7月27日，ondo 正式推出 ondo network，将其定位为面向新一代金融市场的执行层——兼具中心化交易所级别的速度与隐私、区块链体系下的可验证性，以及非托管的设计特征。
Ondo Network 已于同日上线，首个支持的应用为 Ondo Perps。这是一款高性能永续合约平台，已于此前一周发布。
如果要理解 Ondo Network 是什么，以及它为何采用当前这套架构，就需要先回到最初的出发点：为什么要构建它。
目标优先，而不是工具优先
Ondo 一直以来的使命，是让金融体系更高效、更易用。团队始终认为，区块链技术是推动这一目标的重要基础，因此长期专注于设计机构级平台、资产和基础设施，以推进金融市场上链。
过去很长时间里，区块链都是实现这一使命的核心工具。它使用户能够在无托管人的情况下持有资产、在无中介的条件下完成交易，并在无需许可的环境中构建和使用金融产品。这些能力意义重大，也构成了 Ondo 产品体系的底层逻辑。不过，Ondo 同样强调，区块链本身只是手段，而不是终点。随着技术环境持续演进，如何更合理地使用区块链，也需要不断调整。
正因为如此，Ondo 在推进这项使命时，始终更关注目标本身，而不是拘泥于某一种技术路径。最初推出 Ondo Chain 时，构建一条区块链看起来是实现目标的最佳方式。但在为 Ondo Perps 开发底层技术并持续收集用户反馈后，团队对真正的限制因素有了更清晰的判断。最终得出的结论是：要实现既定目标，并不一定需要一条传统意义上的区块链。
在区块链发展的长期叙事中，“上链”通常意味着把交易执行、验证与结算集中到同一套账本中，由统一的共识机制来保障安全。这也是区块链值得信任的重要来源之一。
但在构建 Ondo Perps 的过程中，团队提出了一个明确要求：既要实现高性能、非托管的交易体验，也要兼顾隐私与可验证性。随着研究不断深入，Ondo 逐渐意识到，真正的瓶颈不在结算层——区块链在结算方面已经表现出色——而在执行层。换句话说，单纯构建一条“更强的链”，并不能解决关键问题。
问题的核心在于，公链的若干典型优势——去中心化共识与复制、透明状态、开放创新和可组合性——与交易平台，尤其是像 Ondo Perps 这类产品对速度和隐私的要求，往往存在天然张力。
围绕这一矛盾，行业内已经出现了不同解决思路。中心化交易所具备速度和隐私优势，但用户需要信任运营方；应用专用区块链如 Hypercore，以及零知识证明交易所如 Lighter，强调安全与透明，但通常要在速度或隐私上做出取舍；许可型网络如 Canton，则在隐私与安全保障方面更突出，但会牺牲可验证性和开放访问能力。
这些方案本质上都试图让同一系统同时承担交易执行与交易结算的职责，因此不得不进行不同程度的权衡。然而，执行和结算本身就是两个阶段，需求并不相同。交易执行，也就是撮合、风险管理、保证金处理和清算，需要的是速度与私密性；交易结算，即对最终资产归属进行持久记录，更强调持久性与可验证性。区块链将共识、复制、透明和最终状态结算等设计整合在一起，带来了安全和可验证性，但也因此付出性能和公开性的代价。对于结算，这样的取舍是合理的；但对于执行，并不一定合适。
因此，Ondo 选择将问题拆开处理。团队围绕交易执行中最关键的三个属性——速度、隐私和可验证性——设计了一套新架构：通过链下安全硬件飞地实现高速与私密执行，再由去中心化认证者集合提供可验证性。认证者负责控制飞地可运行的代码，并掌握系统运行所需密钥。与此同时，资产转移的结算仍然在公共区块链上完成，系统设计也支持将结算状态最终提交到链上，从而为交易结算提供持久且可验证的基础。
