AlizehAli

@BabylonLabs_io siguió asumiendo que "Babylon se integra con Aave" significaba un único punto de conexión. son dos Spokes (radios) diseñados específicamente y que se apoyan en la arquitectura de Hub-and-Spoke de Aave.

el primero es el Babylon Core Lending Spoke. el BTC nativo de un depositante, bloqueado en un Taproot UTXO, se representa en Ethereum como vaultBTC y se usa para pedir prestados activos como stablecoins. aave v4 solo acepta como garantía colateral ERC-20, así que vaultBTC existe únicamente para cerrar esa brecha: se emite uno a uno contra el vault, restringido de modo que solo interactúe con los contratos propios de Aave.

el segundo es el BTC Vault Swap Spoke, construido para un único problema específico: la liquidación con bitcoin es lenta. una posición liquidada no puede esperar varios días para el rescate del BTC nativo dentro de la ventana normal de Aave. así que los vaults incautados se intercambian por WBTC de inmediato, permitiendo que los liquidadores sin permisos liquiden la deuda al instante, mientras que un conjunto separado de arbitrajistas canjea el BTC real más adelante, siguiendo el cronograma de Bitcoin.

dos spokes, un trabajo dividido a la mitad.

tuve que rastrear por qué esta forma en particular. el modelo Hub-and-Spoke de Aave aísla el riesgo de cada Spoke del resto del Hub: un fallo en el Spoke de garantía de BTC no afecta mercados de Aave no relacionados. el Aave DAO mantiene límites y parámetros bajo su propio control independientemente.

ese aislamiento es la verdadera ventaja de diseño, y es la respuesta real a cómo funciona esta integración: un Spoke gestiona el préstamo contra BTC, el otro gestiona por separado el retraso de la liquidación de Bitcoin, de modo que ninguno de los problemas tiene que esperar al otro.

¿aislar el riesgo con tanta precisión hace la integración más segura, o dividir la liquidación en dos rutas solo crea dos cosas que pueden salir mal en lugar de una?

@BabylonLabs_io #baby $KOMA $GIGGLE $BABY

Babylon Genesis se ejecuta en ocho módulos separados — La mayoría de las explicaciones solo mencionan dos

@BabylonLabs_io yo solía pensar que "Bitcoin más Cosmos" era una descripción lo suficientemente completa de lo que realmente es Babylon Genesis.

luego miré en qué se construye la cadena por debajo de esa frase.

Babylon Genesis ejecuta ocho módulos principales: Epoching, Checkpointing, BTC Checkpointing, BTC Light Client, Zone Concierge, BTC Staking, Finality y Rewards; cada uno aporta una parte distinta de lo que hace que la cadena funcione.

el protocolo no son solo dos cosas apiladas una sobre otra.

"Bitcoin más Cosmos" nombra un activo de seguridad y un marco base. no dice nada sobre quién está rastreando el estado de staking, quién está finalizando bloques, quién está anclando checkpoints de vuelta a Bitcoin o quién está enroutando recompensas una vez que todo lo que está arriba ya se ha ejecutado correctamente.

dos de los ocho se pueden confundir fácilmente solo por el nombre. BTC Staking se encarga de la delegación y del ciclo de vida del staking. Finality procesa votos de EOTS por parte de los proveedores. Zone Concierge coordina los datos que salen hacia BSNs conectados. Epoching estructura cómo Babylon Genesis avanza internamente en ciclos, mientras que Checkpointing ancla esos ciclos a Bitcoin a través de los módulos BTC Checkpointing y BTC Light Client. Rewards se queda al final, pagando solo lo que los módulos de arriba ya ganaron.

pero nombrar ocho módulos no significa que ocho puntos de fallo tengan el mismo peso.

varios dependen de que otros terminen primero; una recompensa solo puede enrutarse una vez que los módulos de staking, finality y anclaje ya hayan hecho su parte sin error.

así que comprimirlo en dos palabras no está del todo mal: oculta una secuencia, no un recuento. varios módulos deben tener éxito antes de que una sola apuesta BTC se convierta en un resultado finalizado y recompensado.

¿nombrar los ocho módulos te dice más sobre dónde puede fallar Babylon, o el riesgo real todavía se concentra en solo uno o dos de ellos?

¿el riesgo realmente se concentra en solo uno o dos?

