Autor: imToken
Od pewnego czasu incydenty bezpieczeństwa w branży Crypto niemal nie ustają (dalsza lektura: „Od Binance do PHP2Shell: W erze AI linia obrony bezpieczeństwa sieciowego pilnie wymaga redefinicji”).
Od platform transakcyjnych tracących miliardy dolarów, przez ataki na łańcuchy dostaw portfeli i zewnętrznych dostawców usług, po luki w inteligentnych kontraktach i kradzieże aktywów on-chain – seria incydentów wielokrotnie przypomina nam: w świecie Crypto bezpieczeństwo aktywów zależy nie tylko od tego, czy bazowy blockchain jest niezawodny, ale także od tego, kto przechowuje aktywa, kto kontroluje klucze i ile ogniw zaufania istnieje w całym łańcuchu usług.
Dla posiadaczy ETH jest tak samo również przy uczestnictwie w stakingu.
Ethereum ustanowiło już stosunkowo dojrzały natywny mechanizm stakingu. Użytkownicy mogą stake'ować ETH, aby stać się walidatorami sieci, zdobywając nagrody protokołu przy jednoczesnym utrzymaniu bezpieczeństwa sieci. Jednak w miarę jak staking stopniowo rozwijał się w różne metody uczestnictwa, takie jak powiernictwo giełdowe, płynny staking i profesjonalne usługi węzłów, pojawiło się również łatwo pomijane pytanie:
Nawet przy stake'owaniu ETH w ten sam sposób, prawa kontroli aktywów i granice bezpieczeństwa stojące za różnymi rozwiązaniami mogą być całkowicie różne.
Jeśli ETH zostanie przekazane stronie trzeciej, kto dokładnie posiada uprawnienia do wypłaty? Jeśli profesjonalny dostawca usług uruchamia walidator, czy użytkownicy nadal mogą niezależnie kontrolować kapitał główny? A między natywnym stakingiem a płynnym stakingiem, jakie dodatkowe potencjalne ryzyka się pojawiły?
Wyjaśnienie tych kwestii może być ważniejsze niż samo porównywanie APY różnych produktów stakingowych.
Pierwsza linia obrony bezpieczeństwa stakingu: Kto posiada prawa do wypłaty aktywów?
Aby zrozumieć mechanizm bezpieczeństwa stakingu ETH, należy najpierw wyjaśnić, kto dokładnie kontroluje węzeł walidatora Ethereum.
Ethereum przyjmuje mechanizm konsensusu Proof of Stake (PoS). Deponując co najmniej 32 ETH w kontrakcie depozytowym, użytkownik może aktywować węzeł walidatora, uczestniczyć w propozycjach bloków, walidacji transakcji i atestacjach konsensusu oraz otrzymywać nagrody zgodnie z regułami sieci.
Jednak węzeł walidatora nie jest zarządzany przez pojedynczy klucz. W systemie stakingu Ethereum podstawowe uprawnienia są podzielone na dwie kategorie:
Klucz podpisujący: używany do codziennej pracy walidatora, w tym do składania propozycji bloków i atestacji; jest to uprawnienie operacyjne do uczestnictwa w konsensusie sieci. Klucz wypłaty: używany do kontrolowania własności stake'owanego kapitału głównego i zwrotów, określający jedyny wyznaczony adres, na który środki mogą ostatecznie zostać zwrócone (zwykle bezpośrednio powiązany z adresem portfela samodzielnego przechowywania użytkownika); reprezentuje ostateczną kontrolę nad aktywami.
Obowiązki obu są bardzo jasne: klucz podpisujący określa, czy walidator może należycie wykonywać swoją pracę, podczas gdy klucz wypłaty określa, kto może ostatecznie wypłacić środki. Oznacza to, że osoba odpowiedzialna za uruchamianie walidatora niekoniecznie musi mieć ostateczną kontrolę nad aktywami.
