Quando o preço de marca se torna uma arma: Análise do risco sistêmico no mercado de Futuros Perpétuos
Em março de 2025, um token pouco conhecido chamado JELLY, com um volume diário de negociação inferior a 2 milhões de dólares, provocou uma tempestade de liquidação de milhões de dólares na Hyperliquid. Os atacantes aproveitaram a lógica de cálculo, os processos algorítmicos e os mecanismos de controle de risco divulgados publicamente pela plataforma, criando um ataque "sem código" que foi extremamente letal para o mercado e para os traders. O preço de marca, que deveria ser um âncora de "neutralidade e segurança" no mercado, transformou-se, neste evento, de um escudo em uma lâmina.
Este artigo irá analisar, a partir de duas perspectivas, teórica e prática, os riscos sistêmicos do mecanismo de preço de marca no mercado de Futuros Perpétuos de criptomoedas, e fará uma revisão detalhada do incidente de ataque Jelly-My-Jelly. Este incidente não só revelou a fragilidade estrutural do design dos oráculos, a propriedade de espada de dois gumes do pool de liquidez inovador (HLP Vault), mas também expôs a assimetria interna da lógica de liquidação atual em relação à proteção dos fundos dos usuários em situações de mercado extremo.
Primeira Parte: O Paradoxo Central dos Futuros Perpétuos - A Inclinação do Mecanismo de Liquidação Causada por uma Falsa Sensação de Segurança
1.1 preço de marca：uma tendência de liquidação trazida por um jogo de consenso erroneamente considerado seguro
O princípio fundamental do preço de marca é construído em torno de um mecanismo de mediana de três valores baseado no "preço de índice". O preço de índice é calculado através da média ponderada dos preços desse ativo em várias plataformas de spot de renome, com o intuito de fornecer um preço de referência justo e equitativo entre plataformas e regiões.
A forma típica de cálculo do preço de marca é a seguinte:
Preço de Marca = Mediana (Preço1, Preço2, Último Preço Negociado)
Price1 = preço de índice × (1 + taxa de financiamento base )
Price2 = preço de índice + desvio médio móvel
Last Traded Price = preço de marca no plataforma de derivados
A introdução da mediana tem como objetivo eliminar valores atípicos e aumentar a estabilidade dos preços. No entanto, a segurança desse design é totalmente baseada na suposição de que a quantidade de fontes de dados de entrada é suficiente, a distribuição é razoável, a liquidez é forte e é difícil de ser manipulada de forma colaborativa.
No entanto, na realidade, a grande maioria dos mercados à vista de altcoins é extremamente fraca. Assim que um atacante consegue controlar os preços de algumas plataformas de baixa liquidez, pode "contaminar" o preço do índice, injetando dados maliciosos de forma legítima através da fórmula do preço de marca. Este tipo de ataque pode desencadear uma liquidação em grande escala com um custo mínimo, provocando uma reação em cadeia.
1.2 Motor de liquidação: o escudo da plataforma, mas também a lâmina
Quando o preço de mercado muda rapidamente para uma direção desfavorável, a margem do trader será erodida pelas perdas flutuantes. Assim que a margem restante cair abaixo da "taxa de margem de manutenção", o motor de liquidação será ativado. O critério mais fundamental de ativação é o preço de marca, e não o último preço de negociação da plataforma.
É ainda mais alarmante o mecanismo de "liquidação forçada" (ou seja, liquidação antecipada). Muitas exchanges, para evitar o risco de liquidação excessiva, costumam adotar parâmetros de liquidação mais conservadores no seu sistema de gestão de riscos. Quando a liquidação forçada é ativada, mesmo que o preço de liquidação seja melhor do que o preço real em que as perdas se zeram, a plataforma geralmente não reembolsa essa parte do "excedente de liquidação forçada", mas sim a injeta diretamente no fundo de seguro da plataforma.
O motor de liquidação deveria ser uma ferramenta de controle de risco neutra, mas na atribuição de lucros, seleção de parâmetros e lógica de ativação, apresenta uma tendência de lucratividade da plataforma.
