Paano Gumagana ang Crypto Exchange: Order Matching at Custody

Pinindot mo ang Buy. Naging berde ang isang numero. Pakiramdam mo agad-agad — parang bigla lang lumitaw ang asset sa account mo. Pero sa kalahating segundo sa pagitan ng pindot mo at ng berdeng numerong iyon, may talagang komplikadong nangyari: na-validate ang order mo, pumila, nakipagsabayan sa libo-libong iba, na-match sa isang buyer o seller na willing, at na-settle. Ang isang exchange ay ang makinang nagpapatakbo ng karerang iyon, milyun-milyong beses kada segundo, patas nang sapat na ang mga estranghero ay maglalagay ng totoong pera dito.

Karamihan ng tao ay hindi tumitingin sa loob ng makinang iyon — hanggang sa masira ito. Noong 2014, humahawak ang Mt. Gox ng humigit-kumulang 70% ng lahat ng Bitcoin trades noong tahimik na natunaw ang 850,000 BTC mula sa mga wallet nito sa loob ng mga taon ng hindi napansing nakawan at pabaya na pagbookkeep. Noong Nobyembre 2022, ang FTX — ang pangalawang pinakamalaking exchange sa buong mundo — bumagsak na may $8 bilyong butas, hindi dahil sa hack kundi dahil ang mga deposito ng customer ay palihim na inilihis sa isang kaakibat na trading firm. Sa magkabilang kaso, mukhang normal na normal ang trading screen hanggang sa dulo. Ayos naman ang interface. Kasinungalingan ang plumbing sa ilalim.

Para magamit nang matalino ang isang exchange, kailangan mong maintindihan ang dalawang systema na nagtatago sa likod ng berdeng numerong iyon: ang matching engine na nagdedesisyon kung sino ang makikipagtrade kanino, at ang custody model na nagdedesisyon kung sino talaga ang humahawak ng pera mo. Ito ang aralin na kinakalas ang dalawa.

Bawat exchange ay sumasagot muna sa isang tanong: saan nakaupo ang pera habang nagtratrade ka? Ang sagot ay naghahati sa buong industriya sa dalawang kampo.

Ang centralized exchange (CEX) — Binance, Coinbase, ang lumang FTX — ay gumagana parang isang bangko na may trading floor na idinugtong. Nag-deposito ka ng crypto sa mga wallet na kontrolado ng kumpanya, at mula sa sandaling iyon, ang “balance” mo ay isa lang na row sa database nila. Kapag nag-trade ka, walang blockchain transaction na nangyayari; simpleng nag-edit ang exchange ng dalawang numero sa sariling ledger nito. Ito ay napakabilis at mura, dahil ang internal database writes ay walang gastos at kumpirma agad-agad. Ang bayad ay tiwala: nagtataya ka na ang kumpanya ay solvent, honest, at may kakayahan, dahil hindi mo makikita ang loob ng mga libro nila.

Ang decentralized exchange (DEX) — Uniswap, mga klasikong on-chain swap — ay baligtad iyan. Hindi umaalis ang pondo sa wallet mo hangga't hindi naisagawa ang isang trade, at ang trade mismo ay isang transaction na ikaw ang pumipirma at nagbroadcast sa isang blockchain. Walang kumpanyang humahawak sa coins mo at walang omnibus na tambak na puwedeng nakawin. Ang bayad dito ay iba: nagbabayad ka ng gas fees sa bawat aksyon, nalalantad ka sa smart-contract bugs at MEV (mga bot na nag-reorder ng transactions para magnakaw ng halaga), at walang support desk kung nagpirma ka ng dapat mo palang huwag pirmahan.

Malaki pa rin ang volume patungo sa mga CEX dahil sa bilis, malalim na liquidity, at fiat on-ramps. Pero ang on-chain share ay unti-unting lumago habang bumibilis ang mga chain at naging maayos ang tooling — at may pangatlong kategoryang lumitaw na sumusubok na kunin ang pinakamainam sa dalawa, na babalikan natin sa katapusan.

Bago magkaroon ng matching, kailangan ng exchange ng lugar na panatilihin ang score. Ang lugar na iyon ay ang order book — isang real-time, dalawang-panig na listahan ng bawat naghihintay na buy at sell order para sa isang market.

