#PeluncuranGatePoSECBuktiKeamanan

PoSEC tidak bertanya, "apakah Anda memiliki cadangan?" PoSEC mengajukan pertanyaan yang lebih sulit: "jika hot wallet Anda diserang, apakah cold storage saja masih cukup untuk menutupi kewajiban Anda?"

Perubahan sudut pandang itulah inti dari PoSEC. Sebagian besar pemeriksaan cadangan menunjukkan total aset. PoSEC memeriksa di mana aset tersebut disimpan dan apa yang terjadi dalam skenario terburuk.

Pada 5 Nov, sebuah kerangka keamanan baru bernama Proof of Security (PoSEC) diluncurkan. Snapshot pertama diambil pada 4 Nov pukul 00:00 UTC. Snapshot itu menunjukkan rasio cakupan cold storage sebesar 104.58%.

Cermati angka itu baik-baik, karena angka tersebut tidak sama dengan rasio cadangan biasa.

Apa yang sebenarnya diukur PoSEC

PoSEC memperkenalkan satu metrik utama: rasio cakupan cold storage.

Cakupan cold storage = aset cold storage / total aset pengguna.

Cold storage berarti aset yang disimpan secara offline, terpisah dari sistem yang terhubung ke internet. Hot wallet berarti aset yang disimpan secara online untuk perdagangan harian, penarikan, dan penyelesaian cepat.

Dalam snapshot 4 Nov:
• Cold storage: 88.26% dari total aset
• Hot wallet: 11.74% dari total aset
• Cakupan cold storage: 104.58%
104.58% berarti cold storage saja mencakup lebih dari 100% kewajiban kepada pengguna. Bahkan jika semua hot wallet terkuras akibat kebocoran keamanan, cold storage saja masih cukup untuk menutupi aset pengguna, dengan sedikit sisa sebagai penyangga.

Ini berbeda dengan mengatakan "total cadangan sebesar 118.49%." Per 18 Okt, total cadangan sekitar $8.688 miliar, dengan rasio cadangan keseluruhan sebesar 118.49%. Total cadangan mencakup aset cold dan hot. PoSEC mengeluarkan bagian hot dan bertanya: apakah bagian cold saja mencukupi?

Bagi pengguna, itulah pertanyaan yang lebih berguna. Hot wallet adalah bagian yang paling rentan terhadap serangan. Cold storage adalah bagian yang dirancang agar mampu bertahan jika terjadi serangan.

Apa yang TIDAK diukur PoSEC

PoSEC berfokus pada penyimpanan. PoSEC tidak membahas risiko lainnya. Batasan ini penting.

PoSEC tidak membuktikan bagaimana kunci dikelola. PoSEC tidak membuktikan siapa yang dapat memindahkan aset cold, berapa banyak persetujuan yang diperlukan, atau bagaimana kata sandi dan akses dikendalikan. PoSEC tidak membuktikan efektivitas kontrol internal, akses staf, atau risiko vendor. PoSEC tidak membuktikan bahwa platform dapat terus beroperasi selama krisis, hanya bahwa aset cold secara teori dapat menutupi saldo pengguna.

PoSEC juga merupakan snapshot, bukan data langsung. Snapshot pada 4 Nov pukul 00:00 UTC menunjukkan kondisi pada menit itu. Snapshot tersebut tidak menunjukkan kondisi pada pukul 00:01 atau minggu depan. Nilai PoSEC bergantung pada seberapa sering snapshot diulang dan apakah audit independen memeriksanya.

Catatan peluncuran menyebutkan adanya audit independen untuk angka-angka tersebut. Audit itulah yang perlu diperhatikan. Rasio yang dilaporkan sendiri tanpa audit terbaru hanyalah klaim. Rasio yang telah diperiksa secara independen dan baru-baru ini merupakan bukti.

Cara membaca angka 104.58%

Jangan membacanya sebagai "aman selamanya." Bacalah sebagai tiga hal terpisah:
1. Di atas 100% adalah batas kelulusan. Di bawah 100% berarti cold storage saja tidak cukup. Angka 104.58% melewati batas, tetapi penyangganya tipis: 4.58 poin di atas cakupan penuh. Ini lulus, bukan benteng yang tak tertembus.
2. Komposisinya sama pentingnya dengan rasionya. Cold 88.26% / Hot 11.74% berarti sebagian besar aset disimpan secara offline. Jika porsi hot mencapai 30% atau 40%, akan lebih sulit mempertahankan angka 104.58% yang sama karena lebih banyak aset berada di lapisan yang rentan.
3. Tren lebih penting daripada satu angka. Satu snapshot sebesar 104.58% adalah awal. Dua, tiga, empat snapshot yang tetap di atas 100% akan menunjukkan kedisiplinan. Satu snapshot yang turun di bawah 100% akan menunjukkan tekanan, meskipun total cadangan masih terlihat baik.
Rencana pemeriksaan PoSEC saya, secara bertahap

Saya tidak menilai kerangka keamanan pada hari peluncurannya. Saya menilainya dari konsistensinya.

Pemeriksaan pertama sekarang: Apakah snapshot pertama jelas? Ya. Tanggal, waktu, porsi cold, porsi hot, dan rasio cakupan semuanya dicantumkan. Kejelasan itu menjadi nilai tambah.

Pemeriksaan kedua snapshot berikutnya: Apakah cakupan tetap di atas 100%? Apakah porsi cold tetap sekitar 88% atau lebih tinggi? Jika porsi cold turun sementara total cadangan tetap tinggi, berarti lebih banyak aset dipindahkan ke hot wallet. Itu tanda peringatan awal.

Pemeriksaan ketiga audit dan frekuensi: Apakah setiap snapshot didukung audit independen? Apakah frekuensinya teratur, atau publikasi berhenti setelah peluncuran? Kerangka yang berhenti memberikan kabar setelah peluncuran hanyalah pemasaran. Kerangka yang terus memublikasikan hasilnya adalah sebuah proses.

Hal-hal yang akan meningkatkan kepercayaan saya:
• Cakupan tetap di atas 100% dalam beberapa snapshot;
• Porsi cold tetap tinggi, porsi hot tetap rendah;
• Catatan audit tetap terkini dan spesifik, bukan samar.
Hal-hal yang akan menurunkan kepercayaan saya:
• Cakupan turun di bawah 100%, meski hanya sekali;
• Porsi hot meningkat pesat tanpa alasan yang jelas;
• Snapshot tidak lagi diterbitkan, atau bahasa dalam audit menjadi samar.
PoSEC bukan janji bahwa peretasan tidak akan pernah terjadi. PoSEC adalah janji bahwa jika lapisan hot diserang, lapisan cold saja tetap dapat menutupi kewajiban kepada pengguna. Pada 4 Nov, janji itu terpenuhi dengan angka 104.58%. Snapshot berikutnya akan menunjukkan apakah kondisi itu terus bertahan.

#WCTCS9
#ShareWeekly