Dr Roosh

Passei uma noite comparando a documentação do Dusk com como seu consenso realmente se comporta, e o detalhe que ficou comigo não é a camada de privacidade — é o Dusk @Dusk $DUSK #dusk separando a geração de blocos da ratificação de blocos em dois comitês distintos, em vez de um único conjunto de validadores fazer ambos os trabalhos. Quase todas as cadeias tratam o consenso como um único papel que usa dois chapéus. Aqui, o gerador otimiza para throughput, o ratificador para segurança de finalidade, e esses dois objetivos não são automaticamente alinhados. O que eu não consegui encontrar uma resposta clara, na documentação ou na atividade do testnet, é o que acontece quando os dois comitês discordam de verdade — não um validador ficando offline, mas uma divisão real de julgamento entre a geração e a ratificação. A arquitetura claramente tem um caminho de resolução embutido, já que a cadeia não parou sob condições normais, mas "ainda não parou" e "resolve de forma limpa sob discordância adversarial" são afirmações diferentes. Quase nenhum uso atual coloca essa rota sob estresse, já que a maior parte da atividade ainda é leve e cooperativa. É uma escolha de design que está invisível agora e só fica legível quando alguém testa isso sob pressão. Fico curioso para ver como isso aparece na prática.

Been sitting with Dusk's XSC standard, and the part that stuck: settlement and transfer eligibility are two separate layers, not one. #dusk @Dusk's Phoenix/Moonlight rails give a security token cryptographic finality in seconds. But an XSC transfer still needs the receiving wallet cleared by the issuer's access-control layer — no clearance, no transfer, regardless of finality.
This isn't just old design docs. Dusk's own 2019 STO framework describes whitelisting so issuers can keep ineligible parties out even after an offering closes. More telling: Dusk's current site states NPEX's full $300M+ managed asset base is tokenized on Dusk now, running on "access controls, privacy with selective disclosure, deterministic finality" as one stack — meaning this gating isn't hypothetical, it's live infrastructure under real assets.
What changed for me was realizing tokenized RWA on $DUSK SK doesn't mean permissionless liquidity. It means programmable permission. The chain kills settlement friction; it doesn't remove the gatekeeper, it just gives the gatekeeper faster tooling.
Next thing I want to check: whether an access-control decision on a live NPEX-issued asset — approving or blocking a wallet — is itself a queryable on-chain event, or something that only shows up as a transaction simply failing, with the reasoning held off-chain.
#dusk
@Dusk

A atualização do whitepaper próprio da Dusk contém uma linha que eu não esperava: Phoenix, o modelo de transação blindada, costumava ser um protocolo de anonimato — ocultando a identidade do remetente até mesmo do destinatário. A Dusk mudou isso. Eles adicionaram uma forma para que o destinatário identificasse quem enviou uma transação Phoenix e chamaram isso de uma mudança de "anonimato" para "privacidade". $DUSK #dusk @Dusk k fizeram isso especificamente para permanecerem em conformidade com as regras da UE.
O que mudou para mim: isso não é um botão de UI ou um recurso opcional — é um rebaixamento da garantia base do modelo de privacidade carro-chefe. Antes, ninguém conseguia rastrear quem pagou quem, nem mesmo a pessoa que recebia os fundos. Agora, o destinatário sempre consegue. A marcação "privacidade" sobreviveu; a propriedade de anonimato por baixo dela não.
É um compromisso razoável para uma rede que busca instituições reguladas. Mas isso significa que a confidencialidade da Phoenix é mais estreita do que a publicidade sugere — oculta do livro-razão público, não do seu parceiro de transação.
Vale conferir: se análises de terceiros ou carteiras já exibem a identidade do remetente de transações Phoenix na prática, ou se essa capacidade ainda fica inutilizada.

