Definição de Oracle e Estabilidade de Mercado: Construindo Mercados Perpétuos Confiáveis no HIP-3

A evolução de como os contratos perpétuos são lançados mudou fundamentalmente. Onde plataformas antes controlavam quais ativos podiam ser negociados e sob que condições, o HIP-3 redistribuiu esse poder para construtores qualificados que operam dentro de parâmetros definidos. Desde a sua implantação na mainnet, mais de 13 bilhões de dólares em volume de transações passaram por mercados operados por terceiros, sinalizando uma democratização genuína na criação de mercados. No entanto, essa mudança de gatekeeper para sistema baseado em regras cria um paradoxo crítico: maior flexibilidade de mercado exige uma disciplina operacional mais rigorosa. No centro desse desafio está um conceito aparentemente simples, mas com consequências de grande impacto — definição de oráculo.

A Arquitetura por Trás da Listagem Descentralizada: Da Aprovação aos Padrões

As exchanges centralizadas tradicionais controlam a listagem de contratos perpétuos por meio de processos internos opacos. Uma equipe de produto avalia um ativo, toma uma decisão de negócio e o implanta. O controle de risco fica dentro da infraestrutura da exchange. O HIP-3 inverte esse modelo. Em vez de manter um catálogo curado, a Hyperliquid fornece a infraestrutura — HyperCore gerencia o matching e liquidação em escala, HyperEVM executa contratos inteligentes — e convida construtores a sobrepor mercados sobre ela.

O mecanismo é simples na superfície: apostar 500k tokens HYPE, implantar uma DEX (que mantém sua própria margem e livro de ordens), lançar três mercados gratuitamente, e depois adquirir slots adicionais por meio de leilões holandeses. Mas essa simplicidade estrutural mascara uma complexidade profunda na execução. Agora, o construtor possui não apenas a criação do mercado, mas também as operações de mercado — alimentação de preços, gerenciamento de parâmetros, monitoramento contínuo de estabilidade. O que antes era responsabilidade da plataforma torna-se uma responsabilidade do construtor.

Essa mudança expõe uma tensão central: descentralização requer padronização. O sistema deve estabelecer interfaces e restrições claras; caso contrário, o risco não desaparece — ele se fragmenta entre dezenas de operadores independentes com capacidades variadas.

Definição de Oráculo: A Decisão Crítica Inicial

Quando um construtor inicia a criação de um mercado, a primeira e mais importante decisão envolve a definição do oráculo. Isso não é apenas escolher uma fonte de preço; abrange toda a estrutura conceitual de como os participantes do mercado determinarão se suas posições são lucrativas, se enfrentam liquidação ou se acionam mecanismos de emergência.

O que a Definição de Oráculo Especifica de Fato:

Uma definição de oráculo no HIP-3 inclui três componentes: o oraclePx (o preço bruto de uma fonte externa), o markPx opcional (preços de marca personalizados fornecidos pelo construtor), e o externalPerpPx (mediana ponderada dos preços perpétuos de exchanges centralizadas). Esses não são entradas intercambiáveis — eles desempenham funções distintas na hierarquia de cálculo de risco do HIP-3.

O oraclePx ancoram as taxas de financiamento e servem como referência para limites de preço. O markPx é calculado pelo relayer do construtor, combinando sinais on-chain e off-chain. O externalPerpPx fornece uma referência de fallback. O HIP-3 então combina esses em um preço de marca real por meio de cálculo de mediana: primeiro a mediana do livro de ordens local, depois combinada com as marcas externas fornecidas pelo construtor, e comparada ao externalPerpPx. Essa abordagem de múltiplas fontes teoricamente impede que uma única fonte de preço dite liquidações.

Teoricamente.

Por que a Definição de Oráculo Importa Mais do que a Tecnologia:

A composição técnica da definição de oráculo é menos crítica do que a capacidade operacional do construtor de mantê-la. Um construtor que escolhe uma definição de oráculo que depende de um relayer centralizado herda a disponibilidade, segurança e frequência de atualização desse servidor como restrições. Se a chave privada que garante o relayer for comprometida, ou se ataques DDoS impedirem atualizações de preço, o oraclePx estagna. Com preços de marca incapazes de atualizar, o sistema recorre às medianas do livro de ordens local — exatamente quando a liquidez está mais escassa e o risco de manipulação atinge o pico.

