Sin custodia no es lo mismo que descentralizado

Sin custodia es una afirmación sobre las claves. Significa que tus fondos no pueden moverse sin tu firma. Esa es una garantía real y sustancial, y no es la misma afirmación que la que hace la palabra "descentralizado".

Confundir las dos es la forma en que los venues acaban describiéndose de maneras que su propia documentación no respalda.

Las dos propiedades son separables, y la documentación las separa

El whitepaper de Uniswap v4 lista tres propiedades, no una: "sin custodia, no actualizable y sin permisos". El whitepaper las trata como distintas porque un sistema puede cumplir la primera y fallar en las otras dos.

Hyperliquid usa la palabra "sin custodia" con moderación y, cuando la documentación sí la define, la definición es puramente sobre claves: solo tu clave privada o tu frase semilla puede firmar en tu dirección.

Ese es el alcance honesto de la afirmación. Tu saldo es tuyo en el sentido de que nadie puede moverlo sin ti. Lo que la palabra no cubre es quién puede pausar el venue, quién determina el precio contra el que se mide tu margen y quién decide qué se permite operar.

ethereum.org traza la línea en términos similares: una app "puede fijar sus propias reglas y bloquear ciertas acciones dentro de esa app, pero esas reglas terminan donde termina la app". La custodia describe la capa de activos. El acceso a la interfaz es una capa separada.

Lo que "sin custodia" no resuelve

No significa que nadie pueda detener el trading. HIP-3 de Hyperliquid documenta el caso más claro de la arquitectura actual de los DEX de perpetuos. Los perpetuos desplegados por el builder dan al desplegador una acción unilateral que la documentación llama haltTrading, y la descripción no admite interpretaciones:

El desplegador puede liquidar un asset usando la acción haltTrading. Esto cancela todas las órdenes y liquida las posiciones al precio de marca actual. La misma acción se puede usar para reanudar el trading, reciclando de hecho el asset.

Una parte, una acción, todas las posiciones cerradas al precio que elija esa parte y el trading reanudado después. El despliegue exige 500k HYPE de stake, lo que supone una barrera alta. Sigue siendo una única parte con el poder.

No significa que el oráculo sea independiente. La misma propuesta documenta que, en mercados del estilo HIP-3, los precios de marca se derivan de las propias entradas de precio del oráculo spot del desplegador. El precio contra el que se mide tu margen lo fija entonces la misma parte que también puede detener el mercado. La documentación también describe un rol de actualizador del oráculo designado por el desplegador.

Los perps centrales de Hyperliquid no funcionan así. Su oráculo es una mediana de venues spot externos ponderada por volumen, publicada por los validators, y después una mediana ponderada por stake entre los propios validators. La distinción entre los perps centrales y los perps desplegados por el builder merece la pena retenerla, porque "Hyperliquid" como nombre cubre ambos.

No significa que los listados sean sin permisos. La documentación de validators de Hyperliquid describe el estado actual en futuro: el proceso de listado tendrá un diseño "descentralizado y sin permisos". No afirma tenerlo hoy.

No garantiza disponibilidad. La propia documentación de Hyperliquid para su nodo de la Foundation declara que "no se ofrecen garantías sobre disponibilidad, latencia, rendimiento ni completitud de los datos".

Validators: lo que dicen realmente las cifras

La documentación de validators de Hyperliquid dice que el conjunto activo son los "veintisiete principales por stake".

Consulté directamente la API pública de validators. Devuelve 27 validators activos, lo que coincide con la documentación.

La distribución es la parte que merece atención. Leído de la API en la fecha de este artículo, cinco nodos que operan bajo el nombre Hyper Foundation tienen el 47.55% del stake del conjunto activo, y los diez primeros tienen aproximadamente tres cuartos. Esa es una mediana ponderada por stake, así que un bloque por encima de un tercio tiene influencia decisiva sobre la mediana del oráculo.

De eso se siguen dos cosas, y ninguna es una crítica. Una mediana ponderada por stake es realmente robusta frente a que un validator individual se caiga o se equivoque. Y operar un validator es sin permisos. Pero un conjunto de validadores con casi la mitad de su stake en los nodos de una sola organización es una estructura distinta de un conjunto de validadores con la mitad de su stake dispersa entre docenas de operadores no relacionados, y la propia documentación describe ambos hechos en la misma página.

También existe un programa de delegación, documentado, que está condicionado a KYC y excluye Estados Unidos y Ontario. La documentación afirma que los validators de la Foundation "considerarán estrictamente la participación en el Delegation Program como un factor para confiar en validators pares". Que operar nodos sea sin permisos y que la confianza en validators la determine un programa de la Foundation son dos afirmaciones distintas, y ambas aparecen en la documentación.

La prueba más clara de que las afirmaciones son separadas

dYdX documenta una parada de la cadena en su propio historial de actualizaciones: la red se detuvo en una altura concreta, v9.2.0 "necesitaba un parche de emergencia" y v9.3.0 fue la solución permanente. Las versiones posteriores incluyen una "corrección de envenenamiento de altura" y una serie de correcciones de seguridad.

Durante esa parada, los fondos de los usuarios siguieron sin custodia. Nadie podía mover el saldo de nadie sin su clave. La cadena también dejó de funcionar.

Ese es todo el argumento en un solo evento. La custodia se mantuvo; la disponibilidad no. Un protocolo puede ser exactamente tan sin custodia como afirma y aun así detenerse.

Cómo evaluarlo sin exceder la evidencia en ninguna dirección

Pregunta quién tiene la clave. Esa respuesta es verificable y es la que más importa. Todo lo demás es de segundo orden.

Pregunta dónde se toma la decisión de ordenar y cuántas partes pueden revertirla. Después lee la cifra actual desde la cadena y no desde un titular, porque los recuentos de validators y las distribuciones de stake cambian.

Pregunta si el oráculo es externo o lo aporta el desplegador. En Hyperliquid eso difiere entre los perps centrales y los mercados desplegados por el builder.

Pregunta si existe una vía de salida documentada que no requiera el permiso del operador. Algunos protocolos publican una. Otros no.

Mantén separados los dos ejes. Sin custodia y descentralizado describen propiedades distintas. Confundirlas es la forma en que un venue acaba descrito en términos que su propia documentación contradice.

El punto más amplio

El encuadre honesto no es que los venues sin custodia estén centralizados. Es que "sin custodia pero centralizado" describe con exactitud un diseño en el que la custodia está descentralizada y la ordenación no, y que la mayoría de los venues serios están en algún punto de ese espectro y no en ninguno de sus extremos.

Escribirlo como una trampa de palabras malinterpreta el mecanismo. Escribirlo como una garantía lee mal la documentación. Los dos errores le cuestan algo al trader, porque uno produce confianza falsa y el otro produce la sensación de que una propiedad real ha sido refutada.

Nota de riesgo: el trading de criptomonedas y los futuros perpetuos apalancados implican un riesgo significativo de pérdida financiera rápida y total. Nunca arriesgues fondos que no puedas permitirte perder por completo. Evalúa el modelo de custodia, ordenación y gobernanza de cualquier venue antes de depositar; el estado sin custodia se refiere únicamente a la custodia de los activos. Nada en este artículo es asesoramiento de inversión, una recomendación ni una oferta de venta de ningún producto.