AlizehAli

$SKYAI

@BabylonLabs_io раньше я думал: как только стейкинг Babylon завершает период анбондинга, Биткоин (BTC) фактически снова оказывается в руках стейкера.

потом я прочитал, что на самом деле требуется для транзакции на вывод средств.

У жизненного цикла стейкинга Babylon есть четыре типа транзакций: стейкинг, анбондинг, слэшинг и вывод (withdrawal). анбондинг заканчивает блокировку. он никуда не перемещает монеты.

это тот шаг, который я почти пропустил, и честно перечитал дважды, чтобы убедиться. $BANK

a транзакция на вывод — это отдельная самостоятельная транзакция. её единственное требование: один из её входов указывает на выход от стейкинга, анбондинга или слэшинга, чей timelock уже истёк.

так средства и лежат там — разблокированные, но не потраченные — пока кто-то не отправит (broadcast) именно эту транзакцию вывода.

ничто не заставляет это происходить автоматически: нет ни куратора (keeper), ни автосканирования (auto-sweep), и никто не делает это за вас.

стейкер всё равно должен собрать и отправить эту четвёртую транзакцию, прежде чем "unbonded" превратится в "spendable". два состояния, две транзакции — и большинство объяснений просто заканчивается на первом.

не называю это багом. просто незавершённый шаг, о котором никто не считает нужным упоминать.

пропуск шага вывода в большинстве объяснений заставляет людей думать, что их BTC движется сам по себе, или слово "unbonded" уже подразумевает нечто меньшее, чем это? $BABY

анбонденд (unbonded) на самом деле то же самое, что withdrawn (выведено)?

Означает ли "unbonded", что ваш BTC уже переместился?

@BabylonLabs_io #baby #baby

$BICO Искал текущий, агрегированный подсчёт сети Bitcoin Supercharged Networks — @BabylonLabs_io $BABY — но ничего не нашёл.

Что всплыло вместо этого: Union взяла обязательство и подняла 25 миллионов BABY, чтобы ускорить интеграцию. BOB обязался раньше, располагая более чем $400 миллионами TVL, при этом примерно 44% уже построено на Babylon LSTs. У обоих есть собственные явные анонсы. Помимо этих двух, в материалах Lombard собственные материалы называют Corn и Pell Network местами, куда она планирует выделять делегирование — более слабый сигнал, чем формальное обязательство BSN, но всё же реальный. Документация Babylon описывает Phase 3 как стадию, где «L1 и L2 интегрируют протокол» — во множественном числе, процесс продолжается, без указанного количества. $VIC

Два подтверждённых обязательства BSN. Ещё два, вероятно, в пути. Ноль официального текущего итога.

Сверил, что на самом деле подтверждено против того, что лишь предполагается. Есть более старая цифра, которая ходит по кругу — 25 обязательств, по обзору 2024 года — настолько устаревшая сейчас, что я не буду повторять её как актуальную. Между тем, Babylon публикует одно соседнее число совершенно чётко: сейчас активно более 250 Finality Providers. #baby

Этот разрыв важнее, чем кажется. Собственный механизм дефляции Babylon — BSN reward-auction burn — напрямую зависит от того, сколько из этих сетей реально живы и генерируют объём аукционов. То, что никто не публикует текущий счёт BSN, — это не просто пробел ради любопытства — это входная переменная для механизма токеномики, который я не могу проверить извне, даже когда рядом прямо стоит, точное и опубликованное, число соответствующих Finality Provider.

Настоящий рост происходит тихо или это метрика, за которой никто не озаботился сделать отслеживание? Всё ещё перевариваю это.

@BabylonLabs_io #baby

@BabylonLabs_io Провёл утро, разбираясь с последствиями взлома Kelp DAO, и ответ Babylon — более интересная веха, чем сам взлом.

18 апреля злоумышленники, связанные с северокорейской группировкой Lazarus, подделали сообщение моста LayerZero и отчеканили 116 500 необеспеченных токенов rsETH — примерно на $292 млн. Около 107 000 rsETH были задепонированы в качестве залога в Aave, оставив протокол с безнадёжной задолженностью, оцененной в $177–$246 млн. Общая стоимость, заблокированная в Aave, упала с $26 млрд до $14 млрд.

