KonsensusStake Byzantine tetap di bawah sepertiga
Di bawah ambang, tidak ada minoritas yang bisa menahan batch atau mengomit urutan kedua. Di atasnya, argumen keamanan berhenti.
HargaKuorum mengesahkan observasinya, bukan ketepatannya
Clamping dan keragaman sumber membatasi seberapa jauh satu sumber menggeser hasil. Keduanya tidak menciptakan informasi yang tidak dimiliki pasar.
Tata kelolaRekonfigurasi di batas epoch
Terbatas pada himpunan validator, parameter konsensus dan risiko, serta tindakan darurat. Siapa yang memegang wewenang itu belum dipublikasikan.
BridgeKontrak escrow dan kanal pesan yang diatestasi validator
Batas laju penarikan membatasi radius dampak. Reorg dalam pada chain sumber dan kebocoran kunci penanda tangan tidak dibatasi olehnya.
Perangkat lunakSatu audit pihak ketiga dalam lingkup; sisanya kontrol internal
Replay membuktikan antar-node sepakat. Ia tidak membuktikan spesifikasinya diimplementasikan dua kali secara independen dan sepakat.
Yang masih harus Anda asumsikan
Apa yang membatasinya
Verifikasi membatasi apa yang harus diasumsikan. Ia tidak mengosongkan daftar ini, dan tidak ada protokol yang mengosongkannya.
Konsensus
Asumsinya: stake Byzantine tetap di bawah sepertiga dari total. IntentionBFT menoleransi lawan yang menguasai hingga sepertiga stake. Karena itu stake jujur selalu lebih dari dua pertiga, dan kuorum untuk apa pun adalah himpunan validator yang stake gabungannya melebihi dua pertiga. Di bawah ambang itu keamanan berlaku tanpa syarat; liveness berlaku setelah jaringan stabil. Apa yang dibeli batas itu. Dua hal spesifik, bukan rasa aman yang umum. Batch transaksi harus membuktikan ketersediaan berbobot dua pertiga stake sebelum sebuah proposal boleh merujuknya, jadi sebuah blok tidak pernah bisa bergantung pada data yang hanya dipegang minoritas Byzantine. Dan urutannya adalah objek yang dikomit konsensus dan tercakup hash blok, sehingga tidak ada validator jujur yang menandatangani urutan kedua atas transaksi yang sama di ronde yang sama. Apa yang tidak dibelinya. Di atas ambang, argumennya tidak menurun perlahan — ia berhenti. Dan di bawahnya, satu permukaan tetap terbuka: seorang leader memilih batch tersedia mana yang masuk ke proposalnya sendiri dan bagaimana menyusunnya. Halaman konsensus menyebutnya sebagai permukaan sisa, dimitigasi oleh reputasi leader dan oleh fakta bahwa leader sama sekali tidak bisa menghasilkan blok tanpa observasi harga yang valid. Konstruksi fair ordering yang lebih kuat dilacak sebagai kandidat peningkatan, bukan sesuatu yang sudah dikirim.Harga
Asumsinya: kuorum mengesahkan bahwa observasi-observasi ini diajukan pada ronde ini. Ia tidak mengesahkan bahwa observasi itu benar. Perbedaan itulah seluruh intinya. Halaman oracle menyatakan jaminannya dengan tepat: sebuah transaksi diselesaikan terhadap harga yang disahkan kuorum validator pada ronde yang mengomit transaksi itu, dan tidak ada jalur eksekusi yang bisa membaca harga lain. Mengikat harga ke transaksi adalah sifat yang nyata, dan itu bukan sifat yang sama dengan harganya benar. Apa yang membatasinya. Agregasi mengunci seberapa jauh satu sumber bisa menggeser hasilnya, dan syarat keragaman bursa berarti observasi untuk satu instrumen diambil dari lebih dari satu sumber independen. Harga mark diturunkan dari indeks secara dihaluskan dan dibatasi, sehingga dislokasi singkat tidak langsung berkaskade menjadi likuidasi. Apa yang tidak dibatasinya. Pergerakan terkoordinasi di beberapa bursa acuan sekaligus, atau dislokasi seluruh pasar. Pembobotan dan penguncian tidak menciptakan informasi yang tidak dimiliki pasar. Harga adalah input eksternal paling berkonsekuensi bagi sistem ini, dan ketahanan terhadap manipulasi di sini adalah soal derajat.Tata kelola
