共识拜占庭权益始终低于三分之一
在阈值之内，没有哪个少数能扣住批次或提交第二份定序。越过它，安全性论证就停了。
价格法定人数认证的是观测本身，不是它的准确
钳制与场所多样性为单一来源能推动的幅度封顶。两者都造不出市场本来没有的信息。
治理在纪元边界上的重配置
范围限于验证者集合、共识与风险参数，以及紧急操作。这份权限归谁，尚未公开。
跨链桥托管合约，加一条验证者背书的消息通道
提现限速为爆炸半径封顶。深于确认深度的源链重组和签名密钥泄露不在其内。
软件范围内只有一项第三方审计，其余靠内部控制
重放证明的是各节点彼此一致，不是规范被独立实现了两遍并且一致。
你仍然需要假设的
什么为它封顶
验证为「必须假设的东西」封顶，但它清不空这张表——没有任何协议清得空。
共识
需要假设的是： 拜占庭权益始终低于总量的三分之一。 IntentionBFT容忍一个控制至多三分之一权益的敌手。因此诚实权益始终超过三分之二，而任何事情的法定人数，都是一组合计权益超过三分之二的验证者。在这个阈值之内，安全性无条件成立；活性在网络稳定之后成立。 这个上界买到了什么。 是两件具体的事，不是一种泛泛的安全感。交易批次必须先证明三分之二权益加权的可得性，提案才能引用它，所以一个区块永远不可能依赖只有拜占庭少数握着的数据。而定序是共识提交的对象、被区块哈希覆盖，所以没有哪个诚实验证者会在同一轮里签过同一批交易的第二种定序。 它没有买到什么。 越过阈值，这套论证不会优雅降级——它直接停止。而在阈值之内，还有一个面是敞开的：一个 leader 会选择把哪些可得的批次放进自己的提案、以及怎么排列它们。共识那一页把这一点明写为残余面，靠 leader 声誉、以及「没有有效价格观测就根本产不出区块」这一点来缓解。更强的公平定序构造被列为候选升级，而不是已经交付的东西。价格
需要假设的是： 法定人数认证的是「这些观测是在这一轮提交的」。它不认证这些观测是对的。 全部要害就在这个区分上。预言机那一页把保证写得很准：一笔交易结算所依据的价格，由一个验证者法定人数在提交这笔交易的那一轮认证过，而且任何执行路径都不可能读到另一个价格。把价格绑定到交易，这是一条真实的性质；它和「价格是对的」不是同一条性质。 什么为它封顶。 聚合规则钳制了任何单一来源能把结果推动多远，而场所多样性要求意味着一个品种的观测取自不止一个独立来源。标记价在指数价之上做了平滑与限幅，所以一次短暂的错位不会径直级联成强平。 它封不住什么。 底层若干场所之间的协同异动，或者全市场性的错位。加权和钳制造不出市场本来就没有的信息。价格是这套交易系统影响最大的外部输入，抗操纵在这里是程度问题，不是有无问题。治理
需要假设的是： 存在一个重配置权限，而且在纪元边界上它可以改动你正在依赖的东西。 在一个纪元之内，验证者集合和大多数参数是恒定的。在纪元边界上，一次由治理授权的重配置可以改变验证者集合、共识参数、风险参数，也可以采取紧急措施。这些转换是原子的——每个诚实验证者都在同一个区块高度看到同一次转换——但原子性描述的是变更如何落地，不是对可以变什么的限制。 触及范围是实打实的，值得直说。市场上架、费率配置、杠杆档位和风险参数，全都是由治理授权的系统配置指令；而决定你强平价的那些保证金档位，是在治理设定的边界内移动的。跨链桥
需要假设的是： 外部链上的托管合约，以及它们与这条链之间那条由验证者背书的消息通道，两者都成立。 抵押品经由跨链桥进入。源链上的合约持有托管资产；这些合约或那条背书通道被成功利用，结果就是跨链抵押品的损失。这在结构上是整个系统里最暴露的组件，因为它是唯一一个安全性取决于协议自身并不执行的软件的组件。 什么为它封顶。 提现有限速，这为一次被发现的利用封住了爆炸半径，对没被发现的则不然。跨链桥是内部审查优先级最高的领域，也在漏洞赏金范围内。 限速封不住什么。 深于所配置确认深度的源链重组、验证者签名密钥泄露，以及背书逻辑自身的缺陷。软件
需要假设的是： 规范被正确实现了，而且规范本身是对的。 验证能确立的是：你被喂到的状态，是按已公布的规则、在已提交的输入上产出的。它确立不了这些规则本身没有缺陷——把一个 bug 精确复现出来，复现出来的仍然是那个 bug。这正是审计和漏洞赏金存在的理由；审计那一页也明说了，目前范围内只有一项第三方审计，而内核、共识和清算所靠的是内部控制而非外部审查。 有一个推论值得点名，因为它很容易被说过头。逐字节确定性只有在存在不止一个实现时，才成为一种交叉校验。在第二个独立客户端投入生产之前，重放一个区块确认的是各节点彼此一致——不是规范被独立实现了两遍、并且两遍一致。这把你放在什么位置
诚实的总结不是「信任被去掉了」。而是：信任被从那些你只能听人一面之词的地方——运营方给出的保证金数字、风险委员会的出手时机、在系统旁边拼装出来的报告——挪到了那些至少能被点名、被封顶、被盯住的地方。 上面这份清单就是剩下的部分。它会随着客户端多样化、审计完成、治理被写进文档而缩短；它不会归零。一个告诉你它已经归零的场所，说的是关于它自己文档的事，不是关于它架构的事。后续阅读
自己验一遍
能让这份清单变短的那五项检查。
IntentionBFT
容错阈值、法定人数，以及一个 leader 仍然能选择什么。
预言机
认证到底保证了什么，说得很准的那一页。
风险
同一片地，从交易者而不是架构师的角度看。