¿Dónde se concentra el riesgo real de Babylon?

$BANK $BABY $GRVT #baby @BabylonLabs_io

¿Qué pasa si los relayers offchain de Babylon se equivocan

@BabylonLabs_io Yo solía asumir que “permissionless” significaba que la honestidad de nadie realmente importaba: el sistema funcionaba independientemente de quién se presentara.

Entonces encontré la línea específica en la documentación de arquitectura de Babylon que complica eso.

Babylon ejecuta un conjunto de vigilantes, Submitter, Reporter, Monitor, que retransmiten datos entre Bitcoin y Babylon Genesis. Cualquiera puede ejecutar este software. No se requiere permiso, no hay un guardián que decida quién califica.

Pero esa misma documentación de arquitectura establece con claridad que el funcionamiento seguro requiere que exista al menos un operador honesto de cada programa, no una mayoría ni un quórum: solo uno por rol.

Hmm.

Porque es una afirmación significativamente diferente a “trustless”. La participación permissionless y un operador honesto garantizado no son lo mismo: una trata de quién puede ejecutar el software; la otra trata de si realmente hay alguien confiable.

El trabajo específico del Monitor es ejecutar el slashing cuando un proveedor de finalidad hace doble voto, o extraer su clave si falla la ruta automatizada. Pero eso solo funciona si un operador del Monitor está realmente en línea vigilando; te lo informa después de los hechos, no antes. #baby

Anoté esa línea y la dejé abierta en mi segundo monitor durante un rato.

Si todos los operadores de un rol determinado fallaran o se desconectaran de una vez, no hay un plan de respaldo descrito en ningún lugar de ese mismo documento más allá de “se levantará la alarma”. La detección todavía asume que alguien honesto está mirando para ver la alarma en absoluto.

No digo que esto haga a Babylon frágil. Los sistemas distribuidos casi siempre se apoyan en alguna suposición de un participante honesto en algún punto; este caso solo se nombra directamente en lugar de dejarse implícito. $BABY

Lo que destaca es que la documentación de Babylon garantiza quién está autorizado para participar, no quién realmente lo hará.

Así que si la suposición del operador honesto alguna vez se rompiera de verdad, ¿alguien vigilando lo sabría incluso antes de que llegara a importar?

¿“permissionless” significa lo mismo que “trustless” aquí?

Donde la autocustodia de Babylon todavía depende de un Comité de Convenio

@BabylonLabs_io algo sobre la palabra "autocustodia" en Babylon no dejaba de darme vueltas.

Asumí que significaba que el que apuesta (staker) controla cada resultado, sin excepciones.

Luego leí los requisitos del script, y esa suposición no se cumplía.

La salida del staking de Babylon tiene tres rutas de script. El timelock le permite al staker salir solo cuando expira el bloqueo. El unbonding le permite al staker salir antes de tiempo. El slashing castiga a un proveedor de finalidad que firma doble.

Dos de esas tres rutas simplemente no pueden ejecutarse sin firmas del comité de convenio.

Esa era la parte que casi me salté.

El comité de convenio es un grupo M-de-N de claves de Bitcoin. Sus firmas se requieren antes de que incluso se active una solicitud de staking, y se requieren de nuevo antes de que se pueda completar una transacción de unbonding o de slashing. $BABY

El BTC en sí nunca sale del script del staker, así que el activo permanece donde el staker lo puso todo el tiempo.

Vale la pena ser preciso sobre qué permite realmente esa dependencia, sin embargo.

La especificación del script de staking es explícita en esta parte. El comité puede rechazar una solicitud. No puede redirigir fondos a ningún lugar al que el staker no se haya comprometido ya en el momento del staking; solo puede retener la firma que permite que el gasto continúe.

Así que el comité puede impedir que algo se active sin convertirse jamás en custodio. #baby

Pero eso todavía significa que la salida de un staker, ya sea temprana o punitiva, depende de firmas que no tiene en su poder personalmente. La autocustodia protege hacia dónde pueden terminar yendo los fondos. No borra a todas las partes cuya cooperación hace falta para llegar ahí.

¿Acotar a un comité a tener solo poder de rechazo lo convierte en un no-asunto para la autocustodia, o el hecho de necesitar la firma de alguien más ya complica lo que se suponía que significaba "autocustodia"?