May dalawa itong kalahati. Ang Bids ay buy orders, na inayos mula sa pinakamataas na presyo — ang pinakamataas na kasalukuyang handang bayaran ng sinuman. Ang Asks (o offers) ay sell orders, na inayos mula sa pinakamababa — ang pinakamababang kasalukuyang handang tanggapin ng sinuman. Ang gap sa pagitan ng pinakamataas na bid at pinakamababang ask ay ang Spread, at ito ang isang numerong pinakakapaki-pakinabang na mababasa mo sa isang book: kung masikip ang spread, malapit na magkasundo ang mga buyer at seller, na senyales ng likido at malusog na market; kung malawak ang spread, senyales ito ng manipis na trading at mas magastos na pasukan at paglabas.

I-stack ang volume na naghihintay sa bawat price level at makukuha mo ang market depth — isang profile kung gaano karaming size ang nakaupo sa itaas at ilalim ng kasalukuyang presyo. Ang isang cluster ng malalaking bids ay nagbubuo ng isang buy wall na maaaring gumanap bilang support; isang tumpok ng asks ay nagbubuo ng isang sell wall na maaaring tumakip sa isang rally. Ang depth din ang nagtatakda ng slippage: sa isang malalim na book, makakabili ka ng marami nang hindi gaanong iniuurong ang presyo, habang sa isang manipis na book, isang malaking market order ay maaaring maglakad ng presyo sa ilang levels pataas bago ito ma-fill.

Isa pang tapat na babala: puwedeng manipulahin ang isang nakikitang book. Puwedeng ipost at bawiin ang mga order sa loob ng milliseconds, at mga taktika tulad ng spoofing (paglalagay ng malaking order na walang intensyong tuparin, para pekeng demand) ay umiiral mismo dahil labis na binabantayan ang book. Ituring ang depth bilang ebidensya, hindi bilang katotohanang walang pagdududa.

Ang order book ang scoreboard; ang matching engine ang referee. Ito ang software na tuloy-tuloy na nag-scan ng mga papasok na order laban sa naghihintay na book at nagdedesisyon, nang deterministiko, kung aling mga trade ang mag-fire at sa anong pagkasunod-sunod. Sa isang busy na exchange, ito ay nagproseso ng libo-libong order kada segundo na may mahigpit at masusuring pagkapantay-pantay — at ang tamang pagpapatakbo ng pagkapantay-pantay na iyon ang buong laro.

Ang dominanteng patakaran ay ang price-time priority, at ito ay gumagana sa dalawang pass. Una, ang presyo: ang pinakamagandang presyo ay laging nananalo — ang pinakamataas na bid at pinakamababang ask ang una na ma-match. Pangalawa, ang oras: kapag may ilang order na nakaupo sa parehong presyo, ang unang dumating ang unang ma-fill (isang FIFO queue). Kaya kung ikaw at isa pang trader ay pareho na naglagay ng bid sa $100.00, ang order na nakarating milisegundong mas maaga ang una na ma-fill kaysa sa iyo. Ito ang dahilan kung bakit napakahalaga ng latency sa mga propesyonal na trader, at bakit ang mga seryosong CEX engine ay isinusulat sa C++ o Rust gamit ang naka-tune na data structures: sa margin, ang microseconds ang nagdedesisyon kung sino ang nagtrade.

Dalhin natin ang isang order sa proseso. Isang papasok na buy limit sa $100.05 tumama sa isang book na ang pinakamagandang ask ay $100.04. Dahil ang buy ay tumatawid sa spread, agad itong nagsagawa laban sa naghihintay na ask na iyon — ang papasok na order ang taker (nag-alis ng liquidity), at ang naghihintay na seller ang maker (nagbigay ng liquidity). Kung ang papasok na order ay mas malaki kaysa sa ask na tinawid nito, ang natitira ay hindi nawawala — ito ay nagpapahinga sa book bilang bagong maker order at naghihintay ng turno sa queue.

Ang paghahati na maker/taker ay hindi lang bokabularyo; ito ang paraan ng exchange na hubugin ang asal ng mga trader. Karamihan ng fee schedules ay nagsisingil ng mas mataas sa takers at mas mababa sa makers (minsan nagbabayad ng rebate sa makers), dahil ang makers ang nagpost ng standing liquidity na gumagawang usable ang market. Ang maintindihan kung aling panig ka ay direktang daan sa mas mababang gastos: ang isang matiyagang limit order na nagpapahinga ay karaniwang mas mura kaysa sa isang market order na tumatawid.

