Автор: imToken
Вот уже некоторое время инциденты в сфере безопасности в криптоиндустрии практически не прекращаются (дополнительное чтение: «От Binance до PHP2Shell: в эпоху ИИ линия обороны веб-безопасности настоятельно требует переопределения»).
От торговых платформ, теряющих миллиарды долларов, до атак на цепочки поставок кошельков и сторонних поставщиков услуг, до уязвимостей смарт-контрактов и кражи активов в сети — серия инцидентов неоднократно напоминает нам: в мире криптовалют безопасность активов зависит не только от того, надежен ли базовый блокчейн, но и от того, кто хранит активы, кто контролирует ключи и сколько звеньев доверия существует на протяжении всей цепочки обслуживания.
Для держателей ETH то же самое верно и при участии в стейкинге.
Ethereum уже создал относительно зрелый механизм нативного стейкинга. Пользователи могут стейкать ETH, чтобы стать валидаторами сети, получая вознаграждения протокола и одновременно поддерживая безопасность сети. Однако по мере того, как стейкинг постепенно развивался в различные способы участия, такие как кастодиальное хранение на биржах, ликвидный стейкинг и профессиональные услуги узлов, возник и легко упускаемый из виду вопрос:
Даже при стейкинге ETH одним и тем же способом права контроля над активами и границы безопасности, стоящие за разными решениями, могут быть совершенно разными.
Если ETH передан третьей стороне, кто именно обладает правом на вывод? Если профессиональный поставщик услуг запускает валидатор, могут ли пользователи по-прежнему самостоятельно контролировать основную сумму? И между нативным стейкингом и ликвидным стейкингом какие дополнительные потенциальные риски возникли?
Прояснение этих вопросов может быть важнее, чем простое сравнение APY различных продуктов для стейкинга.
Первая линия обороны безопасности стейкинга: кто обладает правами на вывод активов?
Чтобы понять механизм безопасности стейкинга ETH, необходимо сначала выяснить, кто именно контролирует узел валидатора Ethereum.
Ethereum использует механизм консенсуса Proof of Stake (PoS). Внеся не менее 32 ETH в депозитный контракт, пользователь может активировать узел валидатора, участвовать в предложении блоков, проверке транзакций и аттестациях консенсуса, а также получать вознаграждения в соответствии с правилами сети.
Однако узел валидатора управляется не одним ключом. В системе стейкинга Ethereum основные разрешения разделены на две категории:
Ключ подписи: используется для повседневной работы валидатора, включая отправку предложений блоков и аттестаций; это операционное разрешение для участия в сетевом консенсусе. Ключ вывода: используется для контроля права собственности на застейканную основную сумму и доходы, определяя единственный назначенный адрес, на который в конечном итоге могут быть возвращены средства (обычно напрямую привязанный к адресу кошелька самостоятельного хранения пользователя); он представляет собой окончательный контроль над активами.
Обязанности обоих очень четкие: ключ подписи определяет, может ли валидатор надлежащим образом выполнять свою работу, а ключ вывода определяет, кто в конечном итоге может вывести деньги. Это означает, что лицо, ответственное за запуск валидатора, не обязательно должно обладать окончательным контролем над активами.
Как только это разделение разрешений понято, становится ясна существенная разница между кастодиальной и некастодиальной моделями:
При полностью кастодиальном стейкинге оба типа разрешений часто сосредоточены в руках платформы. Пользователи вносят ETH на торговую платформу или кастодиану, и платформа отвечает как за запуск узла, так и за контроль прав на вывод. То, что пользователи видят на фронтенде, — это лишь строка балансовых записей, и возможность беспрепятственного вывода активов напрямую зависит от собственного управления средствами платформы, правил вывода и условий работы. В некастодиальной модели стейкинга два типа разрешений физически изолированы. Пользователи контролируют права на вывод через свои собственные кошельки, в то время как профессиональные поставщики услуг владеют только ключом подписи и отвечают за повседневную эксплуатацию и обслуживание узла. Даже если поставщик услуг берет на себя громоздкое обслуживание оборудования и сети, он не может использовать имеющееся у него операционное разрешение для перевода застейканной основной суммы пользователей.
Основная ценность этой изолированной конструкции — «право на вывод принадлежит пользователю, операционные права принадлежат поставщику услуг» — заключается в минимизации границы доверия. Пользователям не нужно отказываться от контроля над своим основным капиталом, и им не нужно в одиночку нести высокие затраты на эксплуатацию и обслуживание узлов.
