Når betalingen holder op med at tilhøre nogen af parterne
På en direkte salgsside ryger købers mønter direkte ind i sælgers wallet, og køber står tilbage med håbet om, at sælger sender varen. Torzons escrow-trin bryder den kæde: Når en handel er finansieret, ligger betalingen i en midlertidig forvaringsstatus, der i almindelig forstand tilhører hverken køber eller sælger. Køber har allerede bundet midlerne, men sælger kan endnu ikke bruge dem. Sælger har en låst forpligtelse, men køber kan ikke bare trække mønterne tilbage efter forgodtbefindende. Den mellemliggende tilstand er hele pointen.
“Neutral” betyder her en mekanisk begrænsning snarere end et løfte om ordentlig adfærd. Hvis frigivelsesbetingelsen ikke er opfyldt, flyttes betalingen ikke automatisk til nogen af parterne. Hvis en sælger forsvinder, er køber heller ikke automatisk sikret; neutral forvaring forhindrer blot sælger i at tage pengene, i det øjeblik de ankommer. Beskyttelsen kommer fra reglernes struktur, ikke fra at nogen blot siger, at markedet vil være fair.
Tænk på escrow som en pakke, der ligger i et skab, som kun åbner, når en fælles regel er opfyldt. Skabet er ikke din pakke, og det er ikke sælgers pakke, før frigivelsestilstanden ændrer sig.
En neutral forvaringstilstand er ikke en garanti for en vellykket handel. Den garanterer kun, at den ene part ikke ensidigt kan forsvinde med midlerne, før frigivelsesreglen udløses.
Læs escrow-tilstande som et regnskab, ikke som et løfte
På de fleste markeder er et escrow-mærke en statisk etiket: “Escrow” står under en annonce, og købere antager, at det betyder, at midlerne faktisk er sat til side. En mere nyttig måde at læse Torzon på er at betragte escrow-tilstande som posteringer i en hovedbog, ikke som løfter. En postering flytter sig kun, når en verificerbar begivenhed indtræffer — et indskud registreres, en timer udløber, en part underskriver en frigivelse — og hver overgang efterlader et spor, som du som køber kan kontrollere. En etiket alene efterlader intet spor; det gør en tilstandsændring. Forskellen er, om du kigger på en påstand eller på en registrering.
Det praktiske spørgsmål er: hvad skulle være sandt, for at den status, du ser, kunne være falsk? Hvis svaret er “kun markedets ord”, er tilstanden svag. Hvis svaret er “flere uafhængige markører skulle flytte sig sammen”, er tilstanden sværere at forfalske. Det er hovedbogs-tankegangen: du spørger ikke, om markedet siger, at escrow er finansieret; du spørger, hvilke beviser på kæden eller på protokolniveau der ville flytte sig, når finansieringen virkelig sker.
Verificerbare tilstandsmarkører
Indbetalingsreference
En finansieringsbegivenhed bør svare til en unik betalingsadresse eller fakturaidentifikator, der kan kontrolleres uafhængigt, ikke en fælles pulje-etiket.
Blokhøjde eller txid
I det øjeblik midlerne cleares, bør der findes et bestemmeligt anker — et transaktions-id, en blokposition eller tilsvarende — der knytter betalingen til annoncen.
Timerstart
En ægte escrow-tilstand sætter normalt en nedtælling i gang. Hvis status viser “finansieret”, men der ikke findes nogen tidsbaseret frigivelsesbetingelse, er tilstanden ufuldstændig.
Frigivelsesudløser
Tilstanden bør angive den nøjagtige betingelse, der flytter midlerne videre — køberbekræftelse, et tvistudfald eller en auto-frigivelse — ikke bare “behandles”.