Восстановительные работы, получившие название "DeFi United," привлекли более $317 млн в ETH со всего индустриального сектора, включая Consensys, Avalanche Foundation, Lido и Ether.fi. К середине мая rsETH злоумышленника был сожжён в Arbitrum, а выводы на рынках Aave полностью возобновились — кризис был урегулирован примерно за месяц. $BLESS

Вклад Babylon Foundation: $3 млн USDT. Распределение — строго: $2 млн в Aave V3, $1 млн в Aave V4.

Посчитайте это распределение. Babylon не просто выписал один чек «Aave». Он вложил вдвое больше в более старую, уже запущенную V3, чем в V4 — в точную версию, на которой Babylon планировал строить собственную интеграцию TBV. Это не нейтральный жест; это капитал, направленный в ту же экосистему, которая была нужна Babylon, чтобы его продукт вообще имел значение.

Вот часть, с которой стоит посидеть, даже спустя месяцы. Это не был Babylon, который чинит собственный взлом. Это Babylon платил в чужой кризис, на протокол, который ему не подконтролен, потому что стабильность этого протокола уже служила опорой для собственной дорожной карты.

Маркетинг называет это поддержкой экосистемы. На практике это больше похоже на страхование — защита здоровья платформы, от которой зависит ваш собственный будущий продукт.

Умное позиционирование или тихое признание того, что успех TBV так сильно завязан именно на Aave?

@BabylonLabs_io $BABY #baby $BTW

@BabylonLabs_io Я снова и снова застревал на одном небольшом дизайнерском решении в заявке Babylon TBV для Aave DAO — выборе никогда не делать vaultBTC передаваемым.

Протоколу нужен способ представлять заблокированный Биткоин внутри системы заимствований, но он не превращает это представление в то, чем люди могут свободно распоряжаться. vaultBTC чеканится один-в-один против vault, ограничен так, чтобы взаимодействовал только с собственными контрактами Hub, Spoke и адаптера Aave. Ни с чем больше. $BEAT

Это ощущалось намеренно. Это вообще не первый раз, когда Babylon делает этот выбор. За несколько месяцев до этого экспериментальная версия, протестированная на Morpho, работала иначе на уровне механизма: была создана как невзаимозаменяемый актив, а не как ERC-20, при ликвидности всего $14 в USDC. Сооснователь Дэвид Цэ назвал это «промежуточным невзаимозаменяемым активом, который интерфейсует vault с Morpho». Другой механизм, тот же инстинкт: никогда не позволять представлению перерастать интеграцию, под которую оно было сделано.

Если бы vaultBTC стал торгуемым, вокруг самого представления залога возник бы второй рынок — отдельно от Биткоина, который стоит в основе. Вот настоящая причина, почему он не передаваем: это не дает залогу обрести самостоятельную жизнь.

Я правда ценю такую сдержанность. Не каждому протоколу нужен еще один обращающийся токен — даже ценой потери гибкости.

Представьте Unified Margin у GRVT — где один депозит уже приносит доход через Aave, поддерживает торговые операции и одновременно дает спотовую экспозицию — попытку «впитать» vaultBTC таким же образом. Не получилось. Даже платформа, уже подключенная к Aave, нуждалась бы в собственном отдельном vault. Не сделали передаваемым — нарочно. $GRVT

Иногда ограничение того, что пользователи могут делать, — это ровно то, как протокол защищает свои допущения.

Непередаваемость — это более чистый дизайн, или она жертвует слишком многим ради компонуемого будущего DeFi, к которому сейчас стремится?

@BabylonLabs_io $BABY #baby

@BabylonLabs_io продолжал считать, что «Babylon интегрируется с Aave» означает одну точку подключения. на самом деле это два предназначенных Спока, размещённых на архитектуре Aave Hub-and-Spoke.

первый — Babylon Core Lending Spoke. нативный BTC вкладчика, зафиксированный в Taproot UTXO, представляется в Ethereum как vaultBTC и используется для заимствования активов вроде стейблкоинов. aave v4 принимает только залог ERC-20, поэтому vaultBTC существует исключительно чтобы закрыть этот разрыв — он отчеканен один-в-один с vault, и ограничен так, чтобы взаимодействовать только с собственными контрактами Aave.

