Что такое кастодиальный риск?
Кастодиальный риск — это шанс потерять доступ к стоимости — или никогда её не вернуть — из‑за того, кто может авторизовать расход и как эта полномочность эксплуатируется. Кастодиальный риск — это не «монеты исчезли с цепи».
Определение
Кастодиальный риск — это шанс потерять доступ к стоимости — или никогда её не вернуть — из‑за того, кто может авторизовать расход и как эта полномочность эксплуатируется.
Простыми словами:
Кастодиальный риск — это не «монеты исчезли с цепи». Это риск того, что человек или система, которые могут двигать ваши монеты, отказывают, замораживают, лгут или оказываются обмануты — в том числе когда этот человек — вы сами.
Цена и плечо сидят поверх размещения. Кастодия решает, сможет ли весь стек ещё двигаться, когда он вам нужен. Вторая половина определения — риск пути: mark-to-market может выглядеть нормально, пока маршрут ухода с площадки уже сломан.
В торговле
Настоящий торговый вопрос
Для этой экспозиции, на этом горизонте, андеррайтю ли я сбой поставки контрагента или необратимый отказ оператора — и выдерживает ли размер, если этот путь сработает?
Отвечайте по каждой экспозиции. Переотвечайте после скачков размера и после near-miss. Одна слоган-формула на всю чистую стоимость — ловушка «только узнавания без измерения», которую эта страница оставляет позади.
Два полюса: противоположные режимы отказа
| Кастодиальная поверхность | Поверхность самостоятельного хранения | |
|---|---|---|
| Что вы держите | Требование к леджеру провайдера | Прямую spend-полномочность (или секрет, который её восстанавливает) |
| Кто может двигать | Стек ключей провайдера / внутренний контроль | Вы (и любой, кто получил секрет или живую сессию) |
| Основное семейство отказов | Платёжеспособность, мошенничество, взлом провайдера, политическая заморозка, остановка выводов, смерть в тикетах ops | Потеря сид-фразы, фишинг, плохая подпись, отправка в неверную сеть, непротестированное восстановление, одиночный bus-factor |
| После жёсткого отказа | Часто кредитор в процессе, а не «открыл app и отправил» | Цепь может ещё показывать адрес; контроль может быть потерян навсегда |
| Цена второго порядка | Пропустить хедж или выход недели, пока балансы всё ещё «отображаются» | Нет chargeback-стола для валидной вредоносной или ошибочной подписи |
Ни один полюс не безопасен. Они ломаются на разных часах и оставляют разный осадок.
Часы стресса (как ощущается «убыток»)
Кастодиальный путь. Сигнал → очередь, пока балансы ещё видны → lock / процесс требований → месяцы или годы формы recovery, которая может не восстановить тот же asset-path, который был нужен во время пропущенного движения.
Путь самостоятельного хранения. Ошибка действия или потеря устройства → часто необратимый ончейн-результат за минуты → суета, которую поддержка не откатит, если подпись была валидной → перманентный убыток, если секрет исчез.
Используйте часы, чтобы размечать размер экспозиций. Не оценивайте только репутацию бренда.
Спектр размещения (где сидят реальные продукты)
Большинство стеков — не чистая бинарность. Размещение — это линия:
Полный кастодиальный аккаунт → низкий постоянный кастодиальный баланс с рутинным внешним выводом → политически разделённый контроль (multi-sig / правила институционального vault) → wallet-first площадка (авторизуете вы) → офлайн cold с протестированным restore.
Движение вправо обычно срезает классический риск exchange-IOU и поднимает планку к вашему процессу. Движение влево покупает удобство и контрагентскую экспозицию. Multi-sig и vault-политики — не ореол: они меняют риск одного ключа на риск церемонии и governance. Wallet-first — не ноль: он меняет кредиторский риск на риск подписи, фишинга, сессии и контракта (таксономия контрактов → Что такое риск смарт-контракта?).
