Ключи администратора и мультиподпись

Эта страница переведена с помощью ИИ. За эталон принимается английская версия.Открыть английскую версию →

Каждая программа Raydium имеет как минимум одну привилегированную роль — ключ, который может обновить программу, создать новые конфигурации или вывести комиссии протокола. Минимизация возможностей этих ролей (и их защита мультиподписями с задержками) — основная защита от скомпрометированного администратора. На этой странице перечислены роли и способы их защиты на практике.

Роли по программам

AMM v4

Роль	Адрес полномочия	Что может делать
Обновление программы	Squads мультиподпись (3/4)	Развернуть новый байт-код программы
Администратор пула	Treasury мультиподпись (3/5)	Переключать статус пула, обновлять комиссии существующих пулов

CPMM

Роль	Адрес полномочия	Что может делать
Обновление программы	Squads мультиподпись (3/4)	Развернуть новый байт-код программы
Администратор AmmConfig	Treasury мультиподпись (3/5)	Создавать новые AmmConfigs (уровни комиссий); переключать существующие
Получатель комиссии за создание пула	Treasury мультиподпись (3/5)	Получать единовременную комиссию за создание пула
Создатель Permission-PDA	Программный `admin` или выделенный владелец create-permission-PDA (разные значения на mainnet и devnet)	Вызывать `CreatePermissionPda` для предоставления полномочиям доступа к `InitializeWithPermission`. Выделенный владелец не может вызывать `ClosePermissionPda`; отзыв остается только для администратора.

Сбор комиссии создателя не вводит привилегированную роль. CollectCreatorFeePermissionless принимает любого плательщика, ограничивает владельца получателя на PoolState.pool_creator и ограничивает оба назначения каноническими ATA этого создателя. Вызывающий может финансировать отсутствующие ATA и запустить сбор, но не может перенаправить комиссии.

CLMM

Роль	Адрес полномочия	Что может делать
Обновление программы	Squads мультиподпись (3/4)	Развернуть новый байт-код программы
Администратор AmmConfig	Treasury мультиподпись (3/5)	Создавать/изменять AmmConfigs
Администратор DynamicFeeConfig	Treasury мультиподпись (3/5)	`CreateDynamicFeeConfig` / `UpdateDynamicFeeConfig` — калибровать уровни динамической комиссии, которые может выбрать вызов `CreateCustomizablePool`
`permission_pda_admin`	Программный `admin` или выделенный ключ `permission_pda_admin` (разные значения на mainnet и devnet)	`CreatePermissionPda` / `ClosePermissionPda` — предоставить или отозвать право полномочия вызывать `CreatePermissionedPool`. Предоставление — это просто существование PDA `["permission", authority]`; оно не дает никаких прав на изменение пула.
`limit_order_admin` (на уровне программы)	Горячий кошелек для операций вне цепи, не мультиподпись	Расчет и закрытие лимитных ордеров от имени их владельцев. Ключ keeper — это единственная константа на уровне программы (разные значения на mainnet и devnet), проверяется через `signer == limit_order.owner \|\| signer == limit_order_admin::ID` на `SettleLimitOrder` / `CloseLimitOrder`. Выход всегда попадает в ATA исходного владельца; keeper не может перенаправить средства, изменить ордера или открыть новые.

Владение PDA Permission позволяет его полномочию вызывать CreatePermissionedPool — создавать дополнительные пулы для пары, которая уже имеет канонический, каждый по адресу, полученному из отдельного seed_index. Разрешение ограничено только созданием пула: оно не может перемещать средства, менять комиссии или трогать существующие пулы. Отзыв (ClosePermissionPda) предотвращает создание дальнейших пулов полномочием, но оставляет уже созданные пулы нетронутыми. limit_order_admin — это намеренно узкая операционная роль. Она существует, чтобы внецепной keeper мог собирать заполненные ордера без необходимости быть в сети владельцу ордера. Ключ keeper горячий (находится на VM keeper) и ротируется независимо от мультиподписей выше. Конкретно, полномочие keeper ограничено:

SettleLimitOrder — отправить заполненный выход ордера в ATA владельца по лимитной цене ордера.
CloseLimitOrder — закрыть счет полностью расчетного ордера для возврата ренты (рента идет владельцу ордера).