второй — BTC Vault Swap Spoke, созданный для одной узкой задачи: расчёты по биткоину происходят медленно. ликвидированная позиция не может ждать несколько дней, пока будет проведено погашение нативным BTC внутри обычного окна Aave. поэтому изъятые vault’ы сразу меняются на WBTC, позволяя permissionless ликвидаторам погасить долг прямо сейчас, а отдельная группа арбитражников позже выкупает фактический BTC уже по собственному графику биткоина.

два спока, одна задача, разделённая пополам.

мне нужно было проследить, почему эта конкретная форма именно такая. модель Aave Hub-and-Spoke изолирует риск каждого Спока от остального Hub — сбой в Spoke с BTC-коллатералом не затрагивает несвязанные рынки Aave. Aave DAO держит лимиты и параметры под своим контролем независимо.

эта изоляция — и есть главный дизайнерский выигрыш, и реальный ответ на то, как работает эта интеграция: один Spoke занимается заимствованием под BTC, другой — отдельно обслуживает задержку расчётов по биткоину, так что ни одна проблема не должна ждать другую.

делает ли такая точная изоляция рисков интеграцию безопаснее, или же разбиение расчётов на два пути просто создаёт две вещи, которые могут пойти не так, вместо одной?

@BabylonLabs_io #baby $KOMA $GIGGLE $BABY

«Babylon Genesis работает на восьми отдельных модулях — большинство объяснений упоминают только два»

@BabylonLabs_io раньше я думал, что «Bitcoin плюс Cosmos» — достаточно полное описание того, что на самом деле представляет Babylon Genesis.

потом я посмотрел, из чего цепь устроена «снизу» под этой фразой.

Babylon Genesis запускает восемь ключевых модулей: Epoching (эпохи), Checkpointing (чекпоинты), BTC Checkpointing (биткоин-чекпоинты), BTC Light Client (BTC light-клиент), Zone Concierge (консьерж зоны), BTC Staking (биткоин-стейкинг), Finality (финальность) и Rewards (награды). Каждый из них несёт свою уникальную часть того, что позволяет цепи работать.

протокол — это не просто две вещи, сложенные друг на друга.

«Bitcoin плюс Cosmos» называет актив обеспечения и базовую платформу. Но это не говорит ни о том, кто отслеживает состояние стейкинга, ни о том, кто финализирует блоки, ни о том, кто «привязывает» чекпоинты обратно к Bitcoin, ни о том, кто маршрутизирует награды после того, как всё, что выше, отработало корректно.

два из восьми легко перепутать только по названиям. BTC Staking обрабатывает делегирование и жизненный цикл стейкинга. Finality обрабатывает голоса EOTS от провайдеров. Zone Concierge координирует данные, которые отправляются в подключённые BSN. Epoching задаёт, как Babylon Genesis продвигается внутри себя по циклам, а Checkpointing «привязывает» эти циклы к Bitcoin через модули BTC Checkpointing и BTC Light Client. Rewards находится в самом конце очереди — выплачивает только то, что уже заработали модули выше.

но то, что у вас восемь модулей, не означает, что восемь точек отказа имеют одинаковый вес.

многие зависят друг от друга по порядку завершения: награду можно маршрутизировать только после того, как модули стейкинга, финальности и привязки уже сделали свою работу без ошибок.

поэтому сводить это к двум словам — не совсем неправильно, но оно скрывает последовательность, а не «количество участников». Несколько модулей должны успешно отработать, прежде чем один-единственный BTC-стейк превратится в финализированный и вознаграждённый результат.

Означает ли перечисление всех восьми модулей большее понимание того, где Babylon может выйти из строя, или реальный риск всё равно сосредоточен лишь в одном-двух из них?

Риск действительно концентрируется только в одном-двух?

Где концентрируется реальный риск Babylon?

$BANK $BABY $GRVT #baby @BabylonLabs_io

Что произойдет, если офчейн-релейеры Babylon ошибутся

@BabylonLabs_io Раньше я считал, что «permissionless» (без разрешений) означает: ничья честность на самом деле не имеет значения — система просто работает независимо от того, кто в ней появляется.

Потом я нашел конкретную строку в документации Babylon по собственной архитектуре, которая все усложняет.