Дизайн экспозиции (одна работа на один дом)
| Экспозиция | Работа | Смещение дома | Ломается первой, когда… |
|---|---|---|---|
| Торговый float | Только ближайшие сессии | Площадка или горячий кошелёк, намеренно capped | Freeze, очередь, фишинг, плохое approval |
| Vault | Простой / многолетний | Cold или жёстко контролируемое самостоятельное хранение | Потерянный секрет, уничтожение в одной локации, никогда не тестированный restore |
| Ramp-буфер | Fiat in/out | Часто кастодиальные рельсы по необходимости | Compliance hold, weekend wire gap |
| Протокольный депозит | Earn / структурированная экспозиция | Контракты (+ иногда вложенные wrappers) | Эксплойт, freeze моста, скрытый второй кастодиан |
Гибрид срезает концентрацию. Он добавляет проблему координации: vault в порядке, но нет fee-токена на hot; площадка заморожена, но путь дозаправки никогда не репетировали; cold цел, но единственный, кто может восстановить, офлайн. Считайте координацию частью кастодиального риска, а не ops-послемыслием.
Размер, горизонт, зрелость (переменные, которые переворачивают tradeoff)
| Переменная | Как она меняет кастодиальную математику |
|---|---|
| Размер | Учебный баланс может рационально андеррайтить часть контрагентского риска. Life-changing размер делает очередь банкротства дороже дисциплины vault. |
| Горизонт | Внутридневной нуждается в uptime пути выхода. Многолетний — в прочности бэкапа. Event-недели нуждаются в отрепетированной миграции до события. |
| Зрелость процесса | Непротестированный restore значит, что vault у вас нет. Общий сид hot/vault значит, что в риск-математике vault — hot. |
Пересчитывайте, когда любая переменная скачет. Дефолты протухают.
Рабочие сцены (суждение, а не слоганы)
A — Учебный float на площадке.
Capped размер, который вы переживёте как долгое требование. Рационально. Отказ — масштабировать эту привычку, не меняя дом.
B — Простаивающий life-changing стек всё ещё за ежедневным логином.
Нет торговой работы, полный контрагентский clock. Фикс — спокойный план миграции и репетиция restore — не панический перевод во время run.
C — Vault крепкий, float скомпрометирован.
Cold не спасает торговую неделю, пока нет ограниченного пути дозаправки, который никогда не тащит vault-ключи в каждую browser-сессию.
D — Wallet-first float подписан сидом vault.
IOU-риск упал; риск операторской катастрофы вернулся. Архитектура выглядела как самостоятельное хранение; процесс всё ещё был в одном prompt от полного убытка.
Остаточные поверхности на wallet-first площадках
Пути самостоятельного хранения / wallet-first (включая площадки вроде edgeX) снижают риск «IOU на балансе компании», когда средства двигает ваша авторизация. Остаточные индикаторы, которые всё ещё важны:
- плохой payload / blind sign
- клонированный фронтенд
- постоянные approvals и устаревшие сессии
- UX-простои хоста или матчинга, которые блокируют доступ, даже когда ключи целы
- неверная сеть или bridge-рельс, пока другой explorer-view всё ещё «выглядит профинансированным»
- протокольный риск на любой депозитной ноге (handoff: риск смарт-контракта)
Если ваш чек-лист спрашивает только «это CEX?», вы всё ещё на старом индикаторе.
Мониторинг (что фальсифицировать)
Оценивайте каждую существенную экспозицию по фактам, которые можно проверить — не по бейджам.
| Монитор | Pass выглядит так | Fail выглядит так |
|---|---|---|
| Карта spend-полномочий | Вы можете назвать, кто может двигать эту экспозицию | «Ну, наверное app может» |
| Drill выхода | Недавняя небольшая off-platform отправка / restore на чистом устройстве | Никогда не тестировали; на надежде |
| Lock vs free | Вы знаете holds после security-изменений | Видимый баланс = предполагаемая ликвидность |
| PoR / бренд / страховка | Считаются только слабыми cues | Считаются make-whole |
| Yield на простаивающем кастодиальном | Вы знаете, что делают активы | APY как доказательство безопасности |
| Разделение ключей hot vs vault | Разные секреты, vault по умолчанию офлайн | Один сид на всё |
| Поверхность approval / сессии | Периодический revoke; least privilege | Unlimited allowances навсегда |
| Политика / юрисдикция | Вы знаете, что freeze возможен при платёжеспособности | «Платёжеспособен значит могу вывести» |
| Bus-factor | Два человека или задокументированная церемония там, где требует размер | Один путешественник, один ноутбук |
| Координация | Fee-token буфер + письменный stress-порядок движений | Идеальный vault, непригодный float |
Условные дефолты (начните здесь, затем подстраивайте)
- Если баланс болел бы как многолетнее требование → не оставляйте его как постоянный кастодиальный float.