1.3 A invalidação do preço de marca leva à distorção do motor de liquidação
A teoria do preço de marca fornece uma referência de preço justa e resistente à manipulação através da agregação de dados de múltiplas fontes e de algoritmos de mediana. No entanto, essa teoria pode ser válida quando aplicada a ativos mainstream com alta liquidez, mas sua eficácia enfrentará desafios severos quando confrontada com altcoins de baixa liquidez e mercados concentrados.
Para a grande maioria das altcoins, a profundidade de negociação e o número de bolsas em que estão listadas são muito limitados, o que faz com que seus índices de preço sejam facilmente capturados na armadilha de um "pequeno conjunto de dados". Assim, a sensação de segurança proporcionada pelo "índice de múltiplas fontes" reivindicado pelas bolsas, muitas vezes é apenas uma ilusão no mundo das altcoins. Muitas vezes, o último preço de negociação é igual ao preço de marca.
Parte Dois: O Dilema do Oráculo: Quando a Liquidez do Spot se Torna uma Arma
2.1 Oráculo: uma ponte frágil que conecta on-chain e off-chain
O oráculo de preços é um sistema de middleware responsável por transmitir dados off-chain de forma segura e confiável para on-chain, fornecendo informações do "mundo real" para o funcionamento dos contratos inteligentes. No entanto, um oráculo "honesto" não significa que ele reporta preços "razoáveis". A responsabilidade do oráculo é apenas registrar fielmente o estado do mundo externo que pode observar, não julgar se os preços estão desviados dos fundamentos.
2.2 Ponto de Ataque: Quando a Falta de Liquidez se Torna uma Arma
O cerne desse tipo de ataque está em explorar a desvantagem de liquidez dos ativos-alvo no mercado à vista. Para ativos com negociação escassa, até mesmo pequenas ordens podem causar flutuações de preço acentuadas, oferecendo assim uma oportunidade para os manipuladores.
O ataque ao Mango Markets em outubro de 2022 é considerado um "exemplo". O atacante aproveitou a extrema falta de liquidez do MNGO, investindo cerca de 4 milhões de dólares em várias exchanges para comprar, conseguindo assim aumentar o preço do MNGO em mais de 2300% em um curto espaço de tempo. Este "preço anômalo" foi registrado integralmente pelo oráculo e alimentado para o protocolo on-chain, resultando em um aumento explosivo no limite de empréstimo, que acabou "esvaziando legalmente" todos os ativos da plataforma.
Detalhes do caminho de ataque:
Seleção de metas
Angariação de Capital
Mercado à vista em flash
Poluição de Oráculos
preço de marca infecção
Terceira Parte: Campo de Caça - Análise dos Riscos Estruturais da Hyperliquid
3.1 HLP Cofragem: Market makers e contrapartes de liquidação democratizados
O cofre HLP da Hyperliquid é um fundo gerido de forma unificada pelo protocolo, que desempenha duas funções. Ele atua como o formador de mercado ativo da plataforma e também serve como o "colchão de liquidação e stop loss" da plataforma. Este design não apenas atrai especuladores, mas também atrai uma presença mais perigosa: atacantes que manipulam o mercado intencionalmente.
3.2 Defeitos estruturais do mecanismo de liquidação
O evento Jelly-My-Jelly expôs uma falha fatal da Hyperliquid sob condições de mercado extremas, cuja raiz está na estrutura de financiamento e no modelo de liquidação do tesouro HLP. Não há um mecanismo de isolamento rigoroso entre o pool de reservas de liquidação e os pools de financiamento que executam outras estratégias de market making, compartilhando a mesma garantia.
Quando o pool de reserva de liquidação já estiver em profunda perda, devido ao fato de que ele pode invocar os ativos colaterais de outros pools de estratégia no cofre HLP, o sistema determina que a "saúde geral" do cofre HLP ainda é boa, e portanto, não ativa o mecanismo de controle de risco. Este design do mecanismo de colateral compartilhado contorna inesperadamente a linha de defesa de risco sistêmico ADL.