Kontrolado mo ang matching engine gamit ang order types — bawat isa ay ibang trade-off sa pagitan ng katiyakan ng pagsasakatuparan (execution) at katiyakan ng presyo. Halos hindi mo makukuha ang dalawa nang sabay.

• Market order — "i-fill ako ngayon, kahit magkano." Tumatawid ito sa spread at kinukuha kaagad ang pinakamagandang available na presyo. Garantisadong maisasagawa mo, pero hindi garantisadong makukuha mo ang presyo, at sa isang manipis na book, ang slippage ay puwedeng brutal. Palaging taker.
• Limit order — "i-fill ako lang sa presyong ito o mas maganda." Itinakda mo ang pinakamasamang presyong tatanggapin mo. Kung tumawid ito sa spread, agad ito mafi-fill (taker); kung hindi, magpapahinga ito sa book bilang maker order at maghihintay. Kontrolado mo ang presyo, pero puwedeng hindi ka na mafi-fill kailanman.
• Stop order — isang kondisyonal na natutulog hanggang tumawid ang market sa isang trigger price, pagkatapos ay nag-fire bilang market o limit order. Ang klasikong gamit ay isang stop-loss na automatikong tumatakip sa isang lugi na position, na hindi mo na kailangang bantayan sa screen.

Kung anuman ang piliin mong type, dumadaan ang order sa parehong hamon. Submit: ang order mo ay napirmahan at naipadala. Validate: tinitignan ng exchange na may sapat kang balance at pumapasa ang order sa risk limits. Match: nagtagpo ito sa book sa ilalim ng price-time priority. Settle: gumagalaw ang mga balance at naitala ang fill. Sa isang centralized exchange, ang mga hakbang dalawa hanggang apat ay nangyayari nang hindi nakikita sa loob ng isang pribadong database — pinaniniwalaan mo ang output. Sa isang on-chain order book, ang match at settlement ay pampublikong ledger events na kayang i-recompute nang independiyente ng kahit sino. Parehong lifecycle; radikal na kaibang transparency.

Ang matching ang nagdedesisyon kung sino ang katrade mo. Ang custody ang nagdedesisyon kung sino ang humahawak sa pera mo habang nagagawa mo ito — at sa kasaysayan, ang custody ang lugar kung saan namumuhay ang mga katastropiko na pagkabigo. Nasa isang tanong ito: sino ang kumokontrol sa private keys?

Full custodial. Ang exchange ang humahawak sa keys; ang balance mo ay isang IOU sa ledger nila. Madali ang recovery — nakalimutan mo ang password mo at makakatulong ang support — pero ibinigay mo na ang kabuuang kontrol. Isang hack, insolvency, o simpleng panloloko ay existential para sa pondo mo. Pinangangasiwaan ito ng mga exchange sa pamamagitan ng paghahati ng holdings sa pagitan ng hot wallets (online, para sa mabilis na withdrawal, pero exposed) at cold wallets (offline, humahawak ng malaking bahagi ng reserves, mas mahirap nakawin). Ang “hot vs cold” ay naglalarawan ng internet exposure, hindi kung sino ang nagmamay-ari ng keys — kontrolado ng custodial exchange ang dalawa.

Self-custody. Ikaw ang humahawak ng keys, tapos. Walang counterparty na puwedeng magfreeze, magpahiram, o mawala ang pondo mo — at wala rin sinuman na puwedeng ibalik ito. Mawala mo ang seed phrase mo, permanenteng mawawala ang pera. Ito ay maximum na sovereignty at maximum na personal na responsibilidad, walang puwang para sa human error.

MPC (Multi-Party Computation). Isang cryptographic middle path. Hindi kailanman naipon ang private key sa isang lugar; sa halip, hinati ito sa mga encrypted na shards na hawak ng magkahiwalay na partido, at ang pagpirma ng isang transaction ay isang collaborative na computation sa mga shards na iyon. Walang isang server, device, o taong kailanman humahawak sa kompletong key, kaya walang isang hot key na nakawin at walang isang seed phrase na mawala — habang sumusuporta pa rin sa praktikal na recovery workflows na hindi kayang gawin ng purong cold storage.

