ConsensusL’enjeu byzantin reste sous le tiers
Sous le seuil, aucune minorité ne peut retenir un lot ni valider un second ordonnancement. Au-dessus, l’argument de sûreté s’arrête.
PrixUn quorum certifie l’observation, pas son exactitude
Le bornage et la diversité des sources limitent l’influence d’une seule d’entre elles. Ni l’un ni l’autre ne crée l’information que le marché n’avait pas.
GouvernanceReconfiguration aux frontières d’époque
Limitée à l’ensemble des validateurs, aux paramètres de consensus et de risque, et aux actions d’urgence. Qui détient cette autorité n’est pas encore publié.
BridgeDes contrats de séquestre et un canal de messages attesté par les validateurs
Les limites de débit sur les retraits bornent le rayon d’explosion. Les réorganisations profondes de la chaîne source et la compromission des clés de signature, non.
LogicielUn seul audit externe au périmètre ; le reste sous contrôle interne
Le rejeu prouve que les nœuds s’accordent entre eux. Il ne prouve pas que la spécification a été implémentée deux fois et qu’elles s’accordent.
Ce qu’il vous reste à supposer
Ce qui le borne
La vérification borne ce qu’il faut supposer. Elle ne vide pas cette liste, et aucun protocole ne la vide.
Consensus
L’hypothèse : l’enjeu byzantin reste sous le tiers du total. IntentionBFT tolère un adversaire contrôlant jusqu’à un tiers de l’enjeu. L’enjeu honnête dépasse donc toujours les deux tiers, et le quorum pour quoi que ce soit est un ensemble de validateurs dont l’enjeu cumulé dépasse les deux tiers. La sûreté tient inconditionnellement sous ce seuil ; la vivacité tient après stabilisation du réseau. Ce que la borne vous apporte. Deux choses précises, pas un sentiment général de sécurité. Les lots de transactions doivent prouver une disponibilité pondérée aux deux tiers de l’enjeu avant qu’une proposition puisse les référencer : un bloc ne peut donc jamais dépendre de données qu’une minorité byzantine détenait seule. Et l’ordonnancement est un objet validé par le consensus, couvert par le hachage du bloc : aucun validateur honnête n’aura signé un second ordonnancement des mêmes transactions au même tour. Ce qu’elle ne vous apporte pas. Au-delà du seuil, l’argument ne se dégrade pas en douceur : il s’arrête. Et en deçà, une surface reste ouverte : un leader choisit quels lots disponibles inclure dans sa propre proposition et comment les agencer. La page consensus la nomme comme surface résiduelle, atténuée par la réputation des leaders et par le fait qu’un leader ne peut produire aucun bloc sans observations de prix valides. Des constructions d’ordonnancement équitable plus fortes sont suivies comme évolution candidate, non comme acquis.Prix
L’hypothèse : un quorum certifie que ces observations ont été soumises à ce tour. Il ne certifie pas qu’elles étaient justes. La distinction fait tout. La page oracle énonce la garantie avec précision : une transaction s’est réglée contre un prix qu’un quorum de validateurs a certifié au tour qui a validé cette transaction, et aucun chemin d’exécution n’aurait pu en lire un autre. Lier le prix à la transaction est une propriété réelle, et ce n’est pas la même que la justesse du prix. Ce qui la borne. L’agrégation limite l’influence d’une source unique sur le résultat, et une exigence de diversité des sources impose que les observations d’un instrument proviennent de plus d’une source indépendante. Le prix de marquage est lissé et borné à partir de l’indice, de sorte qu’une dislocation brève ne se propage pas directement en liquidations. Ce qu’elle ne borne pas. Un mouvement coordonné sur plusieurs des places sous-jacentes, ou une dislocation de marché généralisée. La pondération et le bornage ne fabriquent pas l’information que le marché n’avait pas. Le prix est l’entrée externe la plus lourde de conséquences, et la résistance à la manipulation y est affaire de degré.Gouvernance
