验证者提供的安全保证。因此，文中所述的“架构级别的保证”需要根据具体系统的共识安全模型进行限定，而非作为链上金融的普适结论。 ### 30.2.3 杠杆上限的硬编码 杠杆交易是衍生品市场的核心功能，但过高的杠杆率是导致市场脆弱性的主要根源。在去中心化永续合约中，如果允许交易者使用极端杠杆（如 500 倍或 1000 倍），其仓位的破产价格将极其贴近开仓价格。在区块链网络的区块确认延迟和预言机价格更新的离散性约束下，清算引擎根本无法在仓位净值归零前完成强制平仓，这将不可避免地导致保险基金的快速枯竭和系统的穿仓 [12]。 将杠杆上限硬编码是防范此类系统性风险的最直接手段。在开仓逻辑的智能合约中，系统会计算请求名义价值与用户可用保证金的比率。代码明确规定，如果该比率超过预设的绝对上限（例如 50 倍），交易将被自动回滚。这一约束不需要任何风险控制团队的实时审批，也不依赖于交易后监控系统的警报。当交易被提交至区块链网络时，以太坊虚拟机的确定性执行逻辑将确保任何违反杠杆上限的请求都无法改变系统的全局状态。 在实际工程设计中，硬编码的绝对上限通常与参数化的动态上限嵌套使用。硬编码上限设定了系统在任何极端情况下都不可逾越的物理上限，而动态上限则根据当前市场的流动性深度、资产的波动率特征以及用户的仓位规模进行实时调整。例如，合约代码可能硬编码了 100 倍的绝对上限，但在高波动率时期，治理机制或自动风险引擎会将实际执行的动态上限调整为 20 倍。这种嵌套设计既保留了应对市场变化的灵活性，又通过硬编码确立了系统生存的绝对底线。 硬编码杠杆上限的校准不应是任意选择的数值，而应与底层基础设施的延迟参数建立定量约束关系：最大杠杆率必须确保清算引擎在仓位净值归零之前完成强制平仓。如果预言机的最大更新延迟为2秒，该窗口内主要资产的最大预期价格变动为0.5%，则价格变动恰好耗尽全部保证金的临界点对应约 200 倍杠杆（即 $1/0.5\% = 200$）。需要强调的是，200倍仅是仓位净值归零的绝对上限，而非“安全”杠杆：可用缓冲实为初始保证金减去维持保证金，且须进一步扣除网络拥堵导致的清算延迟与流动性枯竭导致的平仓滑点。因此，安全杠杆须满足 $\text{安全杠杆} < \dfrac{1}{\text{维持保证金率} + \text{延迟内最大不利变动} + \text{执行滑点} + \text{拥堵缓冲}}$，其实际取值远低于 200 倍，这也解释了前文示例将硬编码绝对上限设在 50–100 倍区间的原因。此外，硬编码检查不应仅限于开仓时刻的初始验证：在统一保证金账户中，一个仓位的浮亏会减少账户可用保证金，使其他仓位的有效杠杆隐式上升，即使每个仓位开仓时都通过了杠杆检查，系统仍需在每次标记价格更新时持续验证全账户有效杠杆是否仍在硬编码上限之内。最后，硬编码杠杆上限存在一个根本局限：它仅约束单一协议内部的杠杆率。在可组合的链上金融生态中，交易者可在多个协议同时开立同方向仓位，实现远超任何单一协议上限的有效杠杆，这种跨协议合成杠杆无法通过硬编码合规解决，需由报告性合规层面的生态级杠杆追踪来监控和预警。 ### 30.2.4 硬编码的代价 将规则硬编码至智能合约中提供了密码学级别的执行确定性，但这种确定性是以极大的系统刚性为代价的。区块链底层架构的不可变性意味着，一旦智能合约被部署，其包含的字节码将永久驻留在分布式账本上。如果硬编码的规则需要修改，哪怕只是更改一个微小的常量值，也必须部署一个全新的智能合约，并引导所有用户和流动性迁移至新合约。这种迁移过程不仅成本高昂，而且会造成流动性的严重碎片化。 过度依赖硬编码会导致系统在快速演进的金融市场中失去适应能力。加密货币市场的微观结构、资产类型和攻击向量都在不断变化。一项在当前市场环境下看似完美的硬编码规则，可能在一年后成为阻碍协议发展的严重制约。因此，只有那些经受住时间考验、具有普遍适用性的底层安全逻辑，才具备被硬编码的资格。 此外，硬编码的安全性完全建立在代码的正确性之上。如果硬编码的逻辑存在实现漏洞，原本旨在保护系统的规则可能会被攻击者利用。在复杂的去中心化金融协议中，智能合约的交互可能产生难以预料的边缘情况。传统的软件测试方法无法覆盖所有可能的执行路径，这使得形式化验证成为硬编码合规的必要配套工程 [13]。形式化验证通过将智能合约抽象为数学模型，并使用逻辑推理来证明其是否满足特定的属性（如安全性与活性）。只有经过严格数学证明的硬编码规则，才能真正提供超越传统制度信任的安全保证。这一刚性代价的工程解法（代理合约模式与治理约束）将在§30.6系统展开。 ## 30.3 参数化合规 大多数运营性的合规规则不适合硬编码，因为它们需要随市场条件和监管要求的变化而动态调整。参数化合规提供了规则框架固定与参数可治理调整的折中方案，在保证系统基本逻辑不可篡改的前提下，使协议能够适应复杂金融环境的灵活性。 ### 30.3.1 参数化的适用条件 硬编码合规适用于绝对不可违反的安全底线，而参数化合规的适用边界在于那些需要在不同市场周期中动态优化的运营指标。判断一项规则是否适合参数化的核心标准是：该规则的数学框架或逻辑结构是否稳定，而其具体数值是否需要对外部环境变化做出响应。当市场波动率剧烈上升时，固定的保证金率可能无法覆盖潜在的清算滑点风险；当跨链套利效率提升时，资金费率的结算频率可能需要相应加快。这些场景要求系统具备自我调节能力，但这种调节必须在预设的框架内进行，且调整过程对所有参与者完全透明。 参数化合规的适用场景可分为五类。第一类是保证金率，如§29.3所述，维持保证金要求需要随资产波动率和头寸规模动态变化，以防范极端行情下的清算级联风险 [14]。第二类是费率参数，包括资金费率的结算频率、上下限以及风险缓冲池的规模，这些参数直接影响多空双方的持仓成本和协议的偿付能力 [15]。第三类是清算参数，例如渐进式清算的触发线和执行速度，决定了系统在去杠杆过程中的市场冲击程度。第四类是做市义务，链上订单簿或自动做市商池需要设定最低流动性深度、最大允许价差以及在极端行情下的义务豁免条件，以确保市场的持续运转。第五类是准入参数，涉及不同司法管辖区的合规要求，如特定资产的交易限制或风险限额的分层标准。 将这些运营参数硬编码会导致系统僵化，使其在面对突发事件时缺乏应对手段；而将其完全交由链下管理员随意修改，则会破坏去中心化金融的无需信任基础。参数化合规通过智能合约中的参数注册表机制解决了这一矛盾。规则的执行逻辑被永久写入代码，而具体的数值则存储在独立的注册表合约中。任何对注册表数值的修改都必须经过明确的治理流程，并受到时间锁的限制，从而在灵活性与透明性之间取得了工程学上的最优解 [16]。 参数注册表的工程设计遵循了分离关切的原则。在传统的单体合约架构中，参数和执行逻辑混杂在一起，修改参数往往需要重新部署整个合约，这不仅成本高昂，而且容易引入新的漏洞。而在参数化架构中，参数存储在一个专门的注册表合约中，该合约只负责数据管理和权限控制，不涉及复杂的业务逻辑。执行合约通过标准的接口从注册表读取参数，就像从数据库查询一样。这种分离使得参数更新可以独立进行，不会影响核心交易逻辑的安全性。同时，参数变更的历史记录完整地保存在区块链上，形成了一条不可篡改的审计轨迹，任何监管者或用户都可以追溯协议参数的演变过程，验证其合规性。 ### 30.3.2 保证金率的参数化 保证金率是衍生品协议风险管理的核心防线。在链上环境中，保证金率的设定不仅是一个经济学问题，更是一个合规工程问题。传统的静态保证金率在低波动期可能导致资本效率低下，而在高波动期又无法提供足够的缓冲，这种错配是引发清算级联的重要结构性原因 [17]。为了解决这一问题，链上协议引入了波动率自适应的保证金计算模型，并将监管底线与动态调整机制嵌套在智能合约的架构中。 图 30-3 呈现保证金参数化的三层嵌套——硬编码监管底线、固化的自适应公式框架、治理可调的参数系数，下文逐层展开。 ![图 30-3](./images/fig-30-3.png) **图 30-3.** 保证金参数化的三层嵌套设计 [14][18]（图中维持保证金率底线 10% 为示意值） 这一设计的底层是硬编码的监管底线。智能合约在代码层面强制规定了维持保证金率的绝对最小值，例如10%。无论市场如何平稳，无论治理委员会如何投票，系统都拒绝执行任何导致保证金率低于该底线的操作。这种硬编码确保了协议永远符合最严格的监管要求，消除了因人为疏忽或恶意操控导致系统性风险的可能。 在底线之上是自适应公式层。保证金率的计算公式被硬编码在合约中，通常包含基础费率、波动率乘数和头寸规模惩罚项。例如，维持保证金要求会随着头寸名义价值的增加而按层级递增，当头寸价值从10万美金增加到100万美金时，所需的保证金率可能从0.4%自动上升至0.5% [18]。这一逻辑框架是固定的，确保了风险评估的客观性和一致性。 事实上，分层保证金机制并非链上系统的独创，主流中心化交易所早已广泛采用类似的阶梯式保证金结构。以 Bybit 为例，其 USDC 永续合约的维持保证金率从第一层级的 0.40% 递增至高层级的 5.00% 以上 [18]。需要注意的是，这些 CEX 层级参数中的低层级维持保证金率（如 0.40%，名义上对应约 250 倍的维持杠杆，即 $1/0.40\% = 250$）低于§30.2.3 基于预言机延迟推导的杠杆上限所隐含的初始保证金水平（须注意维持保证金率与延迟缓冲属不同口径，不宜直接等同），而链上系统的硬编码底线会约束分层参数的下限，确保即使是最低层级的保证金率也不低于系统安全底线。Binance、OKX 等交易所采用类似的分层体系，Deribit 则在期权市场中引入了基于组合的投资组合保证金模式，通过对冲关系动态计算净风险敞口。然而，这些 CEX 的分层保证金系统存在一个根本性差异：参数的变更权限完全由平台单方面掌握。交易所可以在不经任何公示程序的情况下调整层级阈值与保证金率，用户仅在参数生效后才被通知。相比之下，链上系统通过参数注册表与治理投票机制，确保了每一次保证金参数调整的过程透明性与可审计性，这构成了链上参数化合规相对于 CEX 动态保证金系统的核心优势。 最上层是参数化系数的实时调整。自适应公式中的乘数和阈值作为参数存储在注册表合约中。当宏观经济事件引发市场结构性变化时，治理机制可以调整这些系数，使保证金模型更敏锐地捕捉风险。例如，在预期波动率急剧上升的时期，可以通过提高波动率乘数来全系统地收紧杠杆。这种三层嵌套架构使得监管者可以确信系统的安全性底线，交易者可以明确知晓保证金要求的计算逻辑，而协议运营者则保留了应对未知风险的必要工具。 在实践中，波动率自适应公式的参数化系数通常包括三个维度。第一个维度是波动率敏感度系数，用于控制市场波动率每增加1%时，保证金率的增幅。这个系数在平稳市场中可能设为0.15，但在历史波动率持续高企的时期，治理委员会可能通过投票将其提升至0.25，以提前防范潜在的流动性危机。第二个维度是头寸规模惩罚系数，反映了大额头寸对市场的系统性风险贡献。