Ang libingan ng mga crypto exchange ay isang libingan ng custody. Ang Mt. Gox ay dinugo ang customer Bitcoin sa loob ng mga taon sa pamamagitan ng mga pagkabigo sa seguridad at bookkeeping na hindi nito napansin. Na-hack ang Bitfinex noong 2016, pagkatapos ay ipinamahagi ang lugi sa lahat ng users at gumugol ng mga taon sa pagbawi. Ang FTX ay hindi man lang na-hack — pinag-iisa nito ang mga deposito ng customer at tahimik na inilihis ito sa isang kaakibat na trading firm hanggang isang bank run ang naglantad sa butas. Magkaibang mekanismo, isang karaniwang tema: pinag-isang kontrol ng pera ng iba nang walang sapat na checks.

Ang sagot ng industriya ay ang Proof of Reserves (PoR). Gamit ang isang Merkle tree, kaya ng exchange na patunayan nang cryptographically na ang kabuuan ng lahat ng balances ng customer ay backed 1:1 ng assets na talagang hawak nito on-chain — at ma-verify mo mismo na kasama ang balance mo nang hindi inilalantad ang balance ng ibang tao. Ito ay isang tunay na pagpapaunlad kumpara sa “just trust us.” Pero basahin ang fine print:

• Ang PoR ay isang snapshot sa isang punto ng oras, hindi isang buháy na garantiya. Pinapatunayan nito ang reserves sa araw ng audit, hindi sa araw na mag-withdraw ka.
• Pinapatunayan nito ang assets pero madalas hindi ang liabilities. Isang exchange na may nakatagong utang ay puwedeng magpakita ng buong reserves at insolvent pa rin. Kaya ang PoR ay hindi pareho sa proof of solvency.
• Ang lumang trick: manghiram ng assets para sa audit window, patunayan ang reserves, pagkatapos ibalik ito. Puwedeng i-stage ang isang snapshot.

Ito ang dahilan kung bakit ang totoong frontier ay hindi “patunayan ito minsan” — ito ay “gawing halata palagi.” Kapag ang trading state ng exchange ay nasa isang pampublikong blockchain, hindi na periodikong litrato ang reserves at positions na dapat mong pagkatiwalaan; ito ay isang buháy na feed na kayang i-recompute ng kahit sino mula sa ledger anumang oras. Iyan ang pagkaiba sa pagitan ng isang audit at transparency.

Ang GaiaEx ay binuo sa isang simpleng tesis mula sa lahat sa itaas: panatilihin ang bilis at usability ng centralized exchange, pero alisin ang dalawang single point of failure na sumira sa bawat malaking bagsakan — isang solong hot key at isang pribado, hindi-ma-verify na ledger.

MPC custody ang humahawak sa problema ng key. Ang private key mo ay hindi kailanman naimbak nang kompleto sa isang lugar; hinati ito sa encrypted shards sa mga independiyenteng partido, at ang pagpirma ay nangyayari nang collaborative kailanman nang hindi kailangang bumuo ulit ng kompletong key. Walang solong hot wallet na madudukot ng attacker at walang seed phrase na mawawala sa iyo — pero praktikal pa rin ang recovery. Ang “Mt. Gox hot-wallet” failure mode ay simpleng walang lugar na mangyari.

On-chain execution sa Hyperliquid L1 ang humahawak sa problema ng ledger. Ang mga trade ay nagta-match at nag-settle sa isang purpose-built na blockchain na nagpapatakbo ng isang tunay na central limit order book na may sub-second finality — kaya nananatili ang pamilyar na maker/taker, price-time-priority na experience, pero ang mga fill, cancel, at balances ay mga verifiable ledger events sa halip na entries sa isang database na hinihiling sayo na pagkatiwalaan. Ang “FTX secret-spreadsheet” failure mode ay wala ring lugar na maitago.

Wala sa mga ito ang nag-alis ng panganib nang buo — ang mga deposito ay tumatawid pa rin ng mga chain at bridges, at kailangan mo pa ring maintindihan ang pinipirmahan mo. Pero ang trade na gagawin mo sa GaiaEx ay hindi isang numerong nagbabago sa isang pribadong systema na hindi mo kayang i-audit. Ito ay isang tunay, pampubliko, at ma-recompute na event, na sinseguro ng keys na hindi maaaring nakawin ng kahit isang partido. Iyan ang buong punto ng pag-unawa kung paano gumagana ang mga exchange: para malaman mo ang pagkaiba sa pagitan ng isang berdeng numero na sinasabihan kang pagkatiwalaan, at isa na kaya mong i-verify mismo.