Skip to main content
El puente es donde la red toca activos que no ha creado. Todo lo demás en esta arquitectura es un sistema cerrado cuya corrección cualquiera puede comprobar reejecutando bloques. Un puente no puede serlo, porque la mitad de él está en otra cadena con sus propios validadores, su propia firmeza y sus propios modos de fallo. Esa asimetría dirige el diseño. Los depósitos y los retiros no son operaciones simétricas, y los retiros son deliberadamente más lentos de lo que técnicamente necesitan ser.

​
Los roles

Cadena externa
Intention
Contrato del puentecustodia · verifica firmas antes de liberar nadala pieza de la que dependen tus fondos
Validadoresobservan la cadena externa y firman lo que ven
Finalizadorretransmisor, no autoridad — no puede crear un retiro sin firmas de validadores
Gobernadorvalidadores y parámetros — lo que no se automatiza con seguridad
Un retiro solo puede ejecutarse cuando se agregan suficientes firmas de validadores — el mismo supuesto de confianza que el consenso, aplicado entre cadenas.
eventos de depósito
firmas agregadas
transacciones de retiro
Los validadores observan la cadena externa y firman lo que ven. Un retiro solo puede ejecutarse cuando se han agregado suficientes firmas de validadores: el mismo supuesto de confianza que el consenso, aplicado a través de la frontera entre cadenas. El finalizador envía transacciones en el lado externo. Es un retransmisor, no una autoridad: puede elegir cuándo enviar y puede no enviar, pero no puede crear un retiro que los validadores no hayan firmado. El gobernador se encarga de las operaciones administrativas: cambios en el conjunto de validadores, actualizaciones de parámetros. Sus poderes son los que no se pueden automatizar con seguridad. El contrato del puente tiene la custodia en el lado externo y verifica las firmas antes de liberar nada. Es la pieza de la que dependen de verdad los fondos de un usuario.

​
Los depósitos

El depósito es la dirección fácil. Los fondos se bloquean en el contrato externo, que emite un evento de depósito; los validadores lo observan y el abono se convierte en una transacción nativa del protocolo en Intention. Como ese abono es una transacción ordinaria, hereda todo lo que garantiza el kernel. Se ejecuta en el orden canónico, su efecto sobre la cuenta se le atribuye y es visible en la misma salida que cualquier otro cambio de estado. Un depósito que restaura el margen de una posición cercana a la liquidación es visible para la cámara de compensación en el mismo paso de ejecución, no en una conciliación posterior. La espera está en la firmeza de la cadena externa, no en Intention. Un depósito se abona cuando se cumple el requisito de confirmaciones de la cadena de origen.

​
Los retiros

El retiro es la dirección peligrosa, y se desarrolla en dos fases con un periodo de disputa entre ellas.
Solicitado en Intention
Firmado por validadores, registrado en el contratoaún no se abona nada
Periodo de disputatranscurre un periodo configurado
Finalizadofondos liberados
Invalidadocancelado antes de que se mueva nada
Por qué esperaTodo fallo catastrófico de un puente tiene la misma estructura: un atacante logra autorizar un retiro y los fondos desaparecen en el mismo bloque. Un periodo de disputa convierte una pérdida instantánea e irreversible en una ventana en la que la monitorización y las personas pueden actuar. El coste es que los retiros legítimos también esperan.
transcurrido
disputado
Los validadores firman la solicitud y esta queda registrada en el contrato externo. Todavía no se abona nada. Antes tiene que transcurrir un periodo configurado, durante el cual el retiro se puede invalidar: cancelar antes de que se mueva ningún fondo. Esto no es un descuido de rendimiento. Todo fallo catastrófico de un puente tiene la misma estructura: un atacante obtiene la capacidad de autorizar un retiro y los fondos desaparecen en el mismo bloque. Un periodo de disputa convierte una pérdida instantánea e irreversible en una ventana en la que las personas y la monitorización pueden actuar. El coste es que los retiros legítimos también esperan. Los retiros se agrupan en lotes (se solicitan y se finalizan en grupos, en lugar de una transacción cada uno), y por eso las comisiones de la cadena externa no crecen linealmente con el número de retiros. Los fallos son explícitos. Un retiro que no puede finalizarse emite un fallo con un código de error en lugar de no hacer nada en silencio, de modo que la diferencia entre atascado y rechazado se observa en lugar de inferirse de una ausencia.

​
Detenerlo

Existen dos mecanismos para cuando algo va mal. La invalidación cancela un retiro concreto dentro de su periodo de disputa. Es la respuesta dirigida. El bloqueo es el mecanismo contundente: un rol designado puede bloquear el puente, y el número de partes de ese tipo que deben actuar es a su vez un parámetro. Este es el mecanismo para “algo va mal y todavía no sabemos qué”: detiene el flujo en lugar de dirimir transacciones individuales.
Estos controles son lo que hace útil el periodo de disputa, y son también supuestos de confianza reales. Una parte que puede bloquear el puente puede detener retiros legítimos. Es un compromiso deliberado: los puentes fallan de forma catastrófica e irreversible, y poder detener uno vale más que poder garantizar que nunca se pausa. Consulta Advertencias de riesgo.

​
Cambios en el conjunto de validadores

El contrato externo tiene que saber quiénes son los validadores, lo que significa que los cambios en el conjunto de validadores deben propagarse a través de la frontera. Se proponen y después se finalizan como un paso aparte, en lugar de surtir efecto en el momento en que se envían: la misma forma en dos fases que los retiros, y por la misma razón.

​
Dónde está realmente el riesgo

Conviene decirlo con claridad, porque los puentes son donde los usuarios pierden dinero:
  • En Intention, el puente es algo ordinario. Un depósito abonado es una transacción normal con garantías normales.
  • En la cadena externa, dependes del contrato y del umbral de firmas. Ese es un modelo de seguridad distinto del consenso, y se audita por separado: el puente es el componente sometido a revisión de terceros.
  • En medio, dependes de que los validadores observen correctamente y de que el finalizador envíe. Ninguno de los dos puede fabricar un retiro; los dos pueden retrasarlo.
Las cadenas y activos admitidos, los requisitos de confirmaciones y la duración del periodo de disputa son parámetros operativos que cambian con cada versión. Los valores que mandan son los que muestran los diálogos de depósito y retiro en el exchange en el momento en que transfieres. Consulta Deposit (depositar) y Withdraw (retirar).

​
Qué leer a continuación

Depositar fondos

La ruta de entrada para el usuario, con las cadenas y los tiempos actuales.

Comisiones ajenas al trading

Cuánto cuesta un retiro y por qué los depósitos son gratis.

Cámara de compensación

Qué le hace un depósito al margen en el instante en que llega.

Advertencias de riesgo

Los supuestos de confianza del puente enunciados como riesgos.