AlizehAli

$SKYAI

@BabylonLabs_io Eu costumava achar que, quando uma aposta (stake) na Babylon terminava o período de “unbonding”, o BTC basicamente já voltava nas mãos de quem fez o staking.

Aí eu li o que uma transação de saque (withdrawal) realmente exige.

O ciclo de vida do staking da Babylon tem quatro tipos de transação: staking, unbonding, slashing e withdrawal. O unbonding encerra o bloqueio. ele não move as moedas para lugar nenhum.

Esse foi o passo que quase passei batido e, sinceramente, reli duas vezes para ter certeza. $BANK

Uma transação de withdrawal é uma transação separada. A única exigência é que uma de suas entradas aponte para um output de staking, unbonding ou slashing cujo timelock já tenha expirado.

Então os fundos ficam ali, desbloqueados, até que alguém realmente transmita (broadcast) esse withdrawal.

Nada força que isso aconteça automaticamente: nenhum keeper, nenhum auto-sweep, ninguém varrendo isso por você.

O detentor do stake ainda precisa construir e enviar essa quarta transação antes que “unbonded” vire “spendable”. Dois estados, duas transações, e a maioria dos explicadores simplesmente para depois da primeira.

Não estou chamando isso de falha. É só um passo inacabado que ninguém se dá ao trabalho de mencionar.

Pular o passo de withdrawal na maioria das explicações faz as pessoas acharem que o BTC se move sozinho, ou já se entende “unbonded” como alguma coisa que vai além disso? $BABY

“unbonded” é realmente a mesma coisa que “withdrawn”?

O que significa “unbonded”: seu BTC já foi movido?

@BabylonLabs_io #baby #baby

$BICO Procurei um total agregado e atualizado de redes Bitcoin Supercharged Networks — @BabylonLabs_io $BABY — e não encontrei nada.

O que surgiu no lugar: a Union assumiu o compromisso e pegou 25 milhões de BABY para acelerar a integração. A BOB assumiu antes, com mais de US$ 400 milhões em TVL, com aproximadamente 44% disso já construído sobre o Babylon LSTs. Ambas vieram com seus próprios comunicados explícitos. Além dessas duas, os materiais da Lombard citam a Corn e a Pell Network como locais em que seu plano de Finality Providers pretende alocar delegações — um sinal mais fraco do que um compromisso formal de BSN, mas ainda assim real. A documentação da Babylon descreve a Fase 3 como a etapa em que "L1s e L2s integram o protocolo" — no plural, em andamento, sem número associado. $VIC

Dois compromissos BSN confirmados. Dois mais provavelmente a caminho. Zero total oficial em funcionamento.

Conferi o que está de fato verificado contra o que apenas é sugerido. Existe um número mais antigo circulando — 25 comprometidos, de uma revisão de 2024 — já desatualizado o bastante para que eu não repita como atual. Enquanto isso, a Babylon publica um número adjacente de forma clara: mais de 250 Finality Providers atualmente ativos. #baby

Essa lacuna importa mais do que parece. O próprio mecanismo de deflação da Babylon, a queima do BSN via leilão de recompensas, depende diretamente de quantas dessas redes realmente estão ativas e gerando volume de leilões. Não publicar um número atual de BSN não é só uma lacuna de curiosidade — é a variável de entrada para um mecanismo de tokenomics que eu não consigo verificar de fora, mesmo enquanto aquele número adjacente de Finality Providers fica bem ali, preciso e publicado.

Crescimento real acontecendo em silêncio, ou uma métrica que ninguém se deu ao trabalho de tornar rastreável? Ainda estou mastigando isso.

@BabylonLabs_io #baby

@BabylonLabs_io Passei a manhã cavando os escombros do exploit do Kelp DAO, e a resposta da Babylon é um ponto de dados mais interessante do que o próprio exploit.

Em 18 de abril, atacantes ligados ao Grupo Lazarus, da Coreia do Norte, forjaram uma mensagem de ponte LayerZero e cunharam 116.500 tokens rsETH não lastreados — cerca de US$ 292 milhões. Aproximadamente 107.000 desse rsETH foram depositados como garantia na Aave, deixando o protocolo com uma dívida ruim estimada entre US$ 177 e US$ 246 milhões. O valor total bloqueado da Aave caiu de US$ 26 bilhões para US$ 14 bilhões como efeito da crise.