Babylon запускает набор «самосудных» модулей: Submitter, Reporter, Monitor, которые передают данные между Bitcoin и Babylon Genesis. Любой может запускать это ПО. Не требуется никаких разрешений, нет «привратника», решающего, кто подходит.

Но в той же архитектурной документации прямо сказано, что безопасная работа требует существования как минимум одного честного оператора каждого из этих программ, а не большинства или кворума — по одному на каждую роль.

Хм.

Потому что это принципиально другое утверждение, чем «trustless» (без доверия). Участие без разрешений и гарантированный честный оператор — не одно и то же: первое — про то, кому разрешено запускать ПО, а второе — про то, есть ли вообще кто-то надежный.

У Monitor конкретная задача — выполнять слэшинг, когда провайдер окончательности делает дабл-вотинг, или извлекать их ключ, если автоматический путь не сработал. Но это работает только если оператор Monitor действительно онлайн и следит за этим; он говорит вам об этом постфактум, а не заранее. #baby

Я отметил эту строку и некоторое время оставлял ее открытой на втором экране.

Если вдруг все операторы одной роли одновременно не смогли бы работать или ушли бы в офлайн, то в том же документе нигде не описан какой-либо резервный сценарий кроме «сработает сигнал тревоги». Обнаружение по-прежнему предполагает, что кто-то честный следит за тем, чтобы тревога вообще была замечена.

Не утверждаю, что от этого Babylon хрупкая. Распределенные системы почти всегда где-то опираются на предположение о честном участнике; просто здесь это названо прямо, а не оставлено подразумеваемым. $BABY

Что бросается в глаза: документация Babylon гарантирует, кто имеет право участвовать, но не то, кто фактически будет это делать.

Так что если предположение о честном операторе когда-нибудь действительно нарушится, кто-нибудь, наблюдающий за системой, вообще узнает об этом заранее — еще до того, как это начнет иметь значение?

«permissionless» здесь означает то же самое, что и «trustless»?

Где самостоятельное хранение (self-custody) в Вавилоне по-прежнему зависит от комитета по завету

@BabylonLabs_io кое-что про слово «self-custody» в Вавилоне продолжало не давать мне покоя.

я предполагал, что это означает: один только стейкер контролирует каждый исход, без исключений.

но затем я реально прочитал требования к скрипту, и это предположение не подтвердилось.

Ставочный (staking) вывод у Вавилона имеет три пути по скрипту. тайлок (timelock) позволяет стейкеру выйти одному, когда истечёт срок блокировки. анбандлинг (unbonding) позволяет стейкеру выйти раньше. слашинг (slashing) наказывает провайдера финалити (finality provider), который делает дабл-сигн.

два из этих трёх путей просто не могут выполниться без подписей комитета по завету.

вот этот момент я почти пропустил.

комитет по завету — это M-из-N группа ключей биткоина. Их подписи требуются ещё до того, как запрос на стейкинг вообще активируется, и требуются снова, прежде чем транзакция анбандлинга или слашинга сможет пройти. $BABY

сам BTC никогда не покидает скрипт стейкера, так что актив всё время остаётся там, куда стейкер его положил.

однако стоит уточнить, что именно эта зависимость фактически позволяет.

спецификация для staking-script прямо оговаривает эту часть. Комитет может отклонить запрос. Он не может перенаправить средства куда-то ещё, если стейкер уже не заранее согласовал это при моменте стейкинга; они могут только удержать подпись, которая позволяет выполнению спенда (spend) продолжиться.

поэтому комитет может остановить активацию, даже не став кастодианом. #baby

но это всё равно означает, что выход стейкера — будь то ранний или «карательный» — зависит от подписей, которых у него лично нет. self-custody защищает то, куда в итоге могут уйти средства. но это не стирает все стороны, чьё сотрудничество нужно, чтобы добраться до этого места.

делает ли привязка комитета к полномочиям только «отклонять» эту проблему несущественной для self-custody, или же то, что вообще нужна чья-то ещё подпись, и так усложняет то, что «self-custody» вообще должно было значить?

зависимость Вавилона на самом деле ограничена?