Parte Quatro: Análise de Caso - Revisão Completa do Ataque Jelly-My-Jelly
4.1 Fase Um: Estrutura - Armadilha de venda a descoberto no valor de 4 milhões de dólares
No dia 26 de março, enquanto o preço à vista do JELLY oscilava em torno de 0,0095 dólares, os atacantes começaram a implementar a primeira fase. Os atacantes, através de auto negociação, construíram uma posição vendida de aproximadamente 4 milhões de dólares no mercado de Futuros Perpétuos do JELLY, acompanhada por um total de 3 milhões de dólares em posições compradas.
4.2 Fase Dois: Ataque - A Batalha Relâmpago do Mercado à Vista
Os atacantes iniciaram uma ofensiva de compras simultaneamente em várias exchanges centralizadas e descentralizadas. O preço à vista do JELLY foi rapidamente elevado em um curto período de tempo, começando em 0,008 dólares, e em menos de uma hora, o preço disparou mais de 500%, atingindo um pico de 0,0517 dólares.
4.3 Fase Três: Explosão - Poluição de Oráculos e Cascata de Liquidações
A acentuada elevação do preço à vista foi rapidamente transmitida para o sistema de preço de marca da Hyperliquid. A disparada do preço de marca acionou diretamente as posições vendidas previamente implantadas pelos atacantes. Como o tesouro HLP atua como contraparte de liquidação da plataforma, assumindo incondicionalmente com base na lógica do contrato inteligente, toda a posição de alto risco foi diretamente empurrada para o HLP.
4.4 Fase Quatro: Ondas Remanescentes - Retirada de Emergência e Reflexão do Mercado
Diante da enorme pressão do mercado e da comunidade, os nós validadores da Hyperliquid votaram em emergência, aprovando várias medidas de resposta: deslistagem imediata e permanente do contrato perpétuo JELLY; e, com recursos da fundação, compensação total para todos os usuários afetados que não são endereços de ataque.
Conclusão - A "ilusão de marca" e a proposição de defesa dos Futuros Perpétuos
Os atacantes no incidente Jelly-My-Jelly não dependeram de vulnerabilidades complexas em contratos ou de métodos criptográficos; eles simplesmente identificaram e exploraram a falha estrutural matemática do mecanismo de geração de preço de marca - pequenas fontes de dados, agregação de mediana, fragmentação de liquidez, e utilizaram o mecanismo de liquidação do mercado para operar.
O problema fundamental do controle do preço de marca é:
A alta relevância dos dados do oráculo
A tolerância do algoritmo de agregação a valores anômalos
O problema do "blind trust" no sistema de liquidação
O preço de marca não deve ser um valor "matematicamente correto, mas vulnerável em termos de jogo", mas sim um produto de um mecanismo que pode manter a estabilidade sob pressão real do mercado. O ideal do DeFi é construir confiança através de código, mas o código não é perfeito; ele também pode solidificar preconceitos, amplificar defeitos pré-estabelecidos e até se tornar uma arma nas mãos de atacantes.
O evento Jelly-My-Jelly não foi acidental e não será a última vez. É um aviso: antes de entender a estrutura do jogo em profundidade, qualquer mecanismo de liquidação baseado em "determinismo" é uma entrada potencial para arbitragem. A maturação do mecanismo não requer apenas uma velocidade de correspondência mais rápida e uma eficiência de capital mais alta, mas também uma capacidade de autorreflexão no nível do design do mecanismo, capaz de identificar e bloquear esses riscos sistêmicos encobertos pela "beleza matemática".
Que possamos sempre manter um coração de reverência pelo mercado.
A matemática é simples, o ser humano é complexo. Apenas a história do jogo se repete. Saber o que é, e também saber por que é.
Esta página pode conter conteúdos de terceiros, que são fornecidos apenas para fins informativos (sem representações/garantias) e não devem ser considerados como uma aprovação dos seus pontos de vista pela Gate, nem como aconselhamento financeiro ou profissional. Consulte a Declaração de exoneração de responsabilidade para obter mais informações.