Оно не может вызывать OpenLimitOrder, IncreaseLimitOrder, DecreaseLimitOrder, изменять какое-либо поле пула или подписывать любую другую инструкцию — эти проверки принудительно применяются на цепи через ограничения seed и has_one в структуре Accounts инструкции. Скомпрометированный keeper в худшем случае может быть недоступен (ордера остаются припаркованы, пока владелец не расчитает их сам) или расчитать/закрыть законно заполняемые ордера не по порядку; оно не может переместить пользовательские средства куда-либо, кроме того, куда владелец уже их авторизовал.

Farm v6

Роль	Адрес полномочия	Что может делать
Обновление программы	Squads мультиподпись (3/4)	Развернуть новый байт-код программы
Создатель фермы (за ферму)	Кошелек создателя фермы	Финансировать хранилища вознаграждений, продлевать расписания, возвращать неиспользованные вознаграждения

Отдельные фермы не имеют администратора протокола — каждый создатель фермы контролирует только свою ферму, и возможности создателя ограничены (не может захватить ставки пользователей, не может менять mint для ставок).

LaunchLab

Роль	Адрес полномочия	Что может делать
Обновление программы	Squads мультиподпись (3/4)	Развернуть новый байт-код программы
Администратор программы	Общий администратор Raydium	Создавать и обновлять счета `GlobalConfig`; работать с другими путями только для администратора
Создатель делегированной конфигурации	Выделенный орган, специфичный для кластера	Создать новый `GlobalConfig`; не может обновлять существующую конфигурацию
Администратор платформы	Орган-авторитет seed PDA для одного `PlatformConfig`	Обновлять параметры платформы и создавать или закрывать счета `PlatformAllowConfig` этой платформы
Создатель запуска (за запуск)	Кошелек создателя запуска	Требовать комиссии создателя кривой связывания; получает права создателя CPMM только когда платформа не переопределяет `platform_cp_creator`

Список разрешений администратора платформы самоограничивается: он ограничивает, какие счета GlobalConfig могут использовать запуски под этой платформой. Он не дает полномочия над другими платформами или существующими средствами запуска. Канонические адреса делегированного органа находятся в reference/program-addresses.

Полномочие обновления программы

Программы Raydium используют стандартный механизм обновления BPF Loader v3 Solana. Полномочие обновления для всех программ — это мультиподпись 3/4 Squads. Почему 3/4: достаточно подписывающих, чтобы одного компрометирования было недостаточно; достаточно мало, чтобы координировать законное обновление было управляемо. Четыре органа независимы, используют воздушный зазор и холодные устройства, удерживаемые членами основной команды. Последовательное подписание предотвращает параллельные одобрения одной и той же транзакции; транзакции имеют фиксированное окно истечения. Операции мультиподписи периодически проверяются в партнерстве с STRIDE Program Solana (Asymmetric Research).

Удаление полномочия обновления

Raydium не установила полномочие обновления ни одной программы на null. Протокол работает на принципе, что программы должны быть обновляемы (для исправления ошибок, добавления расширений, таких как Token-2022, исправления дрейфа интеграции). Компромисс: пользователи доверяют, что мультиподпись 3/4 будет развертывать только хорошо проверенные обновления. Для пользователей, которые хотят неизменяемую альтернативу, более старая программа AMM v4 стабильна с момента последнего аудита; ноль обновлений за 18 месяцев. Этот путь кода фактически заморожен, хотя полномочие все еще существует.

Полномочие AmmConfig

Каждое создание нового AmmConfig имеет разрешение — мультиподпись 3/5 treasury авторизует новые уровни комиссий и интервалы тиков. Существующие пулы ссылаются на свой AmmConfig по PDA; уровень комиссии пула — это то, что говорит AmmConfig. Могут ли администраторы изменить существующий AmmConfig? Да, технически. updateAmmConfig вызывается администратором. На практике изменения развернутых AmmConfigs избегаются, потому что это молча меняет экономику всех пулов, использующих эту конфигурацию. Политика протокола — создать новый AmmConfig для любого изменения и мигрировать. Могут ли администраторы украсть комиссии протокола через конфигурацию? Нет — AmmConfig содержит параметры комиссии, но не получателя комиссии протокола; это отдельный неизменяемый адрес для каждого пула.