当单个交易者的头寸规模超过市场流动性的某个阈值时，该系数会自动触发，要求更高的保证金率。第三个维度是时间衰减系数，用于在市场恢复平静后逐步放宽保证金要求，避免过度的流动性紧缩。这些系数的校准应基于目标覆盖概率，即确保在给定置信水平下，保证金能够覆盖从清算触发到完成平仓期间的最大预期价格变动，而非凭经验任意设定。系数的组合使用形成了一个多维度的风险评估模型，既能捕捉市场微观结构的变化，也能应对宏观经济冲击。 波动率自适应保证金模型在提升资本效率的同时，引入了一个不容忽视的系统性风险：顺周期性。当市场波动率上升时，自适应模型自动提高保证金率，迫使杠杆交易者追加保证金或面临清算。大规模清算本身进一步加剧市场波动，推动波动率指标继续攀升，导致保证金率进一步收紧，而这种“波动率上升→保证金收紧→强制清算→波动率进一步上升”的正反馈螺旋，是清算级联的核心驱动机制。2020年3月的“黑色星期四”事件中，这一效应在去中心化金融清算中得到了充分的实证。为了缓释顺周期性风险，保证金参数化的工程设计应引入逆周期缓冲机制：保证金率的提升应对波动率上升快速响应，但放松应缓慢且附加“回望期”约束（非对称衰减）；保证金率的单次调整幅度和调整速率应设定上限，防止短时间内的剧烈收紧；在低波动率时期，保证金率应预防性地高于模型纯输出值，为未来的波动率冲击预留缓冲。 ### 30.3.3 费率参数的参数化 资金费率机制是永续合约锚定现货价格的核心引擎。其设计目标是通过多空双方的定期资金交换，纠正衍生品价格与现货指数之间的偏差。在链上实现中，资金费率的计算逻辑通常被硬编码，但其运行效率和风险边界高度依赖于几个关键的参数化设置。 结算频率决定了套利者的资本周转效率和市场的响应速度。传统中心化交易所通常采用每八小时一次的离散结算机制，而在链上协议中，受限于区块生成时间和交易成本，结算频率的参数化选择面临不同的工程约束 [19]。较高的结算频率可以更紧密地锚定价格，但会显著增加预言机喂价和状态更新的计算开销。将结算频率参数化，允许协议在底层公链扩容或 Layer 2成本下降时，通过治理投票平滑地向更高频率乃至逐区块结算过渡（在离散区块链架构中，逐区块结算是物理上可实现的最细粒度），而无需重构核心交易逻辑。需要注意的是，缩短结算间隔的影响并非线性的：更高的结算频率虽然提高了价格锚定精度，但同时提高了套利策略的资本效率要求、加快了做市商的对冲频率需求，并可能增大单次费率数值的波动性，这些二阶效应需要在参数调整时予以充分评估。 费率上下限的参数化则是为了防止极端单边行情下的系统性崩溃。当现货价格剧烈波动时，理论上的资金费率可能飙升至极端水平，导致做市商或套保者面临不可承受的现金流压力。智能合约通过参数化设定了资金费率的绝对上限和下限，这一区间在常态下足够宽泛以容纳正常的套利空间，但在极端偏差发生时充当熔断机制 [20]。这些边界参数可以根据标的资产的流动性深度和历史波动特征进行差异化配置，并在资产成熟度提升后由社区逐步放宽。然而，费率上限的设定内含一个不可忽视的机制稳定性权衡：资金费率的核心功能是通过价格信号纠正永续合约与现货之间的基差，当费率触及上限被截断时，价格纠正机制失效，永续合约可能与现货价格持续脱锚，反而导致更大的基差积累和最终的剧烈回调。因此，费率上限的设定必须在“防止极端费率压力”与“维持价格锚定有效性”之间取得平衡。可能的替代方案包括在费率接近上限时动态收紧未平仓合约上限，通过限制新增头寸规模来从需求侧缓解基差压力。 风险缓冲池规模的参数化直接关系到协议的最终偿付能力。保险基金的注资比例、从清算罚金中提取的份额，以及在保险基金枯竭时触发自动减仓的临界值，都是维持系统信用的关键参数。将这些参数与协议的总锁定价值或未平仓合约总量挂钩，并允许通过治理动态调整，确保了协议在规模扩张过程中的资本充足率始终处于安全区间。 在实践中，保险基金的参数化设置需要面对一个结构性问题。在中心化交易所和链上协议的清算机制中，当清算引擎执行强制平仓时，如果市场流动性不足导致实际平仓价格劣于仓位的破产价格，由此产生的穿仓损失将由保险基金承担。然而，当穿仓损失的累积速度超过保险基金的补充速度时，协议会面临偿付能力风险。因此，参数化的保险基金设置应该是保守的，不能仅基于历史平均亏损率来计算。保险基金规模的校准不应仅依赖历史回溯，因为加密市场的历史仅有十余年，且市场结构在持续快速变化，未来的最大穿仓损失几乎必然超越历史记录。更稳健的方法是基于前瞻性的压力测试，模拟极端但合理的市场情景（如主要资产在1小时内下跌30%同时市场流动性枯竭、主要稳定币脱锚导致抵押品价值骤降、预言机同时失效导致清算延迟），计算在这些情景下的总穿仓损失。风险度量应采用条件在险价值等能够捕捉尾部风险的指标，而非仅依赖极端分位数的历史回测。 ### 30.3.4 做市义务的参数化 在去中心化衍生品市场中，流动性的持续供给是防范价格操纵和清算级联的基础。中心化交易所通常通过与指定做市商签订双边法律合同来约束其行为，而在链上环境中，做市义务必须被转化为智能合约可以验证和执行的参数化规则。 传统证券与衍生品交易所对做市义务有着成熟的制度框架。芝加哥商品交易所的做市商计划 要求指定做市商在交易时段内至少 85% 的时间维持双边报价，最大买卖价差不得超过特定合约规定的上限，且每侧最低报价量须达到规定的合约数量。纽约证券交易所的指定市场做市商制度则对特定股票施加更为严格的连续报价义务，同时在极端波动期间设有义务豁免机制，即当标的资产触发熔断或市场进入波动性中断状态时，做市义务自动暂停。这些传统框架以法律合同和监管牌照为执行保障，违约后果包括罚款、暂停资格乃至吊销做市牌照。链上系统将这些义务从法律合同转化为智能合约的参数化规则，虽然在执行确定性上实现了提升，但也面临着如何在无法律管辖的环境中设计等效激励与惩罚机制的工程挑战。 最低深度和最大价差构成了做市义务的核心量化指标。协议通过参数注册表设定了在特定价格区间内必须维持的流动性数量，以及买卖报价之间允许的最大点差。这些参数并非一成不变，而是根据标的资产的市值规模和交易活跃度进行分层设置。对于主流资产，参数要求更为严格，以提供媲美中心化交易所的执行质量；对于长尾资产，参数则相对宽松，以吸引早期流动性提供者。做市商的奖励发放直接与这些参数化指标的达标率挂钩，智能合约在每个纪元自动计算并分配收益。 在参数化的做市义务框架中，最低深度和最大价差的参数应该根据标的资产的特性进行分层设置。对于比特币和以太坊这样的主流资产，参数可以设置得非常严格，比如要求做市商在中间价上下一定范围内维持不超过3至5个基点的买卖价差。需要指出的是，链上做市的成本结构显著不同于中心化交易所：每次报价更新需要提交链上交易并支付 gas 费，区块延迟导致的信息不对称进一步加剧了做市商的逆向选择成本，这些因素共同约束了链上做市义务参数的可设定范围，使其难以达到中心化交易所中1个基点以内的价差水平。而对于新上市的长尾资产，参数则可以相对宽松，以吸引早期的流动性提供者。这种分层的参数设置体现了链上金融的核心原则：在不会引入系统性风险的前提下，最大化地优化每一个参与者的体验。此外，为避免做市商在评估纪元末突击挂单以满足义务要求，做市义务的度量应采用时间加权的流动性存在率，而非基于纪元快照的简单达标率评估。 义务豁免条件的参数化是链上做市机制在极端行情下的保护机制。当市场经历剧烈震荡、预言机报价延迟或底层网络拥堵时，强制要求做市商维持紧密报价可能导致其遭受严重的逆向选择损失。协议引入了基于波动率或价格偏离度的参数化触发器，当市场状态超出预设的正常范围时，智能合约自动放宽最大价差限制，或暂时中止做市义务的考核。这种参数化的豁免机制在保护流动性提供者资本安全的同时，也避免了因做市商集体撤单而导致的流动性真空。然而，自动化豁免机制面临两个工程层面的挑战。第一个是防操纵设计：如果豁免触发条件基于瞬时波动率，做市商可能通过在薄流动性时段提交大额市价单来策略性地制造波动率信号，从而触发豁免以逃避做市义务。因此，豁免触发应采用时间加权平均波动率并结合多源预言机交叉验证。第二个是活性保证：在极端行情中，链上基础设施最容易出现拥堵，而这恰恰是做市商最需要豁免保护的时刻，但豁免触发交易本身可能因 gas 竞争而无法及时上链。为此，系统应设计基于时间的自动豁免作为备用机制：如果连续多个区块内未检测到做市商的报价更新交易，系统自动视为豁免状态生效，而无需做市商主动提交豁免请求。 ### 30.3.5 参数调整的治理机制 参数化合规的有效性最终取决于修改参数的权力结构。如果参数可以被少数内部人员随意篡改，那么所有的透明性承诺都将失去意义。因此，参数调整必须被置于严密的治理框架内，在不可篡改与灵活响应之间取得平衡。 链上协议的参数调整受三层治理约束。第一层是代码自动执行的日常调整，例如基于预言机喂价计算的波动率指标自动更新保证金乘数，无需人工干预。第二层是结构性参数变更的治理审查，要求通过链上提案与社区投票，并经由时间锁延迟执行 [16]。第三层是极端市场危机中的紧急多签委员会机制，允许在严格限定的范围内快速调整关键参数 [21]。这三层治理约束的完整设计与工程实现将在§30.6系统展开。 ## 30.4 报告性合规 在三层合规光谱中，报告性合规的嵌入程度最浅，但覆盖范围最广。对于事前限制在技术上难以精确定义、强制拦截又可能损害系统正常运行的需求，报告性合规利用链上数据的不可篡改性和全局可见性，将其转化为基于数据的事后监控与自动审计，在不增加交易执行摩擦的前提下满足监管对透明度的要求（四类核心场景见§30.4.1）。 ### 30.4.1 报告性合规的适用条件 如§30.1.3 的三层光谱所述，硬编码合规守住不可妥协的安全底线，参数化合规调整需随市场条件灵活变化的运营规则，而并非所有的监管需求都适合通过事前限制的方式来实现。在某些场景下，事前限制不仅难以在技术上精确定义，还可能对系统的正常运行和市场效率造成严重的负面影响。对于这类需求，报告性合规提供了一种更为优越的工程解法，即将合规从行为约束转变为基于链上数据的事后监控与自动审计。 报告性合规的核心逻辑在于，不限制参与者的具体行为，而是确保所有行为的可见性、可追溯性和可分析性。这种机制特别适用于四类核心场景。第一类是交易监控与异常检测。在复杂的金融市场中，诸如洗售交易、价格操纵或内幕交易等恶意行为，往往难以通过简单的规则在交易发生前进行拦截。强行实施事前拦截极易导致误判，从而阻碍正常的做市和套利活动。第二类是储备证明。证明协议持有的资产足以覆盖用户负债，是一个需要持续验证的系统状态，而非可以通过单一参数控制的静态指标。第三类是风险披露。向市场参与者实时展示系统的整体风险敞口和个体账户的清算距离，属于信息可及性范畴，其价值在于降低信息不对称而非直接限制交易。第四类是监管报告。向监管机构提供系统运行的完整数据记录，是满足合规审计要求的基础。 在这四类场景中，报告性合规充分利用了区块链技术的底层特性。链上数据的不可篡改性确保了历史记录的真实性，而数据的全局可见性则打破了传统金融系统中普遍存在的数据孤岛。