مفاتيح المسؤول والتوقيع المتعدد

هذه الصفحة مُترجَمة آليًا بواسطة الذكاء الاصطناعي. النسخة الإنجليزية هي المرجع المعتمد.عرض النسخة الإنجليزية →

لكل برنامج من برامج Raydium دور امتياز واحد على الأقل — مفتاح يمكنه ترقية البرنامج أو إنشاء تكوينات جديدة أو سحب رسوم البروتوكول. تقليل ما يمكن لهذه الأدوار فعله (وحمايتها خلف توقيعات متعددة مع تأخيرات) هو الدفاع الأساسي ضد مسؤول مخترق. تُفصّل هذه الصفحة الأدوار وكيفية تأمينها عمليًا.

الأدوار حسب البرنامج

AMM v4

الدور	عنوان الصلاحية	ما يمكنه فعله
ترقية البرنامج	Squads multisig (3/4)	نشر بايتكود البرنامج الجديد
مسؤول المجموعة	Treasury multisig (3/5)	تبديل حالة المجموعة، تحديث الرسوم على المجموعات الموجودة

CPMM

الدور	عنوان الصلاحية	ما يمكنه فعله
ترقية البرنامج	Squads multisig (3/4)	نشر بايتكود البرنامج الجديد
مسؤول AmmConfig	Treasury multisig (3/5)	إنشاء AmmConfigs جديدة (فئات الرسوم)؛ تبديل الموجودة
مستقبل رسوم إنشاء المجموعة	Treasury multisig (3/5)	استقبال رسوم إنشاء المجموعة لمرة واحدة
منشئ Permission-PDA	برنامج `admin` أو مالك create-permission-PDA مخصص (قيمة مختلفة على mainnet مقابل devnet)	استدعاء `CreatePermissionPda` لمنح صلاحية لاستدعاء `InitializeWithPermission`. منذ ترقية 2026-09 يمكن لمالك المخصص أيضًا استدعاء `ClosePermissionPda`، لذا فهو يمنح ويلغي؛ قبل تلك الترقية كان الإلغاء حصريًا للمسؤول.

جمع رسوم المنشئ لا يقدم دورًا امتيازيًا. CollectCreatorFeePermissionless يقبل أي دافع، يقيد مالك المستقبل إلى PoolState.pool_creator، ويقيد كلا الوجهتين إلى ATAs الكنسية لذلك المنشئ. يمكن للمستدعي تمويل ATAs المفقودة وتشغيل الكنس لكن لا يمكنه إعادة توجيه الرسوم.

CLMM

الدور	عنوان الصلاحية	ما يمكنه فعله
ترقية البرنامج	Squads multisig (3/4)	نشر بايتكود البرنامج الجديد
مسؤول AmmConfig	Treasury multisig (3/5)	إنشاء/تعديل AmmConfigs
مسؤول DynamicFeeConfig	Treasury multisig (3/5)	`CreateDynamicFeeConfig` / `UpdateDynamicFeeConfig` — معايرة فئات الرسوم الديناميكية التي قد تختار استدعاء `CreateCustomizablePool` الانضمام إليها
`permission_pda_admin`	برنامج `admin` أو مفتاح `permission_pda_admin` مخصص (قيمة مختلفة على mainnet مقابل devnet)	`CreatePermissionPda` / `ClosePermissionPda` — منح أو إلغاء حق صلاحية لاستدعاء `CreatePermissionedPool`. المنحة هي مجرد وجود PDA `["permission", authority]`؛ لا تمنح أي قوة تحوير مجموعة.
جامع lamports الزائدة	برنامج `admin` أو محفظة collect-lamports مخصصة (قيمة مختلفة على mainnet مقابل devnet)	`CollectExcessLamports`: كنس lamports فوق الحد الأدنى المعفي من الإيجار من `PoolState` ومخازن مجموعة واحدة، بالإضافة إلى أي PDAs مملوكة لـ CLMM تم تمريرها. ينقل lamports فقط، لا توازن الرموز أبدًا، ولا يمكنه إغلاق الحسابات. تمت الإضافة 2026-09-30.
`limit_order_admin` (على مستوى البرنامج)	محفظة تشغيلية ساخنة خارج السلسلة، وليس توقيع متعدد	تسوية وإغلاق أوامر الحد نيابة عن أصحابها. مفتاح الحارس هو ثابت برنامج واحد على مستوى العالم (قيمة مختلفة على mainnet مقابل devnet)، يتم التحقق منه عبر `signer == limit_order.owner \|\| signer == limit_order_admin::ID` على `SettleLimitOrder` / `CloseLimitOrder`. الإخراج يهبط دائمًا في ATA المالك الأصلي؛ لا يمكن للحارس إعادة توجيه الأموال أو تعديل الأوامر أو فتح أوامر جديدة.