O esforço de recuperação, apelidado de "DeFi United," reuniu mais de US$ 317 milhões em ETH de toda a indústria, incluindo Consensys, a Fundação Avalanche, Lido e Ether.fi. Até meados de maio, o rsETH do invasor havia sido queimado na Arbitrum e os saques foram totalmente retomados em todos os mercados da Aave — a crise foi resolvida em cerca de um mês. $BLESS

Contribuição da Babylon Foundation: US$ 3 milhões em USDT. Divisão específica — US$ 2 milhões na Aave V3, US$ 1 milhão na Aave V4.

Faça as contas sobre essa divisão. A Babylon não fez apenas um único cheque para "Aave". Ela alocou o dobro do valor na V3 mais antiga, que já estava em funcionamento, em comparação com a V4 — exatamente a versão sobre a qual a integração TBV da própria Babylon estava prestes a ser construída. Isso não é um gesto neutro; é capital indo para o mesmo ecossistema que a Babylon precisava que estivesse saudável para o seu próprio produto fazer sentido.

Aqui vai a parte que vale parar e analisar, mesmo meses depois. Isso não foi a Babylon corrigindo o próprio exploit. Foi a Babylon pagando pela crise de outra pessoa, em um protocolo que ela não controla, porque a estabilidade desse protocolo já era fundamental para o cronograma dela.

A marcação chama isso de apoio ao ecossistema. Na prática, soa mais como seguro — protegendo a saúde da plataforma de que o seu próprio produto futuro depende.

Posicionamento inteligente, ou uma admissão silenciosa de quanto o sucesso do TBV depende especificamente da Aave?

@BabylonLabs_io $BABY #baby $BTW

@BabylonLabs_io Eu ficava travado em uma pequena decisão de design no arquivo TBV da Babylon com a Aave DAO — a escolha de nunca permitir que o vaultBTC se torne transferível.

O protocolo precisa de uma forma de representar o Bitcoin bloqueado dentro do sistema de empréstimos, mas não transforma essa representação em algo que as pessoas possam passar livremente. O vaultBTC é cunhado um-para-um contra um cofre (vault), com acesso restrito para interagir apenas com os próprios contratos Hub, Spoke e de adapter da Aave. Em nenhum outro lugar. $BEAT

Isso pareceu intencional. Não é nem a primeira vez que a Babylon toma essa decisão. Meses antes, uma versão experimental testada no Morpho funcionava de forma diferente no nível do mecanismo: foi construída como um ativo não fungível, em vez de um ERC-20, com liquidez de apenas US$ 14 em USDC. O cofundador David Tse chamou de "um ativo não fungível intermediário que faz a interface do vault com o Morpho". Mecanismo diferente, mesma intenção: nunca deixar que a representação cresça além da única integração para a qual foi criada.

Se o vaultBTC se tornasse negociável, surgiria um segundo mercado em torno da própria representação do colateral, separado do Bitcoin que o lastreia. Esse é o motivo real de ele permanecer não transferível — ele impede que o colateral ganhe uma vida própria.

Na verdade, aprecio essa contenção. Nem todo protocolo precisa de mais um token em circulação, mesmo ao custo de flexibilidade.

Pense no Unified Margin da GRVT — onde um único depósito já rende via Aave, dá suporte a negociações e mantém exposição spot ao mesmo tempo — tentando absorver o vaultBTC da mesma forma. Não conseguiria. Mesmo uma plataforma já conectada à Aave precisaria de seu próprio vault separado. Não foi feito para ser transferível, de propósito. $GRVT

Às vezes, limitar o que os usuários podem fazer é exatamente como um protocolo protege suas premissas.

A não transferibilidade é um design mais limpo, ou sacrifica demais para o futuro composável de DeFi que está sendo construído?