For eksempel har en køber, der ser “Finansieret” uden nogen transaktionsreference, fået vist et løfte. En køber, der ser “Finansieret” knyttet til en betalingsadresse, de selv har brugt, med en timer i gang, ser flere dele af den samme registrering. Hvis én del mangler, kan escrow-tilstanden være kosmetisk. Den nyttige vane er at kontrollere, om den viste tilstand ville ændre sig automatisk, når en virkelig begivenhed indtræffer — for en hovedbog behøver ikke markedet at huske at opdatere den; reglen udløser opdateringen.
| Escrow som løfte | Escrow som hovedbog |
|---|---|
| Escrow-mærke synligt |
Før du behandler nogen escrow-status som reel, så stil ét spørgsmål: “Hvis dette var falsk, hvad ville så se anderledes ud?” Hvis svaret er “intet”, er status kun dekoration. Gå videre.
Sådan opdeler multisignatur-depot magten til at flytte midler
En almindelig escrow-wallet med én enkelt signatur fungerer som en hængelås med én nøgle. Den, der kontrollerer nøglen, kan flytte midler alene, hvilket betyder, at køber eller sælger stadig må stole på en mellemliggende underskriver eller markedets interne logik. Multisignatur-depot ændrer den form: midlerne ligger på en adresse, der kræver mere end én nøgle, før en transaktion bliver gyldig, for eksempel to af tre eller tre af fire. Ingen enkelt indehaver kan gennemtvinge en udbetaling alene.
| Beslutningsmagt | Escrow med én nøgle | Multisignatur-depot |
|---|---|---|
| ;; Hvem kan flytte midler alene | én indehaver eller ét system | ingen enkelt indehaver alene |
| ;; Købers eksponering ved platformsnedbrud | høj, hvis platformen sidder på nøglen | reduceret, når køber kontrollerer én nøgle |
| ;; Sælgers eksponering over for uærlig køber | afhænger af central gennemgang | kræver enighed mellem køber og endnu en part |
| ;; Tilgængelighedsrisiko, hvis en nøgle mistes | kan ofte gendannes af platformen | kan blokere udbetalinger, medmindre tærsklen stadig kan nås |
Den almindelige struktur er to-af-tre. Én nøgle kan holdes af køberen, én af sælgeren og én af markedet eller en neutral mægler. For at frigive betaling skal to underskrivere samarbejde. Ved normal gennemførelse kan køber og sælger underskrive sammen. Ved en tvist kan markedets nøgle slutte sig til den ene side. Det vigtige er ikke, hvor mange nøgler der findes, men hvor mange der kræves, og hvem der faktisk kontrollerer dem. Nogle Torzon-brugere tjekker multisig-adressen og de offentlige nøgler, der er angivet i ordren, før de finansierer, så de kan se, om opsætningen reelt er multisignatur eller blot en normal wallet med ekstra løfter i grænsefladen. Et nyttigt spørgsmål at stille: hvilke parter kan jeg verificere on-chain, og hvilke parter findes kun som udsagn på en side?
Hvad sker der, når én underskriver er utilgængelig eller nægter
Hvis sælgeren forsvinder efter forsendelse, og køberen ønsker at afslutte, kan køberen nogle gange underskrive sammen med markedsnøglen. Hvis køberen tier efter at have modtaget varerne, kan sælgeren underskrive med markedsnøglen, når tvistprocessen understøtter frigivelse. Den farlige situation opstår, når tærsklen ikke kan nås, fordi to nødvendige nøgler er mistet, offline eller kontrolleres af den samme person. En multisig, der kræver to nøgler, men hvor markedet kontrollerer to af dem, er blot enkeltkontrol iført et mere kompliceret kostume. Derfor betyder det noget at se på reel kontrol og underskriveres uafhængighed, ikke kun på betegnelsen “multisig.” I enhver underskriverstruktur forbliver fokus på, om en eller flere parter stadig kan flytte midler, når én underskriver nægter at samarbejde.
