למה non-custodial staking נכשל במשיכה
תרחיש קלאסי: הוולידטור הוקם, הנכסים הופקדו ב-non-custodial staking, התגמולים נצברים חודשים. אבל ברגע שצריך למשוך כספים או לצאת מהוולידטור, אין מי שיחתום: המפתחות ותפקידי החתימה מרוכזים לנקודה אחת — מכונה אחת, תיקיית מפתחות אחת, מנהל אחד עם גישה אליה.
רשת Ethereum ורשתות אחרות עם מפתחות חתימה ומשיכה נפרדים דורשות הפרדה פורמלית ביניהם. בפועל, מפתח האישורים, מפתח היציאה ומפתח המשיכה נמצאים במאגר אחד ונפתחים בחשבון אחד. כל עוד הרכב הצוות לא משתנה, הסכמה עובדת ללא הערות.
היא נשברת ברוטציית משמרות, שלילת גישה ממהנדס חיצוני או אובדן גישה למאגר: נקודת כשל יחידה של החתימה הופכת לחסימת משיכת נכסים. עם זאת, הנכסים עצמם רשומים ביתרה ונראים זמינים — בדיוק עד הניסיון הראשון לצאת מהוולידטור.
המחיר של שבירה אינו רק זמן השבתה. הוולידטור ממשיך לספוג קנסות על אישורים שהוחמצו, והשחזור מתבצע דרך ניתוח לוגים, הרכבת מפתחות מגיבויים וסנכרון מחדש. הסיכון של אחסון בידי אחר מתבטא לא כגניבה, אלא כחוסר יכולת לעשות שימוש במה ששלך.
נפרט איך זה נסגר: תפקידי החתימה מפוזרים בין מתחמים שונים, הגישה ניתנת לפי סכמת סף, והיציאה מהוולידטור מוצאת לנוהל נפרד עם בדיקה ברשת בדיקה.
מה משתנה אחרי הפרדת מפתחות ונכסים
אחרי הפרדת מפתחות ונכסים משתנה לא רק מודל הגישה, אלא גם סט הפרמטרים המדידים שלפיהם בודקים את איכות ההטמעה. מפתח החתימה נשאר בידי המחזיק, וחשבונאות הנכסים מתנהלת בנפרד — השירות לא יכול לעשות שימוש בכספים, גם אם התשתית שלו נפרצה לחלוטין. זו נקודת הבדיקה הראשונה: אם היכולת הטכנית לחתום על משיכה בלי הבעלים נשמרת, ההפרדה לא בוצעה.
הבא בתור — תפקידי החתימה. פעולות יומיומיות, משיכת תגמולים וריבלנסינג נסגרות במפתח חם עם מדיניות מוגבלת, ואילו החלפת סט ולידטורים, פרמטרים או כתובות יעד דורשת מפתח קר וקוורום. סכמת סף מפזרת את החלקים בין מחזיקים בלתי תלויים, ולכן מכונת חתימה אחת שנפרצה לא מספיקה.
הנקודה השלישית — זמן שחזור הגישה. חלקי גיבוי נשמרים אצל צדדים שונים ונאספים לפי נוהל מתואר: השחזור אורך עשרות דקות ואינו תלוי בתפקוד של צומת בודד או בהתכתבות עם התמיכה. זה נבדק בתרגול — לפני שזה יידרש בתקלה.
לבסוף, איזו קטגוריית כשלים נעלמת. שכבה שלמה נעלמת: הקפאת משיכה, סירוב לחתום, אי-זמינות של מחזיק הנכסים, מחלוקת על מי הבעלים של הכספים. נשארים רק כשלים שקשורים למפתחות שלך וללוגיקת החוזה — סט צר וצפוי.
המשיכה מפסיקה להיות פעולה ידנית: הבקשה עוברת במסלול ידוע, וחלון המשיכה נמדד בדקות ואינו תלוי בלוח הזמנים של אחר.
פורמטים של non-custodial staking והמגבלות שלהם
non-custodial staking עוסק בראש ובראשונה בשאלה מי מחזיק במפתחות, ולא מי מפעיל את החומרה. גם במקרה של האצלה, הנכסים לא עוברים ליתרת השירות: רק הבעלים יוזם משיכה.
אבל הזכות לנהל את החלק והשליטה על תפקודו הם דברים שונים, ומכאן מתחילה הסתעפות: מי מחזיק בצומת ברשת, מי אחראי לזמינות שלו ומה קורה לחלק בזמן תקלה או חיוב קנס.