在这种架构下，交易执行不再承担复制和强制透明的负担，因此可以接近中心化交易所的速度，同时保留可验证与非托管特性，这是传统中心化交易所难以提供的组合。最终形成的是一个既快、又可验证，既私密、又非托管的执行系统。
从更大的行业趋势来看，这一方向并非孤例。许多二层网络已经通过集中化执行提升性能，再将最终状态回传到底层链上；而零知识架构的兴起，也反映出相同的判断：关键不在于所有操作是否都发生在链上，而在于这些操作能否在无需信任中心化中介的情况下被验证。
Ondo Network 可以被视为这一演进路径上的进一步延伸。它继承了区块链所强调的信任最小化与可验证模型，同时尝试实现公链原生结构较难兼顾的能力：近实时、私密的交易执行，以及用户对资金的持续控制权。
工作原理
Ondo Network 的核心，是一个可验证的执行环境。应用程序在安全飞地中完成高速且私密的运行，而去中心化认证者集合则通过密码学机制，而非传统合约约束，确保只有经过批准的代码能够被执行。这样一来，应用逻辑的执行与执行结果的验证被拆分，并分别放在更合适的位置上完成。
这一体系主要由两个基础组件构成：
Enclave 负责执行应用程序逻辑
Enclave，也就是可信执行环境（TEE），在硬件隔离环境中运行应用程序代码，具备接近中心化交易所的执行速度，同时保持私密性。即便是底层机器的运营方，也无法查看或篡改这些执行环境。
每个 Enclave 都包含对所运行代码的精确硬件测量值，并可以通过加密方式证明自身仅运行了未经修改且已获批准的代码版本。这意味着，任何一方都无法私自变更代码内容：哪怕只改动一个字节，测量结果也会发生变化，验证随即失败。
认证者构成网络的信任层
Ondo Network 运行在一个多方认证者集合之上。这是由多个独立运营方组成的分布式群体，所有决策均采用法定人数模型。认证者承担三项核心职责，且每一项都依赖密码学约束，而非单纯制度约束：
- 验证代码。在安全飞地启动之前，达到法定人数的认证者会分别将其硬件测量值与已经审查并批准的代码版本进行比对。只要代码不一致，即使仅有一个字节差异，也无法进入网络。
- 保管密钥。应用运行和系统安全所依赖的关键密钥，不会以完整形式存在于任何经过验证的安全区之外。相反，这些密钥会被拆分，由不同认证者分别持有部分片段。只有在最近完成身份验证的安全区内，并且在代码校验通过、足够数量认证者同意提供各自密钥份额的情况下，完整密钥才可被重建。单一运营者无法独立满足法定人数要求，也无法自行拼接密钥。
- 连接公共区块链。认证者还充当基于法定人数验证的预言机，用于处理资产转移及其他链上事件。
在完成验证和配置后，安全区域会以全速运行，并持续生成一份经过加密签名、可重放的核心状态转换日志。获准的第三方，例如审计机构或交易对手，可以基于这份日志和已批准代码进行独立重放，从而确认每一步操作是否都符合既定规则。
对于交易类应用来说，这意味着验证并不需要发生在订单提交与成交撮合之间，因此不会拖慢执行速度。由于验证者事先已经批准了负责成交处理的代码，执行过程本身无需在每个撮合节点再次进行验证。
Ondo Network 的适用范围也不止于交易场景。凡是用户需要确认“正在运行的是经过审计和批准的代码”，并希望资产或数据能够按既定规则被处理的应用，都适合构建在这一网络之上。
这一设计带来的优势主要体现在以下几个方面：
- 低延迟。代码在安全域内执行，无需由每个节点复制每一笔交易。无论是撮合、保证金管理还是清算，都可以近实时完成；而验证者只需定期验证正确性，不必对每一次状态变化逐笔放行。因此，整体延迟可以接近中心化交易所，同时保留更强的信任保障。
