一股几乎平掉了一个 4 亿美元的市场

2026 年 7 月 28 日，首尔时间 08:00，SK Hynix 的一股换手了。成交价 1,272,000 韩元，比前一日收盘的 1,816,000 韩元低 29.96%，正好压在当日的跌停价上。大约两分钟后，股价就回到了 170 万韩元的区间。

那次修复无关紧要。等到那时，这笔成交已经被传导进 Hyperliquid 上一款以 USDC 作为保证金的永续合约，损害已经造成。

这里真正的风险是机制，不是这一次事故。

合约跟踪的是一股，而它只需要一股

这个市场就是 xyz:SKHYNIX，一款以 USDC 作为保证金、支持最高 10x 杠杆的永续合约。Hyperliquid 的实时 API 目前仍把它列为最高杠杆 10，而承载它的这套部署上运行着 131 个资产。它不是一个小众或实验性的市场：截至 30 日，未平仓量为 $638 million，按未平仓量算是全网最大的 HIP-3 市场。

这个合约对自己的定价方式并不藏着掖着。trade[XYZ] 的文档写道：

SKHYNIX 预言机价格跟踪的是 SK Hynix Inc. 1 股普通股的美元价值。预言机价格可以复现：把 000660 KS Equity 的韩元价格除以 USD/KRW 汇率即可。

全部规格就是这些。一股。无论哪个场所最后报出这一股的价格，预言机就采用哪个，再除以 USD/KRW，得到这个合约据以计算保证金的美元价格。

trade[XYZ] 也写明了这张时间表，而时间表是问题的后半段。对于韩股，中继方在三个窗口内采用外部价格：

• 盘前时段，韩国时间 8:10 至 8:50
• 正常交易时段，9:01 至 3:30
• 盘后时段，3:40 至 8:00

其余时间全部落入内部定价机制，它会逐渐偏离该场所自己的订单簿。这段内部定价阶段在工作日的晚 8:00 一直到次日早 8:00，从周五晚 8:00 一直到周一早 8:00。一只韩股的参考市场，24 小时里有大约 19 小时是关闭的。

坏价格正好落在交接的那一刻

正是这个细节，让这件事值得读下去，而不是当作"手误"传闻一笑了之。

Galaxy Research 指出，trade[XYZ] 在盘前开盘的那一刻从内部定价切换到外部定价，而且"那个异常成交价恰好就落在这次交接上"。链上记录显示，切换之后数秒，预言机组件就提交了一个 $868.17 的外部价格。

trade[XYZ] 自己文档里 7/28 的更新记录显示，盘前窗口从早 8:00 挪到了早 8:10。文档没有带日内时间戳，所以我无法确定这次改动在那笔成交之前还是之后已经生效。我能说的是，这笔成交落在旧的窗口之内，误差大概在一分钟左右。

如果你想象这个系统安安稳稳地待在一个正常时段里，一个坏价格是最容易被打发掉的。它偏偏是在接缝处到达的。

防护机制都跑了，但不够

trade[XYZ] 把标记价格构造成三个输入值的中位数。他们的标记价格文档写道：

标记价格用于计算保证金、强平、止损/限价触发以及未实现的 P&L，它是三个组成部分的中位数：1. 预言机价格。2. 预言机价格，加上永续合约中间价与预言机价格之差的 150 秒连续时间指数加权移动平均值。3. 最高买价、最高卖价与最新成交价的中位数。

三个数取中位数，本该隔离掉一个坏输入，而中位数存在的意义正是如此。

Galaxy 给出的吸收幅度是整件事里最有用的一个数字：这套平滑机制"吸收了一个被污染 30% 的输入中的大约 11 个百分点"。标记价格仍然跌了 18.7%。

所以大约三分之一的跌幅被吃掉了，剩下的直接穿透过去。发现价格区间把标记价格限制在参考价的正负 1/最高杠杆之内，在 10x 下就是正负 10%，而 trade[XYZ] 把每一次中继更新的幅度限制在正负 50 个基点。

这两道控制都不限制整体幅度。限幅是按单次更新算的，所以 18.7% 的重定价会在连续多次更新中累积起来。他们自己的风险披露说得很直白："对单次价格更新大小的限制，并不保证累计波动会很小，也不保证强平会被避免。"

提供方自己的文档早就写好了

如果你认为这只是一次运气不好，这一段应该让你停下来。它是被写在文档里的。

下面是 trade[XYZ] 永续合约的风险披露：

一个源头的数值，可能是由相关源头真实发布的，却仍然是错误的，或者在经济意义上不具代表性。例如，源头可能反映的是一笔错误的订单或成交、流动性稀薄或延长时段中的一笔小额交易、特定场所的错位、重新开盘的集合竞价、停牌，或者一个陈旧的报价。来自源市场的真实成交价未必是公允价值，却仍然可能被纳入某个市场。