считается ли власть «только отклонять» зависимостью кастоди (custody dependency)? #baby

Почему Babylon позиционирует утилити BABY для комиссий, консенсуса и управления — а не как инвестицию

@BabylonLabs_io Признаюсь: дисклеймеры по токеномике раньше были той частью любых документов, которую я пролистывал, не читая.

На этот раз я притормозил на собственной странице Babylon и в итоге возвращался к тому же разделу дважды.

То, для чего BABY создано, узко и конкретно: платить газ в ubbn, стейкаться вместе с BTC ради консенсуса и давать держателям возможность голосовать по вопросам управления. Три задачи — и все они завязаны на реальную работу сети. На странице нигде не подают это как нечто, чем нужно просто владеть и ждать.

Пара строк под таблицей распределения содержит дисклеймер: цифры носят гипотетический характер, ориентированы на будущее и могут измениться без уведомления. Дальше говорится прямо: BABY не предназначено для того, чтобы функционировать как инвестиция.

Я снова прошёл оба фрагмента — на этот раз параллельно. Токену отведены три конкретные операционные роли, рядом с предупреждением, что собственные цифры по его поставкам не зафиксированы.

Отдельно эти строки не слишком выделяются. Вместе они говорят более чётко: утилити — реальная суть, а все численные показатели вокруг неё остаются предварительными.

Это переосмысливает и саму таблицу распределения. Вестинги для инвестора, команды и советников растянуты вплоть до апреля 2029. Стимулы для сообщества — уже выпущены. Финансирование экосистемы — в горизонте трёх лет. И всё это расположено под пометкой, что эти категории и их проценты всё ещё могут измениться.

Не утверждаю, что это красный флаг. Такие дисклеймеры встречаются часто, и сама подача токена через утилити по газу и управлению, а не через потенциальный рост, тоже не выглядит чем-то необычным.

Просто замечаю: собственный текст Babylon просит относиться к BABY в первую очередь как к инфраструктуре, а к каждому числу на этой странице — как к актуальному, а не окончательному.

Итак, если утилити определено по замыслу, но цифры явно — нет, то что именно на самом деле говорит вам о том, что вы покупаете?

Оценивать BABY по его утилити или по его цифрам по поставкам?

@BabylonLabs_io #baby $BABY

Почему «путь разъединения» Babylon пропускает провайдера окончательности целиком

@BabylonLabs_io для меня каждый запрос на разъединение и каждое событие слэшинга в Babylon выглядели как один и тот же класс выхода — просто с разным таймингом.

Но потом я открыл два скрипта рядом, ожидая, что они будут выглядеть совершенно не похожими.

Путь разъединения: подпись стейкера плюс порог ковенанта. И больше ничего.

Путь слэшинга: подпись стейкера, тот же порог ковенанта и ключ провайдера окончательности.

Один дополнительный подписант. Вот и всё различие.

И это включение — не косметика.

Одна подпись — достаточно, чтобы поменять, кто именно должен появиться, чтобы расход прошёл. Стейкер может разъединиться по требованию — без какой‑либо кооперации со стороны провайдера, которому он делегировал свои полномочия; нужны только его собственная подпись и одобрение ковенанта. Путь слэшинга остаётся «заблокированным» до тех пор, пока этот провайдер не сделает двойную подпись и не передаст свой ключ по ошибке.

Поэтому ключ провайдера находится в скрипте с самого первого дня: предподписанный и бездействующий — вплоть до того момента, когда используемая случайность будет переиспользована и он «проснётся» сам.

Всё до этого момента работает полностью без того, чтобы провайдер вообще пошевелил пальцем; их молчание — и есть вся суть. Как только всё сломалось, их сотрудничество больше не часть картины: наружу раскрытый ключ завершает работу сам.

Не говорю, что это делает разъединение в целом безопаснее. Оба пути в любом случае опираются на тот же порог ковенанта.

Я лишь заметил, что наличие одного ключа — это и есть вся граница между добровольным выходом и наказательным. Всё остальное в двух скриптах совпадает один‑в‑один.

Если скрипт отличается ровно одним подписантом — это небольшое дизайнерское решение, или самая важная строка во всём документе?

Решает ли наличие одного подписанта, добровольным или наказательным будет выход?

