Confiança e Segurança
Sailfish é projetado para que nenhuma parte isolada possa mover fundos de usuários unilateralmente. Cada transição de estado requer uma assinatura de limiar verificada do Echo, e toda liquidação é aplicada por validadores on-chain de Cardano.
Autocustodial
Os ativos permanecem sob o controle do usuário durante todo o processo de negociação. Não há depósito em um endereço controlado pela exchange. As contas Sailfish espelham o modelo de custódia das Smart Accounts Pond — as mesmas garantias de autocustódia se aplicam.
Cada lote de mudanças de saldo requer uma assinatura criptográfica da rede de consenso Echo. Nenhum participante isolado, e nenhum subconjunto abaixo do limiar, pode produzir uma assinatura válida.
Verificação On-Chain
A liquidação acontece na L1 de Cardano, onde os validadores on-chain verificam independentemente:
- A assinatura Echo é válida e de uma chave de consenso atual
- A contagem de membros atende ao limiar necessário
- As transições de saldo correspondem ao snapshot assinado
- O estado não expirou
Nenhuma alegação off-chain é aceita como verdade absoluta. Os validadores reconstroem os saldos a partir das entradas e saídas reais da transação, depois confirmam que a assinatura Echo cobre exatamente o que foi reconstruído. Qualquer desvio entre o que a rede Echo assinou e o que a transação realmente faz causa a falha da liquidação.
Este modelo de verificação é conceitualmente semelhante a como rollups de validade funcionam em outras chains — em vez de assumir otimisticamente a correção e depender de provas de fraude, Sailfish verifica a correção no momento da liquidação.
Auto-Retirada
Se o Sailfish ou a rede Echo ficarem indisponíveis, os usuários não ficam bloqueados de seus fundos. Um processo de auto-retirada com bloqueio temporal permite que os usuários recuperem seus ativos diretamente em Cardano, aplicado inteiramente on-chain.
Este é um processo de duas etapas:
- Iniciar a retirada — o usuário sinaliza seu intent de retirada. Um período de bloqueio temporal começa.
- Completar a retirada — uma vez que o bloqueio temporal tenha decorrido, o usuário recupera seus fundos assinando uma transação diretamente. Nenhuma cooperação de qualquer operador é necessária.
Este mecanismo de saída serve ao mesmo propósito do protocolo de contestação do Hydra e das saídas de emergência encontradas em designs de rollup — ele garante que a segurança dos fundos dos usuários dependa, em última instância, da L1 de Cardano, não da disponibilidade de qualquer serviço off-chain.