Bangun tidur dan melihat teman mengirimi saya pesan dengan tangkapan layar dari semacam laporan pascakejadian (post-mortem) eksploit DeFi—yang biasanya beredar setiap beberapa minggu. Saya tidak begitu menanggapinya; saya hanya sekadar membaca sekilas lalu lanjut, bikin kopi, dan melakukan kebiasaan gulir pagi seperti biasa.
Belakangan, yang agak tidak ada hubungannya, saya akhirnya menelusuri Newton Protocol, terutama karena saya pernah melihat frasa "makes policy enforcement practical" di suatu tempat dan kata praktis itu menempel di saya. Praktis adalah klaim yang spesifik. Ini bukan cuma "mungkin," tapi "bisa digunakan tanpa banyak hambatan." Jadi saya ingin melihat apakah itu benar-benar terbukti.
Di sinilah jadi menarik. Saya mengira praktis berarti semacam ini: Anda menyalakannya, ia bekerja, setup minimal, keputusan minimal yang diperlukan dari Anda. Itulah yang biasanya tersirat dari praktis dalam konteks produk. Tapi yang saya temukan justru sistem di mana kualitas penegakannya hanya setara dengan kebijakan yang Anda konfigurasikan sendiri, dan mengonfigurasikan kebijakan yang bermakna memerlukan pemikiran sungguh-sungguh: memahami toleransi risiko Anda sendiri, jenis transaksi apa yang ingin ditandai, serta ambang batas apa yang penting bagi Anda. Itu bukan hal sepele. Itu jumlah kerja awal yang cukup banyak.
Jadi, mekanismenya—setidaknya dari yang bisa saya lihat—adalah bahwa istilah "praktis" di sini lebih berarti infrastrukturnya untuk menegakkan kebijakan sudah ada dan berfungsi dengan lancar setelah Anda membangun satu kebijakan. Ini bukan tentang seberapa mudah Anda bisa sampai pada kebijakan yang bagus sejak awal. Dua hal itu berbeda jenis praktisnya, dan strategi pemasaran menyatukan keduanya jadi satu.
Awalnya saya menganggap itu cuma nitpick: ya sudah, setiap alat butuh setup, itu normal. Tapi kalau dipikir lebih jauh, perbedaan itu lebih penting di sini dibanding tempat lain, karena nilai utamanya adalah melindungi orang dari kesalahan yang bahkan belum mereka sadari akan mereka buat. Kalau menyiapkan perlindungan dengan baik mengharuskan Anda sudah memahami risikonya secara rinci, Anda pada dasarnya sedang meminta pengguna yang paling rentan—mereka yang paling diuntungkan—untuk sudah memiliki pengetahuan yang seharusnya melindungi mereka tanpa alat ini sejak awal.
Nah, bagian yang mengganggu saya adalah: tangkapan layar yang dikirim teman saya pagi ini—analisis pasca-insiden eksploit (exploit post-mortem)—itu terus terjadi pada orang-orang yang tidak tahu apa yang perlu dicari. Kalau penegakan kebijakan yang bersifat praktis mengharuskan Anda sudah tahu apa yang perlu dicari agar bisa mengonfigurasinya dengan benar, itu sebenarnya bukan menyelesaikan masalah untuk kelompok yang butuh masalah itu diselesaikan. Itu hanya membuat proses penegakan lebih mulus bagi orang-orang yang sudah punya insting yang baik, sementara celah yang sebenarnya tetap sebagian besar ada di tempatnya. Saya belum sepenuhnya yakin "praktis" adalah kata yang tepat untuk sesuatu yang masih memiliki batas pengetahuan nyata di bawahnya.
Saya bolak-balik menilai seberapa keras pembacaan itu, jujur. Mungkin ada default yang bagus dan saya hanya tidak cukup menggali untuk menemukannya; itu mungkin. Saya juga tidak meneliti semuanya secara menyeluruh. Tapi berdasarkan apa yang benar-benar saya coba pahami, langkah konfigurasi terasa seperti mengasumsikan lebih banyak familiaritas daripada yang dimiliki pengguna pertama kali atau pengguna kasual.
Pihak yang paling dulu terbantu kemungkinan besar adalah orang-orang yang sudah nyaman berpikir dalam hal risiko transaksi, ambang batas, dan skenario tepi (edge cases)—orang yang sama yang membaca exploit post-mortem untuk kesenangan, bukan sekadar menggulir melewatinya. Yang dijanjikan secara implisit kepada mereka—peserta yang lebih kasual atau lebih baru—manfaatnya datang belakangan, kalau default-nya membaik, atau mungkin sama sekali tidak kalau beban konfigurasi tetap berada di situ.
Yang paling terasa penting adalah tepat pada saat seseorang belum mengonfigurasikan apa pun dengan cermat—yang secara statistik, mungkin merupakan banyak orang—hampir selalu, sebagian besar waktu.
Bagaimanapun, saya tidak pernah membaca thread eksploit itu sampai tuntas. Pasar baik-baik saja hari ini, tidak ada yang dramatis. Saya mungkin akan kembali mengecek apakah ada kebijakan default yang lebih kuat yang saya lewatkan, karena sekarang saya benar-benar belum yakin kalau memang tidak ada.