Gdy zrozumie się tę warstwę separacji uprawnień, zasadnicza różnica między modelami powierniczymi i niepowierniczymi staje się jasna:
W w pełni powierniczym stakingu oba rodzaje uprawnień są często skoncentrowane w rękach platformy. Użytkownicy deponują ETH na platformie transakcyjnej lub u powiernika, a platforma odpowiada zarówno za uruchamianie węzła, jak i za kontrolowanie uprawnień do wypłaty. To, co użytkownicy widzą na interfejsie, to jedynie ciąg sald księgowych, a to, czy aktywa można płynnie wykupić, podlega bezpośrednio zarządzaniu funduszami, regułom wypłat i warunkom operacyjnym samej platformy. W modelu niepowierniczego stakingu oba rodzaje uprawnień są fizycznie odizolowane. Użytkownicy kontrolują uprawnienia do wypłaty za pośrednictwem własnych portfeli, podczas gdy profesjonalni dostawcy usług posiadają jedynie klucz podpisujący i odpowiadają za codzienne utrzymanie i eksploatację węzła. Nawet jeśli dostawca usług przejmie uciążliwe utrzymanie sprzętu i sieci, nie może wykorzystać posiadanych uprawnień operacyjnych do przeniesienia stake'owanego kapitału głównego użytkowników.
Podstawowa wartość tego izolowanego projektu — „prawa do wycofania należą do użytkownika, prawa operacyjne należą do dostawcy usług” — polega na minimalizowaniu granicy zaufania. Użytkownicy nie muszą rezygnować z kontroli nad swoim kapitałem głównym ani nie muszą samodzielnie ponosić wysokich kosztów eksploatacji i utrzymania węzła.
Oczywiście brak powiernictwa nie oznacza zerowego ryzyka. Klucz podpisujący nadal wpływa na codzienne funkcjonowanie walidatora. Jeśli dostawca usług doświadczy wycieku klucza, podwójnego podpisu lub poważnego przestoju, walidator może nadal ponieść kary na poziomie protokołu.
Dlatego pierwszym krokiem w ocenie rozwiązania do stakingu jest sprawdzenie, czy ściśle oddziela uprawnienia do wycofania od uprawnień operacyjnych oraz czy użytkownicy naprawdę trzymają we własnych rękach klucz do odzyskania swoich aktywów.
Jak natywny protokół Ethereum chroni zastakowane aktywa?
Po zrozumieniu kluczowych praw kontroli pojawia się kolejne kluczowe pytanie: dlaczego bezpośredni udział w natywnym stakingu Ethereum jest wyraźnie lepszy pod względem struktury bezpieczeństwa od różnych produktów stakingowych opartych na instrumentach pochodnych stron trzecich?
Głównym powodem jest to, że natywny staking ETH jest zbudowany bezpośrednio na bazowym protokole konsensusu Ethereum i nie wymaga dodatkowych warstw pośrednich.
Gdy użytkownicy uczestniczą w natywnym stakingu, ETH trafia bezpośrednio do oficjalnego systemu walidatorów Ethereum, a dystrybucja nagród i egzekwowanie kar są w pełni automatycznie wykonywane przez kod bazowego protokołu. Nie ma potrzeby polegać na puli funduszy strony trzeciej w celu agregacji aktywów ani emitować tokena pochodnego (takiego jak LST) w celu pośredniego odwzorowania praw do stakingu, co eliminuje u źródła ryzyka złożone wynikające z kontraktów protokołów stron trzecich, zarządzania międzywarstwowego i odłączenia instrumentów pochodnych od wartości bazowej.
Do tej pory w ramach natywnego protokołu Ethereum ustanowiło również jasne granice bezpieczeństwa i wyjścia poprzez trzy mechanizmy.
Po pierwsze, protokół ogranicza zachowanie walidatorów poprzez nagrody i kary. Walidatorzy muszą pozostawać stale online i zgodnie z wymaganiami składać propozycje bloków oraz poświadczenia. Jeśli węzeł zawiedzie lub pozostanie offline przez długi czas, może utracić nagrody i ponieść odpowiednie kary salda. Jeśli walidator dopuści się poważniejszych naruszeń, takich jak podpisywanie sprzecznych bloków, może to wywołać Slashing, w wyniku którego część zastakowanego ETH zostaje zniszczona, a walidator zostaje przymusowo usunięty z sieci. Celem tego mechanizmu jest zapewnienie, że uczestnicy, zarabiając na zwrotach ze stakingu, muszą również ponosić odpowiedzialność, tak aby każda próba podważenia konsensusu sieci wymagała zapłacenia realnej ceny ekonomicznej.