يسمح حمل PDA Permission لصلاحيته باستدعاء CreatePermissionedPool — إنشاء مجموعات إضافية لزوج لديه بالفعل واحدة كنسية، كل واحدة في عنوان مشتق من seed_index مختلف. الإذن محصور على إنشاء المجموعة فقط: لا يمكنه نقل الأموال أو تغيير الرسوم أو لمس أي مجموعة موجودة. إلغاؤه (ClosePermissionPda) يوقف الصلاحية عن إنشاء مجموعات إضافية لكن يترك المجموعات المُنشأة بالفعل دون تغيير. limit_order_admin هو دور تشغيلي ضيق مقصود. يوجد حتى يتمكن حارس خارج السلسلة من كنس الأوامر المملوءة دون الحاجة إلى أن يكون صاحب الأمر متصلاً. مفتاح الحارس ساخن (يعيش على VM الحارس) ويتم تدويره بشكل مستقل عن التوقيعات المتعددة أعلاه. بشكل ملموس، سلطة الحارس محدودة بـ:

SettleLimitOrder — دفع إخراج الأمر المملوء إلى ATA المالك بسعر حد الأمر.
CloseLimitOrder — إغلاق حساب أمر مستقر بالكامل لاسترجاع الإيجار (الإيجار يذهب لمالك الأمر).

لا يمكنه استدعاء OpenLimitOrder أو IncreaseLimitOrder أو DecreaseLimitOrder أو تحوير أي حقل مجموعة أو التوقيع على أي تعليمة أخرى — يتم فرض هذه الفحوصات على السلسلة بواسطة قيود البذرة و has_one في هيكل Accounts للتعليمة. يمكن لحارس مخترق في أسوأ الحالات أن يكون غير متاح (تبقى الأوامر متوقفة حتى يقوم المالك بتسويتها بنفسه) أو تسوية/إغلاق أوامر قابلة للملء بشرعية خارج الترتيب؛ لا يمكنه نقل أموال المستخدم إلى أي مكان آخر غير حيث أذن به المالك بالفعل.

Farm v6

الدور	عنوان الصلاحية	ما يمكنه فعله
ترقية البرنامج	Squads multisig (3/4)	نشر بايتكود البرنامج الجديد
منشئ المزرعة (لكل مزرعة)	محفظة منشئ المزرعة	تمويل مخازن المكافآت، تمديد الجداول الزمنية، استرجاع المكافآت غير المستخدمة

المزارع الفردية ليس لديها مسؤول بروتوكول — يتحكم منشئ كل مزرعة فقط في مزرعته، وقوى المنشئ محدودة (لا يمكنه الاستيلاء على حصص المستخدم، لا يمكنه تغيير رمز الرهن).

LaunchLab

الدور	عنوان الصلاحية	ما يمكنه فعله
ترقية البرنامج	Squads multisig (3/4)	نشر بايتكود البرنامج الجديد
مسؤول البرنامج	مسؤول Raydium المشترك	إنشاء وتحديث حسابات `GlobalConfig`؛ تشغيل مسارات إدارية أخرى
منشئ التكوين المفوض	سلطة خاصة بالعنقود	إنشاء `GlobalConfig` جديد؛ لا يمكنه تحديث تكوين موجود
مسؤول المنصة	سلطة بذرة PDA لـ `PlatformConfig` واحد	تحديث إعدادات المنصة وإنشاء أو إغلاق حسابات `PlatformAllowConfig` لتلك المنصة
منشئ الإطلاق (لكل إطلاق)	محفظة منشئ الإطلاق	المطالبة برسوم منشئ منحنى الربط؛ يستقبل حقوق رسوم منشئ CPMM فقط عندما لا تتجاوز المنصة `platform_cp_creator`

قائمة السماح لمسؤول المنصة تقيد نفسها بنفسها: فهي تحد من حسابات GlobalConfig التي قد تستخدمها الإطلاقات تحت تلك المنصة. لا تمنح سلطة على منصات أخرى أو أموال إطلاق موجودة. تعيش عناوين السلطة المفوضة الكنسية في reference/program-addresses.

