Ich habe zugesehen, wie ein DUSK-Validator aus dem aktiven Set auf Testnet entfernt wurde. Nicht gehackt. Nicht geslasht. Nur entfernt. Der Grund war Liveness: Er hat zu viele Finality-Votes innerhalb eines 28-Stunden-Fensters verpasst.
Das System funktionierte genau wie vorgesehen. Das hat mich beunruhigt.
Der Validator hat sein gebundenes Stake nicht verloren. Keine kryptografische Bestrafung. Kein offengelegter privater Schlüssel. Nur ein stiller Abgang aus der Konsensrunde. Und hier ist der Teil, der mir im Kopf blieb: Das Jailing-Fenster wird relativ zu einem StartHeight-Wert gemessen, der sich jedes Mal zurücksetzt, wenn der Provider wieder beitritt. Kurz weggehen, wiederkommen, die Uhr zurücksetzen, wiederholen. Ein chronisch unzuverlässiger Operator kann die dauerhafte Entfernung für immer umgehen, indem er nie lange genug offline bleibt, um die volle Strafe auszulösen. Der Pfad der weichen Durchsetzung ist derjenige mit der Lücke.
Ich dachte weiter über diese Lücke nach, während die DUSK-Community darüber debattierte, ob Finality-Provider als Infrastruktur oder als Partner behandelt werden sollten. Jemand im Chat sagte: „Wenn die Bestrafung für Unzuverlässigkeit ein Timeout ist, dann ist Unzuverlässigkeit nur eine Strategie mit zusätzlichen Schritten.“ Niemand lachte. Denn alle wussten: Ein Validator, der seine eigene Jail-Uhr zurücksetzt, bricht nicht die Regeln. Er „spielt“ nur den Takt der Durchsetzung.
Das ist die Lücke zwischen technischer Sicherheit und praktischer Sicherheit. Der kryptografische Auslöser für Double-Signing ist absolut, unerbittlich, automatisch. Der soziale Auslöser für Bequemlichkeit ist eine Zustandsmaschine mit einem Reset-Knopf. Der eine schützt das Netzwerk vor böser Absicht. Der andere schützt es vor Nachlässigkeit. Und im Moment gehört der Reset-Knopf genau dem Operator, der eigentlich eingehegt werden soll.
#dusk $DUSK @Dusk $EDEN $AKE
Das System funktionierte genau wie vorgesehen. Das hat mich beunruhigt.
Der Validator hat sein gebundenes Stake nicht verloren. Keine kryptografische Bestrafung. Kein offengelegter privater Schlüssel. Nur ein stiller Abgang aus der Konsensrunde. Und hier ist der Teil, der mir im Kopf blieb: Das Jailing-Fenster wird relativ zu einem StartHeight-Wert gemessen, der sich jedes Mal zurücksetzt, wenn der Provider wieder beitritt. Kurz weggehen, wiederkommen, die Uhr zurücksetzen, wiederholen. Ein chronisch unzuverlässiger Operator kann die dauerhafte Entfernung für immer umgehen, indem er nie lange genug offline bleibt, um die volle Strafe auszulösen. Der Pfad der weichen Durchsetzung ist derjenige mit der Lücke.
Ich dachte weiter über diese Lücke nach, während die DUSK-Community darüber debattierte, ob Finality-Provider als Infrastruktur oder als Partner behandelt werden sollten. Jemand im Chat sagte: „Wenn die Bestrafung für Unzuverlässigkeit ein Timeout ist, dann ist Unzuverlässigkeit nur eine Strategie mit zusätzlichen Schritten.“ Niemand lachte. Denn alle wussten: Ein Validator, der seine eigene Jail-Uhr zurücksetzt, bricht nicht die Regeln. Er „spielt“ nur den Takt der Durchsetzung.
Das ist die Lücke zwischen technischer Sicherheit und praktischer Sicherheit. Der kryptografische Auslöser für Double-Signing ist absolut, unerbittlich, automatisch. Der soziale Auslöser für Bequemlichkeit ist eine Zustandsmaschine mit einem Reset-Knopf. Der eine schützt das Netzwerk vor böser Absicht. Der andere schützt es vor Nachlässigkeit. Und im Moment gehört der Reset-Knopf genau dem Operator, der eigentlich eingehegt werden soll.
#dusk $DUSK @Dusk $EDEN $AKE