O incidente de 14 de dezembro de 2025 no trade.xyz demonstrou essa dinâmica. Atacantes acumularam uma posição short de aproximadamente 398 contratos XYZ100 (~10 milhões de dólares), criando deliberadamente um desequilíbrio. O preço se desvinculou de fontes externas devido à profundidade insuficiente do livro de ordens. Os detentores de posições longas enfrentaram liquidações em cascata, com cerca de 13 milhões de dólares em posições fechadas. O mecanismo funcionou tecnicamente — as liquidações foram executadas — mas o sistema transferiu perdas para os participantes menos preparados, ao invés de evitar a disfunção inicial.

Esse cenário torna-se muito mais provável quando a definição de oráculo assume âncoras de preço externas estáveis durante horários fora do mercado.

A Divisão entre Ativos 24/7 e Não-24/7: Quando a Definição de Oráculo Torna-se Crítica

A flexibilidade do HIP-3 para listar qualquer ativo cria uma diferença categórica nos requisitos de definição de oráculo.

Ativos 24/7 (Criptomoedas Perpétuas):

Para Bitcoin, Ethereum e outros ativos negociáveis 24 horas, a definição de oráculo pode confiar em múltiplas fontes de preço de CEX/DEX combinadas com serviços especializados como Pyth. Esses ativos negociam continuamente em múltiplos ambientes. Um construtor pode agregar várias fontes de preço, aplicar cálculos de mediana e detectar outliers. Quando uma fonte diverge, outras fornecem um ancoramento imediato.

A definição de oráculo para ativos 24/7 permanece desafiadora — selecionar fontes ponderadas, gerenciar a frequência de atualização, lidar com quedas de exchanges — mas o mercado externo subjacente fornece sinais consistentes mesmo que uma única fonte falhe.

Ativos Não-24/7 (Ações e Commodities):

Para perpetuidades de ações, a definição de oráculo exige pressupostos fundamentalmente diferentes. Durante o horário de mercado, feeds de preço de serviços como Pyth fornecem âncoras externas estáveis. Mas quando a Bolsa de Nova York fecha, o construtor enfrenta uma escolha: ou interrompe os feeds de preço (e restringe negociações), ou continua a precificar com base em sinais internos de mercado, usando referências externas apenas ao “preço de fechamento anterior”.

A maioria dos construtores que implementam ativos não-24/7 atualmente usa um mecanismo de precificação interno semelhante ao trade.xyz — combinando o último preço externo do oráculo com a dinâmica do livro de ordens interno, limitado para evitar deriva excessiva (tipicamente 1/variação de alavancagem máxima). Isso é matematicamente sólido; operacionalmente, é perigoso.

Durante fechamentos de mercado, a profundidade do livro de ordens normalmente diminui. Market makers reduzem cotações, participantes de varejo dormem, e o mercado se torna drasticamente mais fino. Uma definição de oráculo que limite o movimento de preço a “1/10 do fechamento anterior” (para 10x de alavancagem) parece conservadora. Quando a liquidez desaparece, até fluxos modestos de ordens criam movimentos de preço desproporcionais dentro desse intervalo limitado. Quando o mercado abre na segunda-feira de manhã e os dados externos re-ancoram, surgem gaps. Esses gaps acionam liquidações em cascata ou, em casos severos, eventos de ADL (redução automática de posições) onde negociações lucrativas são forçadas a fechar para cobrir perdas de posições insolventes.

Construindo uma Estrutura de Definição de Oráculo Resiliente

Construtores que tentam operar mercados estáveis precisam de estratégias de definição de oráculo que antecipem modos de falha, ao invés de presumir estabilidade contínua.

Âncoras de preço suplementares durante fechamentos de mercado:

Para ativos não-24/7, introduzir sinais de preço externo mesmo durante fechamentos melhora significativamente a definição de oráculo. Opções incluem:

• Blue Ocean ATS e plataformas de negociação após o horário: Fornecem descoberta de preço contínua fora do horário regular, oferecendo sinais mais atuais do que o “preço de fechamento anterior”. Um construtor pode ponderar dados do Blue Ocean ATS na definição de oráculo durante fechamentos, criando um ponto de referência menos manipulável.