Требование комиссии протокола

Часть комиссий за своп (обычно 3–12 bps из 25 bps комиссии за своп, в зависимости от конфигурации) накапливается в хранилище комиссии протокола. Мультиподпись может вывести эти накопленные комиссии. Пользователи никогда не видят изменения своего баланса LP из-за этого — это предварительно выделенная доля протокола, а не деньги LP.

Полномочие создателя фермы

Фермы v6 дают создателю возможность:

Финансировать хранилище вознаграждений (добавить больше токенов).
Продлевать расписание (отодвинуть время окончания позже).
Вызывать withdrawReward после времени окончания для возврата неиспользованного баланса хранилища.

Создатели ферм не могут:

Вывести поставленный пользователем LP.
Изменить mint для ставок.
Изменить коэффициенты эмиссии ретроактивно (только перспективно через setRewards).
Заморозить сбор урожая пользователей.

Злонамеренный создатель фермы может в худшем случае недофинансировать хранилище, чтобы ферма иссякла; основная ставка пользователя всегда в безопасности.

Конфигурация мультиподписи Squads

Raydium работает с двумя отдельными мультиподписями Squads для различных поверхностей риска. Обе можно проверить на цепи через пользовательский интерфейс Squads Protocol.

Мультиподпись	Порог	Timelock	Область
Обновление программы	3/4	24 часа	Единственный орган для развертывания нового байт-кода программы для AMM v4, CPMM, CLMM, LaunchLab, Lock, AMM Routing, Stable Swap и устаревших программ Farm/Staking. Просмотр на `app.squads.so/.../FytDr…ceZQK`.
Treasury	3/5	нет	Активы казны, доход протокола, операционные расходы. Также держит ограниченное полномочие администратора программы Raydium (создание AmmConfigs, сбор комиссий протокола, конфигурирование параметров пула) на данный момент. Просмотр на `v3.squads.so/dashboard/RVha…dHdtYz09`.

Операционные свойства мультиподписи обновления:

24-часовой timelock на любую транзакцию. Одобренное сегодня обновление выполняется не ранее чем через 24 часа, давая пользователям время на ответ.
Подписание на воздушном зазоре с холодными устройствами. Холодные устройства имеют физически удаленные сетевые карты; они подключаются только к аппаратному кошельку и читают данные транзакции через QR-код с отдельного горячего устройства.
Последовательное подписание. Только после того, как одно холодное устройство создаст и подпишет транзакцию, следующее холодное устройство может начать свой процесс подписания — предотвращая конфликтующие или параллельные подписи на одной и той же транзакции.
Истечение транзакции. Каждая транзакция имеет фиксированное окно истечения, поэтому устаревшие транзакции автоматически становятся недействительными.
Принудительное применение TOTP + физического ключа на горячих устройствах, используемых для инициирования транзакций и трансляции на цепь.
Очередь открытых транзакций. Любой может отслеживать ожидающие обновления в пользовательском интерфейсе Squads.

Мультиподпись treasury не имеет timelock — ее область уже и рутинные операции (создание AmmConfigs, сбор комиссий) должны приземлиться в тот же день. Мультиподпись treasury также держит ограниченное полномочие администратора программы, указанное в таблицах для каждой программы выше; это временное расположение и периодически проверяется с партнерами по безопасности проекта.

Проверка полномочия на цепи

Самый простой способ проверить текущее полномочие обновления программы:

solana program show <PROGRAM_ID>

Выход включает:

Program Id:          CPMMoo8L3F4NbTegBCKVNunggL7H1ZpdTHKxQB5qKP1C
Owner:               BPFLoaderUpgradeab1e11111111111111111111111
ProgramData Address: <ProgramDataPDA>
Authority:           <EXPECTED_MULTISIG_ADDRESS>
Last Deployed In Slot: <slot>
Data Length: <n> bytes

Если Authority не является ожидаемым адресом мультиподписи Squads, что-то не так. Raydium публикует ожидаемые адреса полномочий на reference/program-addresses. Для ролей администратора AmmConfig / пула получите счет на цепи и декодируйте:

const config = await raydium.cpmm.getAmmConfig(configPda);
console.log("AmmConfig admin:", config.admin.toBase58());
// Ожидается: мультиподпись 3/5 treasury.

