Проснулся: друг написал мне, прислав скриншот поста‑разбора по какому‑то DeFi‑эксплойту — из тех «вот именно как ушли средства» разборов, которые раз в несколько недель снова начинают циркулировать. Я особо не вчитывался, скорее мельком просмотрел и пошёл дальше: сделал кофе, как обычно, пролистал ленту утром.
Позже, в общем не по теме, я в итоге занялся изучением протокола Newton, главным образом потому, что я где‑то видел фразу «makes policy enforcement practical», и слово practical зацепилось у меня. Practical — это конкретное утверждение. Это не просто «возможно», это «удобно для использования без большого трения». Поэтому я хотел проверить, действительно ли это так.
Вот где стало интересно. Я предположил, что «практичное» означает что-то вроде: включаешь — работает, минимальная настройка, минимум решений с твоей стороны. Обычно так и подразумевается «практичное» в продуктовых формулировках. Но на практике я обнаружил систему, где качество обеспечения соблюдения зависит ровно настолько, насколько хороша та политика, которую ты настраиваешь сам. А чтобы настроить осмысленную политику, нужно реально подумать: понять свою склонность к риску, какие типы транзакций ты хочешь помечать, какие пороги важны именно для тебя. Это не «ничего». Это вполне приличный объем подготовительной работы.
Итак, механизм, насколько я мог судить, в том, что здесь «практичное» в основном означает: инфраструктура для принудительного соблюдения политики существует и работает гладко, как только ты уже построил эту политику. Но это не про то, насколько легко вообще прийти к хорошей политике с самого начала. Это две разные вещи, и маркетинг сводит их в одну.
Сначала мне показалось, что это придирка: типа, ну да, каждому инструменту нужна какая-то настройка, это нормально. Но если подумать дальше, эта разница важнее именно здесь, чем где-то еще, потому что вся ценность продукта — защищать людей от ошибок, о которых они даже не подозревают, что собираются совершить. Если чтобы настроить защиту хорошо, нужно уже детально понимать риски, то по сути вы просите самых уязвимых пользователей — тех, кому это помогло бы больше всего, — заранее иметь те знания, которые могли бы защитить их без этого инструмента.
Но вот какая часть меня беспокоит. Тот скриншот, который друг прислал сегодня утром, разбор уязвимости после инцидента — все это продолжает происходить с людьми, которые не знали, на что смотреть. Если практическое обеспечение соблюдения политики требует, чтобы вы заранее знали, на что смотреть, чтобы настроить ее правильно, то это не решает проблему для той группы, которой это решение действительно нужно. Это скорее делает процесс принуждения более гладким для тех, у кого уже были неплохие инстинкты, а реальная «слепая зона» в основном остается там же. Я не до конца уверен, что слово «практичное» здесь вообще подходит — ведь под этим все еще лежит реальный порог знаний.
Я постоянно колеблюсь, насколько сурово прочтение этого текста. Честно говоря, возможно, хорошие настройки по умолчанию существуют, просто я недостаточно глубоко копнул — это возможно; я не был исчерпывающим в проверке. Но исходя из того, что я реально успел изучить, шаг настройки показался таким, будто он предполагает больше знакомства и привычки, чем есть у первого раза или у случайного пользователя.
Кому это помогает в первую очередь, вероятно, людям, которые уже привыкли мыслить категориями риска транзакций, порогов, пограничных случаев — той же аудитории, которая читает разборы уязвимостей из интереса, а не просто пролистывает их. Кому это неявно обещано — более случайным или новым участникам — польза будет позже, если настройки по умолчанию станут лучше, либо, возможно, вообще не будет, если бремя настройки останется таким же.
А когда это действительно важнее всего — это ровно тот момент, когда кто-то ничего не настроил внимательно, что статистически, вероятно, происходит с очень многими людьми — почти постоянно.
В общем, я так и не прочитал тот тред про уязвимость целиком. Рынок и сегодня в порядке, ничего драматичного. Я, наверное, вернусь и проверю, не пропустил ли более сильную политику по умолчанию, потому что сейчас я реально не уверен, что она есть.