通过将这四类需求转化为对链上数据的结构化提取与自动化分析，报告性合规不仅降低了系统的运行摩擦，还在合规的深度和广度上实现了对传统外部强制模式的超越。 ### 30.4.2 交易监控与异常检测 传统中心化交易所的交易监控高度依赖于内部数据系统，监管机构在进行审计时，只能获取交易所选择性提供的数据快照或汇总报告。这种架构存在系统性的信息不对称：数据的完整性和真实性完全取决于中心化机构的诚实度。相比之下，链上系统在交易监控方面具有架构层面的天然优势。所有的订单提交、成交记录、资金划转以及清算事件，均以密码学证明的形式永久记录在分布式账本上。对于完全上链的系统而言，这种近乎完整的数据覆盖率，使得交易监控系统能够高精度地还原历史市场状态（对于核心状态运行于共识层或链下的混合及应用链架构，其覆盖程度取决于该状态的可观测性）。 基于这种高精度的数据基础，自动化异常检测模型的有效性得到了显著提升。在链上环境中，每一笔交易都与特定的密码学地址绑定，资金的流转路径完全透明。通过应用机器学习算法和图网络分析技术，监控系统可以自动识别出复杂的市场操纵模式。例如，同一地址或关联地址群在极短时间内反复在买卖两侧进行交易，系统可以迅速将其标记为潜在的洗售交易；或者在某项重大协议升级或治理提案公布前，特定地址建立了与其历史行为严重不符的大额杠杆头寸，这种模式可以被实时捕获并标记为内幕交易嫌疑 [22]。这种自动化的检测机制不需要在交易执行的共识路径中引入额外的延迟，而是在数据落链后由独立的监控节点异步完成。然而，链上异常检测的精确度仍面临固有的技术瓶颈。在订单簿环境中，做市商合法的双边报价活动与洗售交易在链上数据形态上高度相似，两者都表现为同一实体在买卖两侧的频繁交易。此外，洗售交易者可以通过创建大量互不关联的地址来规避关联分析，这种 Sybil 攻击使得基于地址聚类的检测方法面临根本性的准确率约束。链上透明性提供了完整的数据基础，但从数据到可靠的违规判定之间仍存在显著的分析鸿沟。 更为重要的是，链上数据的开放性催生了一种全新的合规范式，即众包合规。在传统框架下，交易监控是监管机构或交易所内部合规部门的专属特权。而在链上系统中，任何人，包括独立研究人员、竞争对手、数据分析公司甚至普通用户，都可以获取完整的交易数据集并运行自己的监控算法。这种分布式的监督机制显著提高了恶意行为被发现的概率。当合规不再是单一中心化实体的独家责任，而是演变为整个社区参与的公共活动时，系统的整体抗作恶能力便实现了显著提升。然而，众包监控的有效性受到搭便车问题的制约：当所有人都可以监控时，每个个体缺乏付出监控成本的经济激励，结果可能是无人进行系统性的深度分析。为了使众包合规从理论优势转化为实际效果，需要配套设计经济激励机制，例如针对有效举报的奖金池和要求举报者质押保证金以抑制恶意误报。 ### 30.4.3 储备证明的自动化 在中心化加密货币交易所的发展历程中，储备证明机制的演进深刻反映了信任架构的变迁。早期的中心化交易所完全依赖声誉背书，直到一系列挪用客户资产的严重事件发生后，行业才开始广泛采用基于默克尔树的储备证明。然而，这种由中心化机构自愿发起的储备证明存在着显著的局限性。它通常只能证明在特定的时间快照下，交易所控制的已知链上地址中包含了特定数量的资产，但无法证明这些资产在快照之外的时间点未被挪用，更难以完全排除交易所存在隐性负债的可能性 [23]。本质上，中心化交易所的储备证明是一项离散的审计活动，而非系统架构的内在属性。 链上金融系统通过智能合约的自托管特性，重构了储备证明的实现逻辑。在完全上链的架构中，用户的资产余额和协议的总储备量都是公开可查的全局状态变量。任何人无需依赖第三方审计机构的报告，也无需等待交易所发布季度快照，只需查询智能合约的状态，即可在任何时刻独立计算出系统的总负债与总资产，并验证后者是否大于或等于前者。这种验证过程的边际成本趋近于零，且不受任何中心化实体的控制。 值得注意的是，中心化交易所也在积极借鉴链上技术以改进自身的储备证明机制。Binance 于 2022 年 11 月推出基于 Merkle tree 的储备证明，并于 2023 年 2 月引入 zk-SNARK 加以增强，形成 Merkle tree 与 zk-SNARK 结合的混合方案，用户可以通过验证自身叶节点在 Merkle 树中的路径来确认其资产被纳入总储备计算，而零知识证明则用于证明所有用户余额均为非负值且总和与链上地址余额一致。OKX（采用 zk-STARK）也推出了基于零知识证明的方案，Bybit 等则提供基于 Merkle tree 与第三方审计的可验证储备方案。这一趋势表明，链上系统在储备透明度上建立的技术标准正在向中心化机构反向输出，推动整个行业的合规基线提升。然而，CEX 的 zk-PoR 方案仍然依赖交易所主动发起证明且无法覆盖隐性负债，其架构层面的局限性与链上系统的持续性保证存在本质差异。 因此，链上系统的储备证明实现了从一次性审计向持续性保证的跨越。数据本身就是持续的、不可篡改的记录，证明过程被自动化地嵌入到数据读取的逻辑中。只要底层区块链的共识机制未被破坏，智能合约中记录的储备数据就具有高度的确定性。这种架构级别的保证，大幅压缩了中心化机构在资产负债表上数据造假的操作空间，使得储备透明度成为系统固有的默认属性。 上述储备证明的描述主要适用于现货托管协议，其负债计算相对简单，即总资产不低于总存款即可。然而，对于永续合约等衍生品协议，储备证明的工程实现远为复杂。衍生品协议的“总负债”不仅包括用户的保证金余额，还必须纳入所有活跃仓位的未实现盈亏、待结算的资金费率以及保险基金已承担的穿仓损失。由于未实现盈亏随标记价格实时变化，精确的负债计算需要在每个时间点遍历所有活跃仓位并以当前标记价格重新估值。这意味着衍生品协议的储备证明并非简单的状态查询，而是一个涉及全局状态遍历和实时估值的计算密集型过程，其工程复杂度和计算开销不容低估。 ### 30.4.4 风险披露的实时化 风险披露是消费者保护的核心要求之一。在传统的衍生品交易平台中，风险披露往往以后置的静态报告或开户时的免责声明形式存在。交易者在持有复杂头寸时，很难直观地评估自身面临的实时风险暴露，尤其是在市场剧烈波动导致保证金要求动态变化的情况下。链上系统的报告性合规机制，通过将底层状态数据转化为面向交易者的实时视图，构建了一种动态风险报告体系。 这种实时化的风险披露涵盖了多个关键维度。系统可以精确计算并展示交易者当前的保证金率，以及距离触发强制清算的具体价格距离。如果基础资产价格发生特定幅度的不利变动，交易者可以精确计算当前持仓距离清算触发价格的百分比距离。此外，系统还能实时展示保险基金的当前余额及其占总未平仓合约量的比例，这使得交易者能够评估系统在极端行情下吸收穿仓损失的能力 [19]。在自动减仓机制的框架下，交易者甚至可以实时查看自己在减仓队列中的排位，从而对潜在的被动平仓风险做出预判。 提供这些高颗粒度的实时数据，在本质上超越了传统意义上为满足监管检查而进行的被动合规。它构成了对交易者负责任的信息提供机制，直接提升了系统的透明度和用户体验。通过将隐藏在撮合引擎和清算逻辑深处的复杂状态转化为直观的风险指标，链上系统在信息可及性这一关键维度上实现了对中心化交易所的结构性改进，使交易者能够在充分知情的前提下进行风险管理。 ### 30.4.5 监管接口 传统金融合规模式中，监管机构与被监管实体之间存在着持续的博弈与摩擦。监管机构需要定期派遣审计人员进入机构内部，或者要求机构按照特定格式提交繁琐的合规报告。这种模式不仅耗费了大量的合规成本，而且存在严重的时滞性，往往在系统性风险已经爆发后，监管机构才能通过事后审查发现问题的端倪。 链上系统为解决这一困境提供了一种全新的技术路径：面向监管者设计标准化的监管接口。其核心理念是，与其让监管者费时费力地来检查系统，不如由系统主动、实时地向监管者汇报其运行状态。通过开放特定的应用程序编程接口，监管机构可以随时拉取系统的全局持仓量、清算队列分布、保险基金充足率以及特定资产的保证金覆盖率等关键指标。这种机制消除了信息不对称，因为监管者通过接口读取的数据与系统实际运行的状态是完全同源且同步的。 图 30-4 呈现报告性合规从数据采集、自动审计到面向交易者、公众与监管机构三类受众输出的端到端技术管线，全程由代码驱动，消除了传统合规流程中对人工数据整理与报告编制的依赖。 ![图 30-4](./images/fig-30-4.png) **图 30-4.** 报告性合规从数据采集、自动审计到面向交易者、公众与监管机构输出的三段管线 [3][22] 这种基于接口的自动化报告机制带来了多重显著收益。它显著降低了协议的运营合规成本，因为报告的生成完全由代码驱动，无需人工干预。同时，监管机构获得了与系统状态同步的实时洞察力，能够在风险累积阶段及时发出预警，而非仅仅在事后进行追责。当然，这一机制的广泛应用仍面临工程挑战，特别是不同司法管辖区的监管机构对数据格式和颗粒度的要求存在差异，这就需要行业共同推动监管数据接口的标准化建设。此外，如何在向监管机构提供充分透明度的同时，利用零知识证明等密码学技术保护普通交易者的隐私，也是报告性合规在下一阶段需要重点突破的技术方向。 报告性合规的有效性依赖于链上数据的全局可见性，但这种可见性与用户隐私之间存在结构性冲突：监管机构对交易者身份和资金来源的穿透性要求，与交易者对财务隐私的基本需求之间的矛盾，不能通过简单的取舍来解决，而需要密码学层面的技术调和，下一节将专门处理。 ## 30.5 隐私与合规的技术调和 将合规规则嵌入链上系统的过程面临一个核心张力：监管机构要求对参与者身份和资金流向的完全穿透，而公有链的全局可见性使得任何身份关联都将暴露用户的全部交易历史。这种隐私保护与合规要求之间的矛盾，在传统框架下只能通过二选一的方式处理。零知识证明技术的成熟为调和这一矛盾提供了工程路径，使交易者能够在不暴露底层身份数据的前提下，向系统证明其满足特定合规条件。 ### 30.5.1 合规与隐私的结构性冲突 传统金融监管体系的基石在于对参与者身份的完全掌握，而加密资产市场的原生设计则建立在去中心化与伪匿名性之上。这种架构层面的差异导致了 KYC 要求与交易者对隐私保护需求之间的结构性冲突。监管机构的逻辑起点是信息透明，即通过收集、存储和监控交易者的个人身份信息与资金流向，以防范洗钱、恐怖融资和逃避制裁等非法活动。在这一框架下，任何阻碍信息穿透的技术或机制均被视为潜在的合规风险，匿名交易因此成为监管干预的首要目标。 然而，在公有链的透明账本上直接实施传统的信息收集模式，将带来严重的隐私泄露风险。公有链的全局可见性意味着，一旦用户的真实身份与链上地址绑定，其所有的历史交易、资产余额、交互协议甚至资金流向模式都将对所有人公开。这种强制性的透明度不仅暴露了交易者的商业机密与交易策略，更使其面临针对性的网络攻击、钓鱼诈骗甚至现实世界的人身安全威胁。