Я наблюдал, как валидатор DUSK удалили из активного набора на testnet. Не взломали. Не оштрафовали (slash). Просто удалили. Причина — liveness: он пропустил слишком много голосов за финальность в пределах окна 28 часов.
Система сработала ровно так, как задумано. Именно это и выбило меня из колеи.
Валидатор не потерял свой заложенный (bonded) капитал. Никакого криптографического наказания. Никакого раскрытого приватного ключа. Просто тихий выход из раунда консенсуса. И вот что застряло в голове: окно джейлинга измеряется относительно значения StartHeight, которое сбрасывается каждый раз, когда провайдер снова присоединяется. Ушел ненадолго, вернулся — сбросил часы, повторил. Хронически ненадёжный оператор может обходить постоянное удаление бесконечно, если никогда не находится офлайн достаточно долго, чтобы сработал полный штраф. Мягкий путь принудительных мер — именно тот, где есть лазейка.
Пока я смотрел, как сообщество DUSK спорит о том, считать ли финалити-провайдеров инфраструктурой или партнёрами, я снова и снова думал об этой лазейке. Кто-то в чате сказал: «Если наказание за ненадёжность — это таймаут, то ненадёжность — это просто стратегия с дополнительными шагами». Никто не засмеялся. Потому что все знали: валидатор, который сам сбрасывает свои часы джейла, не нарушает правила. Он просто подстраивает ритм принуждения.
Это разрыв между технической безопасностью и практической безопасностью. Криптографический триггер за двойное подписание абсолютен, безжалостен и автоматичен. Социальный триггер за лень — это конечный автомат с кнопкой сброса. Один защищает сеть от злонамеренности. Другой защищает её от небрежности. И прямо сейчас кнопка сброса принадлежит тому самому оператору, которого она должна ограничивать.
#dusk $DUSK @Dusk $EDEN $AKE
Система сработала ровно так, как задумано. Именно это и выбило меня из колеи.
Валидатор не потерял свой заложенный (bonded) капитал. Никакого криптографического наказания. Никакого раскрытого приватного ключа. Просто тихий выход из раунда консенсуса. И вот что застряло в голове: окно джейлинга измеряется относительно значения StartHeight, которое сбрасывается каждый раз, когда провайдер снова присоединяется. Ушел ненадолго, вернулся — сбросил часы, повторил. Хронически ненадёжный оператор может обходить постоянное удаление бесконечно, если никогда не находится офлайн достаточно долго, чтобы сработал полный штраф. Мягкий путь принудительных мер — именно тот, где есть лазейка.
Пока я смотрел, как сообщество DUSK спорит о том, считать ли финалити-провайдеров инфраструктурой или партнёрами, я снова и снова думал об этой лазейке. Кто-то в чате сказал: «Если наказание за ненадёжность — это таймаут, то ненадёжность — это просто стратегия с дополнительными шагами». Никто не засмеялся. Потому что все знали: валидатор, который сам сбрасывает свои часы джейла, не нарушает правила. Он просто подстраивает ритм принуждения.
Это разрыв между технической безопасностью и практической безопасностью. Криптографический триггер за двойное подписание абсолютен, безжалостен и автоматичен. Социальный триггер за лень — это конечный автомат с кнопкой сброса. Один защищает сеть от злонамеренности. Другой защищает её от небрежности. И прямо сейчас кнопка сброса принадлежит тому самому оператору, которого она должна ограничивать.
#dusk $DUSK @Dusk $EDEN $AKE