jaehaerys审了四家永续合约DEX，只有Lighter扛住服务器沦陷假设
中心化平台热钱包被渗透之后，链上非托管设施到底能不能兜住，成了衍生品赛道绕不开的问题。独立安全研究员jaehaerys在X上发了一份架构审查报告，把规模靠前的四家永续合约DEX逐个拆了权限：Lighter（约10亿美元）、Hyperliquid（约65亿美元）、Aster（约5亿美元）、Variational（约2.9亿美元）。
他设的检验条件很直接：假定这几家的核心运维服务器被同等程度攻破，攻击者拿着受控权限，能不能直接把用户底层资产转走。四家里只有Lighter给出否定答案，其余三家不同程度保留了中心化单点清算的口子。这个结论之所以被反复引用，是因为它把"去中心化"从一个标签变成了可验证的权限问题——服务器丢了，钱还在不在。
报告给出的分类大致是两档：Lighter靠密码学校验把出金路径锁死；Hyperliquid把大部分储备交给机构托管方，链上无法独立验真；Aster和Variational则被直接归入托管模型，合约逻辑没有把资产主权让给持仓者。
Lighter用zk证明绑死出金地址，但预言机与多签仍留了中心化裁决
Lighter是唯一通过假设检验的一家。它的防线建立在两处硬约束上。第一处是提现强制提交zk证明，出金路径在合约层被硬编码绑定到最初存入资金的那个钱包地址。服务器全部失守，余额也没法重定向到攻击者钱包——地址对不上，证明就过不了。第二处是应急退出：提现申请如果14天内因为系统故障或团队失联没被处理，任何网络参与者都能在链上触发所谓"沙漠模式"，推动全员清算退出。这两条合起来，等于给用户留了一条不依赖运营方善意的出口。
但它不是绝对去信任化。平台资产报价仍由运营方预言机单向提供，价格这一环没有外部校验；治理层是3/5多签加4/7安全委员会，保留了在没有时间锁预警的情况下直接改合约代码的权限。换句话说，密码学守住了"钱转给谁"，没守住"价格怎么来"和"规则谁来改"。这两项在极端行情下的权重，值得单独拎出来看。
Hyperliquid把86%的USDC放进Coinbase托管单签地址，Aster与Variational仍是托管模型
流动性最大的Hyperliquid走的是另一条路。jaehaerys的拆解显示，其约65亿美元储备中有86%的USDC存在Coinbase名下的机构托管单签地址里。这意味着资产池的偿付能力和物理安全，实质上挂在托管方的内控流程上，公众没法用链上合约逻辑去做去信任化复核。更微妙的是，Hyperliquid跑在自研Layer1上，系统级交易逻辑里存在绕过Coinbase私钥签署、直接驱动资产转账的技术通道。验证节点方面，Hyper Foundation官方维护的5个核心节点占到全网47%的质押权重，节点客户端长期闭源，共识层的抗审查能力因此打了折扣。
Aster的问题在提款权限。用户出金指令必须由项目运营地址发起，再经两把授权私钥二次签名，用户本地签名只是提交申请的意图证明，对资金池没有硬性锁定。合约设了单小时提款额度上限，可同一套4/7多签治理能瞬间改管理角色、重置限额，形不成带时间延迟的刚性壁垒。
Variational的暴露面更直接：17把运营私钥里任意一把都能直接划走资金池内任意USDC余额，合约层没有出金金额硬顶、没有速率限制，强制退出机制也被整个拿掉。员工终端被攻破或者单把私钥泄露，资产池在链上没有任何自卫手段。这已经不属于"权限集中"的程度，而是单点即全失。
这份审查留下的可核对信息
报告本身是研究员个人发布的架构分析，不是审计机构出具的正式报告，结论建立在代码与权限配置的静态复核上，没有覆盖运行时行为。读者要自己判断，可以去对几类公开信息：各协议部署合约的管理员角色与多签地址配置、提现函数的签名校验逻辑、预言机价格源是单一运营方还是多源聚合、以及官方文档里对治理权限变更是否声明时间锁。
如果你正在用或准备用这类协议，有两件事现在就能做：一是把自己用过的协议提现路径走一遍小额测试，确认出金地址绑定规则和到账条件；二是查一下所持头寸所在协议的多签成员构成与私钥管理方式，把"最坏情况下谁能动钱"这个问题落到具体地址上。数字会变，权限结构不会一夜之间改，这两项查清了，比看排名有用。