• Cotações de CFD de fim de semana de provedores como IG: Essas previsões de expectativas de mercado para a abertura da próxima semana. Embora não substituam diretamente os preços à vista, servem como âncoras direcionais para “lacunas de abertura esperadas” na definição de oráculo.

Essas fontes compartilham uma característica crucial: estão disponíveis durante fechamentos de mercado, mas diferem estruturalmente dos mercados à vista. A definição de oráculo deve tratá-las como referências e sinais de risco, não como equivalentes incondicionais.

Projetando uma derivação de preço transparente e auditável:

A vulnerabilidade central na implementação atual da definição de oráculo é a centralização do relayer. Se as fontes de preço derivam exclusivamente de um servidor privado do construtor, esse servidor se torna um ponto único de falha e ataque. Construtores devem construir sistemas de verificação de definição de oráculo que permitam auditoria externa da autenticidade dos preços.

Isso requer divulgar publicamente: as fontes de dados alimentando o oráculo, o algoritmo exato que combina essas fontes, os timestamps de amostragem de cada entrada, e os preços de marca resultantes. Para cada chamada setOracle, gerar uma prova criptográfica incluindo os dados brutos, passos de cálculo e saídas finais. Serializar isso em um proofHash, que o relayer assina. Periodicamente, agregar esses hashes em árvores Merkle e publicar a raiz na blockchain.

Essa abordagem transforma a definição de oráculo de “confie no servidor de preços do construtor” para “verifique a metodologia do construtor”. Qualquer usuário pode recuperar dados históricos de preços, recomputar saídas usando algoritmos publicados e confirmar se as fontes do construtor coincidiram com as declaradas.

Quando a Definição de Oráculo Falha: Monitoramento e Intervenção

Mesmo definições de oráculo bem projetadas falham sob estresse extremo de mercado. Construtores operando com HIP-3 precisam de frameworks de monitoramento que detectem degradação antes que ela se propague.

Monitoramento do lado do preço: Detectando deriva do oráculo:

Falhas na fonte de preço do oráculo aparecem primeiro como descontinuidades — o relayer para de atualizar. Construtores devem monitorar observáveis on-chain: se duas atualizações consecutivas do oráculo excederem 10 segundos de intervalo, o sistema deve sinalizar um alerta de Nível 1. Os construtores verificam a infraestrutura do relayer, potencialmente mudando para nós de backup.

Mais insidioso é o descolamento do preço: o preço do oráculo se descola gradualmente dos benchmarks externos. A definição de oráculo do construtor pode depender do Pyth para perpetuidades de ações, mas os dados de entrada do Pyth (que usam preços agregados de exchanges) divergem das condições atuais do mercado. A definição de oráculo fica desatualizada sem parecer quebrada. Os limiares de monitoramento devem comparar múltiplas fontes externas com o oráculo do construtor: se duas ou mais divergirem por mais de X%, escalar alertas.

No alerta de Nível 1, limitar o open interest usando setOpenInterestCaps. No Nível 2 (desvio sustentado), atualizar níveis de margem para reduzir gradualmente a alavancagem máxima por tier. No Nível 3, acionar paradas de emergência via haltTrading.

Monitoramento do livro de ordens: Detectando colapso de liquidez:

A definição de oráculo é útil apenas na medida em que a estrutura de liquidez do mercado permita. Se o livro de ordens encolher, spreads se widen, e impacto de ordens agressivas aumentar, mesmo preços precisos se tornam perigosos. Construtores devem acompanhar depth_band (volume cumulativo dentro de ±x% do preço médio), spread (melhor ask - melhor bid) e impact_ratio (volume agressivo / depth_band). Quando a profundidade encolhe enquanto spreads e impact ratios aumentam, o risco de liquidação sobe rapidamente.

No Nível 1, limitar o crescimento do open interest. No Nível 2, reduzir forçadamente a alavancagem de posições de alto risco.

Monitoramento de concentração de posições: Detectando cascatas de especulação:

Por fim, acompanhar se o mercado está mudando de hedge genuíno para pura especulação. Monitorar a razão entre o valor nocional do open interest e o volume de negociação de 24 horas. Quando o OI cresce muito mais rápido que o volume, o mercado está se movendo para uma exposição unidirecional acumulada. Combinado com lucros/perdas majoritários extremos, isso precede cascatas de liquidação. Construtores devem alertar quando esses ratios ultrapassarem limites; se persistente, reduzir limites de OI.

