> ## Documentation Index > Fetch the complete documentation index at: https://docs.intention.xyz/llms.txt > Use this file to discover all available pages before exploring further. # Bridge > Bagaimana agunan berpindah antara Intention dan chain eksternal — deposit, penarikan dua fase dengan masa sanggah, dan peran-peran yang bisa menghentikannya. Bridge adalah tempat jaringan ini bersentuhan dengan aset yang tidak diciptakannya. Semua hal lain dalam arsitektur ini adalah sistem tertutup yang kebenarannya bisa diperiksa siapa pun dengan me-replay blok. Bridge tidak bisa begitu, karena separuhnya berada di chain lain dengan validatornya sendiri, finalitasnya sendiri, dan mode kegagalannya sendiri. Asimetri itulah yang mendorong desainnya. Deposit dan penarikan bukan operasi yang simetris, dan penarikan sengaja dibuat lebih lambat daripada yang secara teknis diperlukan.

Peran

Chain eksternal
Intention
Kontrak bridgememegang kustodi · verifikasi tanda tangan sebelum melepas apa punbagian yang menjadi sandaran dana pengguna
Validatormengamati chain eksternal dan menandatanganinya
Finalizerrelai, bukan otoritas — tidak bisa menciptakan penarikan tanpa tanda tangan validator
Governorhimpunan validator dan parameter — tidak aman diotomatiskan
Penarikan baru bisa ditindaklanjuti setelah cukup tanda tangan validator teragregasi — asumsi kepercayaan yang sama dengan konsensus, diterapkan melintasi batas chain.
event deposit
tanda tangan teragregasi
transaksi penarikan
**Validator** mengamati chain eksternal dan menandatangani apa yang mereka lihat. Penarikan hanya bisa ditindaklanjuti setelah cukup banyak tanda tangan validator teragregasi — asumsi kepercayaan yang sama dengan konsensus, diterapkan melintasi batas chain. **Finalizer** mengirim transaksi di sisi eksternal. Finalizer adalah relai, bukan otoritas: bisa memilih *kapan* mengirim, bisa gagal mengirim, tetapi tidak bisa menciptakan penarikan yang tidak ditandatangani validator. **Governor** menjalankan operasi administratif — perubahan himpunan validator, pembaruan parameter. Wewenangnya adalah hal-hal yang tidak bisa diotomatiskan dengan aman. **Kontrak bridge** memegang kustodi di sisi eksternal dan memverifikasi tanda tangan sebelum melepaskan apa pun. Inilah bagian yang benar-benar menjadi sandaran dana pengguna.

Deposit

Deposit adalah arah yang mudah. Dana dikunci di kontrak eksternal, yang menerbitkan event deposit; validator mengamatinya, dan kredit itu menjadi transaksi native protokol di Intention. Karena kredit itu adalah transaksi biasa, kredit itu mewarisi semua yang dijamin [kernel](/id/protocol/architecture/kernel). Eksekusinya mengikuti urutan kanonis, efeknya terhadap akun diatribusikan kepadanya, dan perubahannya terlihat di output yang sama dengan perubahan state lainnya. Deposit yang memulihkan margin pada posisi yang mendekati likuidasi terlihat oleh [lembaga kliring](/id/protocol/architecture/clearinghouse) di langkah eksekusi yang sama — bukan di rekonsiliasi belakangan. Yang ditunggu adalah finalitas chain eksternal, bukan Intention. Deposit dikreditkan ketika kebutuhan konfirmasi chain sumber terpenuhi.