¿La dependencia de Babylon está realmente acotada?

¿El poder de rechazo únicamente sigue contando como una dependencia de custodia? #baby

Por qué Babylon aprovecha la utilidad de BABY en comisiones, consenso y gobernanza — no como inversión

@BabylonLabs_io Admito que los descargos de tokenomics solían ser la parte de cualquier documento que yo solía pasar sin leer.

Esta vez me detuve en la propia página de Babylon y terminé volviendo a la misma sección dos veces.

Lo que BABY está diseñado para hacer es algo limitado: pagar gas en ubbn, recibir staking junto a BTC para el consenso y permitir que los titulares voten la gobernanza. Tres tareas, todas vinculadas a operar la cadena de verdad. En ningún momento la página lo presenta como algo que se tiene y se espera.

Unas líneas debajo de la tabla de asignaciones, un descargo indica que las cifras son hipotéticas, de cara al futuro y pueden cambiar sin previo aviso. Va aún más allá, afirmando de forma explícita que BABY no está pensado para funcionar como inversión.

Revisé ambas partes otra vez, esta vez lado a lado. Un token con tres funciones operativas específicas, junto a una advertencia de que sus propios números de oferta no están cerrados.

Por separado, ninguna de las dos líneas destaca demasiado. Juntas, dicen algo más contundente: la utilidad es el punto real, y todo lo numérico que la rodea sigue siendo provisional.

Eso reencuadra la propia tabla de asignaciones. Los desbloqueos para inversores, equipo y asesores se extienden hasta abril de 2029. Los incentivos a la comunidad ya liberados. La financiación del ecosistema con un horizonte de tres años. Todo ello bajo una nota que dice que esas categorías y sus porcentajes aún podrían cambiar.

No digo que eso sea una señal de alerta. Este tipo de descargos es común, y plantear un token alrededor de gas y gobernanza en lugar de potencial de alza tampoco es inusual.

Solo que notar la escritura propia de Babylon te pide que trates a BABY como infraestructura primero, y que veas cada número en esa página como vigente, no como definitivo.

Entonces, si la utilidad está fijada por diseño pero los números explícitamente no lo están, ¿cuál te dice realmente lo que tienes?

¿Debería juzgarse a BABY por su utilidad o por sus cifras de oferta?

@BabylonLabs_io #baby $BABY

Por qué la ruta de desvinculación de Babylon se salta por completo al proveedor de la finalización

@BabylonLabs_io para mí, cada solicitud de desvinculación y cada evento de slashing en Babylon parecía pertenecer a la misma categoría de salida, solo con un momento diferente.

Luego, en realidad, abrí los dos scripts lado a lado, esperando que no se parecieran en nada.

Ruta de desvinculación: firma del staker, más un umbral de pacto. Nada más.

Ruta de slashing: firma del staker, el mismo umbral de pacto, y la clave del proveedor de la finalización.

Un firmante extra. Esa es toda la diferencia.

esa inclusión única no es solo cosmética.

una sola firma basta para cambiar quién tiene que presentarse para que el gasto se realice. un staker puede desvincularse bajo demanda, sin necesidad de cooperación del proveedor al que delegó; solo su propia firma y la aprobación del pacto. la ruta de slashing permanece bloqueada hasta que ese proveedor haga doble firma y entregue su clave por accidente.

así que la clave del proveedor está en el script desde el primer día, prefirmada y sin hacer nada, justo hasta que se reutiliza la aleatoriedad y se activa por sí sola.

todo lo anterior a ese punto se ejecuta completamente sin que el proveedor haga ningún gesto; su silencio es la idea central. una vez que se rompe, su cooperación ya no forma parte del panorama: la clave expuesta termina el trabajo por sí misma.

no digo que esto haga la desvinculación más segura en general. en ambos casos, las dos rutas dependen del mismo umbral de pacto.

solo notar la presencia de una clave es la frontera completa entre una salida voluntaria y una punitiva; todo lo demás en los dos scripts coincide exactamente.

si un script difiere por exactamente un firmante, ¿es esa una elección de diseño pequeña, o la línea más importante de todo el documento?

¿la presencia de un firmante decide entre voluntario y punitivo?