L’hypothèse : une autorité de reconfiguration existe, et aux frontières d’époque elle peut modifier ce sur quoi vous comptez. À l’intérieur d’une époque, l’ensemble des validateurs et la plupart des paramètres sont constants. À une frontière d’époque, une reconfiguration autorisée par la gouvernance peut modifier l’ensemble des validateurs, les paramètres de consensus, les paramètres de risque, et prendre des mesures d’urgence. Les transitions sont atomiques — tous les validateurs honnêtes voient la même à la même hauteur de bloc — mais l’atomicité porte sur la manière dont le changement atterrit, pas sur ce qui peut changer. La portée est réelle et mérite d’être dite simplement. L’admission d’un marché, la configuration des frais, les paliers de levier et les paramètres de risque sont autant d’instructions de configuration système autorisées par la gouvernance, et les paliers de marge qui déterminent votre prix de liquidation évoluent à l’intérieur de bornes fixées par elle.Bridge
L’hypothèse : les contrats de séquestre sur les chaînes externes, et le canal de messages attesté par les validateurs entre elles et celle-ci, tiennent tous les deux. Le collatéral entre par le bridge. Les contrats de la chaîne source détiennent les actifs séquestrés ; l’exploitation réussie de ces contrats, ou du canal d’attestation, se traduit par une perte de collatéral transféré. C’est structurellement le composant le plus exposé du système, parce que c’est le seul dont la sécurité dépend d’un logiciel que le protocole n’exécute pas. Ce qui le borne. Les retraits sont limités en débit, ce qui borne le rayon d’explosion d’une faille découverte — pas d’une faille qui ne l’est pas. Le bridge est le domaine prioritaire de la revue interne et entre dans le périmètre du bug bounty. Ce que la limite de débit ne borne pas. Les réorganisations de la chaîne source plus profondes que la profondeur de confirmation configurée, la compromission des clés de signature des validateurs, et les défauts de la logique d’attestation elle-même.Logiciel
L’hypothèse : la spécification est correctement implémentée, et la spécification est juste. La vérification établit que l’état qui vous est servi a été produit par les règles publiées sur des entrées validées. Elle ne peut pas établir que ces règles sont exemptes de défauts — reproduire un bogue à l’identique, c’est encore le reproduire. C’est à cela que servent les audits et le bug bounty, et la page des audits dit explicitement qu’un seul audit externe est actuellement au périmètre, le noyau, le consensus et la chambre de compensation relevant de contrôles internes plutôt que d’un examen externe. Une conséquence mérite d’être nommée, car il est facile d’en dire trop. Le déterminisme au bit près ne devient un contrôle croisé que lorsqu’il existe plus d’une implémentation. Tant qu’un second client indépendant ne tourne pas en production, rejouer un bloc confirme que les nœuds s’accordent entre eux — pas que la spécification a été implémentée deux fois, indépendamment, et que les deux s’accordent.Où cela vous laisse
Le résumé honnête n’est pas que la confiance a été supprimée. C’est qu’elle a été déplacée : des endroits où il faut croire quelqu’un sur parole — les chiffres de marge d’un opérateur, le tempo d’un comité des risques, un rapport assemblé à côté du système — vers des endroits où l’hypothèse peut au moins être nommée, bornée et surveillée. La liste ci-dessus est ce qui reste. Elle se raccourcit à mesure que les clients se diversifient, que les audits aboutissent et que la gouvernance est documentée ; elle n’atteint pas zéro, et une place qui vous dit le contraire vous parle de sa documentation, pas de son architecture.Pour aller plus loin
Vérifiez vous-même
Les cinq contrôles qui raccourcissent cette liste.
IntentionBFT
Le seuil de fautes, les quorums, et ce qu’un leader peut encore choisir.
Oracle
Ce que la certification garantit, énoncé avec précision.
Risques
Le même terrain, vu du côté du trader plutôt que de l’architecte.