Modpartsrisiko-scenarier: Hvor multisig holder, og hvor det svigter
Multisig-depot ændrer formen på modpartsrisiko, men fjerner den ikke. Det nyttige spørgsmål er ikke “er det sikkert?”, men hvilken fejl tilhører hvem — og hvem der stadig har en nøgle, når noget går i stykker. Escrow med to-af-tre-nøgler fungerer bedst, når præcis én part bliver utilgængelig eller uærlig. Den fungerer værst, når to parter går sammen, eller når køberen forveksler en delvis beskyttelse med en fuld beskyttelse.
Tænk på de tre nøgler som en trekant. En transaktion bevæger sig kun, når to hjørner er enige. Hvis det ene hjørne forsvinder, kan de to andre stadig samarbejde ærligt — det er designets styrke. Men hvis to hjørner kontrolleres af den samme person, klapper trekanten sammen til en linje, og multisig’en bliver til en tegnebog med én signatur og ekstra trin.
Død sælger, passiv køber
- Betaling låstKøber sendte midler ind på den fælles escrow-adresse
- Sælger bliver tavsIngen opdatering, ingen forsendelsesbekræftelse, intet svar
- Køber åbner tvistMarkedets nøgle bliver den anden signatur
- Markedet bekræfter tavshedHvis der ikke findes bevis for forsendelse, bruges refusionsvejen
- Midler returneresKøbers nøgle plus markedets nøgle frigiver det tilbageholdte beløb
Den væsentligste risikoreduktion her er reel: en sælger kan ikke blot forsvinde med midlerne, fordi sælgerens nøgle alene ikke kan bruge dem. Køberen kan heller ikke selv refundere uden markedets medvirken, hvilket forhindrer det modsatte svindelnummer med at påstå manglende levering efter at have modtaget en pakke.
Omstridt levering med beviser på begge sider
Dette er det svageste tilfælde for multisig, ikke fordi mekanismen bryder sammen, men fordi den ikke kan læse beviser. Hvis sælgeren fremlægger en forsendelsesbekræftelse, og køberen hævder, at pakken aldrig ankom, er de to tilbageværende ærlige parter ikke længere enige om, hvad “ærlig” betyder. Markedet må beslutte, hvilken historie det vil støtte, og den beslutning er ikke kryptografisk — den er operationel.
Et marked, der altid underskriver med køberen i tvister, bliver et køberværktøj; et, der altid underskriver med sælgeren, bliver et sælgerværktøj. Hold øje med, hvad markedets tvisthistorik belønner, før du stoler på selve depoteringsstrukturen.
Kompromitteret købernøgle
Hvis en købers enhed kompromitteres, og en angriber får fat i køberens escrow-nøgle, har angriberen stadig brug for en anden nøgle for at flytte midler. Den anden nøgle kan komme fra en sælger, der spiller med, eller fra et marked, der ikke verificerer køberens identitet, før det underskriver. Multisig’en hæver altså omkostningen ved angrebet: at stjæle én nøgle er ikke længere nok, men at stjæle én nøgle plus at manipulere markedet socialt kan stadig være nok.
- Yderste cirkel — Angriber kontrollerer kun købers nøgle — kan stadig ikke bruge midlerne alene
- Midterste cirkel — Angriber får sælgerens medvirken — transaktionen kan afsluttes til det udfald, angriberen vælger
- Inderste cirkel — Køberen mister også muligheden for at anmode om refusion — gendannelse afhænger udelukkende af markedets nøgle
Den praktiske test for enhver escrow-ordning er ikke antallet af nøgler, men spørgsmålet: “Hvis jeg mister kontrollen lige nu, hvilken enkelt aktør kan så stadig flytte mine midler uden mig?” Hvis svaret er uklart, skal du ikke behandle escrow’en som neutral.
Tjekliste til verifikation, før du accepterer escrow som reel
En ægte escrow-påstand bør overleve en kort omgang skeptisk kontrol. Du behøver ikke bevise hele markedets infrastruktur; du skal blot se, om den synlige tilstand stemmer overens med løftet om neutral, multisignatur-baseret forvaring, før du binder midler.