@BabylonLabs_io #baby $BABY $DEXE $EUL

@BabylonLabs_io cada vez que veo un nuevo diseño de staking, lo primero que compruebo es cuántas formas hay de que los fondos bloqueados puedan moverse. Con Babylon, la respuesta resultó ser más pequeña de lo esperado y, además, mucho más deliberada.

La salida de staking es una salida Taproot, y Babylon deshabilita por completo la ruta normal de gasto con clave. Lo hace estableciendo la clave interna en un punto NUMS, el valor de "no tengo nada oculto" definido en BIP-341, derivado de hashear el punto base G propio de Bitcoin. No existe una clave privada para ese punto. Esa ruta no es débil: está cerrada, a propósito.

lo que queda son exactamente tres rutas de script.

La ruta del timelock permite que el staker gaste en solitario, una vez que haya pasado el número comprometido de bloques de Bitcoin. La ruta de unbonding permite al staker salir antes, junto con un umbral de firmas del comité de covenant, sin que intervenga ningún proveedor de finalización.

La ruta de slashing requiere al staker, el mismo umbral del covenant y la clave del proveedor de finalización, y solo se puede ejecutar si ese proveedor ha hecho una doble firma.

tres puertas, y la diferencia entre ellas no es quién está autorizado a entrar, sino qué firmante tiene que presentarse. unbonding y slashing se ven casi idénticas: la misma firma del staker, el mismo umbral del covenant, excepto que una incluye la clave del proveedor de finalización y la otra no. esa única inclusión es lo que convierte una salida voluntaria en una punitiva.

al eliminar la ruta de key-spend, se elimina cualquier forma informal de mover los fondos; solo existen estas tres vías formales. pero también significa que todo el modelo de seguridad ahora depende de que estos tres scripts estén exactamente bien, sin ningún plan de contingencia más simple por debajo.

¿cerrar cada atajo hace que un script sea más seguro, o solo menos tolerante con un error en el propio script?

$BABY #baby @BabylonLabs_io

Qué verifica una firma EOTS de Babylon de un doble firmado

@BabylonLabs_io solía pensar que un evento de slashing en Babylon significaba que algún comité había revisado a un proveedor de finality y había decidido que eran culpables de algo.

Al pasar por el mecanismo EOTS de Babylon, lo que llamó mi atención es que no hay comité, no hay revisión, no hay ninguna llamada de juicio en ninguna parte.

Cada proveedor de finality de Babylon se compromete con aleatoriedad pública con antelación, un valor por cada altura de bloque futura sobre la que pretende votar. Los pares de votos dividen esa aleatoriedad pública en una mitad pública y una mitad privada, y mientras que cada altura reciba como máximo una firma, la aleatoriedad privada permanece privada. El fallo solo aparece en el momento de la reutilización: si firmas dos bloques diferentes en la misma altura, esa misma aleatoriedad privada se usa dos veces. Dos firmas construidas sobre una aleatoriedad idéntica son suficientes, matemáticamente, para resolver la clave que subyace a ellas. Nadie la extrae. Las matemáticas simplemente la revelan.

A partir de ahí, todo es mecánico, no discrecional. El poder de voto en Babylon cae a cero instantáneamente cuando se detecta, el proveedor es tombstoned permanentemente, y esa misma clave recuperada ahora puede firmar las transacciones de slashing en todo el stake que se le delegó.

Entonces, ¿qué verifica realmente una firma EOTS de Babylon? una cosa: que ocurrió un doble firmado específico en una altura específica, y que la clave resultante es real. No dice nada sobre si el proveedor estaba censurando bloques, ejecutando infraestructura poco fiable, o votando de manera inconsistente de formas que nunca tocan la reutilización de aleatoriedad. Ninguna de esas cosas reutiliza aleatoriedad, así que ninguna de ellas produce una clave.

Un mecanismo tan preciso sobre un modo de fallo es, por definición, silencioso sobre todos los demás.

¿El slashing de EOTS de Babylon llega lo suficientemente lejos?

@BabylonLabs_io #baby $BABY

Cuando la billetera está segura pero la clave de trading no: el riesgo de acceso delegado de GRVT

@grvt_io Mientras más examinaba el modelo de API de GRVT, más clara se volvía una distinción: una clave puede no ser capaz de retirar fondos, pero aun así tener suficiente poder como para dañar la cuenta.

GRVT documenta las claves de API de las cuentas de trading con permisos de solo operaciones. Cada clave está vinculada a una dirección de Ethereum, y su clave privada puede firmar órdenes mediante EIP-712.