سلطة ترقية البرنامج

تستخدم برامج Raydium آلية ترقية BPF Loader v3 القياسية في Solana. سلطة الترقية لجميع البرامج هي Squads multisig 3/4. لماذا 3/4: عدد كافٍ من الموقعين بحيث أن اختراق واحد غير كافٍ؛ قليل بما يكفي بحيث أن تنسيق ترقية شرعية قابلة للتتبع. الأربع سلطات مستقلة، موقعون أجهزة باردة معزولة يحتفظ بها أعضاء الفريق الأساسي. التوقيع المتسلسل يمنع الموافقات المتوازية على نفس المعاملة؛ تحمل المعاملات نافذة انتهاء صلاحية ثابتة. يتم مراجعة عمليات Multisig بشكل دوري بالشراكة مع برنامج STRIDE من Solana (Asymmetric Research).

إزالة سلطة الترقية

لم تقم Raydium بتعيين سلطة ترقية أي برنامج إلى null. يعمل البروتوكول تحت مبدأ أن البرامج تحتاج إلى أن تكون قابلة للترقية (لإصلاح الأخطاء، إضافة امتدادات مثل Token-2022، إصلاح انجراف التكامل). المقايضة: يثق المستخدمون بأن Squads multisig 3/4 سيقوم فقط بنشر ترقيات مراجعة جيدًا. لا يوجد برنامج Raydium مجمد حاليًا أو بطيء الحركة بما يكفي ليتم التعامل معه كبديل غير قابل للتغيير — AMM v4، تاريخيًا الأكثر ثباتًا منهم، تم نشره مرة أخرى في 2026-07-22. آخر فتحة نشر لكل برنامج عام؛ اقرأها قبل افتراض أن أي منها خامل:

البرنامج	آخر نشر (mainnet)
LaunchLab	2026-09-02
CPMM / CLMM / AMM Routing	2026-08-17
AMM v4	2026-07-22
Stable AMM	2026-06-22
Lock (Burn & Earn)	2025-08-23
Farm v6	2024-05-13

(من حساب ProgramData لكل برنامج؛ solana program show <PROGRAM_ID> يبلغ عن نفس الفتحة.)

سلطة AmmConfig

إنشاء كل AmmConfig جديد له إذن — يصرح Squads multisig 3/5 بفئات رسوم وتباعد علامات جديدة. تشير المجموعات الموجودة إلى AmmConfig الخاص بها بواسطة PDA؛ فئة رسوم المجموعة هي ما يقوله AmmConfig. هل يمكن للمسؤولين تغيير AmmConfig موجود؟ نعم، من الناحية التقنية. updateAmmConfig قابل للاستدعاء من قبل المسؤول. عمليًا، يتم تجنب التعديلات على AmmConfigs المنشورة لأنها تغير اقتصاديات جميع المجموعات التي تستخدم هذا التكوين بصمت. سياسة البروتوكول هي إنشاء AmmConfig جديد لأي تغيير والهجرة. هل يمكن للمسؤولين سرقة رسوم البروتوكول عبر التكوين؟ لا — يحتوي AmmConfig على معاملات الرسوم لكن ليس مستقبل رسوم البروتوكول؛ هذا عنوان منفصل غير قابل للتغيير لكل مجموعة.

مطالبة رسوم البروتوكول

جزء من رسوم المبادلة (عادة 3–12 bps من 25 bps رسوم المبادلة، حسب التكوين) يتراكم في خزان رسوم البروتوكول. يمكن للـ multisig سحب هذه الرسوم المتراكمة. لا يرى المستخدمون رصيد LP الخاص بهم يتغير من هذا — إنها حصة البروتوكول المخصصة مسبقًا، وليس أموال LP.

سلطة منشئ المزرعة

تعطي Farms v6 المنشئ القوة لـ:

تمويل خزان المكافآت (إضافة المزيد من الرموز).
تمديد الجدول الزمني (دفع وقت الانتهاء لاحقًا).
استدعاء withdrawReward بعد وقت الانتهاء لاسترجاع رصيد الخزان غير المستخدم.

منشئو المزارع لا يمكنهم:

سحب حصص LP للمستخدم المرهونة.
تغيير رمز الرهن.
تغيير معدلات الانبعاث بأثر رجعي (فقط للأمام عبر setRewards).
تجميد حصاد المستخدم.

يمكن لمنشئ مزرعة خبيث في أسوأ الحالات أن يقلل من تمويل الخزان بحيث تجف المزرعة؛ حصة المستخدم الأساسية آمنة دائمًا.

تكوين Squads multisig

تشغل Raydium اثنين من Squads multisigs منفصلين لسطح مخاطر مختلف. يمكن فحص كليهما على السلسلة عبر واجهة مستخدم Squads Protocol.

