Rollup ottimistici contro conoscenza zero, sette giorni di attesa contro pochi minuti

Il pulsante di prelievo è identico sulle due reti e la conferma arriva con la stessa rapidità. Cambia la riga scritta sotto: da una parte i fondi risultano disponibili sulla catena principale nel giro di qualche minuto, dall’altra compare una data che cade sette giorni più tardi.

Non è una scelta commerciale né una misura contro le frodi. È la conseguenza diretta del modo in cui ciascuna architettura dimostra che un lotto di transazioni eseguite altrove è valido. Una lo afferma e lascia una finestra aperta perché qualcuno la smentisca, l’altra allega una dimostrazione che un contratto verifica prima di accettare il risultato.

Il confronto che segue riguarda la meccanica, non i numeri dichiarati nelle presentazioni. E arriva dove arriva qualunque analisi onesta di questi sistemi: oggi il rischio maggiore non sta nella matematica di nessuno dei due modelli, ma in chi ordina le transazioni e in chi tiene le chiavi dei contratti.

Le differenze che pesano nella pratica

• La prova. Un modello pubblica un risultato e attende una contestazione, l’altro allega una dimostrazione matematica a ogni lotto.
• L’attesa. Sette giorni di finestra contro il tempo necessario a produrre e pubblicare la prova, nell’ordine dei minuti o delle ore.
• Il calcolo. Nel primo caso il lavoro pesante si esegue solo in caso di lite, nel secondo si esegue sempre e richiede macchine dedicate.
• Le ipotesi. Uno richiede almeno un osservatore onesto capace di farsi includere, l’altro richiede che il circuito e la sua implementazione siano corretti.
• Il punto in comune. Sequencer unico e chiavi di aggiornamento pesano più della distanza fra le due architetture.

Che cosa fa un rollup, prima di ogni distinzione

Un rollup esegue le transazioni fuori dalla catena principale e su quella catena scrive due cose: i dati necessari a ricostruire quello che è successo e un impegno sullo stato risultante. Il calcolo avviene altrove, la registrazione resta dove la sicurezza è più cara e più solida.

Nel mezzo c’è un componente che raccoglie le transazioni degli utenti, decide l’ordine e le impacchetta in lotti. Il nome corrente è sequencer, e la conferma quasi istantanea che si riceve dopo un invio è una sua promessa, non un fatto già registrato sulla catena di base. Fra quella promessa e la registrazione passano secondi o minuti, a seconda della frequenza con cui i lotti vengono pubblicati.

La pubblicazione dei dati è la parte che non si può saltare, ed è anche la voce di costo dominante. Dal 2024 esiste un formato di transazione pensato per dati temporanei, descritto insieme alle altre modifiche del protocollo nella raccolta delle proposte di miglioramento: costa molto meno dello spazio ordinario e viene eliminato dai nodi dopo un paio di settimane, un intervallo sufficiente perché chiunque sia interessato ne conservi una copia. Se quei dati non fossero pubblicati, nessuno potrebbe ricostruire lo stato e l’intera costruzione perderebbe senso, qualunque prova venga allegata.

Le differenze tra rollup ottimistici e zk cominciano dalla prova

Il modello ottimistico prende il nome dalla sua ipotesi di partenza: il risultato pubblicato si presume corretto. Chi lo pubblica deposita una cauzione, e per un periodo definito chiunque può sostenere che quel risultato sia sbagliato, aprendo una procedura di contestazione che si conclude sulla catena di base.

Il modello a prova di validità rovescia l’ordine. A ogni lotto viene allegata una dimostrazione crittografica che l’esecuzione è avvenuta secondo le regole, e un contratto la verifica prima che lo stato venga accettato. Non c’è niente da contestare, perché niente viene dato per buono.