Esa separación importa. Una credencial de trading no es automáticamente una credencial de retiro.

Pero restringido no significa inofensivo.

Si una clave autorizada para operar se ve comprometida, el principal riesgo no es que un atacante envíe activos a una billetera externa. El riesgo es un abuso de trading autorizado. El atacante puede crear una exposición no deseada, consumir el margen disponible y acercar la cuenta a la liquidación mientras las órdenes sigan pareciendo válidas dentro del permiso asignado a la clave.

Esto es una inferencia a partir del modelo de permisos documentado, no una afirmación de que la API de GRVT haya sido comprometida.

La capa de custodia puede comportarse exactamente como fue diseñada mientras la cuenta de trading sufre un daño económico. La billetera sigue siendo el propietario, pero el atacante controla temporalmente las decisiones que determinan cuánto vale la cuenta.

Eso hace que la seguridad de la API sea más que solo el almacenamiento secreto. Los controles prácticos incluyen permisos acotados, entornos de firma aislados, monitoreo en tiempo real, revocación rápida y rotación regular de claves. Su propósito no es únicamente detener retiros. Es limitar cuá.nta cantidad de daño puede causar la autoridad delegada de trading antes de que se elimine el acceso.

Una clave acotada reduce el radio de explosión. No lo reduce a cero.

Por lo tanto, el peligro es el control económico sin control de custodia. Esa distinción merece la misma atención que la seguridad de los retiros.

La autogestión protege hacia dónde pueden enviarse los fondos. La seguridad del acceso delegado protege las decisiones que se toman antes de que esos fondos tengan que salir.

¿Qué control importa más para una clave de API de trading?

@grvt_io

#grvt

$EVAA

$BSB

$HEI

@NewtonProtocol Yo traté originalmente el “default-deny” como algo que una política de Newton podría agregar después de que se completaran sus condiciones de “allow”.

Cuanto más estudié la regla, más me di cuenta de que la decisión por defecto determina qué ocurre cuando una solicitud deja de parecer familiar.

Imagina una política que permite transferencias por debajo de un límite cuando el destino pertenece a una lista aprobada. Esa lógica puede funcionar para cada transacción que el desarrollador esperaba.

La prueba más difícil comienza cuando la solicitud cambia de forma.

Puede faltar un campo requerido. Un identificador de un activo puede usar un nuevo formato. Un contrato puede exponer una función que la política nunca había visto. La aplicación puede introducir un nuevo tipo de transacción mientras la política sigue ejecutándose.

El sistema necesita una respuesta.

Si la política comienza desde el permiso y solo busca razones conocidas para rechazar una solicitud, una acción desconocida podría sobrevivir porque no se activó ninguna restricción.

No se había probado que la solicitud fuera segura.

Simplemente nunca se reconoció como peligrosa.

Una política de @NewtonProtocol comienza desde el rechazo y concede autorización solo después de que cada condición esté presente y se cumpla. Los valores desconocidos, las acciones no compatibles, las entradas mal formadas y la evidencia incompleta permanecen denegadas hasta que la política pueda evaluarlas deliberadamente.

Esto importa porque las aplicaciones evolucionan más rápido que las políticas. Pueden aparecer nuevos activos y rutas de ejecución mientras una regla más antigua todavía asume su entorno.

El default-deny evita que ese vacío se convierta en un permiso.

Una regla de allow explica dónde existe la autorización. La regla por defecto decide cómo maneja el sistema aquello que el desarrollador no anticipó.

La pregunta a la que sigo volviendo es dónde debería vivir ese mecanismo de respaldo.

¿Debería cada política de Newton rechazar por sí misma las solicitudes desconocidas, o debería una capa única de validación confiable rechazar las entradas incompletas antes de la evaluación?

¿Qué debería hacer Newton con una acción desconocida?

@NewtonProtocol #Newt $NEWT
$BILL $FOLKS

#SamsungSKHynixLeveragedETFsNearlyHalve #CXMTReportedlyToListInShanghaiJuly27
#USSaysItWillBlockadeIran
#StocksAndBondsFall

Pasé algún tiempo mirando qué hace que una atestación @NewtonProtocol válida sea utilizable para solo una transacción.

