これまでに、専用L1としての設計や、取引の中心であるHyperCore、アプリ実行環境のHyperEVMの関係を見てきました。次に気になるのは、たぶんこれです。「では、自分の資産は、この仕組みの中をどう通っていくのか」。
Hyperliquidはよく「非カストディ（self-custody）」と紹介されます。中央集権取引所（CEX）のように運営会社が資産を預かるのではない、という意味で、これは本当です。ただ、「だから資産はずっと自分のウォレットにある」と思うと、少し不正確になります。
実は、Hyperliquidのカストディは一枚岩ではありません。取引している間と、資産を出し入れする出入口とで、誰が資産を動かすかが違います。
この記事では、資産が入って、取引されて、出ていくまでの流れを仕組みとして追いながら、「非カストディ」が正確にどこまでを指すのかを解説します。リスクを煽るための記事ではなく、構造を正しく理解するための記事です。
カストディというと「資産をどこに保管するか」の話に聞こえますが、本質は「資産を動かす権限を誰が持っているか」です。
CEXでは、ユーザーは取引所に資産を預けます。残高や建玉は取引所の内部台帳で管理され、ユーザーは秘密鍵を持ちません。出金できるかどうかは、取引所の運営や処理に依存します。
セルフカストディ（自己管理）では、ユーザー自身が秘密鍵を管理し、自分で署名して資産を動かします。誰かに預けて「動かしてもらう」のではありません。
ここで注意したいのは、「非カストディ」は万能の安全ワードではない、ということです。運営がユーザーの秘密鍵を持たない、という意味では重要ですが、スマートコントラクト、ブリッジ、署名権限といった別の信頼前提は残ります。「誰にも何も信頼しない」という意味ではありません。カストディやセルフカストディの一般的な解説は前提辞書（基礎編）に譲り、ここからはHyperliquid固有の仕組みを見ていきます。
まず、Hyperliquidの本物の非カストディ性を正確に押さえます。
Hyperliquidでは、注文・キャンセル・約定・清算がHyperCore上で処理されます（前章で見たとおりです）。CEXのように、運営会社の内部台帳だけで取引が完結する構造ではありません。これら取引やブリッジに関わる状態は、オンチェーンで検証しやすくなっています。ただし「すべてが見える」わけではなく、フロントエンドの挙動や運営の運用判断まで全部が検証できるわけではない点は、あらかじめ断っておきます。
そして、取引や出金といった操作には、ユーザーの署名が関わります。CEXのように、IDとパスワードで取引所内の残高を動かす構造とは違います。運営がユーザーの秘密鍵を預かるわけではありません。
この意味で、「非カストディ」は本当です。ただし、これはあくまで「取引の仕組み」の話です。資産の出し入れ、すなわち出入口は、別の仕組みで動いています。
細部に入る前に、資産の流れを一望しておきます。
ざっくり言うと、こうです。Arbitrum上のUSDCをブリッジ（Bridge2）に入れるとHyperliquid L1上の残高になり、その残高でHyperCore上で取引し、出金するとまたArbitrumに戻ってくる。この入金→取引→出金の各段階で、資産を動かす主体と必要な信頼が少しずつ違います。
さらに、USDC以外の資産（BTC・ETH・SOLなど）は別の入口（Hyperunit）を通り、資産を運用に回す（Vault）や、取引の署名権限を渡す（API wallet）は、また別の仕組みです。カストディを「誰にどの信頼を置いているか」という観点で見ると、Hyperliquidはおおむね次の4つの領域に分かれます。
| 領域 | 何が起きるか | 主な信頼の前提 |
|---|---|---|
| 取引 | HyperCore上で注文・約定・清算 | 自分の署名／Hyperliquid L1／バリデータ |
| USDC入出金 | Arbitrum USDC ⇔ Hyperliquid | Bridge2契約／バリデータ署名（入金も出金も2/3）／契約の管理者 |
| BTC/ETH/SOL | Hyperunit経由でネイティブ資産を持ち込む | guardian network／MPC・TSS |
| Vault・権限 | 他者戦略への預け入れ・署名権限の委譲 | Vault leaderの戦略／渡した権限 |
この記事では、上の2行（取引とUSDC入出金）を中心に掘り下げ、下の2行（ネイティブ資産とVault・権限）は後半で補足します。まずは入金から見ていきます。
Hyperliquidの基本的な入金経路は、Arbitrum上のnative USDC（ブリッジ版のUSDC.eではありません）を、Bridge2というコントラクトに送ることです。最低入金額があり、公式Docs確認時点では5 USDC、それ未満は反映されず失われる可能性があります。