La sigla che accompagna questa seconda famiglia è ambigua e vale la pena scioglierla. Le proprietà che servono qui sono la concisione e la verificabilità rapida, non la riservatezza: la ricerca su queste costruzioni, che ha il proprio punto di raccolta nell’associazione internazionale per la ricerca crittologica, le chiama prove succinte. Il fatto che alcune tecnologie della stessa famiglia permettano anche di nascondere i dati è un’opzione separata, che nella maggior parte di queste reti non viene usata: le transazioni restano pubbliche esattamente come altrove.

Il modello ottimistico: si pubblica, si contesta, si attende

La contestazione non consiste nel rieseguire l’intero lotto sulla catena di base, cosa che costerebbe quanto non usarla affatto. Le implementazioni adottano una procedura a più turni in cui le due parti dividono ripetutamente l’intervallo conteso finché resta un singolo passo di esecuzione. Solo quel passo viene eseguito dal contratto arbitro, e chi ha torto perde la cauzione.

È una costruzione elegante e ha un prerequisito preciso: qualcuno deve guardare. La sicurezza non deriva da una maggioranza, ma dall’esistenza di almeno un soggetto che ricostruisce lo stato per conto proprio, si accorge della discrepanza e riesce a far includere la contestazione entro la finestra. Se nessuno guarda, un risultato falso diventa definitivo con lo scadere del termine.

Va aggiunto un dettaglio che cambia il quadro di diverse reti in esercizio: in parecchi casi la facoltà di contestare non è ancora aperta a chiunque, ma limitata a un elenco di soggetti autorizzati. Dove è così, la garanzia teorica del modello resta sulla carta e quella effettiva coincide con l’onestà di quell’elenco. È un’informazione pubblica e va cercata prima di tutto il resto.

Il modello a prova di validità: si dimostra prima

Qui il lavoro si sposta a monte. Una macchina apposita, chiamata prover, ripercorre l’esecuzione del lotto e produce una dimostrazione che occupa poche migliaia di byte indipendentemente da quante transazioni siano state elaborate. La verifica sulla catena di base è un’operazione dal costo quasi costante, ed è questa asimmetria a rendere il modello sostenibile.

Il tempo di uscita non dipende quindi da una finestra di attesa, ma da due grandezze operative: quanto ci mette il prover a produrre la dimostrazione e ogni quanto la rete decide di pubblicarla. La seconda è una scelta economica, perché ogni pubblicazione si paga: dove la cadenza è fitta il prelievo si chiude in pochi minuti, dove è rada si misura in ore anche se la prova era pronta da tempo.

Resta un’ipotesi da dichiarare, ed è di natura diversa da quella del modello ottimistico. La correttezza dipende dal fatto che il circuito rappresenti davvero le regole di esecuzione e che l’implementazione del sistema di prova non contenga difetti. Alcuni schemi richiedono inoltre una cerimonia iniziale di generazione dei parametri: se i residui di quel calcolo non vengono distrutti, chi li conservasse potrebbe fabbricare dimostrazioni false. Altri schemi non ne hanno bisogno. Sapere in quale caso ci si trova è parte della valutazione, e la documentazione seria lo scrive.

Sette giorni non sono una scelta arbitraria

La durata della finestra non misura la lentezza del sistema: misura il margine con cui si vuole poter reagire nel caso peggiore. Perché la contestazione arrivi in tempo occorre che chi la solleva riesca a far includere una transazione sulla catena di base anche in condizioni ostili, con la rete congestionata o con qualcuno che tenta di ritardarla.

A quel margine tecnico si somma un margine umano. Sette giorni permettono di accorgersi del problema, coordinare una risposta e agire anche se l’anomalia si presenta in un fine settimana. Accorciare la finestra riduce entrambi i margini nella stessa proporzione, e le proposte per farlo procedono di pari passo con meccanismi che garantiscano l’inclusione della contestazione in tempi certi.