5 gostos
Recompensa
5
4
Republicar
Partilhar
Comentar
0/400
MetaMaskVictim
· 08-09 14:07
Perda de corte 200U e puxar o tapete. Ainda bem.
Ver originalResponder0
RamenDeFiSurvivor
· 08-09 14:07
Depois de brincar no mercado perp, não esperava que a jelly fizesse isso.
Ver originalResponder0
0xSunnyDay
· 08-09 14:06
又是熟悉的 fazer as pessoas de parvas armadilha~
Ver originalResponder0
MemeKingNFT
· 08-09 14:06
Vamos dizer, como é que sempre há idiotas que não sabem que o mercado é implacável, indo e vindo em várias ondas de touros e ursos.
Revelando o evento Jelly-My-Jelly: a crise do preço de marca no mercado de Futuros Perpétuos e os riscos sistêmicos
Quando o preço de marca se torna uma arma: Análise do risco sistêmico no mercado de Futuros Perpétuos
Em março de 2025, um token pouco conhecido chamado JELLY, com um volume diário de negociação inferior a 2 milhões de dólares, provocou uma tempestade de liquidação de milhões de dólares na Hyperliquid. Os atacantes aproveitaram a lógica de cálculo, os processos algorítmicos e os mecanismos de controle de risco divulgados publicamente pela plataforma, criando um ataque "sem código" que foi extremamente letal para o mercado e para os traders. O preço de marca, que deveria ser um âncora de "neutralidade e segurança" no mercado, transformou-se, neste evento, de um escudo em uma lâmina.
Este artigo irá analisar, a partir de duas perspectivas, teórica e prática, os riscos sistêmicos do mecanismo de preço de marca no mercado de Futuros Perpétuos de criptomoedas, e fará uma revisão detalhada do incidente de ataque Jelly-My-Jelly. Este incidente não só revelou a fragilidade estrutural do design dos oráculos, a propriedade de espada de dois gumes do pool de liquidez inovador (HLP Vault), mas também expôs a assimetria interna da lógica de liquidação atual em relação à proteção dos fundos dos usuários em situações de mercado extremo.
Primeira Parte: O Paradoxo Central dos Futuros Perpétuos - A Inclinação do Mecanismo de Liquidação Causada por uma Falsa Sensação de Segurança
1.1 preço de marca：uma tendência de liquidação trazida por um jogo de consenso erroneamente considerado seguro
O princípio fundamental do preço de marca é construído em torno de um mecanismo de mediana de três valores baseado no "preço de índice". O preço de índice é calculado através da média ponderada dos preços desse ativo em várias plataformas de spot de renome, com o intuito de fornecer um preço de referência justo e equitativo entre plataformas e regiões.
A forma típica de cálculo do preço de marca é a seguinte:
Preço de Marca = Mediana (Preço1, Preço2, Último Preço Negociado)
A introdução da mediana tem como objetivo eliminar valores atípicos e aumentar a estabilidade dos preços. No entanto, a segurança desse design é totalmente baseada na suposição de que a quantidade de fontes de dados de entrada é suficiente, a distribuição é razoável, a liquidez é forte e é difícil de ser manipulada de forma colaborativa.
No entanto, na realidade, a grande maioria dos mercados à vista de altcoins é extremamente fraca. Assim que um atacante consegue controlar os preços de algumas plataformas de baixa liquidez, pode "contaminar" o preço do índice, injetando dados maliciosos de forma legítima através da fórmula do preço de marca. Este tipo de ataque pode desencadear uma liquidação em grande escala com um custo mínimo, provocando uma reação em cadeia.
1.2 Motor de liquidação: o escudo da plataforma, mas também a lâmina
Quando o preço de mercado muda rapidamente para uma direção desfavorável, a margem do trader será erodida pelas perdas flutuantes. Assim que a margem restante cair abaixo da "taxa de margem de manutenção", o motor de liquidação será ativado. O critério mais fundamental de ativação é o preço de marca, e não o último preço de negociação da plataforma.