ここで仕組みとして押さえたいのは、入金は一瞬で反映されるように見えても、裏ではバリデータの署名が関わっている、という点です。公式Docsによれば、入金はバリデータが署名し、ステーキングパワーの2/3超が署名するとクレジットされます。
この瞬間、USDCはArbitrum上のBridge2契約に入り、Hyperliquid L1ではユーザーの残高として反映されます。つまり、「秘密鍵を運営に渡さない」ことと「資産が常に元チェーンの自分のウォレットに残り続ける」ことは別だ、ということです。入金した時点で、USDCは自分のArbitrumウォレットからブリッジ契約へ移っています。
入金してL1残高になったあとの取引は、HyperCore上で処理されます（前章で見たとおりです）。注文・約定・清算は1ブロックで確定し、取引に関わる状態はオンチェーンで確認しやすくなっています。
この取引の最中、資産を動かすのはユーザーの署名です。ここがHyperliquidの非カストディが最も本物である部分です。運営が勝手に動かせるブラックボックスの内部台帳ではありません。
ただし、L1上の残高の裏付けは、Bridge2にロックされたUSDCです。だから、資産を実際に出し入れする出入口の仕組みが効いてきます。ここからが、この記事の本題です。
Hyperliquidのカストディを理解するうえで、いちばん面白いのが出金の仕組みです。CEXとも、純粋なセルフカストディとも違う、中間的な形をしています。
三者を並べると違いがはっきりします。CEXでは、ユーザーは出金を申請し、取引所が内部処理をして、取引所のウォレットから送金します。ユーザー自身がチェーン上で署名するわけではありません。純粋なセルフカストディでは、ユーザー自身がウォレットで署名し、チェーン上のトランザクションを自分で送ります。Hyperliquidの出金は、その中間に位置します。
出金するとき、ユーザーはHyperliquid上で署名します。意外なことに、Arbitrum側のトランザクションはユーザーには不要です。代わりに、Arbitrum上で実際に資金を解放する作業は、L1のバリデータが担います。
流れを公式Docsに沿って追うと、こうです。まずユーザーの出金リクエストでL1残高が即時に差し引かれます。次に、バリデータがその出金に対して別のトランザクションとして署名します。ステーキングパワーの2/3超が署名すると、Arbitrum上のブリッジへ出金リクエストが送られます。
そのあとに、dispute period（異議申し立て期間）があります。Hyperliquidの状態と一致しない不正な出金があれば、この期間にブリッジをロックできます。ロックの解除には、cold wallet（オフラインで厳重に保管された鍵）による2/3の署名が必要です。問題がなければ、期間の経過後に確定し、Arbitrum上の宛先へUSDCが届きます。
所要時間や手数料も公式Docsに書かれています（確認時点では、着金まで数分、出金手数料は1 USDC程度で、ユーザーはArbitrumのガス代を別途用意する必要はありません）。ただ、ここで大事なのはこの数字ではありません。大事なのは、出金が「ユーザーが署名すれば自分だけで完結する」ものではない、という構造です。
整理すると、出入口では、ユーザーの署名に加えて、バリデータの多数決による署名が、資金が動くための成立条件になっています。これが、「取引は自分の鍵で動くが、出入口には別の主体が関わる」というHyperliquidのカストディの核心です。
出金の仕組みを追うと、出入口にどんな信頼が必要かが自然に見えてきます。ここからは、その前提を整理します。危険性を告発するのではなく、「この仕組みだと、ここに前提が残る」と淡々と見ていきます。情報の確かさには幅があるので、公式Docsで確定していること、技術分析で指摘されていること、USDCやブリッジ一般の話、の3つに分けて書きます。
公式Docsで明記されているのは、次の点です。入金も出金も、ステーキングパワーの2/3超のバリデータ署名が成立条件になっていること。出金にはdispute periodがあり、ロックの解除にはcold walletの2/3署名が必要なこと。そして、公式Docs自身が、Hyperliquidの安全性はArbitrumブリッジ契約の安全性に依存する、とリスクとして挙げていることです。
加えて、公式Docsでは、ブリッジとL1ステーキングに関わるロジックがZellicによって監査されていることも示されています。これは安全を保証するものではありませんが、少なくともこの領域が監査の対象として扱われていることは確認できます。
出金がバリデータ署名に依存することも、ブリッジ契約が安全性の前提であることも、Hyperliquid自身が公式に認めている事実だということです。
ここから先は、第三者の技術分析や監査で指摘されている論点です。公式が明言しているわけではないので、そのつもりで読んでください。