Po drugie, uprawnienia do wycofania i uprawnienia do obsługi walidatora mogą być od siebie niezależne. Jest to bardzo ważny projekt w natywnym stakingu dla bezpieczeństwa aktywów. Nawet jeśli wystąpi problem z kluczem podpisującym walidatora, dopóki klucz do wycofania jest nadal bezpiecznie przechowywany przez użytkownika, atakujący nie może po prostu użyć klucza podpisującego do bezpośredniego wycofania zastakowanego kapitału głównego użytkownika. Po aktualizacji Pectra Ethereum jeszcze bardziej udoskonaliło ten mechanizm: adres do wycofania może również bezpośrednio zainicjować operację wyjścia walidatora, nie polegając już całkowicie na kluczu podpisującym walidatora. Daje to użytkownikom niepowierniczym podstawową gwarancję „przymusowego wycofania środków” w ekstremalnych okolicznościach.
Wreszcie, wyjście z natywnego stakingu jest również ograniczone zasadami protokołu. Natywny staking obsługuje wycofanie nagród i pełne wyjście kapitału głównego, ale nie następuje to natychmiast jak zwykły przelew z portfela. Po zainicjowaniu wyjścia przez walidatora musi on wejść do ogólnosieciowej kolejki wyjść zgodnie z zasadami protokołu (czas kolejki zależy od liczby walidatorów wychodzących jednocześnie w całej sieci w danym momencie). Dopiero po zakończeniu kapitał główny i pozostałe nagrody zostaną automatycznie rozliczone na powiązany adres do wycofania (dalsza lektura: „Dlaczego trzeba teraz najpierw czekać miesiąc w kolejce, aby uczestniczyć w natywnym stakingu Ethereum?”).
Z tej perspektywy wartość natywnego stakingu polega nie tylko na uzyskiwaniu nagród ETH, ale także na zapewnieniu bazowej gwarancji rozliczenia z w pełni publicznymi zasadami, przejrzystością i weryfikowalnością na łańcuchu oraz brakiem polegania na jakiejkolwiek scentralizowanej instytucji w zakresie umorzenia.
Zestawienie głównych rozwiązań: gdzie dokładnie rozkładają się ryzyka?
Łącząc „prawa kontroli kluczy” i „zależność od protokołu”, cztery główne typy rozwiązań do stakingu ETH obecnie dostępnych na rynku zasadniczo umieszczają ryzyka w różnych koszykach.
Usługi stakingu świadczone przez giełdy i powierników zazwyczaj mają najniższy próg uczestnictwa, obsługują staking małych kwot i oferują doświadczenie operacyjne zbliżone do tradycyjnego zarządzania majątkiem, dzięki czemu użytkownicy nie muszą zajmować się skomplikowanymi operacjami technicznymi. Jednocześnie jednak kontrola nad kapitałem principal zostaje całkowicie przeniesiona na platformę. Nawet jeśli bazowy ETH ostatecznie trafi do oficjalnego kontraktu stakingowego Ethereum, użytkownicy nadal muszą ponosić ryzyko kredytowe platformy, ryzyko wewnętrznej kontroli ryzyka oraz ograniczenia wypłat w ekstremalnych warunkach rynkowych.
Biorąc za przykład protokoły płynnego stakingu, takie jak Lido, po zdeponowaniu ETH użytkownicy mogą otrzymać LST reprezentujący prawa do stakingu, taki jak stETH, co ułatwia uzyskiwanie wtórnego zysku w DeFi lub wypłatę w dowolnym momencie na rynku wtórnym. Największą zaletą takich rozwiązań jest obniżenie progu uczestnictwa i umożliwienie użytkownikom dalszego uczestnictwa w DeFi i innych aplikacjach w okresie stakingu, ale warstwy ryzyka znacznie się zwiększają. Posiadanie LST nie oznacza posiadania prawa do wypłaty walidatora; oznacza raczej posiadanie certyfikatu długu opartego na inteligentnym kontrakcie. Oprócz ryzyka obcięcia (slashing) bazowego węzła użytkownicy muszą również ponosić dodatkowe ryzyko luk w inteligentnych kontraktach, ryzyko zarządzania protokołem, a w ekstremalnych warunkach rynkowych ryzyko dyskonta (depegging) na rynku wtórnym LST oraz ryzyko runu na wypłaty, co wielokrotnie miało już miejsce w historii LST.
