Некастодиальность — это не то же самое, что децентрализация

Слово «некастодиальный» относится к ключам. Оно означает, что ваши средства нельзя переместить без вашей подписи. Это реальная и существенная гарантия, и это не то же самое утверждение, которое делает слово «децентрализованный».

Путать эти два понятия означает описывать площадки так, как их собственная документация того не предусматривает.

Два свойства разделены, и документация разделяет их

Белая книга Uniswap v4 перечисляет три свойства, а не одно: «некастодиальный, необновляемый и не требующий разрешения». Белая книга считает их разными, потому что система может соответствовать первому и не соответствовать двум другим.

Hyperliquid использует слово «некастодиальный» скупо, и когда документация всё же его определяет, определение касается только ключей: подписать операцию от вашего адреса может только ваш приватный ключ или сид-фраза.

Это честный объём утверждения. Ваш баланс принадлежит вам в том смысле, что никто не может им распорядиться без вас. Слово не охватывает то, кто может приостановить работу площадки, кто определяет цену, по которой измеряется ваша маржа, и кто решает, чему разрешено торговать.

ethereum.org проводит границу в схожих терминах: приложение «может устанавливать собственные правила и блокировать определённые действия внутри себя, но эти правила заканчиваются там, где заканчивается приложение». Хранение описывает слой активов. Доступ к интерфейсу это отдельный слой.

Чего «некастодиальный» не решает

Это не значит, что никто не может остановить торги. HIP-3 от Hyperliquid описывает самый наглядный случай в современной архитектуре перпетуальных DEX. Перпетуальные контракты, развёрнутые билдером, дают развёртывающему одностороннее действие, которое документация называет haltTrading, и описание не оставляет двусмысленности:

Развёртывающий может закрыть актив с помощью действия haltTrading. Оно отменяет все ордера и закрывает позиции по текущей марк-цене. То же действие можно использовать для возобновления торгов, фактически переиспользуя актив.

Одна сторона, одно действие, все позиции закрыты по цене, которую выбирает эта сторона, и после этого торги возобновляются. Для развёртывания требуется 500k HYPE в виде стейка, и это высокий порог. Тем не менее это по-прежнему одна сторона, у которой есть такая власть.

Это не значит, что оракул независим. То же предложение документирует, что на рынках в стиле HIP-3 марк-цены формируются из собственных спотовых ценовых вводных от оракула развёртывающего. Цену, по которой измеряется ваша маржа, устанавливает та же сторона, которая может остановить рынок. Документация также описывает роль обновляющего оракула, назначаемого развёртывающим.

Базовые перпетуальные контракты Hyperliquid работают иначе. Их оракул это медиана по внешним спотовым площадкам с весом по объёму, публикуемая validators, а затем взвешенная по стейку медиана по самим validators. Различие между базовыми перпетуальными контрактами и перпетуальными контрактами, развёрнутыми билдером, стоит удерживать в голове, потому что имя «Hyperliquid» охватывает и те, и другие.

Это не значит, что листинг не требует разрешения. Документация Hyperliquid по validators описывает текущее состояние в будущем времени: процесс листинга будет включать «децентрализованный и не требующий разрешения» дизайн. Она не утверждает, что такой дизайн есть уже сегодня.

Это не гарантирует доступность сервиса. Собственная документация Hyperliquid по ноде Foundation говорит, что «гарантий в отношении доступности, задержки, производительности и полноты данных не даётся».

Validators: что на самом деле говорят числа

Документация Hyperliquid по validators говорит, что активный набор это «двадцать семь лидеров по стейку».

Я напрямую запросил публичный validator API. Он возвращает 27 активных validators, что совпадает с документацией.

Распределение это часть, которую стоит знать. По данным API на дату чтения пять нод, работающих под именем Hyper Foundation, удерживают 47.55% стейка активного набора, а первые десять примерно три четверти. Речь идёт о медиане, взвешенной по стейку, поэтому блок с долей выше трети несёт решающее влияние на медиану оракула.

Из этого следуют два вывода, и ни один из них не является критикой. Медиана, взвешенная по стейку, действительно устойчива к тому, что отдельные validators уходят в оффлайн или ошибаются. И запуск validator не требует разрешения. Но набор validators, где почти половина стейка приходится на ноды одной организации, это другая структура, чем набор, где половина стейка распределена по десяткам несвязанных операторов, и сама документация описывает оба факта на одной странице.

Существует также документированная программа делегирования, которая ограничена KYC и не распространяется на США и Онтарио. Документация утверждает, что validators Foundation «будут в значительной степени учитывать участие в Delegation Program как фактор доверия к другим validators». То, что запуск ноды не требует разрешения, и то, что доверие к validator формируется программой Foundation, это два разных утверждения, и оба есть в документации.

Самое наглядное доказательство, что эти утверждения разделены

dYdX документирует остановку сети в собственной истории обновлений: сеть остановилась на конкретной высоте, v9.2.0 «требовал срочного патча», а v9.3.0 стало постоянным исправлением. Более поздние релизы содержат «исправление отравления высоты» и набор исправлений безопасности.

Во время этой остановки средства пользователей оставались некастодиальными. Никто не мог распорядиться чьим-либо балансом без его ключа. Сеть при этом тоже перестала работать.

Вот весь аргумент в одном событии. Хранение работало, доступность нет. Протокол может быть ровно настолько некастодиальным, насколько заявляет, и всё равно остановиться.

Как оценить это без преувеличений в любую сторону

Спросите, у кого ключ. Этот ответ проверяем, и он важнее всего. Остальное вторично.

Спросите, где принимается решение о постановке ордеров и сколько сторон может его отменить. Затем читайте текущее число из сети, а не из заголовка, потому что количество validators и распределение стейка меняются.

Спросите, является ли оракул внешним или предоставленным развёртывающим. Для Hyperliquid это различается между базовыми перпетуальными контрактами и рынками, развёрнутыми билдером.

Спросите, есть ли документированный путь выхода, не требующий разрешения оператора. Некоторые протоколы публикуют его. Другие нет.

Держите две оси раздельно. Некастодиальный и децентрализованный описывают разные свойства. Смешение этих понятий приводит к тому, что площадку описывают в терминах, которым противоречит её собственная документация.

Более широкая мысль

Честная формулировка не в том, что некастодиальные площадки централизованы. Она в том, что «некастодиальная, но централизованная» это точное описание конструкции, в которой хранение децентрализовано, а постановка ордеров нет, и что большинство серьёзных площадок находятся где-то на этом спектре, а не на его концах.

Если подать это как подвох, это искажает механизм. Если подать это как гарантию, это неверное прочтение документации. Обе ошибки обходятся трейдерам в какую-то цену, потому что одна создаёт ложную уверенность, а вторая создаёт ложное впечатление, будто реальное свойство опровергли.

Примечание о рисках: торговля криптовалютой и маржинальными перпетуальными фьючерсами несёт значительный риск быстрой и полной финансовой потери. Никогда не рискуйте средствами, полная потеря которых вам не по силам. Оцените модель хранения, постановки ордеров и управления любой площадки до внесения депозита; статус некастодиальности относится только к хранению активов. Ничто в этой статье не является инвестиционным советом, рекомендацией или предложением продать какой-либо продукт.