É ainda mais alarmante o mecanismo de "liquidação forçada" (ou seja, liquidação antecipada). Muitas exchanges, para evitar o risco de liquidação excessiva, costumam adotar parâmetros de liquidação mais conservadores no seu sistema de gestão de riscos. Quando a liquidação forçada é ativada, mesmo que o preço de liquidação seja melhor do que o preço real em que as perdas se zeram, a plataforma geralmente não reembolsa essa parte do "excedente de liquidação forçada", mas sim a injeta diretamente no fundo de seguro da plataforma.
O motor de liquidação deveria ser uma ferramenta de controle de risco neutra, mas na atribuição de lucros, seleção de parâmetros e lógica de ativação, apresenta uma tendência de lucratividade da plataforma.
1.3 A invalidação do preço de marca leva à distorção do motor de liquidação
A teoria do preço de marca fornece uma referência de preço justa e resistente à manipulação através da agregação de dados de múltiplas fontes e de algoritmos de mediana. No entanto, essa teoria pode ser válida quando aplicada a ativos mainstream com alta liquidez, mas sua eficácia enfrentará desafios severos quando confrontada com altcoins de baixa liquidez e mercados concentrados.
Para a grande maioria das altcoins, a profundidade de negociação e o número de bolsas em que estão listadas são muito limitados, o que faz com que seus índices de preço sejam facilmente capturados na armadilha de um "pequeno conjunto de dados". Assim, a sensação de segurança proporcionada pelo "índice de múltiplas fontes" reivindicado pelas bolsas, muitas vezes é apenas uma ilusão no mundo das altcoins. Muitas vezes, o último preço de negociação é igual ao preço de marca.
Parte Dois: O Dilema do Oráculo: Quando a Liquidez do Spot se Torna uma Arma
2.1 Oráculo: uma ponte frágil que conecta on-chain e off-chain
O oráculo de preços é um sistema de middleware responsável por transmitir dados off-chain de forma segura e confiável para on-chain, fornecendo informações do "mundo real" para o funcionamento dos contratos inteligentes. No entanto, um oráculo "honesto" não significa que ele reporta preços "razoáveis". A responsabilidade do oráculo é apenas registrar fielmente o estado do mundo externo que pode observar, não julgar se os preços estão desviados dos fundamentos.
2.2 Ponto de Ataque: Quando a Falta de Liquidez se Torna uma Arma
O cerne desse tipo de ataque está em explorar a desvantagem de liquidez dos ativos-alvo no mercado à vista. Para ativos com negociação escassa, até mesmo pequenas ordens podem causar flutuações de preço acentuadas, oferecendo assim uma oportunidade para os manipuladores.
O ataque ao Mango Markets em outubro de 2022 é considerado um "exemplo". O atacante aproveitou a extrema falta de liquidez do MNGO, investindo cerca de 4 milhões de dólares em várias exchanges para comprar, conseguindo assim aumentar o preço do MNGO em mais de 2300% em um curto espaço de tempo. Este "preço anômalo" foi registrado integralmente pelo oráculo e alimentado para o protocolo on-chain, resultando em um aumento explosivo no limite de empréstimo, que acabou "esvaziando legalmente" todos os ativos da plataforma.
Detalhes do caminho de ataque:
Terceira Parte: Campo de Caça - Análise dos Riscos Estruturais da Hyperliquid
3.1 HLP Cofragem: Market makers e contrapartes de liquidação democratizados
O cofre HLP da Hyperliquid é um fundo gerido de forma unificada pelo protocolo, que desempenha duas funções. Ele atua como o formador de mercado ativo da plataforma e também serve como o "colchão de liquidação e stop loss" da plataforma. Este design não apenas atrai especuladores, mas também atrai uma presença mais perigosa: atacantes que manipulam o mercado intencionalmente.
3.2 Defeitos estruturais do mecanismo de liquidação
O evento Jelly-My-Jelly expôs uma falha fatal da Hyperliquid sob condições de mercado extremas, cuja raiz está na estrutura de financiamento e no modelo de liquidação do tesouro HLP. Não há um mecanismo de isolamento rigoroso entre o pool de reservas de liquidação e os pools de financiamento que executam outras estratégias de market making, compartilhando a mesma garantia.
