Otázky kolem centralizace Midnightu jsou oprávněné, nejzávažnější obvinění ale stále postrádají důkazy

Otázky kolem centralizace Midnightu jsou oprávněné, nejzávažnější obvinění ale stále postrádají důkazy

Obvinění týkající se struktury validátorů Midnightu, kontroly tokenů, administrátorských klíčů a produkčního softwaru nastolují legitimní otázky správy. Z důkazů přezkoumaných v tomto článku však nevyplývá, že by projekt byl podvodný nebo že by jeho validátoři tajně přešli na nezveřejněný uzavřený zdrojový kód.

Toto rozlišení je důležité. Síť může být spuštěna s centralizovanými kontrolními mechanismy a decentralizovat se později. Projekt může zveřejnit část svého softwaru a zároveň si ponechat soukromé komponenty. Ani jedna z těchto skutečností automaticky nepředstavuje pochybení. Obě by měly být jasně zveřejněny uživatelům, vývojářům a investorům.

Tvrzení připisovaná Justunu Bonsovi by měla být odkazována na původní příspěvek, rozhovor nebo dokument, v němž je pronesl. Materiály přezkoumané pro tento článek nezávisle neověřují každý citát ani každé konkrétní tvrzení, které je mu připisováno.

Co Midnight buduje

Midnight je blockchainový projekt zaměřený na soukromí, spojovaný se společností Input Output, kterou založil Charles Hoskinson. Jeho návrh má aplikacím umožnit uchovat vybrané informace v soukromí a zároveň uživatelům či aplikacím umožnit zveřejnit konkrétní skutečnosti, je-li to nutné.

Otázka soukromí nespočívá pouze v tom, zda jsou data skryta. Podstatné je, před kým jsou soukromá: před ostatními uživateli, validátory, provozovateli aplikací, veřejností, nebo před všemi? Model Midnightu je založen na selektivním zveřejňování, nikoli na předpokladu, že každá transakce je neviditelná pro každého účastníka.

Systém používá dvě hlavní aktiva:

• NIGHT, převoditelný token sítě, má podporovat ekonomické pobídky, správu a další síťové funkce.
• DUST je zdroj využívaný k úhradě nákladů na transakce a výpočty. Je navržen tak, aby oddělil spotřebu poplatků od přímého utrácení NIGHT a aby náklady aplikací byly předvídatelnější.

DUST by bez upřesnění neměl být popisován jako běžná druhá měna. Jeho úlohou je platit za síťové zdroje, zatímco NIGHT je převoditelné aktivum používané v ekonomickém modelu projektu.

Počáteční distribuce Midnightu byla úzce spojena s Cardanem. To neznamená, že NIGHT je stejným aktivem jako ADA, ani že Midnight je hlavním řetězcem Cardana. Znamená to, že části rané distribuce a uživatelské zkušenosti závisejí na aktivech, pravidlech a kontraktech založených na Cardanu, zatímco se rozvíjí vlastní síťová infrastruktura Midnightu.

Vzniká tím důležité rozlišení: vlastnictví tokenů není totéž co využívání sítě. Projekt může distribuovat velkou zásobu tokenů, a přitom mít omezenou transakční aktivitu, málo aplikací a malý počet nezávislých operátorů.

Užitečnými ukazateli proto nejsou jen počty distribuovaných tokenů NIGHT. Patří mezi ně aktivní uživatelé, transakce, nasazené aplikace, nezávislí validátoři a možnost přesouvat aktiva mezi Cardanem a Midnightem bez závislosti na malé administrativní skupině.

Otázka validátorů

Obvinění připisovaná Bonsovi popisují ranou síť Midnightu jako síť s omezeným přístupem, která se více blíží proof-of-authority než otevřenému systému proof-of-stake. Toto tvrzení je třeba propojit s příslušnou technickou dokumentací Midnightu a informacemi o stavu sítě.

Základní problém je přímočarý. Síť může začínat s omezenou sadou validátorů. Operátory může přijímat nadace, administrátor nebo řídící skupina, namísto aby se zapojovali otevřeným procesem stakingu. Takový přístup může pomoci s testováním, řízeným nasazením a reakcí na incidenty. Není však ekvivalentem otevřené sítě validátorů, v níž je účast za zveřejněných pravidel široce dostupná.

Slovo „validátor“ může zakrývat také několik odlišných kategorií:

• registrované nebo schválené operátory;
• operátory provozující infrastrukturu, kteří však nevytvářejí bloky;
• aktivní producenty bloků;
• plánované budoucí operátory; a
• signatáře správy či administrativy.

Pokud dokumentace Midnightu uvádí jedno číslo, zatímco aktivní je jen menší počet operátorů, projekt by měl pojmy definovat a zveřejnit aktuální sestavu. Počet schválených subjektů není totéž jako počet nezávislých subjektů, které v dané chvíli zabezpečují řetězec.