因此，交易者采用混币器、隐私币或多重地址等手段来切断身份与链上活动的关联，并非必然出于非法目的，而是为了在透明账本上重建基本的财务隐私。 这种合规与隐私的对立在现行监管政策中表现得尤为明显。欧盟通过的加密资产市场法规要求加密资产服务提供商必须能够识别具有内置匿名化功能的资产持有者及其交易历史，否则平台必须阻止此类资产的交易 [24]。同样，美国财政部海外资产控制办公室对 Tornado Cash 的制裁，也反映了监管层将匿名性直接等同于非法金融工具的倾向 [25]。然而，这一立场的法律基础已受到司法挑战。2024年11月，美国第五巡回上诉法院在 Van Loon 诉财政部案中裁定，OFAC 对 Tornado Cash 不可变智能合约的制裁超越了其法定权限，理由是不可变的智能合约不构成《国际紧急经济权力法》下的“财产”。这一判决为嵌入式合规的法律定位提供了重要先例，即不可变的链上合规逻辑可能不受与可变系统相同的制裁审查框架约束，但同时也引发了关于“不可变性”在可升级代理合约架构下如何界定的新问题。这种非此即彼的二元对立使得链上金融面临两难选择：要么为了满足合规要求而完全放弃隐私，使公有链降级为一种高风险的透明数据库；要么为了保护隐私而拒绝合规，从而将自身边缘化于主流金融体系之外。 ### 30.5.2 零知识证明的合规应用 密码学技术的演进，特别是零知识证明的成熟，为调和合规与隐私的矛盾提供了工程学上的解法。零知识证明允许证明者向验证者证实某一陈述的真实性，而无需透露除该陈述为真之外的任何额外信息。在链上金融的合规场景中，这一特性实现了从“信息披露”向“事实验证”的范式转变：交易者可以向智能合约或监管节点证明自己满足了特定的合规条件，而无需提交任何底层的身份数据或交易明细。 这种“证明而不暴露”的机制显著改变了合规信息的处理逻辑。以反洗钱审查为例，传统模式要求用户向平台提交护照、地址证明及资金来源记录，由平台人工审核并存储这些敏感数据。而在基于零知识证明的框架下，用户只需在本地生成一个密码学证明，证实“我不是受制裁国家的公民”或“我的资金来源不包含被标记的高风险地址”。智能合约作为验证者，只需通过数学计算确认该证明的有效性即可放行交易，整个过程不涉及任何具体国籍或历史交易记录的链上转移与存储。 一项基于蒙特卡洛仿真的研究（Decker, 2025，SSRN 预印本，未经同行评审）估计，基于零知识证明的了解你的客户（Know Your Customer, KYC）验证框架可将暴露的用户数据量减少约97%，并在与人工智能模型结合后于其设定的仿真场景中达到约96.7%的异常交易检测准确率 [26]。需要说明的是，这些数字源自单一、未经独立复现的模拟研究；且零知识证明本身约束的是数据暴露范围，并不直接提升检测准确率（后者取决于所结合的 AI 模型）。这种技术不仅在隐私保护层面具有显著优势，更在系统安全性上消除了中心化机构作为数据蜜罐的单点故障风险。由于合规验证被转化为纯粹的数学运算，链上金融系统能够在架构层面内建合规要求，而无需承担保管海量敏感个人信息的法律与安全责任。这是链上金融在合规机制设计上超越传统金融体系的核心维度。 需要诚实地界定零知识证明合规方案的适用边界。当前阶段，零知识证明能够有效满足的合规义务主要集中在准入环节，包括制裁名单筛查、合格投资者身份验证和基本的反洗钱风险评级。然而，完整的反洗钱与反恐怖融资合规义务远不止于准入审查。金融行动特别工作组的“旅行规则”要求在虚拟资产转账中传递发送方和接收方的身份信息，这与零知识证明“证明而不暴露”的核心逻辑存在结构性冲突。持续的交易监控义务要求合规主体能够访问底层交易数据以识别可疑模式，而可疑交易报告的主动提交义务更要求将特定交易的详细信息披露给监管机构。这些义务在现有技术框架下尚无法通过纯零知识证明方案满足。承认这一边界并非削弱零知识证明的价值，而是为其工程应用划定了现实的适用范围，避免过度承诺导致的监管信任损耗。 图 30-5 呈现这一“证明而不暴露”机制在链上系统中的完整工作流程：链下由受信任的 KYC 提供商核实身份并签发仅含特定属性声明的加密凭证，用户在本地据此生成零知识证明，链上智能合约仅以数学运算确认证明有效性即放行交易，全过程不涉及任何身份信息的链上传输或存储。 ![图 30-5](./images/fig-30-5.png) **图 30-5.** 基于零知识证明的合规凭证工作流程 [26]（图中 97%/96.7% 为 Decker 2025 单一仿真估算，未经同行评审） ### 30.5.3 合规凭证的设计 为了将零知识证明的理论优势转化为可执行的工程方案，系统需要引入模块化的“合规凭证”设计。这种设计遵循最小必要信息原则，即将复杂的身份属性解构为独立的、可单独验证的声明，从而避免传统身份认证中“全有或全无”的数据打包式提交。合规凭证的生命周期涵盖颁发、验证和撤销三个关键环节，构成了一个闭环的链上身份管理体系。 在颁发环节，受信任的链下实体（如持牌的 KYC 提供商或政府机构）负责对用户的真实身份进行核实。核实完成后，该实体不会将用户的身份信息上链，而是为其签发包含特定属性声明的加密凭证，并用其私钥对凭证进行数字签名。这些凭证通常存储在用户的本地钱包中，由用户完全掌握控制权。例如，一个凭证可能仅包含“该用户已通过一级反洗钱审查”或“该用户为合格投资者”的声明，而不包含姓名、身份证号等冗余信息。 在验证环节，当用户尝试与受合规约束的智能合约进行交互时，合约会提出特定的属性要求。用户利用本地存储的凭证生成零知识证明，证实自己持有由受信任发行方签发的、满足合约要求的有效凭证。智能合约验证该证明的数学正确性以及发行方的签名有效性，若两者均通过，则自动授权交易执行。整个验证过程在链上完成，实现了合规检查的去中心化与自动化。 撤销机制是合规凭证设计中不可或缺的安全底线。当用户的合规状态发生变化（如被列入制裁名单或凭证过期）时，发行方需要能够使已颁发的凭证失效。这通常通过维护一个链上的撤销注册表或累加器来实现。在生成零知识证明时，用户不仅需要证明凭证的有效性，还必须同时证明该凭证未被包含在最新的撤销列表中。这种设计确保了合规状态的动态更新能力，同时维持了验证过程的去中心化特性。 ### 30.5.4 工程挑战与进展 尽管零知识证明在理论上完美调和了隐私与合规的矛盾，但在实际的工程落地中仍面临显著的技术与经济挑战。首要的瓶颈在于计算开销与证明生成时间。生成零知识证明是一个高度计算密集型的过程，对于包含复杂合规逻辑的电路，在移动设备或普通个人电脑上生成证明可能需要数秒甚至数分钟。这种延迟在要求高频、低延迟执行的交易场景中是不可接受的。此外，验证证明虽然相对轻量，但在以太坊等主网上执行验证逻辑仍需消耗可观的计算资源，从而推高了用户的交易成本。 电路设计的复杂性构成了另一重工程障碍。将复杂的法律法规和合规要求转化为零知识证明电路中的数学约束，需要跨越法学与密码学两个截然不同的专业领域。电路中的任何逻辑漏洞都可能导致合规机制被绕过，且这种绕过由于零知识的特性而极难被事后发现。因此，合规电路的开发、审计和形式化验证成本较高，限制了其快速迭代与广泛部署。 尽管挑战重重，业界在隐私保护合规领域的探索已取得实质性进展。Polygon ID 作为首个允许用户使用链下凭证生成零知识证明的身份解决方案，构建了一个完整的可验证凭证生态系统，使去中心化应用能够在不收集用户数据的前提下实施访问控制 [27]。与此同时，zkMe 等项目推出的完全去中心化 zkKYC 解决方案，进一步将身份验证的信任假设最小化，通过去中心化预言机网络和多方计算技术，确保了凭证颁发过程的抗审查性与隐私性 [28]。这些工程实践表明，基于零知识证明的嵌入式合规正在从概念验证阶段走向规模化应用，为构建既满足监管要求又捍卫用户隐私的下一代链上金融基础设施奠定了技术基础。 ## 30.6 治理层的工程设计 当合规规则被硬编码或参数化地嵌入智能合约中时，系统获得了不可篡改的安全感，但也同时丧失了应对未知风险和适应监管变化的灵活性。如果在设计阶段未能为这些规则提供安全的升级通道，系统将因为过度刚性而在快速演化的市场环境中失去可用性。这一困境引出本节的核心问题：如何在一个追求无需信任的架构中，设计既能保证不可篡改性又能实现安全升级的治理机制？ ### 30.6.1 不可篡改与需要升级 智能合约的核心价值主张是不可篡改性，即代码一旦部署，其执行逻辑不受任何中心化实体的干预。在链上金融系统中，这种特性是建立用户信任的基石，因为它消除了运营者挪用资产或单方面修改清算规则的风险。然而，完全不可篡改的系统在工程实践中被证明是脆弱的。金融市场的复杂性、智能合约潜在的代码漏洞以及不断演进的监管要求，共同构成了对系统可升级性的刚性需求 [29]。 这一矛盾在合规规则的嵌入过程中表现得尤为突出。硬编码合规（如绝对杠杆上限和资产隔离逻辑）虽然提供了最高级别的确定性，但一旦发现逻辑缺陷或面临极端市场条件，如果缺乏升级机制，这些保护措施反而可能成为系统崩溃的诱因。例如，当底层区块链的运行环境发生变化，或者监管机构对特定资产的合规标准进行调整时，完全不可变的合约将迫使整个系统进行破坏性的硬分叉或资产迁移 [29]。 因此，治理层的工程设计本质上是对权力分配的精确校准。赋予管理员密钥无限制的升级权限，意味着退回到传统中心化交易所的信任模型；而完全放弃升级能力，则将系统置于无法修复的危险境地。在无需信任的架构蓝图中，治理层（第五层）必须作为静态代码与动态现实之间的连接层。这要求将治理本身转化为一种可验证的链上过程，使每一次规则的修改或参数的调整都受到密码学和博弈论机制的严格约束。 ### 30.6.2 时间锁-紧急权力的二元架构 为了在不可篡改与灵活响应之间取得平衡，链上治理在工程实践中形成了一种二元架构：由时间锁控制的常规治理路径，与由多重签名委员会掌握的紧急权力路径。这种设计承认了常规运营升级与极端风险响应在时间敏感性上的根本差异，并为两者配置了不同的安全保障机制 [30]。 图 30-6 对照治理二元架构的运行逻辑：常规路径经社区投票、时间锁延迟后执行，供公开审查与异议用户撤资退出；紧急路径由多签委员会绕过时间锁即时执行防御性操作，并触发强制事后公开披露。图中系统对比了两条路径的触发条件、权限边界与问责机制。 ![图 30-6](./images/fig-30-6.png) **图 30-6.** 时间锁与紧急权力的治理二元架构 [30][31] 常规治理路径适用于参数调整、新功能部署和非紧急的代码升级。在这一路径中，时间锁机制发挥着核心防御作用。当治理提案获得通过后，其执行代码并不会立即生效，而是被置于一个强制的等待期（通常为48小时左右，如 Compound 即为48小时，部分协议更长）内。这一延迟设计具有双重目的：一方面，它为社区提供了审查即将执行代码的窗口，确保提案内容与实际执行逻辑一致；另一方面，如果部分用户不认同该项变更，时间锁为他们提供了充足的时间撤回资金并退出系统 [31]。在时间锁期间，如果发现提案存在恶意代码或严重漏洞，社区可以通过预设的否决权机制取消该次执行。 