至于为什么中位数救不了你，文档同样有说法：

由于预言机价格同时是 xyz 标记价格方法中不止一个组成部分的输入，中位数构造并不保证一个错误或异常的预言机输入会被隔离。源头异常可以影响标记价格，并触发资金费结算、订单触发、保证金变动或强平，即使 xyz 订单簿上根本没有成交发生在那个价格上。

第二段把这次失效解释得一清二楚。预言机价格同时喂给中位数里由部署方提供的两个组成部分，于是三票中有两票一起错了，中位数根本没有东西可以隔离。一个中位数能保护你不受一个坏输入的影响；同一个坏输入来了两次，它就无能为力。

部署方定价时，风险算谁的

在 Hyperliquid 由构建者部署的永续合约上，谁上线这个市场，谁就定它的价。HIP-3 提案写明，部署方对市场定义（包括预言机的定义）"负责"，也对"市场运作，包括设定预言机价格、杠杆上限，以及在必要时对市场进行结算"负责。

在协议层面，这个分工并不对等。Hyperliquid 的 API 文档显示，协议自己只计算一个输入，即以最高买价、最高卖价和最新成交价的中位数作为本地标记价格。其余由部署方提供。价格被限制在当日初始值的 10x 水平上，标记价格的单次变动限制为相对上一个标记价格的 1%。

防止滥用的手段是经济上的。部署方必须质押 500k HYPE，验证者可以按质押权重投票罚没这笔质押。Hyperliquid 也承认这种手段的边界："罚没是技术性的，它无法区分恶意行为与无能行为"，以及"在最可能的结果里，主网上永远不会发生罚没。"

这里没有人恶意行事。部署方只是照着自己公布的规格执行。系统按写下来的方式运行，却仍然让大约 960 个账户丢掉了仓位。

交易者实际经历了什么

7 月 27 日 23:01 UTC，SKHYNIX 的标记价格从 $1,127.9 跌到 $917.25。未平仓量在几分钟内从 $481 million 掉到 $331 million。链上分析师估算，被强平的名义金额在 $57 million 到 $80 million 之间，涉及大约 960 个多头账户。过程中盈利的空头被自动减仓，一个系统兜底地址吸收了 406 个多头仓位，之后它自己也被强平。

trade[XYZ] 称这个成交价"基于一笔由多家独立数据商中继的已成交交易"，并表示"预言机系统按其规格而言是按预期运作的"。他们承诺补偿符合条件的损失，同时明确说明："这是一次性的酌情决定，并不保证未来会有类似行动。"

赔付在 8 月 1 日发放。每一笔符合条件的强平都按 $1,115.5 的参考价计算。低于 10,000 USDC 的全额赔付，高于这个数额的先赔付 9,999 USDC，等待加强型尽职调查的结果。

关于这次赔付，有两点值得注意。它是酌情决定，不是政策。而 $1,115.5 不是任何一位在这轮下跌中被强平者的入场价。补偿是善意姿态，不是对冲。

对你真正在交易的永续合约意味着什么

这个教训的范围很窄，它既不是关于 SK Hynix，也不是关于 Hyperliquid，而是关于这个工具的结构。

跟踪 24/7 资产的永续合约，价格来自一个 24/7 的市场，而这个参考市场深到足以和它较劲。跟踪股票、指数或商品的永续合约，继承的是一个大部分时间都关闭、并且恰好在重新开盘那一刻最稀薄的参考市场。给你定标记价格的东西，你既没有在交易，也看不见。

检查方法很简单。在任何标的不是加密资产的永续合约上加杠杆之前，先回答一个问题：参考市场是什么，它现在开着吗？如果答案涉及另一个时区里某个已经收盘或尚未开盘的场所，那么你的强平就是在一个几乎没有参与者的市场里被计价的。合约被连续报价、连续计算保证金、连续标记价格，而它所对应的那件事物正在睡觉。

由此有两个习惯。其一，仓位要小于杠杆倍数所暗示的规模，因为参考市场的流动性比合约本身更薄。其二，把补偿当作事后有人做出的一个决定。从工程角度讲，正确的做法是假定那个成交价就是预言机所说的那个数，因为根据这里的证据，它确实就是。

在这种结构里你承担的风险，不是加密交易所的程序缺陷。它是数据里的一个缺口，而这个缺口从来没有展示给你；消费这份数据的代码一路表现得完全正确，直到损失已经发生。

加密货币交易、杠杆永续合约和自动化算法策略带有重大风险，可能迅速且彻底地损失全部资金。永远不要拿你承受不起完全损失的资金去冒险。