@BabylonLabs_io $BABY #baby

@BabylonLabs_io mantido assumindo que "Babylon integra com Aave" significava um único ponto de conexão. são dois Spokes (bicos) construídos para um propósito específico, sentados na arquitetura Hub-and-Spoke do Aave.

o primeiro é o Babylon Core Lending Spoke. um BTC nativo de um depositante, bloqueado em um Taproot UTXO, é representado no Ethereum como vaultBTC e usado para tomar empréstimos de ativos como stablecoins. o aave v4 só aceita colateral ERC-20, então o vaultBTC existe puramente para preencher essa lacuna — cunhado 1-para-1 contra o vault, restrito de modo que interaja apenas com os contratos próprios do Aave.

o segundo é o BTC Vault Swap Spoke, construído para um único problema específico: liquidação de bitcoin é lenta. uma posição liquidada não pode esperar vários dias pela redenção do BTC nativo dentro da janela normal do Aave. então os vaults apreendidos são trocados por WBTC imediatamente, permitindo que liquidadores sem permissão liquidem a dívida na hora, enquanto um conjunto separado de arbitrageiros resgata o BTC real depois, no calendário próprio do Bitcoin.

dois spokes, um trabalho dividido ao meio.

eu tive que rastrear por que essa forma específica. o modelo Hub-and-Spoke do Aave isola o risco de cada Spoke do restante do Hub — uma falha no Spoke de colateral em BTC não toca mercados de Aave não relacionados. o Aave DAO mantém limites e parâmetros sob seu próprio controle, independentemente.

essa é a verdadeira vantagem do design, e é a resposta real para como essa integração funciona: um Spoke lida com empréstimos contra BTC, o outro lida separadamente com o atraso da liquidação do Bitcoin, então nenhum dos problemas precisa esperar o outro.

isolar o risco com essa precisão torna a integração mais segura, ou dividir a liquidação em dois caminhos apenas cria duas coisas que podem dar errado em vez de uma?

@BabylonLabs_io #baby $KOMA $GIGGLE $BABY

Babylon Genesis é executado em oito módulos separados — a maioria das explicações só menciona dois

@BabylonLabs_io eu costumava achar que "Bitcoin mais Cosmos" era uma descrição suficientemente completa do que Babylon Genesis realmente é.

então eu vi de que a cadeia é construída por baixo dessa frase.

Babylon Genesis roda em oito módulos centrais: Epoching, Checkpointing, BTC Checkpointing, BTC Light Client, Zone Concierge, BTC Staking, Finality e Rewards; cada um carrega uma parte distinta do que faz a cadeia funcionar.

o protocolo não é apenas duas coisas empilhadas uma sobre a outra.

"Bitcoin plus Cosmos" nomeia um ativo de segurança e uma base de estrutura. isso não diz nada sobre quem acompanha o estado de staking, quem finaliza blocos, quem ancora checkpoints de volta ao Bitcoin, ou quem roteia recompensas depois que tudo acima dele já foi executado corretamente.

dois dos oito são fáceis de confundir apenas pelo nome. BTC Staking lida com delegação e o ciclo de vida do staking. Finality processa votos de EOTS a partir dos provedores. Zone Concierge coordena os dados que saem para BSNs conectadas. Epoching estrutura como o Babylon Genesis avança internamente em ciclos, enquanto Checkpointing ancora esses ciclos no Bitcoin por meio dos módulos BTC Checkpointing e BTC Light Client. Rewards fica por último, pagando apenas o que os módulos acima dela já ganharam.

mas nomear oito módulos não significa que oito pontos de falha tenham o mesmo peso.

vários dependem uns dos outros para terminar primeiro; uma recompensa só pode ser roteada quando os módulos de staking, finalidade e ancoragem já tiverem feito sua parte sem erro.

então comprimir isso em duas palavras não está exatamente errado — ele esconde uma sequência, não um número de pessoas; vários módulos precisam ter sucesso para que, a partir de um único stake de BTC, chegue a um resultado finalizado e recompensado.

nomear todos os oito módulos te diz mais sobre onde Babylon pode falhar, ou o risco real ainda se concentra apenas em um ou dois deles?

o risco realmente se concentra apenas em um ou dois?

Onde se concentra o risco real do Babylon?

$BANK $BABY $GRVT #baby @BabylonLabs_io

O que acontece se os repassadores (relayers) off-chain de Babylon falharem

@BabylonLabs_io Eu costumava assumir que “permissionless” (sem permissão) significava que a honestidade de ninguém realmente importava; o sistema simplesmente funcionava, independentemente de quem aparecesse.

