Прозрачный запуск токена: что проверяется в сети, а не на слово

В запуске токена почти вся разница между честным проектом и пустышкой — не в коде, а в том, что можно проверить со стороны. Разберу тулкит, построенный вокруг этого принципа.

Задача

Нужен повторяемый прогон от создания токена до листинга: ключи разложены по ролям и зашифрованы, шаги выполняются по порядку и продолжаются с места обрыва, а результат проверяется независимо.

Ключевое требование — прозрачность. Не «скрипт написал, что всё хорошо», а возможность взять адрес токена и убедиться самому.

Почему отдельный модуль проверки

Самая частая ошибка доверия в таких проектах: считать успехом то, что скрипт не упал.

Скрипт может отправить транзакцию, не дождаться подтверждения и отрапортовать успех. Может выполнить шаг частично. Может показать значение из своей памяти, а не из сети.

Поэтому в тулките есть отдельный модуль, который ничего не делает — только перечитывает состояние из сети заново и сравнивает с ожидаемым. Он не знает, что делали предыдущие шаги; он просто смотрит, что получилось.

После первого прогона проверка подтвердила: право выпуска отозвано, право заморозки отозвано, метаданные закреплены неизменяемыми, объём выпуска соответствует заявленному.

Эти четыре пункта — то, что любой человек может проверить сам перед покупкой. Если право выпуска не отозвано, владелец может напечатать сколько угодно в любой момент. Если право заморозки не отозвано, он может заблокировать чужие средства. Формально это не мошенничество, но покупатель должен знать.

Метаданные на постоянном хранилище

Деталь, которую почти всегда делают плохо.

Название, символ и изображение токена хранятся не в самой сети, а по ссылке. Ссылка часто ведёт на обычный сервер или бесплатный хостинг — и через год, когда оплата кончится, у токена пропадает имя и картинка.

Здесь метаданные публикуются на постоянное хранилище, где оплата вносится один раз за весь срок. Путь проверен на реальной публикации и годится для основной сети, а не только для тестовой.

Стоит это копейки и решает проблему, которая проявляется через год после того, как все о ней забыли.

Вестинг замками, а не ярлыками

Распространённый приём: разложить выпуск по нескольким кошелькам и подписать их «команда», «маркетинг», «резерв». В агрегаторах это выглядит как распределённое владение.

На деле ярлык ничего не гарантирует: средства на этих кошельках доступны владельцу в любой момент. Это оформление, а не ограничение.

Поэтому здесь вестинг сделан настоящими замками на смарт-контракте, с запретом досрочной отмены отправителем. Разница простая: в первом случае вы обещаете не продавать, во втором — не можете.

Для покупателя это проверяемо со стороны, и в этом весь смысл.

Три вещи, которые я делать отказался

Проект начинался с запроса, обёрнутого в образовательную рамку. Три момента я назвал прямо, и заказчик сам переключился на честный трек.

Кластер кошельков с рандомизацией под имитацию торговой активности. Это создание видимости спроса, которого нет. Отказался.

Дробление выпуска по кошелькам ради метрики держателей. Задача решается настоящим вестингом, который ограничивает по-настоящему.

Отправка на служебный адрес вместо сжигания. Заодно поймал распространённую ошибку: адрес из одних единиц — это системная программа, а не адрес сжигания. Сжигание делается отдельной инструкцией, и только она даёт проверяемый результат.

Смысл границы не в морализаторстве. Любой из этих приёмов обнаруживается анализаторами и сообществом, и обнаружение стоит дороже, чем не делать этого вовсе.

Что проверено, а что нет

Честный статус важнее красивого.

Проверено живым прогоном: создание токена, раскладка ключей, публикация метаданных, отзыв полномочий, независимая проверка состояния, полная стоимость запуска.

Не проверено вживую: вестинг замками, создание пула ликвидности и сжигание доли пула. Самая вероятная точка отказа — пул: там больше всего движущихся частей и внешних зависимостей.

Писать «тулкит готов» в такой ситуации было бы преувеличением. Готова первая половина, и она проверена по-настоящему.

О том, как читать подобные заявления в чужих проектах, писал в статье про реальные активы в токенах.

Ключи, разложенные по ролям

Часть, которая выглядит скучной и определяет, переживёт ли проект одну ошибку.

В наивной реализации один кошелёк делает всё: создаёт токен, держит выпуск, заводит ликвидность. Значит, компрометация одного ключа — это конец проекта.

Здесь ключи разложены по ролям и зашифрованы по отдельности: у создания токена свой, у ликвидности свой, у выплат свой. Роль получает доступ только к тому, что ей нужно на своём шаге.

Плюс к этому — возобновляемость прогона. Запуск состоит из восьми шагов, часть из которых необратима. Если четвёртый шаг упал, запуск продолжается с пятого, а не начинается заново — иначе повторный прогон создаст второй токен и потратит средства впустую. Состояние прогона пишется на диск после каждого шага именно для этого.

Частые вопросы

Что смотреть покупателю перед покупкой токена?

Четыре вещи: отозвано ли право выпуска, отозвано ли право заморозки, закреплены ли метаданные и где они лежат, есть ли настоящие замки на крупных долях. Всё это читается из сети без доверия к сайту проекта.

Сколько стоит запуск?

Сам технический запуск — доли монеты, то есть незначительные деньги. Дорого стоит всё остальное: ликвидность, сопровождение, листинги. Низкая цена входа и создаёт поток пустых проектов.

Зачем отзывать право выпуска, если я не собираюсь печатать?

Именно поэтому и отзывать. Пока право есть, ваше обещание не печатать — это слово. После отзыва это свойство токена, которое видно любому.

Можно ли вернуть отозванные полномочия?

Нет, и в этом смысл. Поэтому порядок шагов имеет значение: всё, что требует этих прав, делается до отзыва.

Почему первый прогон на тестовой сети, а не сразу в основной?

Потому что часть шагов необратима. Ошибка в основной сети стоит денег и не откатывается, а тестовая ведёт себя почти идентично. Прогон на ней стоит ноль и отлавливает всё, кроме различий в доступности сервисов.

Что самое дорогое в таком запуске?

Не техническая часть — она стоит доли монеты. Дорого стоит ликвидность в пуле и всё, что происходит после запуска. Низкая цена технического старта и создаёт поток проектов, у которых после запуска не остаётся ничего.

Коротко о главном

Прозрачность запуска — это не раздел на сайте, а набор свойств, которые читаются из сети посторонним человеком: отозванные полномочия, закреплённые метаданные на постоянном хранилище, настоящие замки вместо ярлыков.

И отдельный модуль проверки, который перечитывает состояние заново, — потому что «скрипт не упал» и «всё сделано» это разные утверждения.

Если разбираетесь в чужом проекте или готовите свой — скажу, что там проверяется со стороны, а что придётся принимать на веру. Напишите в Telegram, MAX или VK.