Разумеется, некастодиальность не означает нулевой риск. Ключ подписи по-прежнему влияет на повседневную работу валидатора. Если поставщик услуг столкнется с утечкой ключа, двойной подписью или серьезным простоем, валидатор все равно может понести наказание на уровне протокола.
Поэтому первый шаг при оценке решения для стейкинга — это проверить, строго ли оно изолирует права на вывод от операционных прав и действительно ли пользователи держат в своих руках ключ к восстановлению своих активов.
Как нативный протокол Ethereum защищает застейканные активы?
Разобравшись с ключевыми правами контроля, возникает другой ключевой вопрос: почему прямое участие в нативном стейкинге Ethereum явно превосходит по структуре безопасности различные сторонние продукты производного стейкинга?
Основная причина в том, что нативный стейкинг ETH построен непосредственно на базовом консенсусном протоколе Ethereum и не требует дополнительных промежуточных слоев.
Когда пользователи участвуют в нативном стейкинге, ETH напрямую поступает в официальную систему валидаторов Ethereum, а распределение вознаграждений и применение штрафов полностью автоматически выполняются кодом базового протокола. Ему не нужно полагаться на сторонний пул средств для агрегирования активов, а также не нужно выпускать производный токен (например, LST) для косвенного отображения прав на стейкинг, что устраняет в корне составные риски, привносимые сторонними протокольными контрактами, межслоевым управлением и отвязкой производных.
На сегодняшний день в рамках нативного протокола Ethereum также установил четкие границы безопасности и выхода с помощью трех механизмов.
Во-первых, протокол ограничивает поведение валидаторов через вознаграждения и штрафы. Валидаторы должны постоянно находиться в сети и подавать предложения блоков и аттестации в соответствии с требованиями. Если узел выходит из строя или остается офлайн в течение длительного времени, он может упустить вознаграждения и понести соответствующие штрафы по балансу. Если валидатор совершает более серьезные нарушения, например подписывает конфликтующие блоки, это может вызвать Slashing, при котором часть застейканных ETH уничтожается, а валидатор принудительно исключается из сети. Цель этого механизма — гарантировать, что участники, получая доход от стейкинга, также обязаны нести соответствующую ответственность, чтобы любая попытка подорвать сетевой консенсус требовала уплаты реальной экономической цены.
Во-вторых, права на вывод и права на эксплуатацию валидатора могут быть независимы друг от друга. Это очень важная конструкция в нативном стейкинге для безопасности активов. Даже если возникнет проблема с ключом подписи валидатора, пока ключ вывода по-прежнему надежно хранится у пользователя, злоумышленник не сможет просто использовать ключ подписи для прямого вывода застейканного основного капитала пользователя. После обновления Pectra Ethereum дополнительно усовершенствовал этот механизм: адрес вывода также может напрямую инициировать операцию выхода валидатора, больше не полагаясь полностью на ключ подписи валидатора. Это дает некастодиальным пользователям базовую гарантию «принудительного вывода средств» в экстремальных обстоятельствах.
Наконец, выход из нативного стейкинга также ограничен правилами протокола. Нативный стейкинг поддерживает вывод вознаграждений и полный выход основного капитала, но это не происходит мгновенно, как обычный перевод с кошелька. После того как валидатор инициирует выход, он должен войти в общecетевую очередь выхода согласно правилам протокола (время в очереди зависит от количества валидаторов, одновременно выходящих по всей сети в этот момент). Только после завершения основной капитал и оставшиеся вознаграждения будут автоматически зачислены на привязанный адрес вывода (дополнительное чтение: «Почему сейчас для участия в нативном стейкинге Ethereum нужно сначала отстоять в очереди месяц?»).
С этой точки зрения ценность нативного стейкинга заключается не только в получении вознаграждений в ETH, но и в обеспечении базовой расчетной гарантии с полностью публичными правилами, прозрачностью и проверяемостью на блокчейне и отсутствием зависимости от какой-либо централизованной организации для погашения.
Сравнительный разбор мейнстримных решений: где именно распределяются риски?
Объединяя «ключевые права контроля» и «зависимость от протокола», четыре основных типа решений для стейкинга ETH, присутствующих сейчас на рынке, по сути раскладывают риски по разным корзинам.
