信任、偿付与风险

核心安全规则

HyperLeaf 围绕一条 invariant：

未偿 Leaf claim 不得超过协议所承认的、可经济兑现的 backing。

这比检查代币余额更强。

合约可以持有与其已发行 claim 经济上不等价的代币。

三项检查

HyperLeaf 拆开三个问题：

Authorization（授权）

谁有权宣称某事件发生了？

Accounting（会计）

协议应承认多少数量？

Solvency（偿付）

已承认 claim 是否真能从底层系统兑付？

有效的跨链消息可以证明授权，却证明不了经济 backing。

可能出什么问题

智能合约风险

HyperLeaf 合约或上游集成的 bug，可影响铸造、会计、托管或退出。

上游协议风险

Leaf 继承创造底层生息头寸的协议的重要假设。

跨链风险

跨链 listing 依赖消息投递、验证基建、源链可用性与目标链执行。

流动性风险

有 backing 的 Leaf，在盘口薄时仍可能折价。

Oracle / 汇率风险

按汇率计息的资产依赖源端会计或汇率机制正确。

操作风险

每周的例行操作（收取、记账和分配奖励）由一个单独的 keeper 钱包执行。keeper 不能提走用户资金、修改设置或升级合约，但它决定奖励在什么时候、按什么比例记入每周的 epoch。金库、存款 Gate、质押 adapter 和 Leaf Market 的管理权限都在同一个 owner 钱包手里，不是多签（见“管理权限”一条）。

管理权限：金库、存款 Gate、质押 adapter 和 Leaf Market 都由同一个钱包控制，不是多签。这把私钥可以修改设置，也可以升级存款 Gate 合约；如果丢失或泄露，用户资金可能受影响。

存款上限：目前不设总存款上限。

失败策略

底层系统可疑时，HyperLeaf 宁可先停 mint，也不硬撑误导性 peg。

预期状态模型：

原则很简单：

backing 不确定时，停止放大不确定性。

HyperLeaf 不承诺什么

HyperLeaf 不保证：

• 1:1 市场价格；
• 任意时刻都有买方；
• 每个 Leaf 立刻赎回；
• 源协议不间断可用；
• 免于上游治理或升级风险。

这些故意不在协议承诺里。

透明度

每个 listing 应从四块信息读懂：

1. 规范 backing 是什么；
2. Leaf 供应如何记账；
3. 收益如何产生与归属；
4. 用户如何退出。

适配器能编译，不等于可以上架。

经济故事必须先可审计。