Multisig	الحد الأدنى	Timelock	النطاق
ترقية البرنامج	3/4	24 ساعة	السلطة الوحيدة لنشر بايتكود البرنامج الجديد لـ AMM v4 و CPMM و CLMM و LaunchLab و Lock و AMM Routing و Stable Swap وبرامج Farm/Staking القديمة. عرض في `app.squads.so/.../FytDr…ceZQK`.
الخزانة	3/5	لا شيء	أصول الخزانة، إيرادات البروتوكول، النفقات التشغيلية. تحتفظ أيضًا بسلطة برنامج مسؤول محدودة من Raydium (إنشاء AmmConfigs، كنس رسوم البروتوكول، تكوين معاملات المجموعة) في الوقت الحالي. عرض في `v3.squads.so/dashboard/RVha…dHdtYz09`.

الخصائص التشغيلية لـ multisig الترقية:

24 ساعة timelock على أي معاملة. ترقية موافق عليها اليوم لا تُنفذ قبل 24 ساعة على الأقل، مما يعطي المستخدمين وقتًا للرد.
التوقيع على أجهزة باردة معزولة. الأجهزة الباردة لديها بطاقات شبكة تمت إزالتها فعليًا؛ تتصل فقط بمحفظة أجهزة وتقرأ بيانات المعاملة عبر رمز QR من جهاز ساخن منفصل.
التوقيع المتسلسل. فقط بعد أن يقوم جهاز بارد واحد بإنشاء وتوقيع معاملة يمكن لجهاز بارد التالي البدء في عملية التوقيع — منع التوقيعات المتضاربة أو المتوازية على نفس المعاملة.
انتهاء صلاحية المعاملة. كل معاملة تحمل نافذة انتهاء صلاحية ثابتة، لذا تلغي المعاملات القديمة نفسها تلقائيًا.
فرض TOTP + مفتاح فعلي على الأجهزة الساخنة المستخدمة لبدء المعاملة والبث على السلسلة.
قائمة انتظار معاملات عامة. يمكن لأي شخص مراقبة الترقيات المعلقة على واجهة مستخدم Squads.

لا يحتوي Squads multisig للخزانة على timelock — نطاقه أضيق والعمليات الروتينية (إنشاء AmmConfigs، كنس الرسوم) تحتاج إلى الهبوط في نفس اليوم. يحتفظ Squads multisig للخزانة أيضًا بسلطة برنامج مسؤول محدودة المدرجة في جداول البرنامج لكل برنامج أعلاه؛ هذا ترتيب مؤقت ويتم مراجعته بشكل دوري مع شركاء أمان المشروع.

التحقق من السلطة على السلسلة

أبسط طريقة للتحقق من سلطة ترقية البرنامج الحالية:

solana program show <PROGRAM_ID>

الإخراج يتضمن:

Program Id:          CPMMoo8L3F4NbTegBCKVNunggL7H1ZpdTHKxQB5qKP1C
Owner:               BPFLoaderUpgradeab1e11111111111111111111111
ProgramData Address: <ProgramDataPDA>
Authority:           <EXPECTED_MULTISIG_ADDRESS>
Last Deployed In Slot: <slot>
Data Length: <n> bytes

إذا لم تكن Authority هي عنوان Squads multisig المتوقع، فهناك خطأ ما. تنشر Raydium عناوين السلطة المتوقعة على reference/program-addresses. لأدوار AmmConfig / pool admin، جلب الحساب على السلسلة وفك التشفير:

import { CpmmConfigInfoLayout } from "@raydium-io/raydium-sdk-v2";

const info = await connection.getAccountInfo(configPda);
const config = CpmmConfigInfoLayout.decode(info!.data);
console.log("protocol owner:", config.protocolOwner.toBase58());
console.log("fund owner:",     config.fundOwner.toBase58());

AmmConfig ليس لديه حقل admin — مسؤول البرنامج هو pubkey مترجم في البرنامج (crate::admin::ID)، والسلطات التشغيلية لكل تكوين هي protocolOwner / fundOwner. سلطة ترقية BPF هي مسألة منفصلة على مستوى المحمل؛ اقرأها باستخدام solana program show.