@BabylonLabs_io #baby $BABY $DEXE $EUL

@BabylonLabs_io каждый раз, когда я смотрю на новый дизайн стейкинга, первое, что я проверяю, — сколько существует способов для перемещения заблокированных средств. В Babylon ответ оказался меньше ожидаемого и при этом гораздо более продуманным.

Выход стейкинга — это выход Taproot, и Babylon полностью отключает обычный путь расходования по ключу. Он делает это, задавая внутренний ключ точкой NUMS — «значением без сюрпризов», определённым в BIP-341, которое выводится из хэширования собственной базовой точки G биткоина. Для этой точки не существует приватного ключа. Этот путь не «слабый» — он намеренно закрыт.

остаются ровно три варианта скриптового расходования.

путь с таймлоком позволяет стейкеру тратить в одиночку, после того как пройдёт зафиксированное число блоков биткоина. путь анбондинга даёт стейкеру возможность выйти раньше, вместе с порогом подписей комитета ковенантов, без участия провайдера финальности.

путь слэшинга требует участия стейкера, того же порога ковенантных подписей и ключа провайдера финальности одновременно, и становится исполнимым только если этот провайдер сделал двойную подпись.

три двери, и разница между ними — не в том, кто именно может войти, а в том, какой из подписантов должен прийти. анбондинг и слэшинг выглядят почти одинаково: та же подпись стейкера, тот же порог ковенантов, разве что один включает ключ провайдера финальности, а другой — нет. именно это одно включение превращает добровольный выход в карательный.

удаление пути расходования по ключу убирает любые неформальные способы перемещения средств — существуют только эти три формальных. Но это также означает, что вся модель безопасности теперь зависит от того, что эти три скрипта должны быть ровно правильными, без какого-либо более простого резервного пути «на случай чего» под ними.

делает ли закрытие всех коротких путей скрипт более защищённым, или лишь менее терпимым к ошибке непосредственно в самом скрипте?

$BABY #baby @BabylonLabs_io

Что проверяет подпись Babylon EOTS после двойной подписи

@BabylonLabs_io раньше я думал, что «слэшинг» (штрафное списание) в Babylon означает: какая-то комиссия посмотрела на поставщика финальности и решила, что он виновен в чем-то.

Но, разбираясь в механизме EOTS в Babylon, что привлекло мое внимание — там нет никакой комиссии, нет проверки, нет оценочного суждения где-либо.

Каждый поставщик финальности в Babylon заранее фиксирует публичную случайность: по одному значению на каждую высоту будущего блока, за которую он намерен голосовать. Пары голосования состоят из публичной половины и частной половины; и пока на каждой высоте удается получить только одну подпись, частная случайность остается приватной. Сбой проявляется только в момент повторного использования: подпиши два разных блока на одной и той же высоте — и та же частная случайность будет использована дважды. Двух подписей, построенных на одинаковой случайности, математически достаточно, чтобы вычислить ключ, лежащий в основе. Никто его не «извлекает». Математика просто раскрывает его.

Дальше все работает механически, без усмотрения. Сила голоса на Babylon падает до нуля в тот момент, когда обнаружено событие, поставщик навсегда «тумбстонируется» (помечается как совершивший нарушение), и восстановленный таким образом ключ теперь может подписывать slashing-транзакции по всем стейкам, которые были ему делегированы.

Так что же на самом деле проверяет подпись Babylon EOTS? Одно: что на конкретной высоте произошла конкретная двойная подпись и что полученный ключ является реальным. Она не говорит ничего о том, цензурировал ли провайдер блоки, работал ли с ненадежной инфраструктурой или голосовал ли непоследовательно так, что это никогда не приводит к повторному использованию случайности. Ничто из этого не повторяет случайность, значит, ни одно из этого не приводит к получению ключа.

Механизм, настолько точный про один-единственный режим отказа, по определению молчит обо всех остальных.

Хватит ли slashing в Babylon при использовании EOTS?

@BabylonLabs_io #baby $BABY

Когда кошелёк защищён, но торговый ключ — нет: делегированный риск доступа GRVT

@grvt_io Чем больше я изучал модель API GRVT, тем яснее становилось одно различие: ключ может быть неспособен выводить средства, но при этом быть достаточно мощным, чтобы нанести ущерб аккаунту.