Důležitější otázkou je, co tito operátoři mohou dělat. Spuštění s omezeným přístupem nemusí být nutně problémem, pokud má veřejný plán přechodu, úzce vymezené pravomoci a jasnou cestu k širší účasti. Rizikem pro správu se stává tehdy, když jsou pravidla přijímání založena na uvážení, nouzové pravomoci jsou časově neomezené nebo projekt omezený systém prezentuje, jako by již byl bez povolení.

Administrátorské klíče vyžadují mapu kontroly

Tvrzení, že Midnight má deset administrátorských klíčů, není materiály přezkoumanými v tomto článku nezávisle doloženo. Pokud se tento údaj používá, článek by měl uvést zdrojovou dokumentaci a vysvětlit, co tyto klíče ovládají.

Samotný počet klíčů neurčuje míru rizika. Relevantní jsou tyto otázky:

• Mohou klíče zmrazit účty?
• Mohou cenzurovat nebo vracet transakce?
• Mohou měnit členství validátorů?
• Mohou aktualizovat software konsenzu?
• Mohou měnit zásobu tokenů nebo pravidla distribuce?
• Je vyžadován určitý práh podpisů?
• Jsou držitelé klíčů identifikováni nebo nezávisle auditováni?
• Zanikají jejich pravomoci automaticky?

Klíč používaný pouze k nouzovému pozastavení představuje jiné riziko než klíč, který může přepisovat zůstatky nebo jmenovat každého validátora. Midnight by měl zveřejnit mapu kontroly zahrnující každou administrativní roli, práh nutný k provedení akce, události umožňující zásah a podmínky, za nichž pravomoc zaniká.

Anonymní držitelé klíčů sami o sobě nepředstavují důkaz pochybení. Kryptografické systémy často chrání provozní identity. Anonymita ale snižuje odpovědnost v situaci, kdy tytéž klíče mohou měnit chování protokolu nebo ovládat aktiva uživatelů. V takové situaci jsou důležitější nezávislé audity, prahové podepisování a zveřejněné postupy.

Co pravidla NIGHT na straně Cardana mohou a nemohou dělat

Tvrzení, že NIGHT držený na Cardanu ovládá kontrakt nebo administrativní klíč schopný odcizit prostředky uživatelů, spojuje několik odlišných technických rizik. Bez příslušných pravidel pro aktivum Cardana, kódu kontraktu, identifikátoru pravidel a konfigurace podpisů by nemělo být uváděno jako skutečnost.

Nativní aktiva Cardana se řídí pravidly pro ražbu. Pravidla mohou podle svého nastavení a doby platnosti svých klíčů určovat, zda lze dodatečné jednotky razit nebo pálit. To se liší od obecné funkce založené na účtech, která by mohla svévolně převádět každý token držený uživateli.

Zda lze reprezentaci NIGHT založenou na Cardanu zmrazit, převádět nebo jinak omezovat, závisí na přesné implementaci. Samotná pravidla pro ražbu automaticky nedávají jejich držiteli pravomoc zabavit všechny existující zůstatky. Další pravomoci mohou zavádět samostatné skripty, bridge kontrakty nebo ovládací prvky aplikací, ty je však nutné posoudit jednotlivě.

Článek by proto měl rozlišovat mezi:

1. možností razit nové tokeny;
2. možností pálit tokeny;
3. možností zabránit převodům;
4. možností přesouvat tokeny držené kontraktem; a
5. možností aktualizovat nebo nahradit řídící kód.

Nejde o vzájemně zaměnitelné schopnosti.

Zásoba a distribuce NIGHT

Aritmetika uváděná v obviněních je správná:

• 8,4 miliardy z 24 miliard představuje 35 %;
• 3,66 miliardy z 24 miliard představuje přibližně 15,25 %.

Tato aritmetika však nedokazuje, že příděly jsou nevhodné.

Zveřejněné materiály Midnightu o distribuci tokenů popisují celkovou zásobu 24 miliard NIGHT a distribuční proces zahrnující Glacier Drop i další mechanismy. Celá zásoba by neměla být popisována, jako by byla prostřednictvím Glacier Drop přímo rozdělena žadatelům. Kategorie distribuce, pravidla způsobilosti, lhůty pro uplatnění nároku a nakládání s případnými nevyzvednutými tokeny musejí být uvedeny samostatně.

Velký příděl pro nadaci, treasury nebo ekosystém je u blockchainových projektů běžný. Podstatné je, zda se na tyto tokeny vztahují závazná omezení. Je nutné vědět:

• kdo právně ovládá každý příděl;
• zda jsou tokeny postupně uvolňovány nebo uzamčeny;
• kdy se stanou převoditelnými;
• zda jsou omezení vynucována kódem, nebo pouze pravidly;
• zda držitel může podmínky jednostranně změnit; a
• zda jsou pohyby z treasury veřejně vykazovány.

