Liquidación y confianza
Liquidación, custodia y prueba de reservas
El dinero se retiene antes de que se realice el trabajo y se libera en el instante en que se verifica — el mismo invariante en ambos rieles, así que el saldo de un comprador nunca puede superar lo financiado y un vendedor nunca queda sin cobrar. Así es como se custodia el valor, cómo se mantiene honesta la paridad, y por qué ninguna parte puede mover tu depósito en custodia por sí sola.
Cómo se mueve un pago
El ciclo de vida completo de un solo contrato, de principio a fin — retener, verificar, liquidar, anclar:
Dos rieles, una misma cifra en custodia
Elige el riel por contrato; el monto retenido es idéntico en ambos casos:
- El libro de créditos — liquidación instantánea, sin comisión, síncrona. Los créditos son reclamos prepagados respaldados por una reserva publicada; la mayor parte del trabajo se compensa aquí.
- Custodia en USDC en Solana — custodia de confianza mínima para cuando una contraparte quiere los fondos retenidos en cadena. La bóveda pertenece al programa y solo puede pagar contra un veredicto firmado y verificado.
El valor real cruza a la cadena solo en dos membranas — depósito y liquidación externa. Todo lo interno se compensa en el libro contable sin comisión. El USDC transporta valor; SOL solo es gas.
Modos de custodia — quién tiene las claves
En el riel en cadena, cada parte elige cómo se custodia su lado:
- Libro de la plataforma (predeterminado) — la tesorería de la plataforma custodia ambos lados y el valor se compensa en el libro de créditos interno. No se retienen claves de usuario.
- Trae tu propia billetera — conecta Phantom, Solflare o Backpack con un clic (o pega una dirección); los pagos van a la billetera que tú controlas. Autocustodia total; no se retiene ninguna clave por ti.
- Custodial — una billetera en poder de la plataforma (cifrada en reposo). Desactivado por defecto: retener claves de usuario es una actividad regulada que no habilitamos hasta que esté auditada y respaldada por hardware.
El destino del pago queda fijado en el momento en que se financia el depósito en custodia, y se vuelve a leer del registro en cadena al momento de la liquidación — así que cambiar una configuración a mitad del contrato nunca puede redirigir un depósito en custodia que ya está en curso.
Prueba de reservas — la paridad, demostrada, no declarada
Los créditos son un instrumento prepagado respaldado por una reserva, no un préstamo fraccionario. La paridad no es una cifra que afirmamos; es una reserva que puedes comprobar. Comprometemos el pasivo total en créditos pendientes contra la reserva de USDC en cadena y lo publicamos — solo de forma agregada, sin datos personales — en una página en vivo, actualizada cada hora, de prueba de reservas, con un historial de solo adición.
Es verificable en ambos lados: la reserva frente a todos los créditos, y un árbol Merkle de suma de los saldos por cuenta para que puedas verificar que tu propio saldo está incluido en el total (una comprobación de «verificar mi saldo» en la página de reservas). Quedan dos advertencias honestas: son datos autopublicados en cadena, y los créditos no son un depósito asegurado — sin cobertura FDIC/SIPC. Consulta los Términos.
El certificado de decisión — la puerta de la liquidación
Un pago no se mueve por una instrucción sin más. El dinero se libera solo contra un certificado de decisión firmado y canónico que vincula el pago a las reglas exactas fijadas (el spec del evaluador), la evidencia, el monto y el destinatario. Cambia cualquiera de esas entradas y el certificado deja de verificarse — así que una sola clave no puede autorizar un pago arbitrario, redirigir uno ya liquidado, ni extender una autorización caducada. El certificado es lo que exige la liquidación, aplicado de la misma forma fuera de la cadena en la aplicación y en la cadena en el programa de custodia.
- Quórum de comité m de n — la liquidación puede requerir varias firmas independientes, no una sola. El conjunto de firmantes autorizados se compromete dentro del propio certificado (una raíz del comité), así que quién puede firmar forma parte de lo que se está demostrando.
- Ventana de impugnación optimista — un pago propuesto puede liquidarse provisionalmente bajo un período de disputa, durante el cual cualquiera puede impugnarlo con una fianza antes de que se finalice (ver Arbitraje).
Sin salida unilateral
En el riel compartido, los fondos en custodia residen en una bóveda propiedad del programa que solo paga contra un veredicto firmado y verificado — ninguna de las partes puede irse con el dinero, y nosotros tampoco. Combinado con reglas fijadas (un contrato se juzga según el evaluador comprometido al firmar) y el anclaje del veredicto (un resultado decidido es un registro de escritura única), la garantía es estructural: la plataforma sostiene la garantía, no la relación — que es exactamente lo que te permite transactar con un desconocido.
La autoridad para cambiar las reglas sobre el programa de custodia está a su vez protegida detrás de un multisig de 3 de 5 y un bloqueo temporal en cadena de 48 horas (Squads, en vivo en devnet) — así que ninguna parte puede reescribir en silencio la lógica de aplicación sobre valor bloqueado; un cambio es multiparte, con demora temporal, y visible. Ver Reglas y gobernanza.
A prueba de manipulación, en más de una cadena
Un veredicto decidido se ancla como un compromiso compacto y de escritura única — el spec del evaluador, la raíz de la evidencia, y el veredicto; sin PII, sin dinero — así que un resultado liquidado no puede volver a calificarse en silencio. El anclaje es multicadena para una evidencia de manipulación más sólida: Bitcoin (en vivo y gratis, vía OpenTimestamps — sin necesidad de billetera), Ethereum (implementado), junto con Solana.
Estado honesto
El producto funciona hoy sobre el libro de créditos interno, que transporta valor real, y la prueba de reservas y el anclaje en Bitcoin están en vivo. La custodia en USDC en cadena y la puerta del certificado están desplegadas y verificadas en Solana devnet, y sin auditar; liquidar dinero real en cadena a escala está condicionado a una auditoría de terceros. El multisig más el bloqueo temporal sobre la autoridad de actualización está probado en devnet (3 aprobaciones alcanzadas, ejecución bloqueada por el bloqueo temporal), y el anclaje en Ethereum está implementado pero aún no financiado. Decimos cuál de estas cosas es cierta en lugar de dar a entender la más fuerte — el registro completo está en la página de Confianza y verificabilidad.