Então encontrei a linha específica na documentação da própria arquitetura da Babylon que complica isso.

A Babylon executa um conjunto vigilante (vigilante suite), com Submitter (Submetedor), Reporter (Relator) e Monitor, que repassam dados entre o Bitcoin e o Babylon Genesis. Qualquer pessoa pode executar esse software. Não é necessária permissão, nem existe um gatekeeper decidindo quem se qualifica.

Mas a mesma documentação de arquitetura declara, de forma bem direta, que a operação segura exige que exista pelo menos um operador honesto de cada programa, não uma maioria nem um quórum—apenas um por função.

Hmm.

Porque essa é uma afirmação significativamente diferente de “trustless” (sem necessidade de confiança). Participação permissionless e um operador honesto garantido não são a mesma coisa: uma trata de quem tem permissão para executar o software; a outra trata de se existe alguém confiável de fato.

O trabalho específico do Monitor é executar o slashing quando um provedor de finalidade (finality provider) faz voto duplo, ou extrair sua chave se o caminho automatizado falhar. Mas isso só funciona se um operador do Monitor estiver realmente online observando; ele só te avisa depois, não antes. #baby

Anotei essa linha e deixei ela aberta na minha segunda tela por um tempo.

Se todos os operadores de uma determinada função falharem ou ficarem offline ao mesmo tempo, não há nenhum mecanismo de contingência descrito em lugar nenhum naquele mesmo documento além de “o alarme será acionado”. A detecção ainda presume que alguém honesto está observando para ver o alarme de fato.

Não estou dizendo que isso torna a Babylon frágil. Sistemas distribuídos quase sempre dependem de alguma suposição sobre um participante honesto em algum ponto; neste caso, apenas é nomeada diretamente em vez de ficar implícita. $BABY

O que chama atenção é que a documentação da Babylon garante quem está autorizado a participar, não quem de fato vai.

Então, se a suposição de “operador honesto” algum dia realmente falhar, alguém que estiver observando sequer saberia antes de isso importar?

“permissionless” quer dizer a mesma coisa que “trustless” aqui?

Onde a Autogestão de “Babylon” ainda depende de um Comitê de Convênio

@BabylonLabs_io algo sobre a palavra “autogestão” em Babylon continuava me incomodando.

assumi que isso significava que o investidor (staker) sozinho controla cada resultado, sem exceções.

então eu li de fato os requisitos do script, e essa suposição não se sustentou.

A saída de staking do Babylon tem três caminhos de script. o timelock permite que o investidor saia sozinho quando o bloqueio expira. o unbonding permite que o investidor saia antes. slashing pune um provedor de finalização que assina duas vezes.

dois desses três caminhos simplesmente não conseguem ser executados sem assinaturas do comitê de convênio.

essa é a parte que eu quase passei.

o comitê de convênio é um grupo M-de-N de chaves de Bitcoin. As assinaturas deles são exigidas antes mesmo de um pedido de staking ativar, e são exigidas novamente antes que uma transação de unbonding ou slashing possa prosseguir. $BABY

o próprio BTC nunca sai do script do investidor, então o ativo permanece onde o investidor o colocou o tempo todo.

vale ser preciso sobre o que essa dependência realmente permite, porém.

A especificação do script de staking é explícita sobre essa parte. o comitê pode rejeitar um pedido. ele não pode redirecionar fundos para lugar nenhum que o investidor não tenha se comprometido já no momento do staking; eles só podem reter a assinatura que permite que um gasto prosseda.

assim, o comitê pode impedir que algo seja ativado sem jamais se tornar um custodiante. #baby

mas ainda assim isso significa que a saída de um investidor, seja antecipada ou punitiva, depende de assinaturas que ele não tem em mãos pessoalmente. a autogestão protege para onde os fundos eventualmente podem ir. ela não apaga todas as partes cuja cooperação é necessária para chegar lá.

limitar um comitê ao poder de rejeitar apenas faz disso um não-assunto para a autogestão, ou precisar da assinatura de alguém além do próprio investidor já complica o que a “autogestão” deveria significar?

a dependência do Babylon é realmente limitada?