Penarikan

Penarikan adalah arah yang berbahaya, dan berjalan dalam dua fase dengan **masa sanggah** di antaranya.
Permintaan di Intention
Ditandatangani validator, didaftarkan di kontrakbelum mencairkan
Masa sanggahmenunggu periode terkonfigurasi
Difinalisasidana dilepas
Dibatalkansebelum ada dana bergerak
Alasan menungguSetiap kegagalan bridge katastrofik punya struktur yang sama: penyerang memperoleh kemampuan mengotorisasi penarikan, dan dananya lenyap di blok yang sama. Masa sanggah mengubah kerugian instan tak terpulihkan menjadi jendela waktu bagi manusia dan pemantauan untuk bertindak. Ongkosnya: penarikan yang sah pun ikut menunggu.
habis
disanggah
Permintaan ditandatangani validator dan didaftarkan di kontrak eksternal. Permintaan itu belum mencairkan apa pun. Periode yang dikonfigurasi harus lewat lebih dulu, dan selama periode itu penarikan dapat **dibatalkan** — dibatalkan sebelum ada dana yang bergerak. Ini bukan kelalaian performa. Setiap kegagalan bridge yang katastrofik punya struktur yang sama: seorang penyerang memperoleh kemampuan mengotorisasi penarikan, dan dananya lenyap di blok yang sama. Masa sanggah mengubah kerugian instan yang tak terpulihkan menjadi jendela waktu bagi manusia dan sistem pemantauan untuk bertindak. Ongkosnya adalah penarikan yang sah pun ikut menunggu. Penarikan diproses dalam batch — diajukan dan difinalisasi berkelompok alih-alih satu transaksi masing-masing — itulah sebabnya biaya chain eksternal tidak naik linier terhadap jumlah penarikan. Kegagalan bersifat eksplisit. Penarikan yang tidak bisa difinalisasi menerbitkan kegagalan dengan kode kesalahan alih-alih diam-diam tidak melakukan apa pun, sehingga perbedaan antara *tersangkut* dan *ditolak* dapat diamati alih-alih disimpulkan dari ketiadaan.

Menghentikannya

Ada dua mekanisme untuk saat ada yang salah. **Pembatalan** membatalkan satu penarikan tertentu di dalam masa sanggahnya. Ini respons yang tertarget. **Penguncian** adalah mekanisme yang tumpul: peran yang ditunjuk dapat mengunci bridge, dan berapa banyak pihak semacam itu yang harus bertindak juga merupakan parameter tersendiri. Ini mekanisme untuk “ada yang salah dan kami belum tahu apa” — penguncian menghentikan alirannya alih-alih mengadili transaksi satu per satu. Kontrol ini yang membuat masa sanggah berguna, dan sekaligus merupakan asumsi kepercayaan yang nyata. Pihak yang bisa mengunci bridge bisa menghentikan penarikan yang sah. Ini pertukaran yang disengaja: bridge gagal secara katastrofik dan tak terpulihkan, dan kemampuan menghentikannya lebih berharga daripada jaminan bahwa bridge tidak pernah berhenti. Lihat [Pengungkapan risiko](/id/protocol/security/risks).

Perubahan himpunan validator

Kontrak eksternal harus tahu siapa saja validatornya, yang berarti perubahan himpunan validator harus merambat melintasi batas chain. Perubahan itu diusulkan lalu difinalisasi sebagai langkah terpisah, alih-alih berlaku begitu diajukan — bentuk dua fase yang sama dengan penarikan, dengan alasan yang sama.

Letak risiko yang sebenarnya

Layak dinyatakan terus terang, karena bridge adalah tempat pengguna kehilangan uang: * **Di Intention, bridge bersifat biasa.** Deposit yang dikreditkan adalah transaksi normal dengan jaminan normal. * **Di chain eksternal, Anda bergantung pada kontrak dan ambang batas tanda tangan.** Itu model keamanan yang berbeda dari konsensus, dan model itu [diaudit terpisah](/id/protocol/security/audits) — bridge adalah komponen yang sedang ditinjau pihak ketiga. * **Di antaranya, Anda bergantung pada validator yang mengamati dengan benar** dan pada finalizer yang mengirim. Keduanya tidak bisa mengarang penarikan; keduanya bisa menundanya. Chain yang didukung, aset, kebutuhan konfirmasi, dan panjang masa sanggah adalah parameter operasional yang berubah tiap rilis. Nilai yang otoritatif adalah yang ditampilkan di dialog deposit dan penarikan di bursa pada saat Anda melakukan transfer — lihat [Deposit](/id/help/deposit) dan [Withdraw](/id/help/withdraw).

Ke mana selanjutnya

Jalur masuk dari sisi pengguna, dengan chain dan waktu yang berlaku saat ini. Berapa biaya satu penarikan, dan mengapa deposit gratis. Apa yang dilakukan deposit terhadap margin begitu dananya masuk. Asumsi kepercayaan bridge yang dinyatakan sebagai risiko.