Стейкинг-услуги, предоставляемые биржами и кастодианами, обычно имеют самый низкий порог участия, поддерживают стейкинг небольших сумм и предлагают операционный опыт, близкий к традиционному управлению капиталом, поэтому пользователям не нужно заниматься сложными техническими операциями. Но в то же время контроль над основной суммой полностью передаётся платформе. Даже если базовый ETH в конечном итоге поступает в официальный стейкинг-контракт Ethereum, пользователям всё равно необходимо нести кредитный риск платформы, риск внутреннего контроля и риск ограничений на вывод средств в экстремальных рыночных условиях.
Взяв в качестве примера протоколы ликвидного стейкинга, такие как Lido, после внесения ETH пользователи могут получить LST, представляющий права на стейкинг, например stETH, что позволяет удобно получать вторичную доходность в DeFi или в любой момент обналичить средства на вторичном рынке. Самое большое преимущество таких решений — снижение порога участия и возможность для пользователей продолжать участвовать в DeFi и других приложениях в течение периода стейкинга, но уровни риска значительно возрастают. Владение LST не означает владение правами на вывод средств валидатора; скорее, это означает владение долговым сертификатом на основе смарт-контракта. Помимо риска слэшинга базового узла, пользователям также необходимо нести дополнительный риск уязвимостей смарт-контрактов, риск управления протоколом, а также в экстремальных рыночных условиях риск дисконта на вторичном рынке LST (депеггинга) и риск набега на погашение, что уже неоднократно случалось в истории LST.
То, что некастодиальный нативный стейкинг пытается решить, — это именно противоречие между автономией активов и эксплуатацией и обслуживанием узлов. Пользователи участвуют в сети через нативный механизм стейкинга Ethereum и сами хранят ключ вывода, в то время как профессиональные поставщики услуг отвечают за эксплуатацию, мониторинг и обслуживание валидаторов. Это не требует от пользователей нести дополнительный риск депеггинга токенов ликвидного стейкинга, а также снижает дополнительные риски, связанные со смарт-контрактами и механизмами управления сторонних стейкинг-пулов.
Если у пользователей достаточно ETH и технических возможностей, они также могут самостоятельно построить узлы валидаторов. Таким образом, ключ подписи, ключ вывода и оборудование узла управляются самими пользователями, без необходимости полагаться на сторонних поставщиков услуг узлов. Но это не означает, что риск минимален: отказ оборудования узла, перерыв в сети, ошибки конфигурации клиента, ненадлежащее резервное копирование ключей и даже дублирующая подпись могут привести к потере вознаграждений или слэшингу. Поэтому для обычных пользователей без долгосрочного опыта эксплуатации и обслуживания узлов технические и эксплуатационные затраты также являются барьером.
Держите контроль в своих руках: долгосрочная ценность некастодиальной модели
Подводя итог, различные модели стейкинга отвечают потребностям разных размеров капитала и предпочтений по риску. Для пользователей, которые ценят абсолютный контроль над своей основной суммой и не хотят тратить усилия на самостоятельное обслуживание серверов, «некастодиальный нативный стейкинг», несомненно, является более подходящим решением с точки зрения безопасности.
Это также основная философия дизайна некастодиального решения imToken для стейкинга ETH: права на вывод, которые никогда не должны передаваться, остаются в собственном кошельке пользователя, в то время как операции с узлами, требующие гарантий высокой доступности, доверяются профессиональной инфраструктуре.
На практическом уровне реализации это решение также предлагает два режима — валидаторные узлы со сложным процентом и валидаторные узлы с автоматическим выводом — позволяя пользователям гибко выбирать различные подходы к управлению средствами.
Конечно, выбор некастодиальной модели не означает, что можно быть «начальником, который ни во что не вмешивается». Поскольку окончательный контроль над активами полностью принадлежит пользователю, пользователям всё равно необходимо выполнять свои личные обязанности по обеспечению безопасности: надлежащим образом создавать резервные копии мнемонических фраз кошелька в офлайне, тщательно проверять адреса вывода перед инициированием стейкинга и поддерживать чёткое понимание механизма очереди на выход протокола Ethereum, ставок сервисных сборов и потенциальных правил слэшинга базового уровня.
Поскольку всё больше и больше ETH поступает в долгосрочные системы генерации доходности, как держателям, нам, возможно, действительно нужно сосредоточиться не только на том, сколько доходности могут принести наши активы, а скорее на том, сохраняю ли я, когда любое внешнее звено обслуживания сталкивается с экстремальной ситуацией, ultimate инициативу по возврату своей основной суммы?
Держите окончательный контроль над активами в своих руках и позволяйте профессионалам заниматься профессиональными вопросами. Возможно, это и есть наиболее заслуживающая внимания ценность безопасности некастодиального нативного стейкинга.