O poder de rejeição apenas ainda conta como uma dependência de custódia? #baby

Por que as BABY Frames de Babylon usam a utilidade como taxas, consenso e governança — Não como investimento

@BabylonLabs_io Vou admitir: os avisos de tokenomics costumavam ser a parte das páginas de documentos que eu rolava sem ler.

Desta vez, eu desacelerei na própria página da Babylon e acabei voltando à mesma seção duas vezes.

O que o BABY foi construído para fazer é específico: pagar gás em ubbn, fazer staking junto com BTC para o consenso e permitir que os detentores votem na governança. Três funções, todas ligadas a rodar a rede de verdade. Em nenhum lugar a página vende isso como algo que você mantém e espera.

Algumas linhas abaixo da tabela de alocação, um aviso diz que os números são hipotéticos, prospectivos e podem mudar sem aviso. Ele vai além, afirmando de forma direta que o BABY não foi feito para funcionar como investimento.

Passei por ambas as partes de novo, desta vez lado a lado. Um token com três funções operacionais bem específicas, ao lado de um alerta de que os próprios números de oferta não estão travados.

Separadamente, nenhuma das duas linhas chama muita atenção. Juntas, elas dizem algo mais firme: a utilidade é o ponto em si, e tudo o que for numérico ao redor disso ainda é provisório.

Isso muda a forma de olhar a própria tabela de alocação. Travas para investidor, equipe e consultor se estendem até abril de 2029. Incentivos para a comunidade já liberados. Financiamento do ecossistema em um cronograma de três anos. Tudo isso sob uma nota dizendo que essas categorias, e suas porcentagens, ainda podem mudar.

Não estou dizendo que isso seja um sinal vermelho. Avisos como esse são comuns, e enquadrar um token em termos de gás e governança em vez de upside também não é incomum.

É só que perceber o próprio texto da Babylon faz você tratar o BABY como infraestrutura em primeiro lugar, e cada número naquela página como atual, não como definitivo.

Então, quando a utilidade é definida por design, mas os números explicitamente não são, qual deles realmente te diz o que você possui?

O BABY deve ser avaliado pela sua utilidade ou pelos números de sua oferta?

@BabylonLabs_io #baby $BABY

Por que o caminho de descontinuidade (unbonding) de Babylon pula completamente o provedor de finalização

@BabylonLabs_io cada solicitação de unbonding e cada evento de slashing na Babylon parecia para mim a mesma categoria de saída, apenas com horários diferentes.

então eu realmente abri os dois scripts lado a lado, esperando que eles não se parecessem em nada.

Caminho de unbonding: assinatura do staker, mais um limite de covenant. Nada mais.

Caminho de slashing: assinatura do staker, o mesmo limite de covenant, e a chave do provedor de finalização.

Um signatário extra. é essa a única diferença.

essa única inclusão não é apenas cosmética.

uma assinatura é tudo o que é necessário para mudar quem precisa aparecer para o gasto acontecer. Um staker pode fazer unbonding sob demanda, sem precisar da cooperação do provedor para o qual ele delegou, apenas com a própria assinatura e a aprovação do covenant. o caminho de slashing permanece bloqueado até que esse provedor faça dupla assinatura e entregue a chave por acidente.

assim, a chave do provedor fica no script desde o primeiro dia, pré-assinada e fazendo nada, bem até que a aleatoriedade seja reutilizada e ela acorde por conta própria.

tudo antes desse ponto roda inteiramente sem o provedor precisar levantar um dedo; o silêncio deles é o ponto principal. uma vez quebrado, a cooperação deles não faz mais parte do quadro; a chave exposta termina o trabalho sozinha.

não estou dizendo que isso torne o unbonding mais seguro no geral. os dois caminhos ainda dependem do mesmo limite de covenant em qualquer caso.

é só notar a presença de uma chave: isso é o limite inteiro entre uma saída voluntária e uma punitiva; o resto em dois scripts corresponde exatamente.

se um script difere por exatamente um signatário, é uma pequena escolha de design, ou a linha mais importante de todo o documento?

A presença de um único signatário decide entre voluntário e punitivo?