- 可验证的公平性。系统从底层上限定为仅允许经过批准的精确代码运行。任何篡改版本都无法通过，因为认证者只会向已验证代码提供密钥支持。代码执行的核心操作会写入签名日志，因此外部可以独立验证所运行的是否为正确代码、代码是否被修改，以及是否得出了相同结果，而执行过程本身仍保持私密。以交易场景为例，这使独立参与方能够检查是否存在漏单、抢跑或优先撮合等情况。
- 隐私导向。由于交易执行与公开数据层分离，隐私不再是由网络强制规定，而可以根据用户或应用需求进行选择。订单流、持仓等敏感信息无需在公共账本中被广播或公开记录。
- 去中心化的非托管结构。用于授权用户资产转移的密钥，只会在经过验证的安全区域内生成，而且只有在硬件证明该环境运行的代码与认证者批准版本完全一致时，相关密钥机制才会生效。任何个人都无法单独控制这些密钥；即便运营方完全掌握底层基础设施，也无法提取密钥、触发签名或修改控制密钥的代码。
- 可逐步扩展的去中心化安全机制。目前，Ondo Network 已有多个验证器参与运行；随着网络活动增长，验证器的参与程度也将继续提升。
当前网络形态与未来演进方向
目前，Ondo Network 已采用多方认证模型运行。也就是说，任何单一运营方都无法独立执行未经授权的代码、重构系统密钥，或单方面转移资金。这一去中心化架构已经上线，并为后续扩展打下了基础。
对于交易平台来说，除了速度和隐私，用户还关心另外两点：第一，经手其资金的代码是否就是经过批准的原始版本；第二，在未经用户许可的情况下，是否有人能够擅自动用资产。随着 Ondo Network 上线，Ondo 的目标是同时满足这两项要求。而要在接近中心化交易所速度的前提下实现这一点，就需要做出一些有意识的设计选择：
- 当前的代码执行运行在单个高性能安全区中，而不是分布式复制网络内。原因在于，撮合引擎需要确定性的排序机制，而复制过程会增加每笔订单的延迟。这里的风险在于事务可能发生重新排序，但网络设计要求每一笔订单都必须按照固定且确定的规则排序，这些规则由已验证代码强制执行，并记录在签名日志中。
- 认证者负责决定哪些代码可以运行，并持有安全区所需密钥，但他们并不直接参与代码执行。之所以可以这样设计，是因为签名执行日志使每一次状态转换都能够在事后被独立验证。
不过，这并不是 Ondo Network 的终局。该网络从一开始就被设计为可持续演进的基础设施，并尽量避免在新增能力时破坏现有功能。未来可能的发展方向包括：
- 扩大并开放无需许可的认证者集合——向担保参与者开放后，认证者范围将不再局限于当前运营方，也会降低单一主体施加影响的可能性。
- 角色分离——将代码验证、密钥保管和应用托管进一步拆分，避免同一组操作方同时承担全部职责。
- 链上状态结算——当前资产转移已经在链上完成结算；未来若将结算状态持续提交到公共区块链上，可形成独立于执行过程之外、持久且不可篡改的记录，并支持外部验证。
- 引入外部观察者——向独立第三方开放签名执行日志，使其能够重放网络活动，并对无效状态转换提出质疑。
- 增加额外的加密证明——在现有签名执行日志基础上继续扩展，使持有相关证明的参与者能够验证关键属性，而不必依赖对运营方的主观信任。
- 选择性隐私——让用户可以更精细地决定哪些信息保持私密、哪些信息可公开，从而在保护持仓和订单流等敏感数据的同时，也能满足监管方、交易对手或市场的必要信息需求。
- 权益证明（PoS）式安全模型——由于每次执行都会写入可签名、可重放日志，独立参与者未来可以作为观察者加入，对网络活动进行重放并与规则对比；一旦发现异常状态转换，即可提交证据并推动修正。
这些机制同样可以延伸到基于 Ondo Network 构建的应用层。例如，在像 Ondo Perps 这样的交易平台中，参与者可以依据持仓比例参与随机抽签，在持仓达到清算条件时优先获得通知机会。按原文表述，这是一种更公平、透明地分配关键角色的方式，而不是将这些角色集中在少数主体手中。