כדאי להשוות פורמטים לפי שלושה צירים — היכן נשמרים המפתחות, מי אחראי לתפקוד הצומת ובאיזו מידה אתה שולט בפרמטרים שלו. להלן חלופות שבהן באמת בוחרים בהתחלה.
| אפשרות | מתי מתאימה | מגבלות |
|---|---|---|
| פול ולידטורים | צריך להיכנס מהר, בלי תשתית משלך, מפתחות נשארים בידי הבעלים | אתה לא משפיע על עמלת הפול, הרכב הוולידטורים ולוח העדכונים שלהם; סף הכניסה מינימלי, וגם השליטה — בהתאם |
| מפעיל צומת | אין צורך בחומרה משלך, אבל נדרשים פרמטרים ייעודיים ודיווח | תלות במפעיל אחד: זמן ההשבתה שלו או שינוי מדיניות משפיעים ישירות על החלק שלך |
| ולידטור משלך | היקף הנכס ודרישות השליטה מצדיקים הפעלה | סף כניסה מלא: שרתים, גיבוי, ניטור, עדכונים, תורנויות, סיכון חיוב קנס על החמצות |
סף הכניסה הוא המפריד העיקרי בין הפורמטים האלה. ולידטור משלך משמעו תורנויות מסביב לשעון, צומת שנייה לגיבוי קר ונוהל עדכון מתורגל בלי להחמיץ סיבובי הצבעה. פול מסיר מהמשוואה את התפעול לחלוטין, אבל יחד איתו נעלמת גם ההשפעה על הפרמטרים. מפעיל צומת הוא פשרה, שבה חלק מהאחריות נשאר על הקבלן.
מגבלות הארכיטקטורה חשובות יותר מתשואה: ככל שיש פחות שכבות ביניים, כך נמוך יותר הסיכון לאבד גישה לנכס, אבל גבוהה יותר העומס ההנדסי. נפרט איך להתאים את האיזון הזה לתרחיש שלך.
שלבי הטמעה: מביקורת מפתחות ועד מסירת נהלים
non-custodial staking נשבר לא במתמטיקה, אלא בארגון הגישה למפתחות. אנחנו מובילים הטמעה כרצף של צעדים בני בדיקה: קודם מתעדים איך בנויה הבעלות כיום, אחר כך מתכננים את סכמת החתימה לפי מודל האיומים של הלקוח, ורק אחר כך כותבים קוד. כל שלב נסגר בארטיפקט שאפשר לבדוק לפני המעבר לשלב הבא.
- ביקורת מפתחות. עורכים מלאי של כל המפתחות והחלקים: היכן נוצרו, היכן נשמרים, מי מקבל אליהם גישה, האם יש עותקים מחוץ למתחם. התוצר — מפת בעלות ורשימת פערים בין המודל המוצהר והמודל בפועל.
- סכמת חתימה. בוחרים תצורת סף: כמה חלקים דרושים לפעולה וכיצד הם מחולקים בין הצדדים. משתתף או צומת אחד שנפרץ לא יכול למשוך כספים לבדו.
- הגדרת תפקידים. מפרידים בין יוזם הפעולה, החותמים והצופה, קובעים מגבלות וחלונות זמן. הפעולות נכנסות ליומן בלתי ניתן לשינוי — מצבים שנויים במחלוקת נבחנים לפי עובדות, לא לפי התכתבות.
- בדיקת משיכה. מריצים תרחישים בסכומים קטנים: משיכה שגרתית, משיכה כחלק מהחותמים אינם זמינים, ניסיון פעולה מחוץ למגבלה. מוודאים שהחזרה לאחור לא משאירה את הכספים במצב תלוי ועומד.
- ניטור צמתים. מקימים בקרה על ולידטורים והאצלה: בלוקים שהוחמצו, ירידת תשואה, פערי יתרות. התראות מגיעות לפני שהבעיה הופכת להפסד.
- מסירת נהלים. מוסרים תיעוד: סדר חלוקת החלקים, רוטציה, פעולות בזמן אירוע, תחומי אחריות. מדריכים את צוות הלקוח במתחם בדיקה.
מה נשאר אצלך: תצורות, תרשימים, מדיניות, נהלים
פיתוח non-custodial staking לא מסתיים בהרצת דמו, אלא בתיקיית ארטיפקטים במתחם שלך. אנחנו מוסרים לא "קופסה שחורה", אלא תיאור של המערכת בצורה שבה המהנדס שלך או קבלן אחר יוכלו לתחזק אותה: תרשימים, מדיניות, תפקידים, נהלים ונהלי שחזור.