Al principio, asumí que la firma del operador en sí impediría la reutilización.

Pero una firma solo prueba que los operadores aprobaron el mensaje que firmaron. La pregunta más difícil es si ese mensaje estaba vinculado a la acción exacta que la aplicación ejecuta luego.

Imagina una atestación que aprueba un retiro desde una billetera hacia un contrato.

Si el mensaje firmado no está vinculado al remitente, al destinatario, a los parámetros, a la cadena, al nonce y a la caducidad, la misma aprobación aún podría satisfacer una transacción distinta.

La criptografía puede seguir siendo válida.

La autorización aún puede estar equivocada.

Por lo tanto, una atestación válida debería tratarse como permiso para una intención específica, no como una aprobación reutilizable.

La repetición (replay) no requiere que nadie falsifique una firma. Solo requiere otra acción que aún encaje con el contexto firmado original.

Un nonce puede impedir un uso repetido. Una caducidad limita cuánto tiempo sigue siendo válida la aprobación. El enlace de la cadena y el contrato puede impedir la reutilización en otro lugar. El enlace de parámetros puede evitar que el importe aprobado o el destinatario cambien más tarde.

Atestación válida ≠ autorización reutilizable.

Lo que sigo teniendo en mente es si las aplicaciones deberían rechazar toda atestación que no esté ligada a una única intención exclusiva.

Si el destinatario, los parámetros, la cadena o el momento pueden cambiar mientras la aprobación sigue siendo válida, ¿qué exactamente autorizaron los operadores?

¿Qué vinculación importa más para prevenir la repetición de la atestación?

@NewtonProtocol $NEWT #Newt

#JuneCPIWarshTestimonyBankEarningsSameWeek
#ShanghaiCompositeHitsThreeMonthLow

#EuropeanStocksFall

#SouthKoreaForcedLiquidationsHit344.2BWon

@grvt_io pasó un tiempo pensando en qué necesitaría demostrar un usuario para que una partida GRVT fuera justa.

aquí, la justicia no significa que la operación final fuera meramente válida. significa que las órdenes elegibles recibieron la prioridad documentada, sin que una orden anterior fuera desplazada sin una razón basada en reglas.

GRVT documenta que el emparejamiento y el almacenamiento de datos ocurren fuera de la cadena, mientras que los contratos inteligentes proporcionan garantías de ejecución en la cadena. las órdenes enviadas llevan firmas, y la ruta de liquidación puede validar si el paquete elegido de maker y taker cumple las reglas aplicadas a esa transacción.

a nivel mecánico, esto puede establecer que el emparejamiento elegido era aceptable.

un emparejamiento válido no es automáticamente un emparejamiento independientemente reutilizable.

los materiales públicos revisados describen feeds del libro de órdenes, ejecuciones y reglas de RPI, pero no proporcionan un registro público completo de la secuenciación para cada orden elegible y para las alternativas consideradas por quien empareja. sin ese registro, un usuario externo no puede reconstruir completamente la ruta de selección solo a partir de la salida pública de la liquidación, con la evidencia pública disponible hoy.

la liquidez de RPI hace que el límite sea más fácil de ver. GRVT define RPI como liquidez de maker disponible únicamente para usuarios de UI no algorítmicos. eso puede crear una mejor ejecución para un flujo elegible, a la vez que ofrece a los participantes de API una visión diferente de la liquidez ejecutable.

entiendo el equilibrio de diseño. el flujo de órdenes restringido puede proteger a los creadores de mercado y mejorar los precios cotizados.

aun así, la calidad de ejecución y la prioridad verificable de forma independiente son afirmaciones separadas.

la reconstrucción pública limitada no prueba que GRVT haya emparejado de manera injusta. significa que los usuarios deben confiar en los registros internos de GRVT, en las reglas documentadas o en un proceso de aseguramiento externo para partes de la evaluación de la justicia.

esa es la pregunta a la que sigo volviendo.

debe la justicia del emparejamiento seguir siendo una garantía operativa, o convertirse en algo que los usuarios puedan verificar de forma independiente?

#grvt @grvt_io $EVAA $BILL
$DODO

#SKHynixSinksRecord15%

#TSMCJuneRevenueUp67.9%YoY

#SouthKoreaForcedLiquidationsHit344.2BWon
#EuropeanStocksFall

GRVT mantiene el orden coincidente fuera de la cadena. el motor de emparejamiento empareja en privado órdenes compatibles,

Pasé un tiempo mirando qué es lo que realmente prueba un reto de política dentro de @NewtonProtocol .