Asumsinya: ada wewenang rekonfigurasi, dan di batas epoch wewenang itu bisa mengubah hal-hal yang Anda andalkan. Di dalam satu epoch, himpunan validator dan sebagian besar parameter bersifat tetap. Di batas epoch, rekonfigurasi yang diotorisasi tata kelola dapat mengubah himpunan validator, parameter konsensus, parameter risiko, dan dapat mengambil tindakan darurat. Transisinya atomik — setiap validator jujur melihat transisi yang sama pada tinggi blok yang sama — tetapi keatomikan adalah sifat tentang bagaimana perubahan itu mendarat, bukan batas tentang apa yang boleh berubah. Jangkauannya nyata dan layak dikatakan terus terang. Pencatatan pasar, konfigurasi biaya, tier leverage, dan parameter risiko semuanya adalah instruksi konfigurasi sistem yang diotorisasi tata kelola, dan tier margin yang menentukan harga likuidasi Anda bergerak di dalam batas yang ditetapkan tata kelola.Bridge
Asumsinya: kontrak escrow di chain eksternal dan kanal pesan yang diatestasi validator di antara chain itu dan chain ini sama-sama bertahan. Agunan masuk lewat bridge. Kontrak di chain sumber memegang aset yang diescrow; eksploitasi berhasil atas kontrak itu, atau atas kanal atestasi, berujung pada hilangnya agunan yang di-bridge. Secara struktural inilah komponen paling terekspos dalam sistem, karena ia satu-satunya yang keamanannya bergantung pada perangkat lunak yang tidak dieksekusi protokol. Apa yang membatasinya. Penarikan dibatasi lajunya, yang membatasi radius dampak dari eksploitasi yang ditemukan, bukan yang tidak. Bridge adalah area prioritas tertinggi untuk tinjauan internal dan masuk lingkup bug bounty. Apa yang tidak dibatasi batas laju itu. Reorg chain sumber yang lebih dalam daripada kedalaman konfirmasi yang dikonfigurasi, kebocoran kunci penanda tangan validator, dan cacat pada logika atestasi itu sendiri.Perangkat lunak
Asumsinya: spesifikasinya diimplementasikan dengan benar, dan spesifikasinya sendiri benar. Verifikasi menegakkan bahwa state yang disajikan kepada Anda dihasilkan oleh aturan yang dipublikasikan atas input yang dikomit. Ia tidak bisa menegakkan bahwa aturan itu bebas cacat — mereproduksi bug secara persis tetaplah mereproduksinya. Untuk itulah audit dan bug bounty ada, dan halaman audit menyatakan secara eksplisit bahwa saat ini hanya satu audit pihak ketiga yang masuk lingkup, sementara kernel, konsensus, dan Lembaga Kliring dicakup kontrol internal alih-alih tinjauan eksternal. Satu konsekuensi layak disebut, karena mudah dilebih-lebihkan. Determinisme tingkat bita baru menjadi pemeriksaan silang ketika ada lebih dari satu implementasi. Sampai klien independen kedua berjalan di produksi, memutar ulang sebuah blok memastikan bahwa antar-node sepakat — bukan bahwa spesifikasinya diimplementasikan dua kali secara independen lalu sepakat.Di mana ini menempatkan Anda
Ringkasan jujurnya bukan bahwa kepercayaan telah dihapus. Melainkan bahwa kepercayaan itu dipindahkan: dari tempat-tempat di mana Anda harus percaya begitu saja pada kata orang — angka margin seorang operator, waktu bertindak sebuah komite risiko, laporan yang dirakit di samping sistem — ke tempat-tempat di mana asumsinya setidaknya bisa disebut namanya, dibatasi, dan diawasi. Daftar di atas adalah sisanya. Ia memendek seiring klien menjadi beragam, audit rampung, dan tata kelola didokumentasikan; ia tidak mencapai nol, dan bursa yang mengatakan sebaliknya sedang bercerita tentang dokumentasinya, bukan tentang arsitekturnya.Ke mana selanjutnya
Verifikasi sendiri
Lima pemeriksaan yang memendekkan daftar ini.
IntentionBFT
Ambang kegagalan, kuorum, dan apa yang masih bisa dipilih seorang leader.
Oracle
Apa yang dijamin pengesahan, dinyatakan dengan tepat.
Risiko
Lahan yang sama dari sisi trader, bukan arsitek.