- תרשימי אינטראקציה בין הרכיבים — מי מחליף נתונים עם מי, היכן עוברים גבולות האמון, איך בנוי מסלול הפעולה מיוזמה ועד אישור ברשת.
- מדיניות גישה — אילו מאגרי מפתחות משמשים, מי ובאיזה ממשק יוזם פעולות, איך ניתנת ואיך נשללת גישה.
- מטריצת תפקידים — טבלת "פעולה × תפקיד": מה מותר לתורנאי אחד, מה דורש חתימה שנייה, מי בעל ההחלטה.
- תצורות בגרסאות מנוהלות — פרמטרים של הצומת, כללי ניטור, תבניות פריסה: הסביבה עולה באופן משוחזר, לא "לפי הזיכרון של המהנדס".
- נהלי תגובה — החמצת אישור, נפילת צומת, פער מול הרשת, פגיעה במפעיל: סדר פעולות, תחום אחריות, זמן תגובה יעד.
- תיעוד ויומן שינויים — הוראות פריסה מאפס, תזכורת לתורנאי, נוהל משיכת כספים ויציאה מוולידציה בלי מעורבות הקבלן.
- רשימת בדיקה לקבלה — כולל שחזור בדיקה בסביבה נקייה: עד שהמהנדס שלך לא הקים את המערכת בעצמו, המסירה לא נחשבת להסתיים.
מקרה בוחן: הפרדת תפקידי חתימה ומשיכת נכסים בלי מתווך
הלקוח — מפעיל ולידטורים שהקים non-custodial staking עבור כמה עשרות ארנקים. מפתח החתימה ומפתח המשיכה נמצאו באותו מאגר תחת אותו תפקיד, ולכן כל פעולה בנכסים עברה דרך מתווך, ומהנדס עם גישה לחתימה יכול היה טכנית ליזום משיכה. הנה מה שהראו המדדים לפני ואחרי הפרדת התפקידים ברשת Ethereum.
מדדים לפני ההטמעה
משיכת נכסים נמשכה בין יומיים לשלושה: הבקשה עברה למתווך, אישור המתין באופן ידני, וחלק מהפעולות נתקעו עד יום העבודה הבא. ברבעון תועדו 5-6 אירועי חתימה — מחתימה כפולה על אותו סט נתונים ועד ניסיון משיכה מכתובת שלא אמורה להיות נגישה. שחזור גישה אחרי החלפת מהנדס התארך לימים ותלוי בשאלה אם המתווך יענה.
מה שינו ומה נהיה
הפרידו מתחמים: מפתח החתימה נשאר על הוולידטור בסגמנט סגור, מפתח המשיכה עבר למאגר נפרד עם סכמת סף 2 מתוך 3 — החלקים אצל מחזיקים שונים, ואפשר להרכיב חתימת משיכה רק בשיתוף.
כעת משיכת נכסים נמשכת 15-25 דקות בלי מתווך ואישורים ידניים, ואירועי חתימה בתקופה דומה לא נותרו: כל סט נתונים עובר יומן עם שיוך לתפקיד ולפעולה, ונפסל לפני חתימה אם לא תאם לתבנית.
רוטציה של מפתח החתימה כבר לא נוגעת במתחם המשיכה — מפתח שנפגע מוחלף בתוך שעה, והכספים נשארים בידי הבעלים. שחזור גישה מוסדר בנוהל של שעה, כי החלקים נשמרים אצל אנשים שונים ואינם תלויים באדם אחד.
במה שונה אחסון מפתחות נפרד מריבוי חתימות?
אחסון נפרד עונה לשאלה מי רשאי לנהל את הכספים, ואילו חתימת סף — כמה מחזיקים דרושים כדי שהחתימה תתקיים. במודל הראשון לכל משתתף יש מפתח שלם משלו, והכלל נבדק לפי רשימת חותמים קבועה. במודל השני המפתח מפורק לחלקים: לחתימה מספיק מספר סף שלהם, ואף צומת לא רואה את המפתח כולו.
ריבוי חתימות שקוף: רשימת החותמים והסף גלויים, אפשר לפרק פעולה בדיעבד ולראות איזה קול חוסם אותה. המגבלה — המפתח נשמר כולו בידי הבעלים, ולכן פגיעה במכונה אחת מאפשרת פעולות בשם משתתף לגיטימי: הסף מגן על הקופה, אבל לא על הקול עצמו. היקף החישוב לבדיקת חתימות גדל עם מספר החותמים.
חתימות סף מסירות את שתי המגבלות: חלק לא מאפשר לחתום לבד, המפתח לא מורכב באף תהליך, ולרשת נשלחת חתימה קומפקטית אחת בלי תלות במספר החלקים.