O pitch de Dusk é “assentado em segundos, finalidade determinística, sem reorganizações” — verdadeiro uma vez que um bloco é atestado. Mas a documentação do consenso usa um termo que eu não tinha percebido antes: “Ato de Atestação Falho”, em que o quórum de um comitê vota como não válido e a rodada precisa ser repetida com um novo comitê. $DUSK #dusk @Dusk
Isso não é só teoria de especificação. Os próprios registros de engenharia da Dusk para o pré-mainnet mostram a equipe trabalhando explicitamente em “desviar/curto-circuitar iterações com timeout” e corrigindo um bug de “estado de consenso irrecuperável” ligado a um evento de cisão — problemas reais no mecanismo de iteração, não casos hipotéticos de borda.
Então, a finalidade determinística é uma propriedade do resultado, não do caminho. Uma vez ratificado, um bloco é criptograficamente terminal — sem oscilação probabilística como nas cadeias de Nakamoto. Mas chegar a esse estado ratificado depende de um comitê atingir o quórum em uma tentativa específica, e as iterações podem falhar e ser refeitas.
O que mudou para mim foi ver “finalidade vs TPS” como um falso eixo. O tipo de finalidade rege a certeza depois que algo se estabelece. A vazão (throughput) governa quão rápido você chega lá e com que frequência você precisa tentar novamente ao longo do caminho.
Vale checar: qual é a taxa atual no mainnet de atestações falhas e de tentativas/reiterações de iteração, agora que os ajustes do pré-mainnet estão ativos?

#dusk $DUSK @Dusk Algo sobre a linha do tempo da Citadel não bateu quando verifiquei as datas.
A Citadel — o próprio protocolo de identidade/KYC de conhecimento zero da Dusk — foi apresentada pela primeira vez em janeiro de 2023, e o SDK dela foi lançado em novembro de 2023, bem antes do mainnet. Esta é a peça que supostamente permite à DUSK conciliar privacidade com regulamentação: usuários provam atributos sem expô-los, e instituições fazem o onboarding de investidores em RWA sem KYC centralizado.
A parte que me fez travar foi esta. O roadmap pós-mainnet da própria Dusk, publicado na mesma semana em que o mainnet foi colocado no ar em janeiro de 2025, ainda listava "ZK KYC/AML usando Citadel" como algo a integrar — e não como algo já rodando para onboarding de RWA. Dois anos de o componente existir, e o caso de uso para o qual ele foi construído ainda estava na lista de pendências no lançamento do mainnet.
Isso não é uma crítica à tecnologia — o repositório está no ar no GitHub e é ativamente mantido. O que mudou para mim foi perceber que "a Citadel existe" e "a Citadel está fazendo o trabalho de conformidade na emissão ao vivo de RWA" são duas afirmações diferentes, e o marketing da Dusk tende a uni-las como se fossem a mesma coisa.
Vale conferir: algum RWA ou token de segurança emitido pela Dusk realmente roteou o onboarding através da Citadel em produção, ou o KYC para esses negócios ainda está acontecendo off-chain hoje?

O detalhe que mudou a forma como eu li $TMX foi a alteração da Versão 2 da abril, adicionando verificações de lista de permissões de mercado e pool em três componentes separados: TermMaxRouterV2, MakerHelper e TermMaxVaultV2 — além de registro automático de lista de permissões nas factories.

Isso não é um checkbox de segurança; é uma mudança de topologia. Dividir as verificações entre Router, Helper e Vault reduz a dependência de qualquer contrato isolado, mas agora os três fazem referência ao mesmo estado de lista de permissões. A descentralização aqui não remove a fronteira de confiança — ela a realoca para uma autorização compartilhada.

