Вчера ближе к вечеру я перемещался между документацией VaultKit протокола Newton и старой схемой отвязки стейблкоина. Я не искал новый ракурс. Мне нужно было только понять, что происходит после того, как куратор хранилища предлагает действие.
Сначала поток казался простым.
Куратор подготавливает транзакцию. Операторы Newton сверяют ее с политикой хранилища. Если действие нарушает правила, оно отклоняется до того, как попадет в хранилище.
Эта часть сразу стала мне понятна. Менеджер хранилища не должен иметь возможность обещать вкладчикам одну стратегию и тихо брать на себя совершенно другие риски позже.
Затем я дошел до части, которая изменила то, как я видел всю систему.
VaultKit также может остановить транзакцию, если операторы не достигают кворума, если истекает срок одобрения или если onchain Shield не может ее верифицировать. Политике не нужно прямо говорить, что действие опасно. Если Newton не может выдать действительное одобрение, транзакция все равно не сдвинется.
Я остановился на этом, потому что увидел, как быстро обычный рынок может превратиться в чрезвычайную ситуацию. Ликвидность может исчезнуть за считанные минуты. Стейблкоин может начать выходить из привязки, пока все еще спорят о том, временным ли является движение. Кредитный протокол может выглядеть здоровым утром и стать серьезной экспозицией до конца дня.
В такие моменты куратору, возможно, нужно немедленно снизить риск.
Но с VaultKit куратор не может просто нажать кнопку и переместить средства. Действие становится намерением. Шлюз отправляет его на оценку. Операторы проверяют политику и любые необходимые данные. Их подписи должны быть собраны. Нужно создать подтверждение (attestation). Шилд должен это проверить. И только тогда действие может попасть в хранилище.
Я мог видеть в этом пользу. Каждый шаг делает сложнее для куратора игнорировать правила, когда следовать им становится некомфортно.
Депозитарий больше не полагается только на репутацию менеджера. Ограничение следует за самой транзакцией.
Но каждый обязательный шаг также становится тем, что должно сработать до того, как рынок двинется дальше.
Вот где вопрос безопасности Newton становится сложнее, чем сначала кажется.
Предположим, куратор пытается выйти из ослабляющейся позиции, но внешний источник данных становится недоступен. Операторы не успевают договориться. Истек срок подтверждения (attestation). Действие может быть полностью разумным, однако хранилище остается под экспозицией, потому что процесс авторизации не смог завершиться.
Недоступное решение больше не просто техническая задержка. Оно может стать финансовым событием.
Я не думаю, что Newton должен просто позволить куратору обходить систему. Это сделало бы политику бессмысленной. Любой менеджер мог бы назвать сложную ситуацию чрезвычайной и вернуть ту же неконтролируемую власть, которую VaultKit был разработан устранять.
Публичный, с временной задержкой, путь для побега у Newton имеет смысл именно по этой причине. Депозитарии должны иметь возможность видеть, что нормальные контроли меняются, а не узнавать об этом после того, как деньги уже ушли.
Но, несмотря на это, дизайн не убирает риск. Он перемещает его.
Часть риска уходит из приватного ключа и личного суждения куратора. Она переходит в дизайн политики, доступность данных, производительность шлюза, реакцию операторов, формирование кворума, сроки одобрения и аварийное управление.
Бета-продукт Newton mainnet показывает, что путь авторизации хранилища теперь — не просто концепция. То, чего публичные доказательства все еще не показывают ясно, — насколько хорошо работает полный процесс, когда рынки движутся быстро и несколько частей системы находятся под давлением одновременно.
Вот за этим я бы сейчас и наблюдал.
Не только сколько плохих транзакций Newton отклоняет, но и как часто завершаются законные действия, сколько занимают одобрения во время волатильности, как часто не удается сформировать кворум, и истекают ли подтверждения (attestations) до того, как куратор сможет защитить хранилище.
Сильная система безопасности должна знать, когда нужно сказать «нет».
В живом финансовом рынке он также должен уметь сказать «да» до того, как правильное решение станет слишком поздним.