@BabylonLabs_io #baby $BABY $DEXE $EUL

@BabylonLabs_io toda vez que olho para um novo design de staking, a primeira coisa que verifico é de quantas maneiras os fundos bloqueados podem se mover. Com o Babylon, a resposta acabou sendo menor do que eu esperava, e muito mais deliberada.

A saída de staking é uma saída Taproot, e o Babylon desabilita completamente o caminho normal de gasto por chave. Ele faz isso ao definir a chave interna para um ponto NUMS, o valor “nada escondido na manga” definido no BIP-341, derivado do hash do ponto base G próprio do Bitcoin. Não existe chave privada para aquele ponto. Esse caminho não é fraco: ele está fechado, de propósito.

O que resta são exatamente três caminhos de script.

o caminho do timelock permite que o staker gaste sozinho, depois que o número comprometido de blocos do Bitcoin tiver passado. O caminho de unbonding permite que o staker saia mais cedo, junto com um limite de assinaturas do comitê de covenant, sem provedor de finalização envolvido.

o caminho de slashing precisa do staker, do mesmo limite de covenant e da chave do provedor de finalização em conjunto, e só se torna executável se esse provedor tiver dupla-assinado.

três portas, e a diferença entre elas não é quem tem permissão para entrar — é qual signatário precisa aparecer. unbonding e slashing parecem quase idênticos: mesma assinatura do staker, mesmo limite de covenant, exceto que um inclui a chave do provedor de finalização e o outro não. Essa única inclusão é o que transforma uma saída voluntária em uma punitiva.

remover o caminho de gasto por chave elimina qualquer forma informal de mover os fundos: só existem essas três formas formais. mas isso também significa que todo o modelo de segurança agora depende de esses três scripts estarem exatamente certos, sem um fallback mais simples por baixo.

fechar todos os atalhos deixa um script mais seguro, ou apenas menos tolerante a um erro no próprio script?

$BABY #baby @BabylonLabs_io

O que uma Assinatura EOTS da Babylon Verifica Após um Duplo Sinal

@BabylonLabs_io Eu costumava pensar que um evento de corte na Babylon significava que algum comitê havia analisado um provedor de finalidade e decidido que ele era culpado de alguma coisa.

Ao passar pelo mecanismo EOTS da Babylon, o que chamou minha atenção é que não há comitê, não há revisão, não há juízo em lugar nenhum.

Cada provedor de finalidade da Babylon se compromete com aleatoriedade pública com antecedência, um valor por altura futura do bloco sobre o qual pretende votar. Pares de votação que combinam a metade pública com a metade privada e, enquanto cada altura receber apenas uma assinatura, a aleatoriedade privada permanece privada. A falha só aparece no momento da reutilização: assine dois blocos diferentes na mesma altura, e a mesma aleatoriedade privada é usada duas vezes. Duas assinaturas construídas sobre a mesma aleatoriedade idêntica são, matematicamente, suficientes para resolver a chave por baixo delas. Ninguém a extrai. A matemática apenas a entrega.

A partir daí, tudo é mecânico, não discricionário. O poder de voto na Babylon cai para zero instantaneamente quando isso é detectado, o provedor é tombstoned permanentemente e essa mesma chave recuperada agora pode assinar as transações de corte em todas as apostas a ela delegadas.

Então, o que uma assinatura EOTS da Babylon realmente verifica? Uma coisa: que um duplo sinal específico ocorreu em uma altura específica, e que a chave resultante é real. Isso não diz nada sobre se o provedor estava censurando blocos, executando infraestrutura não confiável ou votando de forma inconsistente de maneiras que nunca tocam na reutilização de aleatoriedade. Nada disso reutiliza aleatoriedade, então nada disso produz uma chave.

Um mecanismo tão preciso sobre um modo de falha é, por definição, silencioso sobre todos os outros.

O corte (slashing) do EOTS da Babylon vai longe o suficiente?

@BabylonLabs_io #baby $BABY

Quando a Carteira Está Segura, mas a Chave de Negociação Não: Risco de Acesso Delegado da GRVT

@grvt_io Quanto mais eu analisava o modelo de API da GRVT, mais clara ficava uma distinção: uma chave pode não conseguir sacar fundos, ainda assim sendo poderosa o bastante para danificar a conta.