GRVT документирует API-ключи торгового аккаунта с правами только на торговлю. Каждый ключ привязан к адресу Ethereum, а его приватный ключ может подписывать ордера через EIP-712.

Это разделение имеет значение. Торговые учётные данные не являются автоматически платёжными (выводными) учётными данными.

Но «ограниченный» не значит «безвредный».

Если торгово-авторизованный ключ будет скомпрометирован, главный риск — не в том, что атакующий отправляет активы на внешний кошелёк. Риск заключается в злоупотреблении авторизованной торговлей. Атакующий может создать нежелательную экспозицию, использовать доступную маржу и приблизить аккаунт к ликвидации, пока ордера всё ещё выглядят действительными в рамках назначенного ключу разрешения.

Это вывод из задокументированной модели прав, а не утверждение, что API GRVT был скомпрометирован.

Слой хранения может вести себя ровно так, как задумано, в то время как торговый аккаунт несёт экономический ущерб. Кошелёк остаётся владельцем, но атакующий временно контролирует решения, которые определяют стоимость аккаунта.

Это делает безопасность API больше, чем просто хранение секретов. Практические меры контроля включают узкие права, изолированные среды подписания, мониторинг в реальном времени, быстрое аннулирование (revoke) и регулярную ротацию ключей. Их задача — не только остановить вывод средств. Она в том, чтобы ограничить масштаб ущерба, который делегированная торговая власть может причинить до того, как доступ будет отозван.

Узкий ключ уменьшает зону поражения. Но не сводит её к нулю.

Поэтому опасность — это экономический контроль без контроля доступа к хранилищу. Это различие заслуживает такого же внимания, как и безопасность вывода.

Самостоятельное хранение защищает то, куда могут быть отправлены средства. Безопасность делегированного доступа защищает решения, которые принимаются до того, как эти средства вообще должны будут покинуть систему.

Какой контроль важнее всего для торгового API-ключа?

@grvt_io

#grvt

$EVAA

$BSB

$HEI

@NewtonProtocol Сначала я воспринимал вариант default-deny как нечто, что политика Newton может добавить после того, как условия allow будут полностью выполнены.

Чем больше я изучал это правило, тем яснее понимал: решение по умолчанию определяет, что произойдет, когда запрос перестает выглядеть знакомым.

Представьте политику, которая разрешает переводы ниже определенного лимита, если назначение входит в одобренный список. Такая логика может работать для каждой транзакции, которую разработчик ожидал.

Самое сложное испытание начинается, когда запрос меняет «форму».

Обязательное поле может отсутствовать. Идентификатор актива может использовать новый формат. Контракт может раскрывать функцию, которую политика никогда не видела. Приложение может ввести новый тип транзакции, в то время как политика продолжает работать.

Система нуждается в ответе.

Если политика стартует с разрешения и лишь ищет известные причины, чтобы отклонить запрос, незнакомое действие может пройти, потому что ни одно ограничение не было активировано.

Запрос не был доказан как безопасный.

Он просто никогда не распознавался как опасный.

Политика @NewtonProtocol начинается с отклонения и выдает авторизацию только после того, как присутствуют и удовлетворены все условия. Неизвестные значения, неподдерживаемые действия, некорректно сформированные входные данные и неполные доказательства остаются отклоненными, пока политика не сможет оценить их осознанно.

Это важно, потому что приложения развиваются быстрее, чем политики. Могут появляться новые активы и пути выполнения, пока более старая политика все еще предполагает свою исходную среду.

Default-deny не дает этому разрыву превратиться в разрешение.

Правило allow объясняет, где существует авторизация. Правило по умолчанию определяет, как система обрабатывает то, чего разработчик не ожидал.

Вопрос, к которому я постоянно возвращаюсь: где должен находиться этот «fallback».

Должны ли все политики Newton самостоятельно отклонять неизвестные запросы, или же один доверенный уровень валидации должен отклонять неполные входные данные до оценки?

Что Newton должен делать с неизвестным действием?

@NewtonProtocol #Newt $NEWT
$BILL $FOLKS

#SamsungSKHynixLeveragedETFsNearlyHalve #CXMTReportedlyToListInShanghaiJuly27
#USSaysItWillBlockadeIran
#StocksAndBondsFall

Я потратил некоторое время, чтобы разобраться, что делает действительное @NewtonProtocol attestation пригодным для использования только в одной транзакции.