تغييرات السلطة التاريخية

التاريخ	البرنامج	التغيير
2022-12	AMM v4	تم ترحيل سلطة الترقية من توقيع واحد إلى multisig 3/4 بعد حادثة
2023-02	جميع البرامج	تم توحيد جميع الأدوار التشغيلية تحت Squads multisig 3/5 للخزانة
2023-11	CLMM	تمت إضافة multisig ثانٍ لعمليات المكافآت فقط لتقليل التعرض
2024-05	CPMM	النشر الأولي مع سلطة multisig من اليوم الأول

اعتبارات جانب المستخدم

ماذا يجب أن تفعل كمستخدم/LP/متكامل؟

تحقق من سلطة الترقية قبل التخصيصات الكبيرة. تأكد من أنها تطابق Squads multisig الموثقة.
راقب نشاط multisig. واجهة مستخدم Squads تعرض المعاملات المعلقة؛ ترقية مجدولة تعطيك 24 ساعة للتراجع إذا اختلفت مع التغيير.
استراتيجيات استرجاع تدرك timelock. إذا كنت تشغل auto-compounder، تأكد من أن مسار الاسترجاع الخاص بك لا يتطلب تعليمة يتم تغييرها.
لا تفترض عدم قابلية البرنامج للتغيير. يمكن ترقية كل برنامج Raydium؛ خطط لذلك.

الأخطاء الشائعة للمتكاملين

1. تخزين عناوين السلطة مؤقتًا

إذا قمت بترميز عنوان سلطة الترقية أو عنوان Squads multisig للمسؤول في الكود الخاص بك وتم تدويره لاحقًا، فإن التحقق الخاص بك يفشل. جلب من reference/program-addresses في وقت التشغيل أو تحديث دوري.

2. افتراض استقرار AmmConfigs

يمكن إنشاء AmmConfig جديد في أي وقت. يجب على المجمع/الموجه الخاص بك إعادة جلب قائمة التكوين الكاملة بشكل دوري (كل ساعة بخير).

3. متجهات حزن منشئ المزرعة

إذا كنت تودع في مزرعة منخفضة السمعة، يمكن لمنشئها إنهاء المزرعة مبكرًا واسترجاع خزان المكافآت (بافتراض عدم رهن أي مستخدم بعد). بمجرد رهن المستخدمين، يتم فرض الحقوق الموزعة بشكل متناسب من قبل البرنامج؛ الاسترجاع يحصل فقط على الباقي بعد النهاية العقلانية.

المؤشرات

reference/program-addresses — عناوين السلطة الكنسية.
security/attack-vectors — كيف تتجلى اختراقات المسؤول.
ray/treasury — عناوين الخزانة وجمع الرسوم.
security/disclosure — الإبلاغ عن مشاكل مسؤول مشبوهة.

المصادر:

Squads Protocol — واجهة مستخدم multisig.
وثائق برنامج Solana والمحمل — آلية الترقية، وكيفية إلغاء سلطة الترقية يجعل البرنامج غير قابل للتغيير.

Security & risk

RAY token & Protocol revenues

مفاتيح المسؤول والتوقيع المتعدد

الأدوار حسب البرنامج

AMM v4

CPMM

CLMM

Farm v6

LaunchLab

سلطة ترقية البرنامج

إزالة سلطة الترقية

سلطة AmmConfig

مطالبة رسوم البروتوكول

سلطة منشئ المزرعة

تكوين Squads multisig

التحقق من السلطة على السلسلة

تغييرات السلطة التاريخية

اعتبارات جانب المستخدم

الأخطاء الشائعة للمتكاملين

1. تخزين عناوين السلطة مؤقتًا

2. افتراض استقرار AmmConfigs

3. متجهات حزن منشئ المزرعة

المؤشرات

​الأدوار حسب البرنامج

​AMM v4

​CPMM

​CLMM

​Farm v6

​LaunchLab

​سلطة ترقية البرنامج

​إزالة سلطة الترقية

​سلطة AmmConfig

​مطالبة رسوم البروتوكول

​سلطة منشئ المزرعة

​تكوين Squads multisig

​التحقق من السلطة على السلسلة

​تغييرات السلطة التاريخية

​اعتبارات جانب المستخدم

​الأخطاء الشائعة للمتكاملين

​1. تخزين عناوين السلطة مؤقتًا

​2. افتراض استقرار AmmConfigs

​3. متجهات حزن منشئ المزرعة

​المؤشرات

الأدوار حسب البرنامج

AMM v4

CPMM

CLMM

Farm v6

LaunchLab

سلطة ترقية البرنامج

إزالة سلطة الترقية

سلطة AmmConfig

مطالبة رسوم البروتوكول

سلطة منشئ المزرعة

تكوين Squads multisig

التحقق من السلطة على السلسلة

تغييرات السلطة التاريخية

اعتبارات جانب المستخدم

الأخطاء الشائعة للمتكاملين

1. تخزين عناوين السلطة مؤقتًا

2. افتراض استقرار AmmConfigs

3. متجهات حزن منشئ المزرعة

المؤشرات