La conseguenza pratica ha creato un mercato. Esistono operatori che anticipano l’importo sulla catena di base trattenendo una differenza e restando in attesa al posto dell’utente: quella differenza è il prezzo del tempo più il rischio che si assumono. Non è un difetto del sistema né un servizio da valutare qui, ma va contabilizzato per quello che è, cioè un costo che compare solo a chi ha fretta.

Quanto costa produrre una prova e quanto costa verificarla

La produzione di una dimostrazione è un calcolo pesante, che cresce con la quantità di lavoro da dimostrare e che si affronta con hardware specializzato e parallelizzazione. Il costo si distribuisce su tutte le transazioni del lotto, quindi incide poco quando la rete è affollata e diventa visibile quando è vuota, perché la prova va prodotta comunque.

La verifica segue la logica opposta. Il contratto che la controlla esegue un numero fisso di operazioni, e quel numero non cambia se il lotto contiene mille transazioni o centomila. È il motivo per cui la scalabilità di questo modello migliora con l’uso invece di peggiorare.

Nel modello ottimistico il calcolo pesante nel caso normale semplicemente non esiste, e questo è il suo vantaggio economico più solido. Esiste però un costo di vigilanza permanente: qualcuno deve tenere acceso un nodo completo, ricostruire lo stato e confrontarlo con quello dichiarato, ventiquattro ore su ventiquattro. Quel costo di solito lo sostiene chi ha sviluppato la rete, ed è una delle ragioni per cui la lista dei soggetti che possono contestare tende a restare corta.

Tempi, costi e garanzie messi in fila

Le sei righe non si compensano fra loro e non producono un vincitore. Descrivono due profili di rischio diversi: uno concentra l’incertezza sul comportamento di qualcuno, l’altro sulla correttezza di un programma. Chi valuta reti diverse su questa scala, come chi confronta le proposte che nascono attorno alle catene principali, ottiene un quadro più stabile di quello che si ricava dalle metriche di velocità.

Il sequencer unico è il punto debole di quasi tutti

Sulla quasi totalità di queste reti l’ordinamento delle transazioni è oggi affidato a un unico componente gestito dal gruppo che ha sviluppato il sistema. Non custodisce fondi e non può firmare al posto degli utenti, quindi non può rubare. Può però fare tre cose che contano.

Può escludere una transazione, ritardarla, o inserirla in una posizione che gli conviene, estraendo valore dall’ordine scelto. Può fermarsi, e allora la rete si ferma con lui, perché nessun altro raccoglie e pubblica i lotti. Può, in caso di guasto prolungato, lasciare gli utenti senza il canale ordinario per uscire.

Le direzioni di lavoro esistono e vanno distinte dalle dichiarazioni di intenti: rotazione fra più operatori, ordinamento condiviso fra reti diverse, delega dell’ordinamento ai validatori della catena di base. Poche sono in esercizio. Il modo corretto di verificare lo stato reale è guardare quanti soggetti distinti pubblicano lotti negli ultimi giorni, non leggere una tabella di marcia, e vale la stessa cautela che si applica a qualunque infrastruttura ancora in costruzione.

La via di uscita forzata quando il sequencer tace

Il contrappeso previsto dalle architetture serie è un canale alternativo che passa direttamente dalla catena di base. L’utente deposita la propria transazione in un contratto apposito, e trascorso un periodo prestabilito quella transazione deve essere inclusa nel lotto successivo: se il sequencer la ignora, il lotto risulta invalido secondo le regole del sistema.

Tre parametri decidono quanto valga davvero questo meccanismo. Il primo è il ritardo, che va da qualche ora a circa un giorno. Il secondo è l’ambito: alcuni progetti consentono di forzare qualunque transazione, altri soltanto i movimenti verso la catena di base. Il terzo è la praticabilità, perché una procedura che richiede strumenti da riga di comando e conoscenze specifiche esiste sulla carta e non nella vita reale.

È il singolo controllo che conviene fare prima di ogni altro, e ha una risposta binaria. Se la via di uscita forzata non esiste, tutto il resto dipende dalla continuità di servizio di un operatore, e la struttura del sistema conta molto meno di quanto sembri.