Исторические изменения полномочий

Дата	Программа	Изменение
2022-12	AMM v4	Полномочие обновления мигрировало с одной подписи на мультиподпись 3/4 после инцидента
2023-02	Все программы	Все операционные роли объединены под мультиподпись 3/5 treasury
2023-11	CLMM	Добавлена вторая мультиподпись для операций только с вознаграждениями для снижения воздействия
2024-05	CPMM	Начальное развертывание с полномочием мультиподписи с первого дня

Соображения со стороны пользователя

Что вам следует делать как пользователю/LP/интегратору?

Проверьте полномочие обновления перед крупными выделениями. Подтвердите, что оно соответствует документированной мультиподписи.
Отслеживайте активность мультиподписи. Пользовательский интерфейс Squads показывает ожидающие транзакции; запланированное обновление дает вам 24 часа для отката, если вы не согласны с изменением.
Стратегии выкупа с учетом timelock. Если вы запускаете автоматический компаундер, убедитесь, что ваш путь отката не требует инструкции, которая изменяется.
Не предполагайте неизменяемость программы. Каждая программа Raydium может быть обновлена; планируйте это.

Ловушки для интеграторов

1. Кэширование адресов полномочий

Если вы жестко кодируете адрес полномочия обновления или адрес мультиподписи администратора в своем коде и он позже ротируется, ваша проверка не пройдет. Получайте из reference/program-addresses во время выполнения или обновляйте периодически.

2. Предположение, что AmmConfigs стабильны

Новый AmmConfig может быть создан в любое время. Ваш агрегатор/маршрутизатор должен периодически переполучать полный список конфигураций (ежечасно подойдет).

3. Векторы горя создателя фермы

Если вы вносите депозит в ферму с низкой репутацией, создатель может завершить ферму рано и вернуть хранилище вознаграждений (при условии, что ни один пользователь еще не поставил). Как только пользователи поставили, пропорциональные права принудительно применяются программой; возврат получает только остаток после рационального окончания.

Ссылки

reference/program-addresses — канонические адреса полномочий.
security/attack-vectors — как проявляются компрометирования администратора.
ray/treasury — адреса казны и сбора комиссий.
security/disclosure — сообщение о подозреваемых проблемах администратора.

Источники:

Squads Protocol — пользовательский интерфейс мультиподписи.
Документация Solana BPF Loader — механизм обновления.

Безопасность и риски

RAY token & Protocol revenues

Ключи администратора и мультиподпись

Роли по программам

AMM v4

CPMM

CLMM

Farm v6

LaunchLab

Полномочие обновления программы

Удаление полномочия обновления

Полномочие AmmConfig

Требование комиссии протокола

Полномочие создателя фермы

Конфигурация мультиподписи Squads

Проверка полномочия на цепи

Исторические изменения полномочий

Соображения со стороны пользователя

Ловушки для интеграторов

1. Кэширование адресов полномочий

2. Предположение, что AmmConfigs стабильны

3. Векторы горя создателя фермы

Ссылки

​Роли по программам

​AMM v4

​CPMM

​CLMM

​Farm v6

​LaunchLab

​Полномочие обновления программы

​Удаление полномочия обновления

​Полномочие AmmConfig

​Требование комиссии протокола

​Полномочие создателя фермы

​Конфигурация мультиподписи Squads

​Проверка полномочия на цепи

​Исторические изменения полномочий

​Соображения со стороны пользователя

​Ловушки для интеграторов

​1. Кэширование адресов полномочий

​2. Предположение, что AmmConfigs стабильны

​3. Векторы горя создателя фермы

​Ссылки

Роли по программам

AMM v4

CPMM

CLMM

Farm v6

LaunchLab

Полномочие обновления программы

Удаление полномочия обновления

Полномочие AmmConfig

Требование комиссии протокола

Полномочие создателя фермы

Конфигурация мультиподписи Squads

Проверка полномочия на цепи

Исторические изменения полномочий

Соображения со стороны пользователя

Ловушки для интеграторов

1. Кэширование адресов полномочий

2. Предположение, что AmmConfigs стабильны

3. Векторы горя создателя фермы

Ссылки