Tvrzení, že tokeny jsou vyhrazeny na partnerství, vývoj nebo růst ekosystému, není totéž jako uzamčení zakódované v systému. Pokud nadace nebo spřízněný subjekt může okamžitě přesunout celý svůj příděl, držitelé čelí riziku koncentrace a prodeje, i kdyby byl samotný protokol bezpečný.

Obvinění ohledně open source

Nejzávažnějším obviněním je, že validátoři 25. září přešli na uzavřený zdrojový kód a že produkční software neodpovídá žádnému veřejnému repozitáři.

Jde o ověřitelné tvrzení, předložené důkazy ho však nedokládají.

Důvěryhodné technické srovnání by vyžadovalo:

• přesné datum a časové pásmo;
• verzi řetězce;
• binární soubor validátoru nebo image kontejneru;
• kryptografický hash spuštěného softwaru;
• commit repozitáře, kterému má software odpovídat;
• způsob získání produkčního binárního souboru;
• podpisy nebo atestace od příslušných operátorů; a
• reprodukovatelné srovnání prokazující případné rozdíly.

Veřejný repozitář automaticky neznamená reprodukovatelný produkční software. Projekt může zveřejnit zdrojový kód, ale odložit vydání, neposkytnout pokyny k buildu nebo ponechat některé komponenty neveřejné. Naopak projekt, který propaguje síť jako open source, by měl vysvětlit jakýkoli neveřejný software validátorů, proprietární moduly nebo opožděné zveřejnění zdrojového kódu.

Pokud veřejná dokumentace Midnightu slibuje open-source implementaci sítě, významná změna by měla být zveřejněna. Důsledky jsou praktické: nezávislí operátoři nemohou ověřit, že provozují stejný kód, výzkumníci nemohou reprodukovat hlášené chování a uživatelé nemohou posoudit, zda síť řídí software, který jim byl představen.

Dokud nebudou nezávisle porovnány hashe, historie repozitáře a informace o buildu, zůstává tvrzení o tajném přechodu na uzavřený zdrojový kód neověřeno.

Omezení aplikací a transakcí

Tvrzení, že Midnight omezuje aplikace související s politickými dary, rovněž vyžaduje původní prohlášení a příslušný dokument s pravidly. Pokud takové omezení existuje, je důležité, na které vrstvě systému se nachází.

Zásadní rozdíl je mezi:

• pravidlem konsenzu, které transakci odmítne;
• pravidlem nadace, podle něhož nebude aplikace schválena;
• rozhodnutím poskytovatele peněženky o souladu s předpisy; a
• vlastními podmínkami používání aplikace.

Tyto kontrolní mechanismy mají rozdílné důsledky pro cenzuru a neutralitu. Midnight by měl uvést, která vrstva ukládá případné omezení, kdo ho může změnit, zda se týká všech uživatelů, nebo jen schválených aplikací, a zda je dočasné.

Příslib, že omezení bude po spuštění odstraněno, není časovým harmonogramem. Projekt by měl zveřejnit pravidlo, jeho právní nebo technický základ a podmínky pro jeho odstranění.

Co důkazy podporují

Dostupné materiály podporují užší závěr než nejzávažnější obvinění.

Midnight může mít legitimní důvody začít s omezenou sadou validátorů, administrativními kontrolními mechanismy a distribucí tokenů spojenou s Cardanem. Tato konstrukční rozhodnutí mohou podpořit řízené spuštění. Současně vytvářejí rizika centralizace, úschovy aktiv a realizace, která by měla být otevřeně zveřejněna.

Důkazy přezkoumané v tomto článku neprokazují, že validátoři Midnightu tajně přijali uzavřený zdrojový kód, že administrátorské klíče mohou odcizit prostředky uživatelů nebo že každé tvrzení připisované Bonsovi zaznělo v citované podobě. Tato tvrzení vyžadují primární dokumenty a technické důkazy.

Midnight by měl zveřejnit:

• aktuální sadu validátorů a pravidla přijímání;
• rozdíl mezi schválenými a aktivními validátory;
• úplnou mapu administrátorských klíčů a prahového podepisování;
• nouzové pravomoci a podmínky jejich zániku;
• pravidla NIGHT na Cardanu a související kontrolní mechanismy kontraktů;
• vlastníky přídělů, podmínky postupného uvolňování a pohyby z treasury; a
• informace o reprodukovatelných produkčních buildech softwaru validátorů.

Dokud tyto informace nebudou dostupné, měl by být NIGHT hodnocen jako síť v rané fázi se značným rizikem centralizace a realizace. Velký příděl tokenů není důkazem využívání sítě. Veřejný repozitář není důkazem reprodukovatelného produkčního softwaru. Plán decentralizace není decentralizací, která již byla uskutečněna.

Midnight se může vyvinout ve schopnou síť zaměřenou na soukromí. Relevantní otázkou dnes není, čím se projekt slibuje stát, ale které strany mohou síť měnit, přesouvat její aktiva, přijímat její validátory a určovat, jaký kód uživatelé skutečně používají.