Lighter против Hyperliquid: финансирование, ордера и позиции — чья архитектура лучше?

Автор: L2Beat

Перевод: TechFlow

Обзор TechFlow: Оба проекта позиционируются как децентрализованные биржи перпетуалов, но базовая архитектура определяет, сможете ли вы по-настоящему контролировать свои средства. Lighter с помощью доказательств корректности Ethereum полностью блокирует возможность оператора изменять средства и ордера, тогда как Hyperliquid управляется голосованием 28 валидаторов — инцидент с JELLY уже показал, что они готовы менять правила, чтобы спасти собственное казначейство. В этом материале мы разберем, какие обещания гарантированы криптографией, а какие являются лишь словами «мы не будем делать зла».

Отличие децентрализованных бирж перпетуалов (perps DEX) от централизованных бирж (CEX), таких как Binance или Bybit, проявляется в двух аспектах. Во-первых, это вопрос custody: perps DEX позволяют пользователям сохранять права собственности на залог, вместо того чтобы передавать средства и получать расписку от биржи. Во-вторых, это верифицируемость: исполнение ордеров и управление позициями могут быть прозрачными и поддающимися проверке.

Для торговли перпетуалитами (и другими продуктами с плечом) торговый движок должен активно управлять позициями пользователей для проведения ликвидаций. По этой причине perps DEX используют механизмы управления позициями, такие как алгоритм автоматического уменьшения размера позиции (ADL), верифицируемость которых критически важна, поскольку эти механизмы предоставляют бирже право закрывать и сокращать позиции, одновременно напрямую противопоставляя платежеспособность биржи прибыли пользователей.

Сравнение ведущих perps DEX — Hyperliquid и Lighter — можно разделить на три категории:

Владение активами (Custody): Может ли оператор распоряжаться вашим залогом или заблокировать вывод средств?

Справедливость исполнения ордеров (Order Fairness): Может ли оператор видеть, перестраивать, осуществлять фрэнран, цензурировать или проводить сэндвич-атаки против ваших поданных ордеров?

Справедливость управления позициями (Position Fairness): Кто решает, когда и каким образом проводить вашу ликвидацию, и какая контрагентская сторона берет на себя вашу позицию?

Сравнение архитектуры Lighter и Hyperliquid

Очевидное архитектурное различие между Hyperliquid и Lighter заключается в том, что первый является независимой L1 блокчейном, тогда как второй работает как L2 поверх Ethereum. Основным следствием этого является то, что набор валидаторов Hyperliquid совпадает с операторами биржи, а расчеты транзакций происходят внутри одной и той же цепочки, контролируемой операторами. Lighter завершает расчеты путем предоставления доказательств корректности в Ethereum, сеть которого находится вне контроля операторов Lighter. Теоретически расчеты в Ethereum представляют собой структурное преимущество. Ethereum — самая децентрализованная и наиболее проверенная боевым опытом сеть, которая в настоящее время насчитывает около 800 000 валидаторов и обладает экономической безопасностью на уровне $50 миллиардов. Набор валидаторов Hyperliquid состоит из 28 участников, фонд напрямую контролирует около 50% стейкинга, дополняя его стейкингом через программы делегирования. Эта небольшая группа валидаторов способна посредством обычного управления изменять результаты торгов, ликвидаций и расчетов — они уже прибегли к этому во время инцидента с JELLY в 2025 году, когда сняли с торгов манипулируемый рынок и принудительно закрыли позиции по выбранной ими цене, чтобы спасти казначейство HL от убытков примерно в $13 миллионов.

Несмотря на то, что активы Lighter и пути вывода средств существуют непосредственно в Ethereum, операторы Lighter фактически способны совершать аналогичные действия. На данный момент команда Lighter все еще имеет возможность без задержек обновлять смарт-контракты, включая модуль валидации доказательств. Можно сказать, что главное отличие кроется в пределе доверия: проект Lighter L2 в конечном итоге способен соответствовать стандартам децентрализации уровня 2 (Stage 2), отказавшись от контроля над обновлениями, как только архитектура станет достаточно зрелой, тем самым наследуя полную безопасность Ethereum.

Поскольку риски управления в обоих проектах сопоставимы, оценка проводится с учетом их текущих архитектурных решений и развертывания контрактов.

Владение активами (Custody)

В штатном режиме доказательства корректности Lighter периодически верифицируются в сети Ethereum, что позволяет circuit (вычислительному контуру) обеспечивать следующее:

Оператор не сможет украсть неактивные средства USD или выполнить несанкционированные ордера — переход состояния требует действительной подписанной транзакции.

Оператор не сможет эмиссионно создать USDC — итоговый баланс каждого батча должен сверяться между всеми счетами. Кроме того, закрытие позиций не создает новой стоимости, и любая прибыль уравновешивается соответствующими убытками.