Al principio, asumí que si el reto confirmaba el cómputo, el resultado final podía confiarse.

Esa suposición es incompleta.

Un reto de política puede verificar si un operador evaluó correctamente la regla proporcionada. No prueba automáticamente que los datos externos que entraron en esa regla fueran precisos, recientes o completos.

Supongamos que una aplicación permite una transacción solo cuando el precio de un activo permanece por encima de un umbral específico.

El operador recibe el precio, evalúa la política y firma el resultado.

Si el operador cambia el cálculo o devuelve una salida que contradice la regla, un reto puede exponer la discrepancia.

Pero si el precio proporcionado ya estaba desactualizado, el operador aun puede procesarlo correctamente. La política puede devolver la salida esperada para ese valor, y un reto posterior puede reproducir el mismo cálculo sin encontrar desviación del operador.

La aplicación aun puede autorizar la transacción usando un hecho que ya no refleja el mercado.

Así que el mecanismo no es simplemente:

el reto pasa ➜ el resultado es verdadero.

Está más cerca de:

se suministran datos externos ➜ la política evalúa esa entrada ➜ el operador firma la salida ➜ el reto comprueba si el cómputo fue correcto.

Cálculo correcto de la política ≠ entrada externa correcta.

El mismo límite puede aplicar a un estado de credencial desactualizado, a una puntuación de riesgo incorrecta, o a cualquier valor externo aceptado antes de que comience la evaluación.

Eso no hace que el mecanismo de reto sea débil. Significa que la integridad del cómputo y la integridad de los datos requieren protecciones diferentes.

Lo que sigo teniendo en mente es si un resultado debería seguir confiándose cuando la política se evaluó correctamente, no se probó ninguna desviación del operador y el hecho que sustentaba la decisión seguía estando mal.

$NEWT #Newt @NewtonProtocol $MAGMA $VELVET

@grvt_io pasó algún tiempo rastreando qué sucede después de que una cuenta de GRVT cae por debajo del margen de mantenimiento.

la suposición obvia es que la liquidación termina cuando la posición se cierra.

en GRVT, eso solo es la primera capa.

el proceso comienza con la salud de la cuenta. si la cuenta cae por debajo de su requisito de mantenimiento, el motor de riesgo offchain puede identificarla para liquidación, mientras que el contrato de la bolsa aún comprueba si la liquidación está permitida bajo el estado actual.

mecánicamente, eso separa la detección de la aceptación.

pero la aceptación no garantiza una buena salida económica.

bajo el modelo documentado de liquidación total de GRVT, las posiciones afectadas y el colateral restante pueden transferirse al Fondo de Seguros bajo un marco de precio de bancarrota. el fondo luego tiene que gestionar o cerrar esa exposición heredada contra la liquidez de mercado disponible.

si el cierre es mejor que el precio de transferencia, el fondo puede retener la diferencia. si es peor, el fondo absorbe la pérdida.

ahí es donde un fallo de margen a nivel de usuario se convierte en un problema de balance a nivel de sistema.

si las pérdidas empujan al Fondo de Seguros hacia un patrimonio negativo, GRVT documenta un recorte de pérdidas socializadas en los retiros procesados mientras el déficit permanece activo.

los usuarios que esperan durante ese período no se les cobra en ese momento. los usuarios que necesitan liquidez durante el déficit pueden recibir menos.

en tiendo a entender la lógica de solvencia. pagar cada retiro al 100% mientras el fondo está subcapitalizado podría profundizar el déficit.

aun así, el resultado depende del momento.

la liquidación puede ser válida a nivel de contrato. el déficit inmediato puede contenerse. la plataforma puede seguir operando.

y la carga realizada aún puede alcanzar a usuarios que no crearon la posición original, simplemente porque retiraron antes de que el fondo se recuperara.

no puedo decidir si eso es una contención disciplinada de pérdidas o una penalización de liquidez creada por el timing.

¿debería el déficit seguir los retiros durante el estrés, o reconocerse de una vez en todas las cuentas expuestas?

¿Quién debería absorber el déficit residual?

$LAB $DEXE $VELVET #grvt