Skip to main content
Il bridge è il punto in cui la rete tocca asset che non ha creato. Tutto il resto di questa architettura è un sistema chiuso la cui correttezza chiunque può verificare rieseguendo i blocchi. Un bridge non può esserlo, perché metà del bridge sta su un’altra catena, con i propri validatori, la propria definitività e le proprie modalità di guasto. È quell’asimmetria a dettare il progetto. Deposito e prelievo non sono operazioni simmetriche, e i prelievi sono deliberatamente più lenti di quanto sarebbe tecnicamente necessario.

​
I ruoli

Catena esterna
Intention
Contratto bridgedetiene la custodia · verifica le firme prima di rilasciareil pezzo da cui dipendono davvero i fondi
Validatoriosservano la catena esterna e firmano ciò che vedono
Finalizzatoreun relay, non un’autorità — non può creare un prelievo che i validatori non hanno firmato
Governorset di validatori e parametri — non automatizzabile in sicurezza
Un prelievo è eseguibile solo quando sono aggregate abbastanza firme di validatori: la stessa assunzione di fiducia del consenso, oltre il confine tra due catene.
eventi di deposito
firme aggregate
transazioni di prelievo
I validatori osservano la catena esterna e firmano ciò che vedono. Un prelievo diventa eseguibile solo quando sono state aggregate abbastanza firme di validatori: la stessa assunzione di fiducia del consenso, applicata attraverso il confine tra due catene. Il finalizzatore invia le transazioni sul lato esterno. È un relay, non un’autorità: può scegliere quando inviare e può anche non inviare affatto, ma non può creare un prelievo che i validatori non hanno firmato. Il governor esegue le operazioni amministrative: modifiche al set di validatori, aggiornamenti dei parametri. I suoi poteri sono quelli che non si possono automatizzare in sicurezza. Il contratto bridge detiene la custodia sul lato esterno e verifica le firme prima di rilasciare qualunque cosa. È il pezzo da cui dipendono davvero i fondi di un utente.

​
Depositi

Il deposito è la direzione facile. I fondi vengono vincolati nel contratto esterno, che emette un evento di deposito; i validatori lo osservano e l’accredito diventa una transazione nativa di protocollo su Intention. Poiché quell’accredito è una transazione ordinaria, eredita tutto ciò che il kernel garantisce. Viene eseguito nell’ordine canonico, l’effetto sul conto è attribuito alla transazione stessa ed è visibile nello stesso output di qualunque altro cambiamento di stato. Un deposito che ripristina il margine su una posizione vicina alla liquidazione è visibile alla stanza di compensazione nello stesso passo di esecuzione, non in una riconciliazione successiva. L’attesa dipende dalla definitività della catena esterna, non da Intention. Un deposito viene accreditato quando è soddisfatto il requisito di conferme della catena di origine.

​
Prelievi

Il prelievo è la direzione pericolosa, e si svolge in due fasi con in mezzo un periodo di contestazione.
Richiesto su Intention
Firmato dai validatori, registrato sul contrattonon rilascia i fondi
Periodo di contestazioneuna finestra configurata
Finalizzatafondi rilasciati
Invalidataannullata prima di ogni movimento
Perché aspettaOgni fallimento catastrofico di un bridge ha la stessa struttura: un attaccante riesce ad autorizzare un prelievo e i fondi spariscono nello stesso blocco. Il periodo di contestazione trasforma una perdita istantanea e irreversibile in una finestra in cui monitoraggio e persone possono agire. Il costo è che aspettano anche i prelievi legittimi.
trascorso
contestata
Una richiesta viene firmata dai validatori e registrata sul contratto esterno. Non dà luogo ad alcun pagamento. Prima deve trascorrere un periodo configurato, durante il quale il prelievo può essere invalidato: annullato prima che i fondi si muovano. Non è una svista sulle prestazioni. Ogni fallimento catastrofico di un bridge ha la stessa struttura: un attaccante ottiene la capacità di autorizzare un prelievo e i fondi spariscono nello stesso blocco. Un periodo di contestazione trasforma una perdita istantanea e irreversibile in una finestra in cui persone e sistemi di monitoraggio possono intervenire. Il costo è che anche i prelievi legittimi aspettano. I prelievi vengono raggruppati in batch — richiesti e finalizzati a gruppi anziché con una transazione ciascuno — ed è per questo che le commissioni sulla catena esterna non crescono linearmente con il numero di prelievi. I fallimenti sono espliciti. Un prelievo che non può essere finalizzato emette un errore con un codice, invece di non fare nulla in silenzio, così la differenza tra in stallo e rifiutato è osservabile e non va dedotta da un’assenza.

​
Come fermarlo

Esistono due meccanismi per quando qualcosa non va. L’invalidazione annulla un prelievo specifico entro il suo periodo di contestazione. È la risposta mirata. La sospensione è quella drastica: un ruolo designato può sospendere il bridge, e il numero di soggetti che devono agire perché ciò accada è a sua volta un parametro. È il meccanismo per «qualcosa non va e non sappiamo ancora cosa»: ferma il flusso invece di giudicare singole transazioni.
Questi controlli sono ciò che rende utile il periodo di contestazione, e sono anche assunzioni di fiducia reali. Un soggetto che può sospendere il bridge può fermare prelievi legittimi. È un compromesso deliberato: i bridge falliscono in modo catastrofico e irreversibile, e la possibilità di fermarne uno vale più della garanzia che non si fermi mai. Vedi Informativa sui rischi.

​
Modifiche al set di validatori

Il contratto esterno deve sapere chi sono i validatori, quindi le modifiche al set devono propagarsi oltre il confine. Vengono proposte e poi finalizzate in un passo separato, invece di avere effetto nel momento in cui sono inviate: lo stesso schema in due fasi dei prelievi, per la stessa ragione.

​
Dove sta davvero il rischio

Vale la pena dirlo chiaramente, perché è sui bridge che gli utenti perdono denaro:
  • Su Intention il bridge è ordinario. Un deposito accreditato è una transazione normale con garanzie normali.
  • Sulla catena esterna dipendi dal contratto e dalla soglia di firme. È un modello di sicurezza diverso da quello del consenso, ed è sottoposto ad audit separato: il bridge è il componente sottoposto a revisione da parte di terzi.
  • Nel mezzo dipendi dal fatto che i validatori osservino correttamente e che il finalizzatore invii. Nessuno dei due può fabbricare un prelievo; entrambi possono ritardarne uno.
Le catene supportate, gli asset, i requisiti di conferme e la durata del periodo di contestazione sono parametri operativi che cambiano a ogni rilascio. I valori che fanno fede sono quelli mostrati nelle finestre di deposito e prelievo dell’exchange nel momento in cui trasferisci — vedi Deposito e Prelievo.

​
Dove proseguire

Depositare fondi

Il percorso di ingresso lato utente, con catene e tempi attuali.

Commissioni non di negoziazione

Quanto costa un prelievo e perché i depositi sono gratuiti.

Stanza di compensazione

Che cosa fa un deposito al margine nel momento in cui arriva.

Informativa sui rischi

Le assunzioni di fiducia del bridge dichiarate come rischi.