Оператор не сможет задним числом изменить состояние счетов. Корни состояния отправляются строго последовательно, и попытка модифицировать старые данные приведет к сбою проверки.

На платформе Hyperliquid указанные свойства не обеспечиваются криптографическими доказательствами, а реализуются через консенсус валидаторов. Совместное голосование валидаторов способно изменить результаты состояния системы.

В случае краха биржи или прекращения ее работы функция экстренного вывода средств Lighter позволяет пользователям изъять активы и перевести их обратно в кошелек через мост Ethereum. Это достигается за счет независимой генерации пользователями доказательств своих счетов и их верификации с использованием последнего опубликованного корня состояния L2 в Ethereum. Функция невозможна на Hyperliquid. Главный мост Hyperliquid в Arbitrum не использует систему доказательств, а выводы средств обеспечиваются внешним субнабором разрешенных валидаторов общей численностью 8 человек (две группы по 4 валидатора). Другие мосты также зависят от внешней верификации, что означает полное отсутствие permissionless способа вывода средств пользователей, если операторы прекратят выполнение своих обязанностей.

Справедливость исполнения ордеров

Ни одна из платформ не предоставляет гарантий справедливости порядка обработки ордеров (order flow fairness), поэтому к ним применимы стандартные атаки на поток, такие как фрэнран, сэндвич-атаки, цензурирование, last look, охота за стоп-лоссами и т.д. Тем не менее, доказательства корректности Lighter гарантируют целостность данных после подачи ордера. В частности, оператор не может изменить цену или объем ордера, равно как и провести сделку по неверной цене. Приоритет цена-время строго соблюдается в рамках алгоритма матчмейкинга, следовательно, исполнение ордера по более худшей цене приведет к проваливанию доказательства корректности. Кроме того, контур матча доказывает, что контрагентом сделки выступает ордер с максимальным приоритетом на противоположной стороне стакана. Данная гарантия справедливости ослабляется описанным выше контролем оператора над входящими данными, например, оператор может разместить собственный ордер и сделать его лучшим предложением.

Справедливость управления позициями

Процедура ликвидации регулируется тремя параметрами: когда (временем), по какой цене (справедливой ценой/mark price) и кто станет контрагентом (выбор стороны). На обеих платформах оператор управляет всеми тремя параметрами. Однако в Lighter доказательства устанавливают определенные границы в отношении того, что можно делать с платежеспособными счетами.

Рассмотрим уязвимые места пользователей:

Mark Price / Манипуляция оракулами. Ликвидации и нереализованная прибыль/убыток рассчитываются на основе mark price, который формируется из источников данных оракулов. Подписи оракулов в настоящее время не верифицируются ончейн или в пределах доказательства, что подвергает пользователей атакам на оракулы: ликвидации из-за резкого скачка mark price, а также манипуляции с Funding Rate для перераспределения ценности от лонгов к шортам (и наоборот). При активации режима пустыни (Escape Mode) пользователи дополнительно рискуют получить расчет по невыгодной цене. Открытые позиции рассчитываются наличными по последней опубликованной mark price. Следовательно, если оператор сам выбирает момент остановки системы, он может остановить её именно при mark price, неблагоприятном для держателей открытых позиций.

Временные рамки управления позициями. Даже без прямой манипуляции ценами оператор контролирует временные параметры событий. Например, оператор может инициировать массовую ликвидацию при выбранном mark price в целях максимизации собственной выгоды. Выбор контрагентов для алгоритма ADL также произволен. Контур гарантирует противоположное направление позиции у контрагента, корректный расчет цены отсечения из состояния банкрота, а также подтверждение факта банкротства счета. Однако он не накладывает ограничений на порядок выбора подходящего контрагента. Это также дает оператору свободу решать, когда социализировать убытки, а когда покрывать их из страхового фонда.

Таким образом, на платформе Lighter оператор может ликвидировать вашу позицию в выбранный им момент и по заданному mark price, но не имеет возможности ликвидировать реально платежеспособные счета, фиктивно устанавливать цену ликвидации или сокращать размер позиции свыше отметки банкротства.

На Hyperliquid ограничения доказательства корректности на уменьшение позиций отсутствуют: портфель HLP автоматически наследует банкротящиеся позиции, следовательно, пул ликвидности изначально выступает контрагентом. Во время инцидента с JELLY портфель HLP оказался неплатежеспособным, валидаторы напрямую проголосовали за снятие рынка с торгов и принудительный расчет всех открытых позиций по выбранной ими цене. Таким образом, то, что Lighter защищает границами в zk-circuit, на Hyperliquid оставляют на откуп протокольному управлению, которое даже способно задним числом переписать условия расчета уже ликвидированных позиций.

Итоговая оценка