- Если restore никогда не репетировали → не масштабируйте vault-экспозицию.
- Если hot и vault делят сид → оценивайте их как одну hot-поверхность.
- Если wallet-first заменил CEX IOU → в ту же неделю добавьте мониторы approval и фишинга.
- Если размер резко вырос → переделайте split, даже если продукты не изменились.
- Если только один человек может двигать vault-капитал life-changing размера → bus-factor уже в цене риска.
Дизайн-ходы
- Назовите работу экспозиции до выбора дома.
- Cap каждый дом на отказе, который переживёте (история требования vs история wipe).
- Отрепетируйте restore и небольшой внешний вывод до масштабирования.
- Держите vault-ключи вне ежедневных connect-prompt.
- Предпочитайте wallet-first для активного торгового капитала, когда можете держать гигиену подписи и площадка подходит стилю.
- Держите намеренный ramp-буфер, чтобы дисциплина vault не сталкивалась с внезапной fiat-нуждой.
- Один раз в спокойствии напишите короткий stress-порядок операций; обновляйте после инцидентов и скачков размера.
Не путайте с
- Ценовой риск — mark может двигаться, пока контроль цел; контроль может умереть, пока mark в порядке.
- Риск смарт-контракта — соседний на протокольных депозитах; другой индикатор.
- Риск ликвидности — нельзя выйти размером на рынке ≠ нельзя авторизовать движение; связано, но не тождественно.
- KYC — политика доступа; может взаимодействовать с freeze; не определение кастодии.
- PoR / страховые бейджи — cues и контракты с caps, не доказательство своевременного личного вывода.
- Маркетинг «non-custodial» — проверьте, авторизует ли расход всё ещё ваш ключ, или между вами и сеттлментом всё ещё сидит внутренний леджер.
- Multi-sig / vault-политика — дизайн кастодии с риском церемонии, не автоматическая безопасность.
- Wallet-first — меняет, какой отказ вы андеррайтите; не удаляет индикатор.
Поделиться
%22%3E%0A%3Cg%20id%3D%22Vector%22%3E%0A%3C%2Fg%3E%0A%3Cpath%20id%3D%22Vector_2%22%20d%3D%22M16.019%200.266683H19.0858L12.3853%208.17352L20.2669%2018.9334H14.0959L9.26187%2012.407L3.7315%2018.9334H0.661664L7.82766%2010.4758L0.266927%200.266683H6.59486L10.9643%206.23078L16.0179%200.266683H16.019ZM14.941%2017.0376H16.6404L5.67179%202.06208H3.8479L14.941%2017.0376Z%22%20fill%3D%22%23808080%22%2F%3E%0A%3C%2Fg%3E%0A%3Cdefs%3E%0A%3CclipPath%20id%3D%22clip0_0_97%22%3E%0A%3Crect%20width%3D%2219.2%22%20height%3D%2219.2%22%20fill%3D%22white%22%2F%3E%0A%3C%2FclipPath%3E%0A%3C%2Fdefs%3E%0A%3C%2Fsvg%3E%0A)
Похожие статьи
Готовы к следующему шагу?
Перейдите к регистрации или торговле с этой страницы по официальным ссылкам.
Отказ от ответственности
Этот материал носит исключительно образовательный характер и не является инвестиционной рекомендацией. Торговля цифровыми активами и деривативами связана с риском. Перед началом торговли убедитесь, что понимаете продукты, и учитывайте свои обстоятельства.