את החלקים מפזרים בין מודולים חומרתיים לחתימה אצל ישויות משפטיות שונות ובמתחמים שונים — המודול מחזיר רק את תוצאת החישוב, ואי אפשר לחלץ ממנו את החלק.
הגבול עובר حسب תחומי האחריות. את השאלה מי אחראי לפעולה ואיך זה מאושר לביקורת פותרים באחסון נפרד ובריבוי חתימות עם רשימה מפורשת. את השאלה של ביטול נקודת כשל יחידה — בסכמת סף. בפועל משלבים ביניהם: חלקים במודולים חומרתיים של ארגונים שונים בתוספת חוזה שמקבע מגבלות ותחומי אחריות.
שאלות טכניות נפוצות על הטמעת סכמת חתימה
לפני שמאשרים תוכנית עבודה, צוותי הנדסה שואלים את אותה קבוצת שאלות: היכן חי מפתח החתימה, מה יקרה לנכסים אם צומת נכשל והאם אפשר להעביר כספים שכבר הופקדו בלי לצאת מהאקטיבציה. להלן תשובות קצרות; פירוט מפורט עם תצורות יגיע בשלב התכנון.
מי מקבל גישה למפתח החתימה?
המפתח נוצר בצד הלקוח ולעולם לא מורכב כולו: החלקים מחולקים בין המשתתפים לפי סכמת סף, והחתימה נוצרת רק בהסכמה של מספר מחזיקים מוגדר. הצוות שלנו מגדיר את הנוהל ואת הביקורת, אבל לא מקבל אפשרות לנהל את הכספים לבדו או להחליף את כתובת המשיכה.
מה יקרה אם מפעיל הצומת יסרב?
החלפת חתימה ויציאה מתוכננת מהאקטיבציה מבוצעות במפתחות נפרדים שנשארים בידי הלקוח. כשל חומרה מוביל להחמצת חובות ולקנס רשת, אבל לא לאובדן נכסים: הצומת עולה ממצב שמור, ובזמן השבתה ארוך הנכס נמשך ומוחזר לפעולה בלי לחץ.
איך מעבירים נכסים שכבר הופקדו?
אם הסכמה הנוכחית מאפשרת החלפת כתובת ניהול, מעבירים את השליטה לכתובת חדשה שנבנתה לפי סכמת סף — הנכסים ממשיכים לעבוד, ולא נדרשת משיכה מלאה. כשהשליטה קשורה באופן נוקשה לקסטודיאן, מתכננים מחזור יציאה והפקדה מחדש עם חלון השבתה שבו התגמולים לא נצברים.
הספקות האלה נסגרים לפני ההרצה הראשונה — עליהם נבנית תוכנית הגירת נכסים וחלוקת אחריות בין הצדדים.נדון בסכמת אחסון המפתחות ותפקידי החתימה שלך
הערכה של משימה כזו לא נעשית "בעין" — היא נגזרת מהסכמה הנוכחית שלך. לכן מתחילים בניתוח: היכן נשמרים מפתחות הוולידטור, מי יוזם חתימה, איך מחולקים תפקידי המפעיל ובעל הכספים, מה קורה ביציאה מסטייקינג ובאיזו מידה ספי חתימה (למשל 2 מתוך 3) מתאימים לפרופיל הסיכון שלך. בסוף הניתוח נחזור עם הערכה, תוכנית עבודה וסדר מסירה לתפעול.
מה נשאר בידיים שלך אחרי השלב הזה:
- ניתוח הסכמה הנוכחית לאחסון מפתחות וחתימה: מתחמים חמים וקרים, מי בעל גישה, היכן נקודת הכשל היחידה.
- הערכת הסכמה ותפקידי החתימה: אילו תפקידים דרושים לפרופיל הסיכון שלך, היכן כדאי להפריד, והיכן המבנה הנוכחי מיותר.
- תוכנית הטמעה בשלבים עם תלויות ביניהם — מה אפשר להעלות בחלקים בלי לעצור ולידטורים פעילים.
- סדר עבודה ותחומי אחריות: מה אנחנו סוגרים, מה נשאר בצד שלך ובאילו לוחות זמנים.
- סדר מסירה לתפעול: נהלי חתימה ורוטציה, נוהל שחזור גישה, קבלה והדרכת הצוות שלך.
- רשימת נתוני פתיחה להתחלה: סכמת תפקידים, גישות למתחמים, אחראים על חתימה מצד הלקוח.
כדי לחזור עם הערכה ולא עם מילים כלליות, תארו את המשימה: כמה ולידטורים, איך נשמרים המפתחות сейчас?