Quando o pool de reserva de liquidação já estiver em profunda perda, devido ao fato de que ele pode invocar os ativos colaterais de outros pools de estratégia no cofre HLP, o sistema determina que a "saúde geral" do cofre HLP ainda é boa, e portanto, não ativa o mecanismo de controle de risco. Este design do mecanismo de colateral compartilhado contorna inesperadamente a linha de defesa de risco sistêmico ADL.
Parte Quatro: Análise de Caso - Revisão Completa do Ataque Jelly-My-Jelly
4.1 Fase Um: Estrutura - Armadilha de venda a descoberto no valor de 4 milhões de dólares
No dia 26 de março, enquanto o preço à vista do JELLY oscilava em torno de 0,0095 dólares, os atacantes começaram a implementar a primeira fase. Os atacantes, através de auto negociação, construíram uma posição vendida de aproximadamente 4 milhões de dólares no mercado de Futuros Perpétuos do JELLY, acompanhada por um total de 3 milhões de dólares em posições compradas.
4.2 Fase Dois: Ataque - A Batalha Relâmpago do Mercado à Vista
Os atacantes iniciaram uma ofensiva de compras simultaneamente em várias exchanges centralizadas e descentralizadas. O preço à vista do JELLY foi rapidamente elevado em um curto período de tempo, começando em 0,008 dólares, e em menos de uma hora, o preço disparou mais de 500%, atingindo um pico de 0,0517 dólares.
4.3 Fase Três: Explosão - Poluição de Oráculos e Cascata de Liquidações
A acentuada elevação do preço à vista foi rapidamente transmitida para o sistema de preço de marca da Hyperliquid. A disparada do preço de marca acionou diretamente as posições vendidas previamente implantadas pelos atacantes. Como o tesouro HLP atua como contraparte de liquidação da plataforma, assumindo incondicionalmente com base na lógica do contrato inteligente, toda a posição de alto risco foi diretamente empurrada para o HLP.
4.4 Fase Quatro: Ondas Remanescentes - Retirada de Emergência e Reflexão do Mercado
Diante da enorme pressão do mercado e da comunidade, os nós validadores da Hyperliquid votaram em emergência, aprovando várias medidas de resposta: deslistagem imediata e permanente do contrato perpétuo JELLY; e, com recursos da fundação, compensação total para todos os usuários afetados que não são endereços de ataque.
Conclusão - A "ilusão de marca" e a proposição de defesa dos Futuros Perpétuos
Os atacantes no incidente Jelly-My-Jelly não dependeram de vulnerabilidades complexas em contratos ou de métodos criptográficos; eles simplesmente identificaram e exploraram a falha estrutural matemática do mecanismo de geração de preço de marca - pequenas fontes de dados, agregação de mediana, fragmentação de liquidez, e utilizaram o mecanismo de liquidação do mercado para operar.
O problema fundamental do controle do preço de marca é:
O preço de marca não deve ser um valor "matematicamente correto, mas vulnerável em termos de jogo", mas sim um produto de um mecanismo que pode manter a estabilidade sob pressão real do mercado. O ideal do DeFi é construir confiança através de código, mas o código não é perfeito; ele também pode solidificar preconceitos, amplificar defeitos pré-estabelecidos e até se tornar uma arma nas mãos de atacantes.
O evento Jelly-My-Jelly não foi acidental e não será a última vez. É um aviso: antes de entender a estrutura do jogo em profundidade, qualquer mecanismo de liquidação baseado em "determinismo" é uma entrada potencial para arbitragem. A maturação do mecanismo não requer apenas uma velocidade de correspondência mais rápida e uma eficiência de capital mais alta, mas também uma capacidade de autorreflexão no nível do design do mecanismo, capaz de identificar e bloquear esses riscos sistêmicos encobertos pela "beleza matemática".
Que possamos sempre manter um coração de reverência pelo mercado.
A matemática é simples, o ser humano é complexo. Apenas a história do jogo se repete. Saber o que é, e também saber por que é.