Próximo passo: escolha uma ação restrita — depósito/saque no vault é o candidato mais limpo, pois é voltado ao usuário e continuamente exercitado — e acompanhe o que acontece com ela se a entrada de lista de permissões do mercado for revogada no meio da posição. A resposta mostra se a dependência compartilhada é mera formalidade ou um live kill switch.
#Termmax
@TermMax

O TermMax descreve seu mecanismo de entrega física em termos simples: quando não há liquidez para liquidar a garantia, os credores recebem a garantia do tomador em vez disso. Leia isso sozinho e parece um mecanismo de proteção. Então verifiquei os documentos de riscos do @TermMax $TMX para #TermMax e encontrei uma redação mais restrita: a entrega física “mitiga” o risco de déficit — não o elimina.
A lacuna está na própria fórmula de liquidação. O TermMax limita quanto de garantia pode ser retirado de uma posição inadimplente em um máximo fixo, projetado para impedir que os tomadores sejam sobre-liquidado. Se uma movimentação rápida do mercado deixar essa garantia limitada aquém do que é devido, os credores recebem uma parcela proporcional do que restar, não a posição inteira de volta.
O que mudou para mim foi ver que a página técnica de Riscos enquadra isso com mais cautela do que a descrição geral do produto faz. Segurança aqui não é uma promessa no estilo de seguro — é uma divisão de perdas limitada, mais próxima de como uma câmara de compensação ajusta (haircut) posições em um mercado rápido do que de como “garantia entregue como compensação” soa por conta própria.
Vale checar a seguir: com que frequência esse limite de liquidação realmente ficou preso durante volatilidade real e qual foi o pagamento proporcional recebido pelos credores em relação à posição original.

O detalhe que me fez parar e pensar na concepção do Citadel: a licença que permite que um usuário comprove, de forma privada, a conformidade nunca é totalmente dele.
Ela é assinada pelo provedor da licença, vinculada criptograficamente ao endereço furtivo do usuário (portanto não pode ser transferida) e registrada em uma árvore de Merkle que o provedor pode atualizar para revogar. O usuário gera uma prova de conhecimento zero de titularidade e de adesão contínua àquela árvore; o provedor do serviço ainda decide se a prova é aceita e se a licença permanece válida.
As entregas próprias de dezembro de 2023 da Dusk confirmam que o Citadel SDK foi enviado e integrado à web wallet antes do mainnet. O componente existe. Se algum provedor de serviço está emitindo ou revogando licenças no mainnet hoje permanece não verificado.
$DUSK K #dusk @Dusk A Foundation divulga a privacidade financeira como um direito. A arquitetura encaminha esse direito por meio de uma parte que pode cortar o acesso a qualquer momento.
Revogação não é uma falha; é como o sistema impede que licenças sejam reutilizadas ou abusadas após a emissão. Isso significa que o “direito” funciona mais como uma permissão permanente: privada por padrão, condicionada à cooperação contínua do emissor.
O que mudou para mim foi ver divulgação seletiva e revogabilidade como um único mecanismo, e não como dois recursos separados. Conhecimento zero oculta o que você está provando. Quem decide se você pode continuar provando é outra questão — e essa decisão atualmente fica com o provedor do serviço.
Ainda em aberto: se algum provedor publicou critérios claros de revogação, e se uma licença do Citadel foi de fato revogada no mainnet desde o lançamento.

Ao analisar a documentação de liquidação da TermMax e a regra de entrega física, mudei a forma como eu enxerguei a reivindicação de taxa fixa.
Em $TMX #TermMax @TermMax , se um empréstimo chega ao vencimento sem ser pago e a janela de liquidação de duas horas é encerrada sem a quitação total, o sistema não apenas força uma recuperação em dinheiro ou baixa como não-recuperável. Ele cria um pool de resgate com os tokens de dívida remanescentes mais o próprio colateral. Os detentores de FT então resgatam de acordo com a participação deles no total de FTs em aberto e recebem uma alocação proporcional de ambos os ativos.
Isso não é o padrão usual de DeFi de vender o colateral para reembolsar os credores estritamente no token de dívida. Aqui, o risco residual é transferido como exposição direta ao ativo. O que inicialmente parecia como um empréstimo de taxa fixa pura começa a funcionar mais como uma reivindicação contingente sobre o colateral quando o caminho de pagamento sem atrasos falha.
O que mudou para mim foi perceber que o bloqueio da taxa vem com essa mecânica secundária de entrega embutida no desenho desde o início.
Próxima verificação: com que frequência posições pós-vencimento realmente chegam à entrega física versus obter uma liquidação total sem pendências em mercados ativos.