ひとつは、Bridge2がアップグレード可能な契約（プロキシ）であり、その管理権限を運営側（Foundation）の鍵が持つ、という指摘です。これは「単独の管理者が勝手に資産を動かせる」という意味ではなく、一定の署名者の集まりが、契約の更新や緊急対応に関わりうる、という論点です。仕組み上、契約を別の実装に更新する権限が運営側にあるため、完全に無信頼（trustless）ではなく、運営がその権限を濫用しないという前提が残る、と分析されています。一部の技術分析では、ブリッジのアップグレード権限や鍵管理の集中が論点として挙げられています。
もうひとつは、バリデータが許可制で、数も限られている点です。2026年にかけて24から27へ増やされましたが、依然として小規模です。出金の成立に2/3の署名が要る以上、署名する主体の集まりに対する信頼が前提になります。
加えて、Bridge2は入金されたUSDCが集まる単一の保管点でもあります。過去には、Arbitrum上のUSDCの大きな割合がこのブリッジに集まっていたとする分析もあり、高価値の標的になりうると指摘されています。異議申し立てが（不正出金に対して）バリデータのみで行われ、一般には開かれていないことも、技術分析が挙げる論点です。
最後は、Hyperliquidに固有ではなく、USDCを使う以上ついて回る一般的な前提です。USDCはCircleが発行する中央集権的なステーブルコインなので、発行体がコントラクト上のUSDCを凍結（freeze）すれば、資金の移動がブロックされうる、という点です。これはどのプラットフォームでUSDCを使っても同じ構造です。
これらをまとめると、出入口では、ユーザーの署名だけでなく、契約の管理者と署名するバリデータの集まりへの信頼が、資金が動くための成立条件になっています。ただし、CEXと決定的に違うのは、取引やブリッジに関わる状態をオンチェーンで検証しやすいことです。
ここまで読むと「やっぱり信頼が必要なら、CEXと同じでは」と感じるかもしれません。そこで、この設計がCEXや他のDEXとどう違うのかを整理しておきます。
クロスチェーンで資産を扱うDeFiでは、取引するチェーンとは別の外部ブリッジに資産の移動を頼るケースがあります。こうした外部ブリッジは、過去に大規模なハッキングの標的になってきました。資産が集中し、別チェーンでの発行・焼却の権限を握るため、攻撃者にとって効率の良い的になりやすいからです。
Hyperliquidのブリッジは、外部の第三者ではなく、取引所自身のバリデータが担います。署名する主体が取引所の健全性に経済的な利害を持つという点で、利害の薄い外部委員会型とは信頼のモデルが異なります。
そして、取引やブリッジに関わる状態はオンチェーンで検証しやすくなっています。CEXのように「運営を信じるしかない」のとは違い、状態を自分で確かめられます。たとえば2025年11月には、入出金が約2時間止まる事象がありましたが、こうした出来事もオンチェーンの記録として確認できます。
だから、正確な評価はこうなります。Hyperliquidの出入口は、完全に無信頼ではない。けれど、CEXとも第三者ブリッジとも、信頼のモデルが異なる。「安全か危険か」という二分法では測れない、というのが実態に近い見方です。
Hyperliquidの非カストディは、CEXに資産を預けないという意味では本物です。取引はユーザーの署名で動き、状態をオンチェーンで検証しやすい構造です。
ただし、「資産が常に自分のウォレットにある」わけではありません。入金した時点で、USDCはArbitrum上のブリッジ契約へ移り、L1の残高として反映されます。そして出入口（Bridge2）では、契約の管理者とバリデータ署名への信頼が、資金が動く成立条件になっています。「CEXではないから信頼前提がゼロ」というのも、正確ではありません。
補足として、USDC以外では信頼の前提がさらに変わります。BTC・ETH・SOLを持ち込むHyperunitは、guardianと呼ばれる独立オペレータのネットワークとMPC/TSS（複数者で鍵を分担する署名方式）に依存します（詳細は次の記事で）。資産をVaultに入れると、非カストディではあっても、利益も損失もleaderの戦略にシェアされ、ロックアップもあります。自分で板を取引するのとはリスクの性質が違います（詳細は第5章で）。API wallet（Agent wallet）は、資産ではなく取引の署名権限を渡す仕組みです。いずれも、「資産を預ける」のとは別の、信頼や権限の話です。
結局のところ、大事なのは「非カストディだから安全」と思い込むことでも、「CEXと同じだから危険」と決めつけることでもありません。取引・出入口・運用先・権限という領域ごとに、誰にどの信頼を置いているのかを分けて見ることです。
Hyperliquidでは、信頼が消えたわけではありません。運営1社にすべてが集中する代わりに、複数のレイヤーに分散し、オンチェーンで可視化されている。これが、「非カストディ」という言葉の正確な中身です。
次の記事では、ここで触れたHyperunitを取り上げ、BTCなどのネイティブ資産をHyperliquidに持ち込む仕組みを詳しく見ていきます。