Сначала я предположил, что сама операторская подпись должна предотвращать повторное использование.

Но подпись лишь доказывает, что операторы одобрили сообщение, которое они подписали. Более сложный вопрос — было ли это сообщение привязано к точному действию, которое приложение затем выполняет.

Представьте, что attestation одобряет вывод средств с одного кошелька в один контракт.

Если подписанное сообщение не привязано к отправителю, получателю, параметрам, сети, nonce и сроку действия, то то же одобрение может по-прежнему подойти для другой транзакции.

Криптография может оставаться действительной.

Но авторизация может оказаться неправильной.

Поэтому действительный attestation следует рассматривать как разрешение для одного конкретного намерения, а не как многоразовое одобрение.

Для replay не нужно никому подделывать подпись. Достаточно совершить другое действие, которое все еще соответствует исходному подписанному контексту.

Nonce может предотвратить повторное использование. Срок действия ограничивает, как долго одобрение остается валидным. Привязка к цепочке и контракту может предотвратить повторное использование в другом месте. Привязка параметров может не позволить позже изменить одобренную сумму или получателя.

Действительный attestation ≠ многоразовая авторизация.

Самое важное, к чему я снова и снова возвращаюсь, — должны ли приложения отклонять каждое attestation, которое не привязано к одному уникальному намерению.

Если цель, параметры, цепочка или время могут измениться, пока одобрение остается действительным, то что именно операторы санкционировали?

Какая привязка важнее всего для предотвращения replay attestation?

@NewtonProtocol $NEWT #Newt

#JuneCPIWarshTestimonyBankEarningsSameWeek
#ShanghaiCompositeHitsThreeMonthLow

#EuropeanStocksFall

#SouthKoreaForcedLiquidationsHit344.2BWon

@grvt_io потратил некоторое время на размышления о том, что должен показать пользователь, чтобы доказать, что матч GRVT был справедливым.

здесь справедливость не означает лишь того, что итоговая сделка была просто допустимой. это означает, что подходящие заявки получили документированную приоритетность, и ни одна более ранняя заявка не была вытеснена без причины, основанной на правилах.

GRVT документирует, что сопоставление и хранение данных происходят внечейн, тогда как смарт-контракты обеспечивают гарантии исполнения onchain. поданные заявки несут подписи, а путь расчётов может проверить, соответствует ли выбранный набор мейкер-тейкер правилам, применённым к этой транзакции.

механически это может подтвердить, что выбранное сопоставление было приемлемым.

корректное сопоставление не обязательно является автоматически независимым повторно воспроизводимым сопоставлением.

рассмотренные публичные материалы описывают ленты стаканов, исполнения (fills) и правила RPI, но они не предоставляют полного публичного журнала последовательности для каждой подходящей заявки и для альтернатив, рассмотренных матчером. без этого внешнему пользователю нельзя полностью восстановить путь выбора только по одному публичному результату расчётов, исходя из доступных сегодня публичных доказательств.

ликвидность RPI делает границу проще различимой. GRVT определяет RPI как ликвидность мейкера, доступную только для неалгоритмических пользователей интерфейса (UI). это может обеспечить более качественное исполнение для подходящего потока, одновременно давая участникам API другое представление об исполнимой ликвидности.

я понимаю компромисс в проектировании. ограниченный поток заявок может защитить маркет-мейкеров и улучшить котируемые цены.

однако качество исполнения и независимая верифицируемость приоритетности — это отдельные утверждения.

ограниченная публичная реконструкция не доказывает, что GRVT сопоставлял несправедливо. это означает, что пользователи должны полагаться на внутренние записи GRVT, документированные правила или внешний процесс подтверждения для части оценки справедливости.

вот к этому вопросу я снова и снова возвращаюсь.

должна ли справедливость сопоставления оставаться операционной гарантией или стать тем, что пользователи смогут проверять независимо?

#grvt @grvt_io $EVAA $BILL
$DODO

#SKHynixSinksRecord15%

#TSMCJuneRevenueUp67.9%YoY

#SouthKoreaForcedLiquidationsHit344.2BWon
#EuropeanStocksFall