$SUI 峯值TPS說明系統能處理多少動作，用戶更關心的另一件事是：存進去的BTC，究竟怎樣才能拿回來？前一篇講了Hashi的融資用途與資本承諾，這次我順着設計文檔補看退出路徑。讀完後，我不會把“BTC留在比特幣網絡”直接理解成“用戶隨時能獨自轉走”。
新增的關鍵區別，是資產在哪條鏈，與誰能授權支出，並不是同一個問題。按Hashi的User Flows，用戶把BTC存入專屬的比特幣地址，確認後在Sui側獲得hBTC。正常支出使用2-of-2結構，一方是Hashi的MPC委員會，另一方是Guardian。MPC是多方協同完成簽名，Guardian提供第二道檢查；用戶發出提款請求，不等於持有一把可以繞開協議直接轉出BTC的鑰匙。
這道檢查的價值，是在漏洞、惡意行爲等異常情況下約束資產釋放。但安全設計也會影響退出速度。Limiter文檔寫明，提款有最大容量和持續補充的額度，容量不足時要等待；單個請求超過最大容量，會被跳過，直到限額提高，用戶也可按規則取消請求。通常按先入先出處理，但不是嚴格保證。所以一筆提款等待較久，既不能只憑排隊就斷言資金被盜，也不能因爲系統有防護就保證馬上到賬。需要一起看額度配置、隊列和實際執行情況。
還有一個值得單獨解釋的恢復支路。Address Scheme文檔寫明，正常支出之外，腳本允許MPC委員會在UTXO確認後經過60天相對時間鎖，再單獨支出。UTXO可以理解爲尚未花費的一筆鏈上輸出。這個設計用來應對Guardian密鑰丟失等情況，提供另一條恢復路徑；計時起點是那筆輸出的確認，不是用戶提交提款申請。它也沒有把恢復權交給每位用戶，更不是“所有提款最多等60天”的服務承諾。
因此，我看Hashi是否兌現，不只看能存入多少BTC，也要看正常提款是否順暢、限流參數如何公開，以及Guardian失效時的恢復與委員會交接怎樣驗證。安全檢查增加一道門，和用戶保留全部單方控制權，是兩種不同安排；適不適合某類資金，要把這些退出條件一起算進去。
這次依據的是當前公開設計文檔，頁面仍標示Testnet，不能據此聲稱主網已經按同樣參數全面運行。10月8日公告說的是本月分階段推出，後續要用實際部署和真實退出記錄重新覈對。4060萬TPS的展示、超過5億美元資本承諾，都不能代替這一步。眼下新增的判斷是：Hashi的價值驗證，既要看業務能否進來，也要看資產在正常與異常條件下能否按規則出去。來源：Mysten Labs Hashi的User Flows、Guardian、Limiter與Address Scheme；配圖爲機制示意。
新增的關鍵區別，是資產在哪條鏈，與誰能授權支出，並不是同一個問題。按Hashi的User Flows，用戶把BTC存入專屬的比特幣地址，確認後在Sui側獲得hBTC。正常支出使用2-of-2結構，一方是Hashi的MPC委員會，另一方是Guardian。MPC是多方協同完成簽名，Guardian提供第二道檢查；用戶發出提款請求，不等於持有一把可以繞開協議直接轉出BTC的鑰匙。
這道檢查的價值，是在漏洞、惡意行爲等異常情況下約束資產釋放。但安全設計也會影響退出速度。Limiter文檔寫明，提款有最大容量和持續補充的額度，容量不足時要等待；單個請求超過最大容量，會被跳過，直到限額提高，用戶也可按規則取消請求。通常按先入先出處理，但不是嚴格保證。所以一筆提款等待較久，既不能只憑排隊就斷言資金被盜，也不能因爲系統有防護就保證馬上到賬。需要一起看額度配置、隊列和實際執行情況。
還有一個值得單獨解釋的恢復支路。Address Scheme文檔寫明，正常支出之外，腳本允許MPC委員會在UTXO確認後經過60天相對時間鎖，再單獨支出。UTXO可以理解爲尚未花費的一筆鏈上輸出。這個設計用來應對Guardian密鑰丟失等情況，提供另一條恢復路徑；計時起點是那筆輸出的確認，不是用戶提交提款申請。它也沒有把恢復權交給每位用戶，更不是“所有提款最多等60天”的服務承諾。
因此，我看Hashi是否兌現，不只看能存入多少BTC，也要看正常提款是否順暢、限流參數如何公開，以及Guardian失效時的恢復與委員會交接怎樣驗證。安全檢查增加一道門，和用戶保留全部單方控制權，是兩種不同安排；適不適合某類資金，要把這些退出條件一起算進去。
這次依據的是當前公開設計文檔，頁面仍標示Testnet，不能據此聲稱主網已經按同樣參數全面運行。10月8日公告說的是本月分階段推出，後續要用實際部署和真實退出記錄重新覈對。4060萬TPS的展示、超過5億美元資本承諾，都不能代替這一步。眼下新增的判斷是：Hashi的價值驗證，既要看業務能否進來，也要看資產在正常與異常條件下能否按規則出去。來源：Mysten Labs Hashi的User Flows、Guardian、Limiter與Address Scheme；配圖爲機制示意。