Governança via Staking: Responsabilização pelas Decisões de Definição de Oráculo

O mecanismo do HIP-3 para responsabilizar construtores centra-se no staking. Construtores devem manter 500k HYPE apostados o tempo todo. Validadores podem votar para reduzir essa aposta se as ações do construtor criarem estados de mercado inválidos, longos períodos de inatividade ou degradação de desempenho.

Esse mecanismo de staking faz com que as escolhas de definição de oráculo tenham consequências financeiras concretas. Um construtor que implemente uma definição negligente — aceitando uma única fonte centralizada, não monitorando deriva, ignorando riscos de preços fora de horário — cria cascatas de liquidação. Validadores que observarem falhas recorrentes ou um colapso de mercado diretamente atribuível à inadequação da definição de oráculo podem votar para reduzir toda a aposta do construtor.

Isso transforma a definição de oráculo de uma decisão técnica para uma decisão de governança. Validadores ratificam ou penalizam implicitamente as escolhas do construtor por meio de votos de slashing. Com o tempo, isso cria uma pressão evolutiva: construtores que adotam definições robustas de oráculo sobrevivem; aqueles que cortam caminhos acumulam votos de slashing.

O mecanismo não é perfeito — validadores podem não ter a sofisticação técnica para avaliar com justiça as escolhas de definição de oráculo, ou votar por motivos alheios à qualidade operacional real. Mas estabelece um limite mínimo de responsabilização.

A Implicação Mais Ampla: Descentralização como Redistribuição de Risco

A inovação central do HIP-3 não é eliminar risco; é redistribuí-lo. Onde exchanges centralizadas internalizam risco operacional (manutenção de feeds de preço, prevenção de manipulação, gestão de liquidações), o HIP-3 externaliza essas responsabilidades para os construtores. O protocolo fornece infraestrutura; os construtores fornecem excelência operacional.

Isso funciona apenas quando os construtores entendem exatamente pelo que assumiram responsabilidade. A definição de oráculo representa uma das superfícies de ataque mais subestimadas. Parece simples — escolher uma fonte de preço — mas envolve seleção de feed, gestão de relayer, precificação fora de horário, mecanismos de fallback, frameworks de verificação, monitoramento contínuo e responsabilidade de governança.

Mercados construídos com definições de oráculo descuidadosas irão falhar. Mercados construídos com definições de oráculo pensadas, monitoramento adequado e mecanismos de verificação transparentes podem sustentar atividades comerciais substanciais. Os 13 bilhões de dólares em volume de negociação através de mercados HIP-3 indicam que existem construtores capazes. Mas cada mercado que falha — cada cascata de liquidação atribuível a falhas na definição de oráculo — transfere capital de traders desavisados para operadores de plataforma e arbitradores sofisticados.

Construtores que ingressam no HIP-3 devem encarar a definição de oráculo não como um detalhe técnico, mas como a decisão arquitetônica fundamental que determinará se seu mercado operará com integridade ou falhará sob estresse.

Navegando o Caminho à Frente

Para construtores que projetam acesso ao mercado, templates de parâmetros, sistemas de alerta e procedimentos de emergência baseados no HIP-3, o sucesso depende de tratar a definição de oráculo como um problema de design de primeiros princípios. Isso significa modelar explicitamente como sua definição de oráculo se comporta sob cenários: quedas de exchange, ataques DDoS ao relayer, lacunas entre preços internos e externos durante horários fora do mercado, cascatas de liquidação em condições de baixa liquidez.

Significa implementar frameworks de verificação que permitam auditoria externa de sua metodologia de preços. Significa estabelecer limiares de monitoramento e procedimentos de escalonamento com regras de decisão claras. Mais importante, é reconhecer que a complexidade de manter definições de oráculo confiáveis sob estresse não desapareceu — ela simplesmente foi transferida da exchange para os construtores.

Aqueles que levarem a sério a definição de oráculo operarão mercados estáveis e confiáveis. Aqueles que não, serão estudos de caso de como sistemas descentralizados podem falhar.