作者：L2Beat

编译：深潮 TechFlow

深潮导读：两家都号称去中心化合约交易所，但底层设计决定了你的钱能不能真正握在手里。Lighter 通过以太坊有效性证明锁死运营方对资金和订单的篡改权限，Hyperliquid 靠 28 个验证者投票治理——JELLY 事件已经证明他们会改规则救自家金库。这篇拆解告诉你，哪些承诺是密码学保证，哪些只是"我们不作恶"的口头支票。

永续合约去中心化交易所（DEX）与 Binance 或 Bybit 等中心化交易所（CEX）的区别体现在两个方面。首先是托管权：合约 DEX 可以让用户保留对抵押品的产权，而不是交出资金换取交易所的欠条。其次是可验证性：订单执行和仓位管理都可以是透明且可验证的。

永续合约（以及其他杠杆产品）需要交易引擎能够主动管理用户仓位以执行清算。为此，合约 DEX 采用仓位管理机制——如自动减仓（ADL）算法——其可验证性至关重要，因为这些机制赋予交易所关闭和削减仓位的权力，同时将交易所偿付能力与用户盈利直接对立。

对领先的合约 DEX——Hyperliquid 和 Lighter 的比较可以分为三类：

产权——运营方能否动用你的抵押品，或阻止你提现？

订单公平性——运营方能否看到、重排、抢跑、审查或夹击你提交的订单？

仓位公平性——谁决定何时以何种方式清算你，以及由哪个对手方承接你的仓位？

Lighter 与 Hyperliquid 的架构对比

Hyperliquid 和 Lighter 之间明确的架构差异在于，前者是独立的 L1 链，而后者是以太坊 L2。主要后果是 Hyperliquid 验证者集就是交易所运营方，交易结算发生在运营方控制的同一条链上。Lighter 则通过向以太坊提交有效性证明来完成结算，而以太坊是 Lighter 运营方无法控制的链。理论上，在以太坊上结算是一个结构性优势。以太坊是去中心化程度最高、经过最多实战检验的链，目前拥有约 80 万验证者和 500 亿美元的经济安全性。Hyperliquid 验证者集由 28 个运营方组成，基金会直接控制约 50%的质押量，再加上通过委托计划获得的委托质押。这一小群验证者可以通过普通治理改变交易、清算和结算的结果——他们在 2025 年 JELLY 事件中已经这样做过，当时他们下架了一个被操纵的市场，并以自己选择的价格强制结算，以挽救 HL 金库免受约 1300 万美元的损失。

尽管 Lighter 的抵押品和退出路径存在于以太坊上，Lighter 的运营方实际上也能做同样的事。目前，Lighter 团队仍可以无延迟升级合约，包括证明验证器。可以说主要区别在于信任上限在哪里，因为 Lighter 的 L2 设计最终可以——一旦足够成熟——通过放弃升级控制权来满足 Stage 2 去中心化标准，从而继承完整的以太坊安全性。

鉴于两个项目的治理风险相当，两个项目都基于当前的架构设计和合约部署进行评估。

产权

在正常运营期间，Lighter 的有效性证明定期在以太坊上验证，这意味着电路可以强制执行：

运营方无法盗取闲置 USD 或执行未授权订单——状态转换需要有效的签名交易。

运营方无法铸造 USDC——每个批次的总余额核算必须在所有账户间对账。此外，平仓也不能创造价值，每笔收益都有对应的损失。

运营方无法追溯修改账户状态。状态根按顺序提交，修改旧状态会导致验证失败。

在 Hyperliquid 上，这些属性不是由密码学证明强制执行的，而是由验证者共识执行。验证者共同投票可以改变状态结果。

如果交易所失败或停止运营，Lighter 的紧急出口功能允许用户能够将资金从交易所取出并通过以太坊桥转回钱包。这可以通过用户独立生成其账户证明并针对发布在以太坊上的最新 L2 状态根进行验证来实现。Hyperliquid 无法实现此功能。Hyperliquid 在 Arbitrum 上的主桥不使用证明系统，提款由总计 8 个验证者组成的许可验证者子集（2 组各 4 个验证者）从外部保障。其他桥也是外部验证的，这意味着如果运营方停止履行职责，没有无需许可的方式退出用户资金。

订单公平性

两个平台都不提供订单流公平性保证，因此标准的订单流攻击都适用，例如抢跑、夹击、审查、最后观望、止损猎杀等。然而，Lighter 的有效性证明保证订单提交后的完整性。特别是，运营方无法修改订单价格或规模，也无法以错误价格撮合。订单簿在撮合算法内强制执行价格-时间优先级，这意味着以差于用户限价的价格撮合会导致有效性证明失败。此外，撮合电路证明订单交易的对手方是对面最高优先级的挂单。这种公平算法保证被上述运营方对输入的控制所削弱，例如运营方可以插入自己的订单成为最佳挂单报价。

仓位公平性

清算有三个旋钮：何时（时机）、以什么价格（标记价格）、以及谁承接对手方（对手方选择）。在两个平台上，运营方控制所有三个旋钮。然而在 Lighter 上，证明对可以对有偿付能力的账户做什么设置了一些边界。

从用户如何被坑开始：

标记价格/预言机操纵。清算和未实现盈亏基于标记价格，标记价格源自预言机数据源。预言机签名目前未在链上或证明中验证，这使用户面临预言机攻击，如因标记价格飙升导致的仓位清算，以及资金费率操纵将价值从多头转移到空头（反之亦然）。当沙漠（逃生）模式激活时，用户还面临以不利价格结算的风险。开放仓位以最后发布的标记价格现金结算，因此如果运营方可以选择何时停止运营，他们可以选择在对活跃仓位持有者不利的标记价格时停止。

仓位管理时机。即使不操纵价格本身，运营方也控制事件发生的时间。例如，运营方可以在选定的标记价格执行大规模清算以最大化自身利益。ADL 对手方选择也是任意的。电路强制执行对手方持有相反方向，减仓价格从破产账户状态计算，以及破产账户确实破产。但它对选择哪个符合条件的对手方不设置排序约束。这也意味着运营方可以选择何时社会化损失，何时通过保险基金兜底。

因此在 Lighter 上，运营方可以在他们选择的时刻和标记价格清算你，但无法清算在承诺标记价格下真正有偿付能力的账户，无法虚构清算价格，也无法减仓超过破产规模。

在 Hyperliquid 上，对减仓没有有效性证明约束：HLP 自动继承破产仓位，因此流动性池在设计上就是对手方。在 JELLY 事件期间，HLP 出现资不抵债，验证者直接投票下架市场并以他们选择的价格强制结算每个开放仓位。所以 Lighter 在证明电路中设置边界的事情，Hyperliquid 留给治理，治理甚至可以在事后重写已清算仓位的结算。

总结评估