Acordei com uma amiga me mandando uma mensagem com um print de um pós-mortem de um exploit em DeFi, daqueles "aqui está exatamente como os fundos saíram" que circulam a cada poucas semanas. Não cheguei a interagir muito com isso; só dei uma olhada rápida e segui, fiz um café e fiz a rolagem matinal de sempre.
Mais tarde, meio sem relação, acabei olhando para o Newton Protocol, principalmente porque tinha visto em algum lugar "torna a aplicação de políticas prática" e essa palavra "prática" ficou comigo. "Prática" é uma afirmação específica. Não é só "possível"; é "usável sem muita fricção." Então eu queria ver se isso se sustentava.
Aqui é onde ficou interessante. Eu assumi que prático queria dizer algo como: você liga, funciona, configuração mínima, decisões mínimas que dependem de você. É isso que “prático” geralmente implica num produto. Mas o que eu realmente encontrei foi um sistema em que a aplicação só é tão boa quanto a política que você configura, e configurar uma política significativa exige pensamento de verdade: entender sua própria tolerância a risco, que tipos de transação você quer que sejam sinalizados e quais limites importam para você. Isso não é nada. É uma quantidade considerável de trabalho inicial.
Então, o mecanismo, pelo que eu consegui entender, é que “prático”, aqui, significa principalmente que a infraestrutura para aplicar uma política existe e funciona suavemente depois que você já construiu uma. Não está descrevendo o quão fácil é chegar a uma boa política em primeiro lugar. São dois tipos diferentes de “prático”, e o marketing junta essas duas coisas como se fosse uma só.
Achei que fosse um detalhe exagerado no começo, tipo, ok, toda ferramenta exige algum tipo de configuração, isso é normal. Mas, pensando melhor, essa distinção importa mais aqui do que em outro lugar, porque a proposta de valor inteira é proteger pessoas de erros que elas nem sabem que estão prestes a cometer. Se configurar a proteção do jeito certo exige entender os riscos em detalhe, então você está basicamente pedindo aos usuários mais vulneráveis—os que mais se beneficiariam—que já tenham o conhecimento que teria protegido eles sem essa ferramenta, em primeiro lugar.
Mas aqui está a parte que me incomoda. Aquele print que meu amigo mandou esta manhã, a análise pós-incidente do exploit—essas coisas continuam acontecendo com pessoas que não sabiam o que procurar. Se a aplicação prática da política exige que você já saiba o que procurar para configurá-la corretamente, então não está realmente resolvendo o problema para o grupo que precisa que ele seja resolvido. Está apenas tornando a aplicação mais fluida para pessoas que já tinham bons instintos e deixando o ponto cego real, em grande parte, onde estava. Eu não estou totalmente convencido de que "prático" seja a palavra certa para algo que ainda tem um patamar real de conhecimento por baixo.
Fico mudando de ideia sobre o quão severa é essa leitura, sinceramente. Talvez existam bons padrões e eu não tenha me aprofundado o suficiente para encontrá-los; isso é possível. Eu não fui exaustivo. Mas, com base no que eu realmente examinei, a etapa de configuração pareceu pressupor mais familiaridade do que um usuário iniciante ou casual teria.
Quem isso ajuda primeiro, na prática, provavelmente são pessoas que já estão confortáveis pensando em termos de risco de transação, limites, casos-limite—o mesmo tipo de gente que lê análises pós-incidente de exploits por diversão em vez de apenas rolar a tela. A quem isso promete implicitamente beneficiar é o público mais casual ou mais novo: eles se beneficiam mais tarde, se os padrões melhorarem; ou talvez nem assim, se a carga de configuração continuar onde está.
Quando realmente importa mais é exatamente o momento em que alguém não configurou nada com cuidado—o que, estatisticamente, provavelmente é muita gente, na maior parte do tempo.
Enfim, nunca li aquela thread do exploit por inteiro. O mercado está bem hoje, nada dramático. Provavelmente vou voltar e verificar se existe uma política padrão mais forte que eu tenha deixado passar, porque agora eu realmente não tenho certeza de que exista.