A GRVT documenta chaves de API de conta de negociação com permissão apenas para negociação. Cada chave é vinculada a um endereço Ethereum, e sua chave privada pode assinar ordens por meio do EIP-712.

Essa separação importa. Uma credencial de negociação não é, automaticamente, uma credencial de saque.

Mas restrito não significa inofensivo.

Se uma chave autorizada para negociação for comprometida, o principal risco não é um atacante enviar ativos para uma carteira externa. O risco é abuso autorizado de negociação. O atacante pode criar exposição indesejada, consumir a margem disponível e aproximar a conta mais da liquidação enquanto as ordens ainda parecem válidas dentro da permissão atribuída à chave.

Isso é uma inferência a partir do modelo de permissões documentado, e não uma alegação de que a API da GRVT tenha sido comprometida.

A camada de custódia pode se comportar exatamente como foi projetada, enquanto a conta de negociação sofre dano econômico. A carteira continua sendo a proprietária, mas o atacante controla temporariamente decisões que alteram o valor do que a conta vale.

Isso torna a segurança de API mais do que armazenamento secreto. Os controles práticos incluem permissões restritas, ambientes de assinatura isolados, monitoramento em tempo real, revogação rápida e rotação regular de chaves. O objetivo não é apenas impedir saques. É limitar quanto dano uma autoridade delegada de negociação pode causar antes que o acesso seja removido.

Uma chave restrita reduz o raio de impacto. Não o reduz a zero.

O perigo, portanto, é controle econômico sem controle de custódia. Essa distinção merece a mesma atenção que a segurança de saques.

A autocustódia protege para onde os fundos podem ser enviados. A segurança do acesso delegado protege as decisões tomadas antes que esses fundos precisem sequer sair.

Qual controle importa mais para uma chave de API de negociação?

@grvt_io

#grvt

$EVAA

$BSB

$HEI

@NewtonProtocol Eu originalmente tratei o default-deny como algo que uma política Newton poderia adicionar depois que suas condições de allow estivessem completas.

Quanto mais eu estudava a regra, mais eu percebia que a decisão default determina o que acontece quando uma solicitação deixa de parecer familiar.

Imagine uma política que permite transferências abaixo de um limite quando o destino pertence a uma lista aprovada. Essa lógica pode funcionar para todas as transações que o desenvolvedor esperava.

O teste mais difícil começa quando a solicitação muda de forma.

Um campo obrigatório pode estar ausente. Um identificador de ativo pode usar um novo formato. Um contrato pode expor uma função que a política nunca viu. A aplicação pode introduzir um novo tipo de transação enquanto a política continua em execução.

O sistema precisa de uma resposta.

Se a política começar com permissão e só procurar motivos conhecidos para rejeitar uma solicitação, uma ação não familiar pode sobreviver porque nenhuma restrição foi acionada.

A solicitação não foi comprovada como segura.

Simplesmente nunca foi reconhecida como perigosa.

Uma policy @NewtonProtocol Newton começa pela rejeição e concede autorização somente depois que todas as condições estão presentes e satisfeitas. Valores desconhecidos, ações não suportadas, entradas malformadas e evidências incompletas permanecem negados até que a política consiga avaliá-los deliberadamente.

Isso importa porque as aplicações evoluem mais rápido do que as políticas. Novos ativos e caminhos de execução podem surgir enquanto uma regra mais antiga ainda presume seu ambiente.

O default-deny impede que essa lacuna se torne permissão.

Uma regra de allow explica onde a autorização existe. A regra default decide como o sistema lida com o que o desenvolvedor não previu.

A pergunta para a qual eu continuo voltando é onde esse fallback deve viver.

Todas as políticas Newton devem rejeitar solicitações desconhecidas por conta própria, ou uma camada de validação confiável deve rejeitar entradas incompletas antes da avaliação?

O que a Newton deve fazer com uma ação desconhecida?

@NewtonProtocol #Newt $NEWT
$BILL $FOLKS

#SamsungSKHynixLeveragedETFsNearlyHalve #CXMTReportedlyToListInShanghaiJuly27
#USSaysItWillBlockadeIran
#StocksAndBondsFall

Passei algum tempo analisando o que torna uma atestação válida @NewtonProtocol utilizável apenas para uma transação.

