Portfel oparty na passkey: co się stanie, gdy klucz zostanie przechwycony

Prawdziwe sieci Proof-of-Useful-Work mają system oceny jakości: jeśli twój wynik okaże się błędny, tracisz część stawki albo reputację. Dlatego nie ustawiaj od razu maksymalnego obciążenia. Zacznij od jednego zlecenia i porównaj czas wykonania z tym, co obiecuje dokumentacja. Typowy błąd to przegrzewanie sprzętu i brak limitów — karta pracująca non stop bez undervoltingu szybko się zużyje, a prąd zje cały zysk. Drugi błąd to ignorowanie opóźnień sieciowych: przy zadaniach wymagających szybkiej odpowiedzi liczy się nie tylko moc, ale i ping.

Walidacja tokena to proces sprawdzenia, czy token jest autentyczny, nie wygasł i został wydany przez zaufane źródło. Nie jest to jednak mechanizm uprawnień. Token może być w pełni poprawny, a mimo to jego posiadacz nie ma prawa zamrozić niczyjego salda. Mylenie tych dwóch rzeczy prowadzi do poważnych błędów w projektowaniu systemów.

Drugi krok to odbiór. Ciepło nie znosi magazynowania w nieskończoność — albo trafia do odbiorcy w momencie produkcji, albo jest marnowane, chyba że zbudujesz bufor wodny. Bufor o odpowiedniej pojemności pozwala przesunąć dostawę o kilka godzin i dopasować profil pracy koparki do profilu zużycia ciepła. To kluczowe, bo token sprzedany na ciepło, którego nie ma, to zwykłe zobowiązanie, nie zabezpieczenie.

Staking w tym modelu wygląda inaczej niż przy klasycznym proof-of-stake. Nie blokujesz tokenów, żeby losować bloki, tylko wnosisz kaucję za rzetelność. Jeśli wykonasz pracę źle lub nie dostarczysz wyniku na czas, kaucja może zostać częściowo zabrana. To zabezpieczenie przed oszustami, którzy wysyłają fałszywe dowody. Zanim zablokujesz środki, sprawdź, jak działają okresy wypowiedzenia i czy możesz wycofać kaucję w dowolnym momencie. Nie angażuj kapitału, którego nie możesz stracić.

Intencje to drugi filar. Zamiast wysyłać konkretną transakcję, mówisz, jaki efekt chcesz osiągnąć, a sieć solverów szuka najlepszej drogi. To utrudnia frontrunning, bo nie ma jednej oczywistej transakcji do wyprzedzenia. Ryzyko przenosi się gdzie indziej: solver widzi twoje zamiary i może je wykorzystać, jeśli nie ma konkurencji ani zobowiązania do ujawniania wyników. Typowy błąd to zakładanie, że „intencja" sama w sobie jest prywatna. Bez warstwy szyfrowania i bez wielu niezależnych solverów intencje stają się nowym, bogatszym w dane mempoolem.

Typowe błędy to przyjmowanie, że ważny token równa się ważne uprawnienie, oraz pomijanie sprawdzenia, czy token nie został unieważniony. Inny częsty problem to brak rozdzielenia ról: ten sam komponent waliduje token i jednocześnie decyduje o blokadzie. To utrudnia audyt i sprzyja obejściom. Bezpieczniej jest najpierw zwalidować token, a potem osobno sprawdzić uprawnienia na podstawie aktualnego stanu systemu, np. listy kontroli dostępu.

Frontrunning polega na tym, że ktoś obserwuje oczekujące transakcje i wciska własną przed nimi, żeby zarobić na zmianie ceny. W klasycznym modelu publicznego mempoolu każdy widzi twoją intencję, zanim trafi ona do bloku. I to jest źródło problemu, bo widoczna intencja to zaproszenie do wyprzedzenia. Zmiana tego stanu wymaga ukrycia lub rozmycia informacji o tym, co chcesz zrobić, zanim transakcja zostanie wykonana.

Klasyczne kopanie opiera się na powtarzalnym haszowaniu, które nie tworzy niczego poza bezpieczeństwem łańcucha. Coraz więcej sieci proponuje inny model: oddajesz moc obliczeniową, a zleceniodawca płaci za wykonaną pracę — trenowanie lub wnioskowanie modeli AI, generowanie dowodów zero-knowledge albo renderowanie. To nie jest kopanie w klasycznym sensie, bo liczy się nie liczba udziałów, lecz rzeczywisty wynik. Zanim wpłacisz cokolwiek, sprawdź, czy sieć ma realnych klientów, a nie tylko własny token.

Zamrożenie salda to operacja na stanie konta lub tokena. Wymaga sprawdzenia, kim jest wykonawca i jakie ma uprawnienia w danym momencie. Sam podpisany token mówi tylko, że ktoś kiedyś otrzymał go od wystawcy. Nie mówi, czy obecnie wolno mu blokować środki. Do tego potrzebna jest warstwa autoryzacji, która działa niezależnie od walidacji kryptograficznej.

Jeśli projektujesz taki mechanizm, zacznij od rozdzielenia warstw. Walidacja odpowiada na pytanie „czy token jest prawdziwy". Autoryzacja odpowiada na pytanie „czy wolno wykonać tę operację". Zamrożenie salda powinno przechodzić przez obie warstwy i dodatkowo logować, kto, kiedy i na jakiej podstawie zablokował środki. Tylko wtedy można mówić o realnej kontroli, a nie o złudzeniu bezpieczeństwa.

Zamrożenie salda wymaga dodatkowych pytań. Czy token został wydany dla właściwego systemu? Czy podmiot, który go wystawił, ma prawo zarządzać tym konkretnym kontem? Czy operacja nie narusza limitów? Czy nie wymaga potwierdzenia drugiej strony? Odpowiedzi nie wynikają z podpisu, lecz z reguł biznesowych i stanu systemu.