随着上述能力逐步落地，Ondo Network 也会越来越接近市场长期以来对区块链基础设施的核心期待：由多方独立运营、共享历史记录、依赖密码学和经济激励而非单纯信任来维持安全，并以公开规则运转。不同之处在于，它试图在保持这些特性的同时，继续提供传统区块链较难实现的速度与隐私。
与此同时，区块链自身也在朝另一条路径演进：随着 Rollup 和各类证明系统不断出现，链本身越来越像一个承担验证与结算职责的网络，而执行则更多发生在其他地方。
这也是为什么 Ondo 认为，Ondo Network 实际上是最初 Ondo Chain 构想的延续。它目前并不是一条区块链，也不需要被强行定义为区块链；但随着信任角色向更多独立参与者开放，两者之间的边界可能会越来越模糊。就这个意义上说，尽管 Ondo Network 并非最初设想中的传统链形态，但它更接近当初构建链的初衷。
Ondo Network 带来了什么
基于 Ondo Network 构建的首个应用是 Ondo Perps。这是一款高性能永续合约平台，已于此前一周上线。按照原文描述，Ondo Perps 将提供充足流动性、全天候专业级执行能力，并原生支持以代币化真实世界资产作为抵押品；公平性、用户对资金的控制权、隐私保护以及全链访问能力，均被设计在基础设施层，而不是后续附加功能。
但 Ondo Network 并不是一个只服务于永续合约的专用系统。它本质上是一套通用基础设施，适用于任何需要执行速度、隐私保护，以及分布式、可验证正确性的应用。现货市场、结构化产品、借贷市场以及交易结算系统，都可以在其上构建。除金融场景外，那些要求用户确认运行代码已获批准，并希望其数据按既定逻辑被处理的应用，也可能适配这套架构。
为什么这件事重要
一年前，Ondo 曾表示其正在建设让市场更开放的基础设施。这个目标并没有改变，变化在于对实现路径的理解更深入了。
在金融基础设施的发展历程中，行业长期面对一组看似不可避免的取舍：更多数据上链，系统通常更透明、更值得信任，但运行速度更慢，暴露风险也更高；更少数据上链，则有助于提升效率，但用户对运营方的信任要求会随之上升。速度、隐私、非托管、可验证性，这些能力往往被视为不能同时兼得。
Ondo 的判断是，这些取舍并非天然存在，而是因为执行、验证和结算被放在同一个地方、以同样方式处理。一旦把这些环节拆开，原本彼此冲突的优势就有可能同时成立。当执行过程本身可以被独立验证时，执行发生在哪里，就不再是唯一决定性问题。
这正是 Ondo Network 试图实现的能力。按原文表述，交易者、对保密性要求较高的机构，以及需要机器级速度报价的做市商，都可以在同一平台上进行交互：在不放弃验证能力的前提下获得性能，在不放弃资产控制权的情况下获得隐私，并在无需额外许可的条件下获得访问能力。
随着人工智能代理等软件系统越来越多地代表用户执行操作，这类基础设施的重要性也在上升。人类在判断是否信任一个系统时，往往会参考品牌、历史记录与市场声誉；代理系统当然也可以参考这些因素，但它们同样更容易直接检查系统本身，例如运行中的代码是否经过验证、既定规则是否真正得到执行。原文并未对未来金融活动中代理的占比作出确定判断，但认为这一比例有增长趋势，而“可验证而非仅依赖信任”的基础设施，将更适合这一方向。
这也是 Ondo Network 所对应的长期愿景。它并不是对某一种单一技术路线的押注，而是围绕一个更大的目标：构建一个真正更开放、更可及的金融体系。这个体系应当是可验证的，但不必完全公开；应当是快速的，但不依赖高度中心化；应当具备隐私性，但不是不可审视。按照原文设想，最终目标是让用户始终保有对自身资产的控制权。