Le chiavi di aggiornamento contano più della crittografia

I contratti che custodiscono i fondi depositati e verificano gli stati sono quasi sempre aggiornabili. Chi controlla la chiave di aggiornamento può sostituire il verificatore, cambiare le regole di prelievo e, nel caso limite, disporre di quanto è depositato. Nessuna dimostrazione crittografica protegge da questo, perché il problema si colloca a un livello superiore.

Le domande da porsi sono tre e hanno risposte pubbliche, leggibili sull’esploratore della catena di base. Chi possiede quella chiave: una sola entità, uno schema a più firme, un insieme di soggetti indipendenti. Esiste un ritardo obbligatorio fra l’annuncio di un aggiornamento e la sua entrata in vigore, sufficiente perché chi non è d’accordo possa uscire. Esiste una procedura di emergenza che salta quel ritardo, e in quali casi può essere attivata.

Una risposta poco rassicurante non rende il sistema inutilizzabile: rende esplicito che si sta accettando un rischio di custodia oltre a quello tecnico. Il difetto non è la presenza delle chiavi, che in una fase di sviluppo serve a correggere errori gravi. Il difetto è presentare come priva di fiducia un’infrastruttura che ne richiede parecchia, e sono le tendenze che vale la pena osservare proprio su questo fronte, più che sulle prestazioni dichiarate.

Domande frequenti

Perché devo aspettare sette giorni se la transazione è già confermata?

Perché la conferma che si vede riguarda lo stato interno del rollup, non la catena di base. Il prelievo diventa esigibile solo quando lo stato che lo contiene è definitivo, e nel modello ottimistico è definitivo alla scadenza della finestra di contestazione. Dentro il rollup i fondi si muovono normalmente per tutto il periodo: l’attesa riguarda esclusivamente l’uscita verso la catena principale.

La sigla zk significa che le mie transazioni sono private?

No, salvo rarissime eccezioni. La proprietà usata è la possibilità di verificare rapidamente una dimostrazione compatta, non quella di nascondere i dati. Su queste reti importi, indirizzi e chiamate ai contratti restano pubblici e consultabili come su qualunque altra catena aperta. La riservatezza è una funzione a parte, che va cercata esplicitamente e che ha implicazioni normative proprie.

Che cosa succede ai fondi se il sequencer si ferma?

I fondi restano dove sono, perché il sequencer non li custodisce. Cambia l’accesso: senza qualcuno che raccolga le transazioni, la rete smette di avanzare. L’uscita resta possibile solo se esiste il canale di inclusione forzata sulla catena di base, che va verificato prima di depositare somme che non si può permettere di lasciare ferme.

Uno dei due modelli è più economico per chi lo usa?

La voce che pesa di più è comune a entrambi ed è la pubblicazione dei dati sulla catena di base. Il modello a prova di validità aggiunge il costo di produzione delle dimostrazioni, quello ottimistico aggiunge il costo di vigilanza. Le differenze osservabili sulle commissioni finali dipendono più dalla compressione dei dati e dalle scelte di cadenza che dalla famiglia architetturale.

Come verifico da solo lo stato di decentralizzazione di una rete?

Con tre letture sull’esploratore della catena di base. Quanti indirizzi distinti hanno pubblicato lotti nell’ultimo mese, chi risulta autorizzato a contestare o a proporre stati, e quali indirizzi possono aggiornare i contratti principali. Sono dati pubblici e non richiedono strumenti particolari, e raccontano il sistema in modo più affidabile di qualunque documento descrittivo.

Chi deve scegliere su quale rete lavorare farebbe bene a invertire l’ordine consueto delle domande: prima il canale di uscita e le chiavi, poi la famiglia di prove. La prima coppia decide che cosa succede nei giorni brutti, la seconda decide quanto si aspetta nei giorni normali.