紧急权力路径则专门用于应对零日漏洞攻击、严重的预言机失效或极端市场崩盘等需要立即干预的场景。在这些情况下，48小时的延迟可能导致系统资金被完全抽干。因此，架构中通常会设置一个由多重签名控制的紧急委员会，该委员会被授予在特定条件下绕过时间锁、即时执行诸如系统暂停、参数熔断等防御性操作的权力 [32]。 然而，紧急权力的存在不可避免地引入了中心化风险。为了限制这种权力被滥用，工程设计必须施加严格的约束条件。紧急委员会的权限范围通常被硬编码限制在防御性操作上（如只能暂停提款，不能转移资金）。更重要的是，任何紧急权力的行使都必须触发事后的公开披露与追溯审计程序。如果社区在事后审查中认定紧急操作是不当的，可以通过常规治理路径撤换委员会成员或恢复系统状态。这种“事前授权、事后问责”的机制，构成了二元架构中保障信任底线的关键。 在多协议可组合的链上金融生态中，紧急暂停机制还面临一个超越单一协议边界的风险维度：跨协议的溢出效应。当一个协议暂停清算功能时，依赖该协议价格信号的其他协议可能出现预言机数据中断；当一个协议暂停提款时，将该协议资产用作抵押品的其他协议可能因抵押品冻结而触发连锁清算。为了最小化这种溢出影响，紧急暂停的工程设计应采用分级策略，按功能模块实施差异化限制，而非全局性停机。例如，在面临攻击时可以仅暂停新开仓但保留平仓和提款功能，在预言机失效时可以仅冻结依赖该预言机的特定交易对而非整个系统。这种分级暂停的粒度控制，是紧急权力架构在可组合生态中保持有效性的关键设计要素。 ### 30.6.3 代理合约模式与治理约束 “硬编码”要求规则不可违反，而“可升级”要求规则能够适应变化。这两个看似矛盾的需求在现代智能合约工程中通过代理合约模式得到了调和。代理模式将系统的状态（如用户的保证金余额）与业务逻辑（如具体的合规规则）分离到两个独立的合约中 [33]。 用户始终与代理合约进行交互，代理合约通过底层的 delegatecall 指令将所有的函数调用转发给实现合约。实现合约包含了所有的硬编码规则和业务逻辑。在日常运行中，实现合约的地址被固定在代理合约的存储槽中，此时所有的规则都表现出完全的刚性，任何人都无法绕过或违反这些硬编码的约束。 当硬编码规则确实需要更新时，系统可改写代理合约中存储的实现合约地址指针，使其指向包含新规则的全新实现合约（图 30-7）。用户的所有交互始终指向地址不变的代理合约，由后者通过 delegatecall 将调用转发至当前实现合约；升级仅需修改该实现地址指针，即可在不迁移用户资产和状态数据的前提下整体替换业务逻辑。 ![图 30-7](./images/fig-30-7.png) **图 30-7.** 代理合约模式的可升级硬编码架构 [33] 为了防止升级权限被滥用并破坏硬编码的信任基础，升级过程必须受到治理层的严格控制，这正是上一节讨论的时间锁与紧急权力二元架构的核心应用场景：升级提案在获批后须经上节所述的强制时间锁延迟、多重签名授权与否决程序约束方能生效，不再赘述其机制细节。通过这种代理模式与治理约束的结合，链上系统实现了日常操作的刚性与长期演进的灵活性之间的平衡。规则在每一个具体的时刻都是硬编码且不可违反的，但在拉长的时间维度上，系统又具备了通过严格共识程序进行迭代演进的能力。需要指出的是，代理合约模式的引入使得“硬编码”一词在本章的语境中具有两个层次的含义：一是“绝对硬编码”，即写入代理合约自身逻辑、不可通过任何升级机制修改的约束，例如资产移动的根本权限结构；二是“版本硬编码”，即在当前实现合约版本中不可违反、但可通过治理升级替换新实现合约来修改的约束。三层合规光谱中讨论的“硬编码合规”实际上涵盖了这两个层次，在评估具体协议的合规保证强度时，需要区分其关键规则属于哪一层次。 ### 30.6.4 治理攻击与防御 随着治理代币在去中心化金融中被广泛采用，治理层本身已成为攻击者获取系统控制权并掠夺资金的新型向量。与利用代码漏洞的技术攻击不同，治理攻击完全遵循系统设定的规则，通过合法获取的投票权来通过恶意提案。理解这些独特的威胁模型，是设计有效防御机制的前提。 图 30-8 梳理主要的治理攻击向量（闪电贷投票、大户操控、串通贿选）与其对应的架构防御（快照投票、时间锁）、机制防御（二次方投票）、经济防御（治理保险）三层递进安全屏障。 ![图 30-8](./images/fig-30-8.png) **图 30-8.** 治理攻击的威胁模型与多层防御体系 [34][35] 闪电贷投票攻击是当前治理层面临的高危威胁。攻击者利用借贷协议提供的无抵押闪电贷，在单一区块内借入巨量治理代币，瞬间获得压倒性的投票权，通过恶意提案（如将国库资金转移至攻击者地址）并执行，随后在同一区块内归还贷款（2022 年 4 月 Beanstalk 事件即以此手法被抽走约 1.82 亿美元）[34]。这种攻击利用了传统投票机制在时间维度上的盲区。 针对闪电贷攻击，第一层架构防御通常采用快照投票与时间锁的组合。快照机制要求系统在提案创建的前一个区块记录所有地址的代币余额，并以此作为投票权重的基础。由于闪电贷的借入和归还必须在同一个区块内完成，快照机制使得攻击者无法利用闪电贷资金影响历史区块的投票权重。需要指出的是，快照仅能中和单区块的闪电贷变体；跨多个区块借入或现货购入后再投票的攻击仍然可行，这正是时间锁与否决权必须作为实际后盾的原因。此外，时间锁机制打破了投票和执行的同步性，使得即使攻击者设法通过了恶意提案，也必须等待延迟期结束才能执行，这不仅增加了攻击的资金成本，也为防御者提供了干预的窗口 [35]。 大户操控和串通贿选则构成了另一种长期的治理威胁。当少数实体掌握了足以决定提案结果的代币份额时，系统的决策过程将降级为寡头决策。为了缓解这一问题，二次方投票作为一种机制防御被引入。二次方投票最初由 Lalley 与 Weyl 提出[36]：参与者分配给某一选项的选票数量的平方等于其消耗的投票积分或代币成本 [37][38]。这种非线性的成本函数显著增加了囤积选票的边际成本，使得少数大户难以轻易压倒众多散户的共同意愿，从而在一定程度上恢复了治理的平衡。然而，二次方投票的理论效果在实践中受到投票参与率的严重制约。主流 DAO 治理的投票参与率通常低于10%，在低参与率的环境下，大户即使面临非线性的投票成本，仍然可以用相对较小的投入主导投票结果。此外，二次方投票在链上的有效性还取决于抗女巫的唯一身份层：若缺乏身份验证，大户可将持仓拆分至大量地址以规避二次方成本，这也是纯代币加权的二次方投票较少被用于高价值 DeFi 国库决策的原因。因此，二次方投票需要与抗女巫身份层及提升参与率的配套机制（如委托投票、投票激励）共同部署，才能真正发挥其设计意图。 在架构防御和机制防御之外，经济防御（如治理保险）构成了最后一道防线。当攻击者成功绕过前两层防御并造成损失时，预设的保险基金可以用于补偿受损用户，防止系统信任的全面崩溃。这三层防御共同构成了一个多层防御体系，显著提高了发起治理攻击的难度和成本。 ### 30.6.5 渐进式去中心化的治理路线图 在链上金融系统的生命周期中，治理架构并非一成不变。系统在上线初期的脆弱性与长期追求的无需信任目标之间存在显著张力。如果在代码尚未经过充分实盘验证、经济模型尚未达到均衡时就过早地将控制权移交给社区，系统将面临较高的安全风险和协调失效。为了解决这一路径问题，工程实践中发展出了“渐进式去中心化”的理念 [39]。综合 Walden 的这一思想与业界工程实践，本书将治理权力的移交归纳为一个结构化的、多阶段的转型过程（需说明：以下“团队控制—多签委员会—完全 DAO”的具体三阶段划分及时间锁机制是本书的工程综合，而非 Walden 原文的框架）。 图 30-9 呈现渐进式权力交接的三阶段结构——团队控制期、多签委员会期、完全社区治理期，去中心化程度依次递增，下文逐阶段展开其权力边界与过渡条件。 ![图 30-9](./images/fig-30-9.png) **图 30-9.** 渐进式去中心化的三阶段路线图 [39][40]（概念示意，阶段时长无统一标准） 第一阶段为团队控制期，通常涵盖系统上线后的初期阶段（具体时长视项目而定，常见为数月至约一年，并无统一标准）。在此阶段，核心开发团队保留了对智能合约升级和关键参数调整的单方面控制权。这种高度集中的权力结构旨在最大化系统的迭代速度和应对突发事件的响应能力。当系统面临未知漏洞或经济攻击时，团队可以立即部署修复补丁，而无需经历漫长的社区讨论和投票流程。这一阶段的核心目标是验证系统架构的稳定性和产品市场契合度，而非追求形式上的去中心化。然而，为了向用户提供基本的信任保证，团队通常会公开承诺其权力边界，并定期发布安全审计报告。 随着系统规模的扩大和运行逻辑的稳定，治理架构进入第二阶段，即多签委员会期。在这一阶段，团队开始主动削减自身的单方面控制权。管理员密钥被转移给一个由核心团队成员、早期投资者、知名安全专家和社区代表共同组成的多重签名委员会。任何涉及系统升级或参数修改的操作，都必须获得委员会中多数成员的签名授权，并强制通过时间锁延迟执行 [40]。这一机制设计不仅消除了单点故障的风险，也为社区监督提供了时间窗口。同时，社区开始被赋予对非关键参数的提案权和投票权，作为未来全面接管治理的预演。 当系统达到高度成熟、代币分配充分分散且核心功能已固化时，治理架构最终过渡到第三阶段，即完全社区治理期。在这一终局状态下，多签委员会的特权被完全撤销，所有升级权限和参数调整权均转移至由代币持有者控制的 DAO。智能合约的任何修改都必须严格遵循链上提案、投票、时间锁执行的标准化流程。此时，核心团队退居为众多协议贡献者之一，不再享有特殊权限。这种渐进式的权力交接路径，确保了系统在从“受信任的运营者”向“无需信任的协议”演进的过程中，始终保持工程层面的稳健性。 然而，渐进式去中心化的理论优雅性在实践中面临严重的承诺可信性问题。核心团队在系统上线初期承诺未来放弃控制权是容易的，但当去中心化意味着实际放弃调整费率、管理国库和主导协议方向的经济特权时，团队面临强烈的时间不一致性激励来无限期延长第一或第二阶段。现实中，大量区块链项目在“渐进式去中心化”的名义下从未完成权力移交，渐进式去中心化的路线图沦为延续中心化控制的话术工具。为了解决这一承诺问题，工程设计可以引入不可逆的去中心化里程碑，例如在智能合约中预设基于时间或系统规模阈值的自动权限缩减逻辑，当系统总锁定价值超过特定阈值或运行时间超过预定期限后，管理员权限自动降级，且该降级逻辑本身不可被升级权限覆盖。 ### 30.6.6 Hyperliquid 治理审计 在评估链上系统的治理状态之前，有必要将其与中心化交易所的治理结构进行对照。传统 CEX 的治理权力集中于公司董事会与内部合规委员会，参数调整（如保证金率变更、上币决策）由管理层单方面执行，用户既无投票权也无事前知情权。CEX 的外部约束主要来自监管牌照条件与法律追责，而非架构层面的权力制衡。