Olhar novamente a documentação… cada fluxo de trabalho concreto listado para a Dusk—valores mobiliários regulamentados, DeFi institucional, pagamentos confidenciais, DvP—passa pelo Citadel para fins de elegibilidade. A identidade não é tratada como um setor por si só. Ela é o portão.
Dusk ($DUSK ) #dusk @Duskfoundation construiu a camada de credenciais para que as finanças possam permanecer privadas, ao mesmo tempo em que ainda exigem residência ou credenciamento. Uma vez verificado, o disclosure seletivo permite que o mesmo portão de prova valide transferências e posições sem reexpor os dados subjacentes. Jogos nunca aparecem nessa pilha. O modelo de privacidade e a divisão entre transações públicas/ocultas foram moldados com base em dados de mercado que não podem ficar em aberto.
O que mudou para mim foi perceber que a identidade é a peça estrutural das finanças, e não um eixo vertical paralelo. Sem essa ligação, as regras de conformidade dentro dos contratos do ativo perdem sua força em cadeia.
Próxima verificação: se qualquer superfície de produto em funcionamento fora de valores mobiliários ou empréstimos realmente reutiliza essas mesmas credenciais do Citadel para controle de acesso.
@Dusk

Dois fatos nos documentos do Hyperstaking ficam lado a lado de um jeito que eu não tinha conectado antes. Primeiro: um contrato pode fazer staking em nome de depositantes e distribuir recompensas pela lógica própria — o próprio contrato se torna o participante do staking, não o depositante individual. Segundo, separadamente, nos documentos de tokenomics: <t-2/>#dusk slashing é soft — não há burn, apenas redução da participação efetiva e das recompensas para o provedor que estiver em falta.
Juntando esses dois pontos, surge uma questão em aberto real, não uma resposta que eu tenha: se o contrato é o provedor e é o provedor que recebe o soft-slashed, como essa redução de recompensa chega aos depositantes por trás dele? A documentação descreve ambos os mecanismos por conta própria. Nenhum deles diz como eles interagem quando um contrato fica entre o depositante e a penalidade.
Sozu é atualmente a única pool Hyperstaking nomeada, e ainda estava em beta conforme a última atualização que eu vi — então isso não aconteceu em lugar nenhum ainda, on-chain ou de outra forma.
O que eu verificaria em seguida: se os documentos da Dusk ou da Sozu especificam como uma penalidade de soft-slashing é dividida entre os depositantes de uma pool, ou se isso fica indefinido.
$DUSK
@Dusk

Espere — o que está “protegendo” agora o seu trade na DuskEVM contra bots nem é uma tecnologia tão sofisticada.
Todo mundo fala sobre Hedger, o mecanismo de privacidade da DuskEVM ($DUSK #dusk @DuskFoundation) — criptografia homomórfica e provas ZK, saldos criptografados, criptografia de verdade. Só que isso não é o que está impedindo o front-running hoje.
Eu verifiquei a documentação. A DuskEVM atualmente roda apenas com sequenciador. Não existe mempool pública. Um único sequenciador, nada para bots observarem e saltarem à frente. Esse é o mecanismo real.
Então existem duas histórias diferentes de “privacidade” empilhadas uma sobre a outra, e é fácil atribuir a errada. Hedger é privacidade criptográfica real, auditável por design. A proteção contra front-running é outra coisa — um efeito colateral de ter um único sequenciador com nada exposto.
Eis o que eu ainda não encontrei: qualquer doc ou roadmap dizendo se o sequenciador da DuskEVM permanece único ou se vai sendo aberto com o tempo. Se um dia ele se tornar multiparte ou público, essa proteção específica precisaria de algo para substituí-la. Não está confirmado em lugar nenhum que eu tenha visto — é apenas uma pergunta que a configuração atual levanta.
Fico curioso se alguém acompanhou o roadmap real do sequenciador da DuskEVM. Sinceramente, não sei a resposta aqui.
@Dusk