To, co niepowierniczy natywny staking próbuje rozwiązać, to właśnie sprzeczność między autonomią aktywów a eksploatacją i utrzymaniem węzłów. Użytkownicy uczestniczą w sieci poprzez natywny mechanizm stakingu Ethereum i sami przechowują klucz do wypłaty, podczas gdy profesjonalni usługodawcy odpowiadają za eksploatację, monitorowanie i utrzymanie walidatorów. Nie wymaga to od użytkowników ponoszenia dodatkowego ryzyka depegging tokenów płynnego stakingu, a także zmniejsza dodatkowe ryzyko wynikające z inteligentnych kontraktów pul stakingowych stron trzecich i mechanizmów zarządzania.
Jeśli użytkownicy mają wystarczająco dużo ETH i zdolności techniczne, mogą również sami zbudować węzły walidatora. W ten sposób klucz podpisujący, klucz do wypłaty i sprzęt węzła są zarządzane przez samych użytkowników, bez konieczności polegania na zewnętrznych dostawcach usług węzłowych. Nie oznacza to jednak, że ryzyko jest najniższe: awaria sprzętu węzła, przerwa w sieci, błędy konfiguracji klienta, niewłaściwe kopie zapasowe kluczy, a nawet podwójne podpisanie mogą spowodować utratę nagród lub obcięcie (slashing). Dlatego dla zwykłych użytkowników bez długoterminowego doświadczenia w eksploatacji i utrzymaniu węzłów koszty techniczne i utrzymaniowe są również barierą.
Zachowaj kontrolę we własnych rękach: długoterminowa wartość modelu niepowierniczego
Podsumowując, różne modele stakingu odpowiadają na potrzeby różnych rozmiarów kapitału i preferencji ryzyka. Dla użytkowników, którzy cenią sobie absolutną kontrolę nad swoim kapitałem principal i nie chcą samodzielnie poświęcać wysiłku na utrzymanie serwerów, „niepowierniczy natywny staking” jest niewątpliwie bardziej odpowiednim rozwiązaniem bezpieczeństwa.
Jest to również podstawowa filozofia projektowa niepowierniczego rozwiązania stakingu ETH imToken: uprawnienia do wypłaty, których nigdy nie należy przekazywać, pozostają w portfelu samego użytkownika, podczas gdy operacje węzłowe wymagające gwarancji wysokiej dostępności są powierzane profesjonalnej infrastrukturze.
Na praktycznym poziomie wdrożenia to rozwiązanie oferuje również dwa tryby — węzły walidacyjne z procentem składanym oraz węzły walidacyjne z automatyczną wypłatą — pozwalając użytkownikom elastycznie wybierać różne podejścia do zarządzania funduszami.
Oczywiście wybór modelu niepowierniczego nie oznacza, że można być „szefem, który się nie angażuje”. Ponieważ ostateczna kontrola nad aktywami spoczywa całkowicie na użytkowniku, użytkownicy nadal muszą wypełniać swoje osobiste obowiązki w zakresie bezpieczeństwa: prawidłowo tworzyć kopie zapasowe frazy mnemonicznej portfela w trybie offline, starannie weryfikować adresy wypłaty przed zainicjowaniem stakingu oraz utrzymywać jasne zrozumienie mechanizmu kolejki wyjścia protokołu Ethereum, stawek opłat za usługi i potencjalnych bazowych zasad obcinania (slashing).
W miarę jak coraz więcej ETH wchodzi do długoterminowych systemów generowania zysku, jako posiadacze, to, na czym naprawdę musimy się skupić, może nie być tylko to, ile zysku mogą zarobić nasze aktywa, ale raczej to, czy gdy jakiekolwiek zewnętrzne ogniwo usług znajdzie się w ekstremalnej sytuacji, nadal zachowuję ostateczną inicjatywę odzyskania mojego kapitału principal?
Zachowaj ostateczną kontrolę nad aktywami we własnych rękach, a profesjonalistom pozwól zajmować się sprawami profesjonalnymi. To może być najbardziej godna uwagi wartość bezpieczeństwa niepowierniczego natywnego stakingu.