No início, eu assumi que a própria assinatura do operador impediria a reutilização.

Mas uma assinatura apenas prova que os operadores aprovaram a mensagem que assinaram. A questão mais difícil é se essa mensagem foi vinculada exatamente à ação que a aplicação executa depois.

Imagine uma atestação que aprova uma retirada de uma carteira para um contrato.

Se a mensagem assinada não estiver vinculada ao remetente, destino, parâmetros, cadeia (chain), nonce e expiração, a mesma aprovação ainda pode satisfazer uma transação diferente.

A criptografia pode continuar válida.

A autorização ainda pode estar errada.

Portanto, uma atestação válida deve ser tratada como permissão para uma intenção específica, e não como uma aprovação reutilizável.

A repetição (replay) não exige que ninguém forje uma assinatura. Ela só exige outra ação que ainda se encaixe no contexto assinado original.

Um nonce pode impedir uso repetido. Uma expiração limita por quanto tempo a aprovação permanece válida. Vinculação de cadeia e contrato pode impedir reutilização em outros lugares. Vinculação de parâmetros pode impedir que a quantia aprovada ou o destinatário mudem depois.

Atestação válida ≠ autorização reutilizável.

A parte que eu continuo retomando é se as aplicações devem rejeitar toda atestação que não esteja vinculada a uma única intenção exclusiva.

Se o destino, parâmetros, cadeia ou o momento (timing) puderem mudar enquanto a aprovação permanece válida, o que exatamente os operadores autorizaram?

Qual tipo de vinculação é mais importante para impedir replay de atestações?

@NewtonProtocol $NEWT #Newt

#JuneCPIWarshTestimonyBankEarningsSameWeek
#ShanghaiCompositeHitsThreeMonthLow

#EuropeanStocksFall

#SouthKoreaForcedLiquidationsHit344.2BWon

@grvt_io passou algum tempo pensando no que um usuário precisaria mostrar para que uma partida da GRVT fosse justa.

aqui, justiça não significa que a negociação final apenas tenha sido válida. significa que as ordens elegíveis receberam a prioridade documentada, sem que uma ordem anterior fosse deslocada sem um motivo baseado em regras.

a GRVT documenta que a correspondência e o armazenamento de dados ocorrem offchain, enquanto contratos inteligentes fornecem garantias de execução onchain. as ordens enviadas carregam assinaturas, e o caminho de liquidação pode validar se o pacote de maker e taker selecionado satisfaz as regras aplicadas àquela transação.

mecanicamente, isso pode estabelecer que a correspondência escolhida era aceitável.

uma correspondência válida não é automaticamente uma correspondência independentemente reproduzível.

a análise dos materiais públicos descreve feeds de livro de ordens, preenchimentos e regras de RPI, mas não fornece um registro público completo de sequenciamento para cada ordem elegível e alternativa considerada pelo correspondedor. sem esse registro, um usuário externo não consegue reconstruir totalmente o caminho de seleção apenas a partir da saída pública de liquidação, com as evidências públicas disponíveis hoje.

a liquidez de RPI torna o limite mais fácil de ver. a GRVT define RPI como liquidez do maker disponível apenas para usuários de interface (UI) não algorítmicos. isso pode criar uma execução melhor para um fluxo elegível, enquanto oferece aos participantes da API uma visão diferente da liquidez executável.

entendo o compromisso de design. um fluxo de ordens restrito pode proteger market makers e melhorar os preços cotados.

no entanto, qualidade de execução e prioridade verificável de forma independente são alegações separadas.

reconstrução pública limitada não prova que a GRVT tenha correspondido de maneira injusta. significa que os usuários devem depender dos registros internos da GRVT, das regras documentadas ou de um processo externo de garantia para partes da avaliação de justiça.

essa é a pergunta para a qual eu continuo voltando.

a justiça na correspondência deve permanecer uma garantia operacional, ou deve se tornar algo que os usuários possam verificar de forma independente?

#grvt @grvt_io $EVAA $BILL
$DODO

#SKHynixSinksRecord15%

#TSMCJuneRevenueUp67.9%YoY

#SouthKoreaForcedLiquidationsHit344.2BWon
#EuropeanStocksFall