Hvad grænsefladen alene kan og ikke kan bevise
En ordreside med et grønt escrow-mærke beviser meget lidt i sig selv. Et klonet site kan gengive samme etiket. Det afgørende er, om adresse, tilstandsændringer og signeringsmodel stemmer overens med de påstande, markedet selv fremfører i sin forklaring af, hvordan forvaring fungerer.
Hvis en sælger beder dig om at afslutte tidligt eller flytte betaling uden for escrow-forløbet, kan ingen mængde grænsefladekontrol reparere det, der allerede er brudt.
- Trin 1Bekræft, at du indlæste markedet via din egen gemte onion-adresse — ikke via et søgeresultat, et socialt opslag eller et indsat link
- Trin 2Åbn ordrens escrow-status, og læg mærke til, om den fremstår som finansieret, afventende eller omstridt — ikke blot som en generisk “beskyttet”-etiket
- Trin 3Kontrollér, om den synlige indbetalingsadresse beskrives som del af et multisignatur-arrangement, der involverer en markedsnøgle — ikke en enkelt privat nøgle kontrolleret af sælgeren
- Trin 4Spørg, hvor konfliktløsning optræder: et ægte forvaringsforløb bør vise en vej, hvor hverken køber eller sælger alene kan frigive midlerne
- Trin 5Efter en lille test: hold øje med, om tilstanden kun ændrer sig gennem eksplicitte handlinger såsom køberbekræftelse, åbning af en tvist eller administratorafgørelse
Tænk på det som et depositum, en tredjepart holder. Kvit alene er ikke bevis; du vil også gerne vide hvem der kan underskrive en frigivelse, hvad der udløser den frigivelse, og om modparten kan nedlægge veto. Escrow er en kontrolstruktur, ikke et klistermærke.
En omhyggelig læser bør forvente, at escrow- og multisignatur-forklaringen er konsistent på tværs af markedet: indbetalingsforløb, tvistvej og frigivelsesbetingelser bør bruge samme begreber og pege på samme aktørroller. Uoverensstemmelse mellem ordrestatus-formulering og forvaringsforklaring er et signal om at stoppe.
Inden du sender noget værdifuldt: test escrow-tilstanden på en triviel ordre, og observer, om den bevæger sig fra finansieret til afventende til frigivet udelukkende gennem de forventede aktørhandlinger.
Ofte stillede spørgsmål
Hvordan ved jeg, at escrow reelt er aktiv og ikke bare en statusetiket?
Escrow-statusen er en registrering af, hvor transaktionen står, ikke en garanti for, at nogen vil opføre sig ærligt. Du bør betragte den som en post i en hovedbog, der kan læses og kontrolleres uafhængigt, snarere end som et løfte fra den ene part.
Hvad sker der med betalingen fra det øjeblik, jeg sender den, til handlen lukkes?
Mens handlen er uafklaret, står midlerne i en tilstand, hvor hverken køber eller sælger kan flytte dem alene. De hører ikke længere til hos nogen af parterne hver for sig, og frigivelse kræver, at escrow-betingelserne er opfyldt.
Hvorfor skulle multisignatur-depot være mere sikkert end en enkelt escrow-wallet?
Multisig fordeler muligheden for at flytte midler mellem flere nøgler, som forskellige parter sidder med, så ingen enkeltperson ensidigt kan bruge eller stjæle fra escrow. Det mindsker tilliden til én enkelt operatør, men det afhænger stadig af, hvem der kontrollerer nøglerne.
Hvad bør jeg kontrollere, før jeg accepterer, at escrow er reel på Torzon Market?
Kontrollér, at escrow-adressen er den, som markedspladsen viser, bekræft, at det krævede antal signaturer stemmer med den angivne politik, og sørg for at forstå, hvem der har hver nøgle. Hvis nogen af de detaljer er uklare eller ikke stemmer, bør du ikke betragte escrow som reel.