相比之下，链上治理通过代币投票赋予利益相关者直接参与权，时间锁机制确保变更的透明性与可预见性，多签结构消除了单点决策风险。这种从“机构自律”到“架构约束”的治理范式差异，构成了评估 Hyperliquid 等链上系统治理成熟度的基本参照系。 将上述治理理论框架应用于 Hyperliquid 这一具体的链上衍生品交易基础设施，可以清晰地评估其当前的治理状态与理想去中心化目标之间的差距。作为构建在定制化应用链 HyperEVM 上的系统，Hyperliquid 的治理设计不仅涉及智能合约层面的参数调整，更深入到共识层的验证者机制。 在架构层面，Hyperliquid 的治理核心依赖于 HYPE 代币的质押与验证者投票机制。根据其公开的路线图与链上数据，该系统目前正处于渐进式去中心化的第二阶段向第三阶段过渡的关键时期 [41]。在其发展初期，网络共识由极少数核心节点维持，这赋予了团队快速迭代共识算法 HyperBFT 和清算引擎的能力。随着系统的成熟，治理结构经历了显著的去中心化推进。验证者节点数量从最初由基金会运营的少数节点（约4–5个）扩展至21个活跃验证者（2025年4月起的无许可验证者集合），并于2025年末至2026年中进一步扩容至约27个；其无许可参与机制是允许质押量排名进入活跃集合规模上限（当时为前21名）的节点自动入选。然而，验证者数量的增加并不等同于去中心化程度的实质提升。如果少数实体控制了超过三分之一的质押权重，即足以破坏其拜占庭容错保证；真正的去中心化程度应以持有超过三分之一质押的实体数量（即中本聪系数）来衡量，而非名义上的验证者数量。质押集中度数据的公开披露本身就是 Hyperliquid 治理透明度待改进的重要方向。 对 Hyperliquid 当前治理状态的审计揭示了几个亟待解决的工程挑战。首先，在投票权力的分布上，尽管引入了质押权重机制，但如果代币高度集中在少数早期参与者手中，系统仍面临大户操控的威胁。为了缓解这一风险，系统需要进一步探索诸如二次方投票等非线性权重机制，以增强广大散户在治理中的话语权。其次，紧急权力的实际行使已经对§30.6.2提出的理论框架构成了直接检验。2025年3月的 JELLY 永续合约事件中，Hyperliquid 验证者在发现大额市场操纵后，以紧急投票的方式冻结了 JELLY 永续合约的交易，并以有利于 HLP（做市）金库的价格（约0.0095美元，而非被操纵至约0.50美元的市场价）对相关仓位进行了强制结算。这一操作在事实上超越了§30.6.2所定义的“防御性操作”范畴：暂停交易属于防御性措施，但单方面决定结算价格则涉及对用户财产的直接处分。该事件引发了社区的激烈争论：验证者是否有权在保护系统偿付能力的名义下行使准司法裁判权？事后虽然 HLP 金库的损失得到了控制（该金库最终甚至录得小幅盈余），但社区问责机制的缺位（无正式的事后审查流程、无独立的操作审计报告）暴露了紧急权力框架在“事后问责”环节的工程空白。JELLY 事件表明，紧急权力的边界不能仅通过预定义的操作类型来限定，还需要建立操作后的强制性审查与社区追认程序。 此外，在紧急响应机制的更广泛设计上，如何在确保网络安全的同时，提高紧急操作的透明度与事后问责能力，是当前治理架构需要优化的重点。2025 年 12 月关于将 Assistance Fund 中约 3700 万枚 HYPE（占流通量 13% 以上）永久排除出供应的验证者投票，于 12 月 24 日以约 85% 的赞成率通过，展示了社区在重大经济决策上的参与能力；但该决策的不可逆性与质押权重高度集中的表决结构，仍凸显了此类决策对充分时间窗口与广泛共识基础的依赖 [42]。 面向未来，Hyperliquid 的治理架构需在两个维度深化。技术维度上，随着 HyperEVM 全面部署，治理逻辑应更深地嵌入智能合约，实现提案执行的完全自动化，减少对链下协调的依赖。机制维度上，系统应引入更精细的参数化治理框架，将常规的费率调整、保证金率设定等操作权限与底层共识升级权限分离，构建分层治理结构。这一分层的关键瓶颈在于：Hyperliquid 的核心参数（保证金率、清算阈值）运行在共识层状态机中而非 EVM 合约层，前者的参数变更需通过共识升级实现，后者可通过 HyperEVM 上的治理合约直接管理，两层之间的权限传递需借助 precompiles 接口。 ## 30.7 监管需求与技术实现的映射 在探讨了链上金融系统的分层架构、清算引擎设计以及嵌入式合规的工程实现之后，本节将回溯至第26章提出的监管框架，将监管需求与技术实现形成完整的闭环。第26章基于传统中心化交易所的结构性风险，提出了六条“最小但有效”的监管原则。本节旨在将这些原则逐一映射到本章讨论的具体技术实现方案，展示嵌入式合规如何将外部的监管约束转化为内建的架构保证，并探讨监管与技术形成合力的可能性，同时明确在高度自动化的系统中，人类判断仍然不可或缺的领域。 ### 30.7.1 六条原则的技术实现 第26章提出的六条监管原则为构建安全的加密金融系统设定了目标，而本章的三层合规光谱（硬编码合规、参数化合规、报告性合规）则为这些目标提供了工程实现路径。表 30-1 将这六条原则逐一映射到链上系统的不同合规层级，展示了每条原则对应的具体技术实现方案和实施优先级。从表中可以清晰地看出，资产隔离作为最高优先级的安全底线被分配至硬编码层级，信息披露与证据演进等需要持续数据反馈的原则归入报告性层级，而功能性监管和国际标准的本地化调整则依赖参数化机制的灵活性。这种分层映射体现了不同监管需求对嵌入深度和灵活性的差异化要求。 | 第26章监管原则 | 合规层级 | 链上技术实现方案 | 实施优先级 | | :--- | :--- | :--- | :--- | | 资产隔离为底线 | 硬编码合规 | 智能合约自托管与不可挪用逻辑 | 最高 | | 信息披露优先 | 报告性合规 | 链上数据实时提取与自动化审计 API | 高 | | 功能性监管 | 参数化合规 | 各功能模块独立的合规参数与治理机制 | 中 | | 拥抱嵌入式合规 | 综合层级 | 硬编码、参数化与报告性机制的协同设计 | 中 | | 国际最低标准与灵活调整 | 硬编码与参数化结合 | 最低标准硬编码，灵活参数由各地区治理调整 | 中 | | 基于证据演进 | 报告性合规 | 链上数据持续评估支持合规规则动态优化 | 长期 | **表 30-1.** 第26章六条监管原则与链上技术实现的映射关系（数据来源：作者整理） 这一映射的深层逻辑在于嵌入深度与规则性质的匹配：资产隔离等不可协商的安全底线交由最深层的硬编码合规保证，其架构级约束比传统的法律承诺与事后审计更为可靠；信息披露优先与基于证据演进依赖报告性合规提供的持续数据反馈，将定期的静态报告转变为可实时计算与验证的动态展示；功能性监管则借助参数化合规，使交易、清算、做市等各模块的合规参数能通过治理灵活调整而无需改动底层核心逻辑；拥抱嵌入式合规贯穿三者的协同，而全球统一的安全底线（如绝对杠杆上限）与地区特定要求（如特定资产的保证金率）的并存，正由硬编码与参数化的嵌套设计承载。 上述映射框架在实施中面临两个尚待解决的结构性挑战。第一个挑战是跨境管辖的实施机制。表 30-1中“各地区治理调整”的设想在无许可的全球性链上系统中缺乏落地路径：在任何人都可以从任何司法管辖区访问的智能合约中，系统无法可靠地确定用户所属的管辖区域，而 VPN 等技术手段可以轻易绕过基于 IP 地址的地理限制。基于零知识凭证的管辖区感知访问控制提供了一种可能的技术方案，允许不同管辖区的用户在证明其合规状态后获得差异化的参数配置，但这一方案的工程成熟度和监管接受度仍处于早期阶段。第二个挑战是系统性风险监控的缺位。上述六条原则主要聚焦于单一协议层面的合规，但在高度互联的链上金融生态中，跨协议的关联清算、流动性传染以及预言机共用导致的共模失效，构成了一类独立的系统性风险。这一维度尚未被纳入当前的监管原则体系，但已成为链上金融规模化发展过程中不可回避的合规需求。 ### 30.7.2 监管与技术的合力 传统的金融监管主要依赖于对机构行为的外部约束，即规定机构可以做什么、不能做什么，并通过定期的检查和严厉的处罚来促使机构遵守规则。这种模式的前提是机构具备违规的能力，合规的本质是改变其违规的成本收益预期。然而，嵌入式合规提供了一种全新的范式：监管者可以不再仅仅要求机构“承诺遵守规则”，而是要求机构采用“不可能违反规则”的系统架构。 当监管者要求“资产必须隔离”时，如果仅仅依赖定期的财务审计，监管者实际上是在承担巨大的信息滞后风险。但在链上金融系统中，监管者可以要求平台采用非托管的智能合约架构。在这种架构下，资产隔离不是一项需要持续监督的运营活动，而是系统部署时即内置的架构属性。监管的重点从“检查机构是否挪用了资产”转变为“审计智能合约代码是否确实限制了资产转移的权限”。这种转变显著降低了监管的持续执行成本，同时显著提升了资产的安全性。 同样地，对于信息披露的要求，监管者可以推动行业采用标准化的链上数据接口。与其要求平台每月提交复杂的财务报表，不如要求平台提供能够实时读取链上状态的监管 API。这使得监管机构能够构建自动化的监控系统，实时检测异常交易模式和系统性风险的积累。监管的驱动力不再是单纯的惩罚威胁，而是推动金融基础设施向更透明、更具韧性的技术架构演进。 监管与技术的合力还体现在对治理机制的规范上。监管者可以要求链上系统的参数调整和合约升级必须遵循特定的时间锁延迟和多签安全标准。这种要求并不干涉社区的具体治理决策，而是确保治理过程本身具备足够的透明度和可预见性，为市场参与者提供评估和应对规则变化的缓冲期。通过要求好的架构，监管者不仅实现了保护投资者的目标，还促进了金融技术的创新与发展。 然而，这种范式转变的前提是监管机构具备审计智能合约代码的技术能力，而这一能力在全球金融监管体系中目前几乎不存在。当前的金融监管机构的核心技术能力集中在法律分析和财务审计领域，而非密码学和智能合约工程。如果监管者无法独立验证合约代码是否确实实现了其声称的合规约束，“审计代码”可能退化为另一种形式的“合规剧场”，仅依赖第三方审计报告，而审计公司本身缺乏标准化的问责机制。因此，从“审计机构行为”到“审计系统架构”的转型，需要同步推进至少两方面的基础设施建设：一是建立认证的智能合约审计标准（类似于会计审计领域的国际准则），为合约审计的范围、方法和报告格式提供统一框架；二是在过渡期内构建审计机构的分级认证与责任追究机制，确保第三方审计结论的可信度。 ### 30.7.3 技术无法替代的合规功能 尽管嵌入式合规通过硬编码和自动化机制解决了大量传统的合规问题，但在复杂的金融系统中，技术的应用存在其固有的边界。某些关键的合规功能和极端情况的处理，仍然需要人类的判断、裁量和社会共识。 首先，争议解决和法律申诉无法完全被代码替代。智能合约只能按照预定的逻辑执行操作，但无法判断该逻辑在特定情境下是否符合公平原则。当系统出现意外漏洞导致用户损失，或者市场发生极端操纵事件时，受害者需要寻求救济。