Fui ver como o Citadel da Citadel realmente lida com um credencial revogado. Acabei descobrindo que a resposta não é “a cadeia verifica isso”. O protocolo $DUSK #dusk do Dusk Network’s Citadel permite que um usuário prove que uma sessão é válida criptograficamente — isto é, que um License Provider real assinou uma licença real — mas, de acordo com a documentação, essa prova não decide a política de serviço.
Esse decisor fica a cargo do Service Provider. Conforme a própria documentação da @Duskfoundation, o SP decide quais License Providers ele confia, quais atributos ele aceita, se uma sessão está expirada ou revogada e se o cookie da sessão pode ser reutilizado. Nada disso está escrito na verificação on-chain em si.
O que mudou para mim foi perceber que “KYC que preserva a privacidade” aqui não significa que a cadeia imponha conformidade. Atributos pessoais nunca são gravados na blockchain — essa parte é explícita na documentação. Mas expiração, revogação e a confiança no emissor são decisões de política que cada Service Provider toma de forma independente, off-chain, sem nada on-chain forçando consistência entre eles.
@Dusk

Passei a tarde mexendo nos repositórios da Dusk em vez de apenas ler o pitch deck. #Dusk $DUSK @DuskFoundation — "privacidade em uma cadeia pública" é o gancho inteiro da TradFi, então eu quis ver o que está realmente em movimento, não o que está sendo dito.
Acontece que o que ficou foi isto: duskevm-genesis, o repositório que guarda o bloco gênesis e a configuração do rollup, teve commits chegando em 8 de agosto e 10 de agosto de 2026. Não era código de liquidação de RWA. Não era contrato de valores mobiliários. Gênesis e encanamento do rollup — o material chato, que sustenta tudo, que ninguém tira print.
Enquanto isso, o par mais ativo da DUSK, DUSK/USDT na Binance, estava com cerca de US$ 117k em volume nas 24h quando eu verifiquei, contra aproximadamente US$ 3,07M no total em 51 mercados (CoinGecko). Para um projeto cuja tese inteira é "instituições finalmente vão transacionar em uma cadeia pública", isso é um sinal fraco.
Me fez reconsiderar o meu próprio enquadramento ao entrar — eu assumi que privacidade compatível significava um fluxo institucional invisível funcionando ao fundo. O que encontrei, em vez disso, foi infraestrutura ainda sendo conectada, silenciosamente, enquanto a market cap está abaixo de US$ 50M.
Então o que vem primeiro aqui — as instituições que a Dusk continua prometendo, ou o encanamento finalmente acompanhando o pitch?
@Dusk

As restrições do circuito Phoenix de leitura me impediram. Em Dusk $DUSK #dusk @Duskfoundation o Transfer Contract nunca olha para os valores reais das notas nem para qual folha Merkle é gasta.
Ele só verifica uma prova PLONK de que as entradas privadas satisfazem cinco condições: o hash da nota se abre contra uma raiz Merkle recente de notas, o prover conhece a chave secreta da nota, o nullifier é igual a Poseidon(npk′ ‖ posição), os compromissos de saída são abertos corretamente e a soma dos valores de entrada é igual às saídas mais a taxa mais qualquer depósito.
Os próprios nullifiers são publicados para que a rede possa rejeitar reutilização. Como cada um é derivado da chave e da posição ocultas da nota, nenhum observador consegue mapear um nullifier de volta para uma folha específica. A validade vive inteiramente dentro do cumprimento do circuito; o conteúdo nunca aparece no ledger.
O que mudou para mim foi perceber que a proteção contra double-spend e a integridade do saldo ficam ambas dentro da prova, em vez de qualquer mudança de estado visível.
Próxima verificação: se cada transação Phoenix aceita, cujos nullifiers publicados permanecem únicos no conjunto de nullifiers on-chain após a finalização.
@Dusk