Skip to main content
A ponte é onde a rede toca em ativos que não criou. Todo o resto desta arquitetura é um sistema fechado cuja correção qualquer pessoa pode verificar reexecutando blocos. Uma ponte não o pode ser, porque metade dela está noutra cadeia, com os seus próprios validadores, a sua própria definitividade e os seus próprios modos de falha. Essa assimetria dita o desenho. Depósitos e levantamentos não são operações simétricas, e os levantamentos são deliberadamente mais lentos do que tecnicamente precisariam de ser.

​
Papéis

Cadeia externa
Intention
Contrato da pontedetém a custódia · verifica assinaturas antes de libertara peça de que os fundos realmente dependem
Validadoresobservam a cadeia externa e assinam o que veem
Finalizadorretransmissor, não autoridade — não cria um levantamento que os validadores não assinaram
Governadorconjunto de validadores e parâmetros — o que não se automatiza
Um levantamento só é acionável depois de agregadas assinaturas suficientes — o mesmo pressuposto de confiança do consenso, aplicado entre cadeias.
eventos de depósito
assinaturas agregadas
transações de levantamento
Os validadores observam a cadeia externa e assinam o que veem. Um levantamento só é acionável depois de terem sido agregadas assinaturas suficientes de validadores — o mesmo pressuposto de confiança do consenso, aplicado através da fronteira entre cadeias. O finalizador submete transações do lado externo. É um retransmissor, não uma autoridade: pode escolher quando submeter e pode falhar a submissão, mas não pode criar um levantamento que os validadores não assinaram. O governador executa operações administrativas — alterações ao conjunto de validadores, atualizações de parâmetros. Os seus poderes são aqueles que não podem ser automatizados com segurança. O contrato da ponte detém a custódia do lado externo e verifica as assinaturas antes de libertar seja o que for. É a peça de que os fundos de um utilizador realmente dependem.

​
Depósitos

O depósito é a direção fácil. Os fundos são bloqueados no contrato externo, que emite um evento de depósito; os validadores observam-no e o crédito torna-se uma transação nativa do protocolo na Intention. Como esse crédito é uma transação vulgar, herda tudo o que o kernel garante. Executa em ordem canónica, o seu efeito sobre a conta é-lhe atribuído e é visível na mesma saída que qualquer outra alteração de estado. Um depósito que reponha margem numa posição perto da liquidação é visível para a câmara de compensação no mesmo passo de execução — não numa reconciliação posterior. A espera é pela definitividade da cadeia externa, não pela Intention. Um depósito é creditado quando o requisito de confirmações da cadeia de origem é cumprido.

​
Levantamentos

O levantamento é a direção perigosa e corre em duas fases, com um período de contestação entre elas.
Pedido na Intention
Assinado pelos validadores, registado no contratonão paga nada
Período de contestaçãodecorre um período configurado
Finalizadofundos libertados
Invalidadocancelado antes de mover fundos
Porque esperaTodas as falhas catastróficas de pontes têm a mesma estrutura: um atacante obtém a capacidade de autorizar um levantamento e os fundos desaparecem no mesmo bloco. Um período de contestação converte uma perda instantânea e irreversível numa janela em que pessoas e sistemas de monitorização podem agir. O custo é que os levantamentos legítimos também esperam.
decorrido
contestado
Um pedido é assinado pelos validadores e registado no contrato externo. Não paga nada. Tem primeiro de decorrer um período configurado, durante o qual o levantamento pode ser invalidado — cancelado antes de qualquer movimento de fundos. Isto não é um descuido de desempenho. Todas as falhas catastróficas de pontes têm a mesma estrutura: um atacante obtém a capacidade de autorizar um levantamento e os fundos desaparecem no mesmo bloco. Um período de contestação converte uma perda instantânea e irreversível numa janela em que pessoas e sistemas de monitorização podem agir. O custo é que os levantamentos legítimos também esperam. Os levantamentos são agrupados em lotes — pedidos e finalizados em grupos e não uma transação de cada vez — e é por isso que as comissões da cadeia externa não crescem linearmente com o número de levantamentos. As falhas são explícitas. Um levantamento que não possa ser finalizado emite uma falha com um código de erro em vez de simplesmente não fazer nada, para que a diferença entre bloqueado e rejeitado seja observável e não inferida da ausência.

​
Como travá-la

Existem dois mecanismos para quando algo está errado. A invalidação cancela um levantamento específico dentro do seu período de contestação. É a resposta dirigida. O bloqueio é o instrumento contundente: um papel designado pode bloquear a ponte, e o número dessas partes que têm de agir é ele próprio um parâmetro. É o mecanismo para «algo está errado e ainda não sabemos o quê» — trava o fluxo em vez de julgar transações individuais.
São estes controlos que tornam o período de contestação útil, e são também pressupostos de confiança reais. Uma parte que possa bloquear a ponte pode travar levantamentos legítimos. Esta é uma troca deliberada: as pontes falham de forma catastrófica e irreversível, e a capacidade de parar uma vale mais do que a garantia de que nunca pausa. Ver Advertências de risco.

​
Alterações ao conjunto de validadores

O contrato externo tem de saber quem são os validadores, o que significa que as alterações ao conjunto de validadores têm de se propagar através da fronteira. São propostas e depois finalizadas num passo separado, em vez de produzirem efeito no momento em que são submetidas — a mesma forma em duas fases dos levantamentos, pela mesma razão.

​
Onde está realmente o risco

Vale a pena dizê-lo sem rodeios, porque é nas pontes que os utilizadores perdem dinheiro:
  • Na Intention, a ponte é vulgar. Um depósito creditado é uma transação normal com garantias normais.
  • Na cadeia externa, depende do contrato e do limiar de assinaturas. Esse é um modelo de segurança diferente do modelo do consenso e é auditado separadamente — a ponte é o componente sob revisão de terceiros.
  • Pelo meio, depende de os validadores observarem corretamente e de o finalizador submeter. Nenhum consegue fabricar um levantamento; ambos o conseguem atrasar.
As cadeias suportadas, os ativos, os requisitos de confirmações e a duração do período de contestação são parâmetros operacionais que mudam a cada versão. Os valores que fazem fé são os apresentados nas janelas de depósito e de levantamento da exchange no momento em que transfere — ver Depósito e Levantamento.

​
Para onde ir a seguir

Depositar fundos

O caminho de entrada visível para o utilizador, com as cadeias e os tempos atuais.

Comissões fora da negociação

Quanto custa um levantamento e porque são gratuitos os depósitos.

Câmara de compensação

O que um depósito faz à margem no momento em que chega.

Advertências de risco

Os pressupostos de confiança da ponte enunciados como riscos.