链上系统缺乏内在的司法裁判机制，对于复杂责任的认定和损失的追回，仍然需要依赖现实世界的法律体系和人类法官的裁决。 其次，跨境执法协调和复杂犯罪调查需要人类的介入。链上数据的透明性虽然有助于追踪资金流向，但将链上地址与现实世界的实体身份关联起来，往往需要跨国情报共享、司法协助和传统的侦查手段。技术可以提供线索和证据，但打击跨国金融犯罪、执行制裁名单等行动，本质上是国家权力的行使，需要外交和法律专业人员的协作。 此外，新型风险的识别和合规框架的演进需要人类的战略视野。自动化监控系统只能基于已知的模式检测异常，对于利用全新机制进行的市场操纵或系统性风险的隐蔽积累，往往缺乏前瞻性的识别能力。合规专家和监管者需要持续分析市场动态，理解新出现的金融工具和交易策略，从而制定新的监管原则并指导底层架构的升级。 最后，道德标准的执行和系统性危机的最终处置离不开人类的社会共识。在极端市场动荡中，是否应该暂停交易、是否应该动用紧急治理权限进行干预，这些决策往往涉及不同利益群体之间的复杂权衡。纯粹的技术系统无法承担这种具有高度政治和伦理意味的责任。人类在系统设计之初设定了规则，也必须在系统面临重大系统性危机时，承担起最终的决策责任。嵌入式合规并没有消除人的作用，而是将人类的精力从繁琐的日常合规检查中解放出来，集中于更高层次的架构设计、风险预判和危机管理。 ## 30.8 本章小结 本章提出的三层合规光谱架构（硬编码、参数化与报告性合规）为链上金融系统的合规工程提供了系统化的分析框架与实现路径。硬编码合规通过将资产隔离等不可协商的安全底线直接编译为智能合约逻辑，实现了从“要求机构守法”到“使机构不可能违法”的范式转变。参数化合规在固定的规则框架下，允许保证金率等运营参数通过透明的治理机制动态调整，在安全性与灵活性之间取得工程化的平衡。报告性合规则利用链上数据的不可篡改性与全局可见性，将事后审计转化为系统的固有属性。三者的有机结合完成了从监管需求到链上工程实现的完整映射。 零知识证明技术的引入打破了监管透明度与用户隐私之间的零和博弈 [26]。通过密码学证明，交易者能够在不暴露底层身份数据的前提下向系统证明其满足特定合规条件，使链上金融在满足反洗钱等监管标准的同时保持无需许可的核心特性。这一技术路径展现了数字原生架构在合规维度上超越传统金融的潜力。 将规则嵌入架构的必然代价是系统刚性的增加。时间锁与紧急权力二元架构为这一矛盾提供了工程解法：常规变更通过强制延迟接受社区审查以维持不可篡改性，极端情况下的受限快速通道则确保系统的危机响应能力 [43]。这种可控的可升级性与渐进式去中心化的治理路线图相结合，构成了当前技术条件下链上治理的最优实践。然而，争议解决、跨境执法协调以及新型风险的前瞻性识别等功能，仍然超越了纯技术系统的能力边界，需要人类的判断与社会共识来补充。 Hyperliquid 的应用链架构与链上中央限价订单簿构成了嵌入式合规的前沿实践原型，但从当前原型到成熟的金融基础设施仍有显著差距。在这条演进路径上，一个新的力量正在加入：人工智能。当人工智能代理能够自主地在链上进行做市、交易与风险管理时，金融市场的运行模式将再次发生深刻变化。这一演进趋势，即为第十一篇探讨的核心主题。 ## 参考文献 [1] Ray, J. J. (2023). *First Interim Report of John J. Ray III to the Independent Directors on Control Failures at the FTX Exchanges*. FTX Debtors. https://www.fishmanhaygood.com/wp-content/uploads/2023/04/April-9-Debtor-Report-on-Failure-of-Internal-Controls-1.pdf [2] U.S. Department of Justice. (2024). *Samuel Bankman-Fried Sentenced to 25 Years for His Orchestration of Multiple Fraudulent Schemes*. https://www.justice.gov/archives/opa/pr/samuel-bankman-fried-sentenced-25-years-his-orchestration-multiple-fraudulent-schemes [3] Auer, R. (2019). Embedded supervision: how to build regulation into blockchain finance. *BIS Working Papers*, No 811. Bank for International Settlements. https://www.bis.org/publ/work811.pdf [4] Thomson Reuters. (2024). *Cost of Compliance Report*. Thomson Reuters Regulatory Intelligence. [5] Deloitte. (n.d.). *Cost of compliance and regulatory productivity*. Deloitte. https://www.deloitte.com/us/en/services/consulting/articles/cost-of-compliance-regulatory-productivity.html [6] Research and Markets. (2024). *Global anti-money laundering systems market 2024–2028*. GlobeNewswire. https://www.globenewswire.com/news-release/2024/06/12/2897441/28124/en/Global-Anti-money-Laundering-Systems-Market-2024-2028.html [7] Auer, R. (2022). Embedded supervision: How to build regulation into decentralized finance. *Crypto Economic Systems*. https://cryptoeconomicsystems.pubpub.org/pub/auer-embedded-supervision/release/1 [8] Lessig, L. (2006). *Code: Version 2.0*. Basic Books. [9] Jensen, J. R., von Wachter, V., & Ross, O. (2021). Leveraged trading on blockchain technology. *arXiv preprint arXiv:2102.13488*. https://doi.org/10.48550/arXiv.2102.13488 [10] Aquilina, M., Frost, J., & Schrimpf, A. (2024). Decentralized finance (DeFi): a functional approach. *Journal of Financial Regulation*, *10*(1), 1-25. https://doi.org/10.1093/jfr/fjad013 [11] Nabilou, H. (2022). The Law and Macroeconomics of Custody and Asset Segregation Rules: Defining the Perimeters of Crypto-Banking. *Amsterdam Law School Research Paper*. [12] Zetzsche, D. A., Arner, D. W., & Buckley, R. P. (2020). Decentralized finance. *Journal of Financial Regulation*, *6*(2), 172-203. [13] Bhargavan, K., Delignat-Lavaud, A., Fournet, C., Gollamudi, A., Gonthier, G., Kobeissi, N., ... & Zanella-Beguelin, S. (2016). Formal verification of smart contracts: Short paper. In *Proceedings of the 2016 ACM Workshop on Programming Languages and Analysis for Security* (pp. 91-96). [14] He, S., Manela, A., Ross, O., & von Wachter, V. (2022). Fundamentals of perpetual futures. *arXiv preprint arXiv:2212.06888*. https://doi.org/10.48550/arXiv.2212.06888 [15] Ackerer, D., Hugonnier, J., & Jermann, U. (2025). Perpetual futures pricing. *Mathematical Finance*. https://doi.org/10.1111/mafi.70018 [16] Chainlink. (2026). *Onchain Governance: How Smart Contracts Enable Decentralized Control*. https://chain.link/article/onchain-governance [17] Ali, Z. (2025). Anatomy of the Oct 10-11, 2025 Crypto Liquidation Cascade: Macroeconomic Triggers, Market Microstructure, and Systemic Risk Lessons. *SSRN Electronic Journal*. [18] Bybit. (2025). *Maintenance Margin Calculation (USDC Perpetual & Futures)*. https://www.bybit.com/en/help-center/article/Maintenance-Margin-Calculation-USDC-Contract [19] Chen, E., Ma, M., & Nie, Z. (2024). Perpetual future contracts in centralized and decentralized exchanges: Mechanism and traders' behavior. *Electronic Markets*. [20] Werapun, W., Karode, T., Suaboot, J., & Arpornthip, T. (2025). Exploring Risk and Return Profiles of Funding Rate Arbitrage on CEX and DEX. *Blockchain: Research and Applications*. [21] Kao, H. T., Chitra, T., Chiang, R., & Morrow, J. (2020). An analysis of the market risk to participants in the compound protocol. *International Symposium on Cyber Security Cryptography and Machine Learning*. [22] Xu, L. (2024). Blockchain Transaction Monitoring and Anomaly Analysis System. *IEEE Access*. https://doi.org/10.1109/dikw64278.2024.00015 [23] Lazirko, M., Appelbaum, D., & Vasarhelyi, M. (2025). Proof of reserves: A double-helix framework. *The British Accounting Review*. [24] Azgad-Tromer, S., Garcia, J., & Tromer, E. (2023). The Case for On-Chain Privacy and Compliance. *Stanford Journal of Blockchain Law & Policy*. https://stanford-jblp.pubpub.org/pub/onchain-privacy-compliance [25] U.S. Department of the Treasury. (2022). U.S. Treasury Sanctions Notorious Virtual Currency Mixer Tornado Cash. https://home.treasury.gov/news/press-releases/jy0916 [26] Decker, N. (2025). Proof Without Exposure: Zero-Knowledge Proofs as a Cryptographic Framework for Institutional Financial Compliance. *SSRN Electronic Journal*. https://papers.ssrn.com/sol3/papers.cfm?abstract_id=5170329 https://doi.org/10.2139/ssrn.5170329 [27] Polygon Technology. (2022). Introducing Polygon ID, Zero-Knowledge Identity for Web3. https://polygon.technology/blog/introducing-polygon-id-zero-knowledge-own-your-identity-for-web3 [28] zkMe. (2024). KYC Explained: Securing Your Identity in the Web3 World. https://medium.com/@zkMe/kyc-explained-securing-your-identity-in-the-web3-world-8cc2a4b47f15 [29] De Filippi, P., Mannan, M., & Reijers, W. (2020). Blockchain as a confidence machine: The problem of trust & challenges of governance. *Technology in Society*, *62*, 101284. [30] OpenZeppelin. (2021). *Protect Your Users With Smart Contract Timelocks*. https://www.openzeppelin.com/news/protect-your-users-with-smart-contract-timelocks [31] Joshi, S. (2023). *Timelock Contracts and DeFi Security: Lessons from Compound*. Medium. https://medium.com/@srinivasjoshi66/timelock-contracts-and-defi-security-lessons-from-compound-fe24f3e4574b [32] Elem, O., & Talmon, N. (2026). Legitimate Overrides in Decentralized Protocols. *arXiv preprint arXiv:2602.12260*. https://doi.org/10.48550/arXiv.2602.12260 [33] Qasse, I., Hamdaqa, M., & Jonsson, B. T. (2026). Immutable in principle, upgradeable by design: Exploratory study of smart contract upgradeability. *Empirical Software Engineering*, *31*(1), 1-35. [34] Qin, K., Zhou, L., Livshits, B., & Gervais, A. (2021). Attacking the DeFi ecosystem with flash loans for fun and profit. In *Financial Cryptography and Data Security: 25th International Conference, FC 2021*. Springer. [35] MixBytes. (2022). *DAO Voting Vulnerabilities*. https://mixbytes.io/blog/dao-voting-vulnerabilities [36] Lalley, S. P., & Weyl, E. G. (2018). Quadratic voting: How mechanism design can radicalize democracy. *AEA Papers and Proceedings*, *108*, 33–37. https://doi.org/10.1257/pandp.20181002 [37] Wright Jr, D. (2019). Quadratic voting and blockchain governance. *UMKC Law Review*, *88*, 451. [38] Benhaim, A., Falk, B. H., & Tsoukalas, G. (2025). Balancing power in decentralized governance: Quadratic voting and information aggregation. *Management Science*. https://pubsonline.informs.org/doi/abs/10.1287/mnsc.2024.08469 https://doi.org/10.1287/mnsc.2024.08469 [39] Walden, J. (2020). *Progressive Decentralization: A Playbook for Building Crypto Applications*. a16z crypto. https://a16z.com/progressive-decentralization-a-playbook-for-building-crypto-applications/ [40] Walden, J. (2023). *Progressive decentralization: a high-level framework*. a16zcrypto. https://a16zcrypto.com/posts/article/progressive-decentralization-a-high-level-framework/ [41] Hyperliquid. (2025). *Roadmap | Hyperliquid Wiki*. https://hyperliquid-co.gitbook.io/wiki/introduction/roadmap [42] The Defiant. (2025). *Hyperliquid Proposes Burning 13% of Circulating Supply*. https://thedefiant.io/news/tokens/hyperliquid-proposes-burning-13-percent-of-circulating-token-supply [43] Wang, Z., Pu, F., Cheung, V., & Hao, R. (2025). Balancing security and liquidity: A time-weighted snapshot framework for DAO governance voting. *arXiv preprint arXiv:2505.00888*. https://arxiv.org/abs/2505.00888 https://doi.org/10.48550/arXiv.2505.00888