Når betalingen slutter å tilhøre noen av partene
På en side for direkte salg går kjøperens mynter rett inn i selgerens lommebok, og kjøperen må bare håpe at selgeren sender varen. Torzons escrow-trinn bryter den kjeden: Etter at en handel er finansiert, ligger betalingen i en midlertidig forvaringsstatus som verken tilhører kjøperen eller selgeren i vanlig forstand. Kjøperen har allerede bundet opp midler, men selgeren kan ikke bruke dem ennå. Selgeren har en låst forpliktelse, men kjøperen kan ikke bare trekke myntene tilbake på et innfall. Denne mellomtilstanden er hele poenget.
«Nøytral» betyr her en mekanisk begrensning snarere enn et løfte om god oppførsel. Hvis frigivelsesvilkåret ikke er oppfylt, flyttes ikke betalingen automatisk til noen av partene. Hvis en selger forsvinner, er ikke kjøperen automatisk trygg heller; nøytral forvaring hindrer bare selgeren i å ta pengene i det øyeblikket de ankommer. Beskyttelsen kommer fra regelstrukturen, ikke fra at noen bare sier at markedsplassen skal være rettferdig.
Tenk på escrow som en pakke som ligger i en oppbevaringsboks som bare åpnes når en felles regel er oppfylt. Boksen er ikke din pakke, og den er ikke selgerens pakke, før frigivelsesstatusen endres.
En nøytral oppbevaringsstatus er ikke en garanti for en vellykket handel. Den garanterer bare at den ene parten ikke ensidig kan stikke av med midlene før frigivelsesregelen utløses.
Å lese escrow-tilstander som en reskontro, ikke et løfte
På de fleste markeder er et escrow-merke en statisk etikett: «Escrow» står under en oppføring, og kjøpere antar at det betyr at midler faktisk er satt til side. En mer nyttig måte å lese Torzon på, er å behandle escrow-tilstander som reskontroposisjoner, ikke løfter. En reskontroposisjon flytter seg bare når en verifiserbar hendelse inntreffer — et innskudd registreres, en tidsfrist utløper, en part signerer en frigivelse — og hver overgang etterlater et spor som du, kjøperen, kan kontrollere. En etikett alene etterlater ingen spor; en tilstandsendring gjør det. Forskjellen er om du ser på en påstand eller på en registrering.
Det praktiske spørsmålet er: hva måtte vært sant for at statusen du ser, skulle vært falsk? Hvis svaret er «bare markedets ord», er tilstanden svak. Hvis svaret er «flere uavhengige markører måtte flyttet seg samtidig», er tilstanden vanskeligere å forfalske. Det er reskontromåten å tenke på: du spør ikke om markedet sier at escrow er finansiert; du spør hvilke bevis på kjede- eller protokollnivå som ville flyttet seg når finansieringen faktisk skjer.
Verifiserbare tilstandsmarkører
Innskuddsreferanse
En finansieringshendelse bør tilsvare en unik betalingsadresse eller fakturaidentifikator som kan kontrolleres uavhengig, ikke en delt pool-etikett.
Blokkhøyde eller txid
I det øyeblikket midlene klareres, bør det finnes et fastslåbart anker — en transaksjons-ID, blokkposisjon eller tilsvarende — som knytter betalingen til oppføringen.
Start på tidsfrist
En ekte escrow-tilstand starter vanligvis en nedtelling. Hvis statusen viser «finansiert» uten at noen tidsbasert frigivelsesbetingelse finnes, er tilstanden ufullstendig.
Frigivelsesutløser
Tilstanden bør navngi den nøyaktige betingelsen som flytter midlene videre — kjøperbekreftelse, et tvisteutfall eller en automatisk frigivelse — ikke bare «under behandling».
For eksempel har en kjøper som ser «Finansiert» uten noen transaksjonsreferanse, blitt vist et løfte. En kjøper som ser «Finansiert» knyttet til en betalingsadresse de selv brukte, med en tidsfrist som løper, ser flere deler av samme registrering. Hvis én del mangler, kan escrow-tilstanden være kosmetisk. Den nyttige vanen er å sjekke om den viste tilstanden ville endret seg automatisk når en virkelig hendelse inntreffer — for en reskontro trenger ikke markedet å huske å oppdatere den; regelen utløser oppdateringen.
| Escrow som løfte | Escrow som reskontro |
|---|---|
| Escrow-merke synlig |
Før du behandler en escrow-status som ekte, still ett spørsmål: «Hvis dette var falskt, hva ville sett annerledes ut?» Hvis svaret er «ingenting», er statusen dekorasjon. Gå videre.
Slik deler multisignatur-depot makten til å flytte midler
En vanlig single-signature escrow-lommebok fungerer som en hengelås med én nøkkel. Den som kontrollerer den nøkkelen, kan flytte midler alene, noe som betyr at kjøper eller selger fortsatt må stole på en mellomliggende signerer eller markedets interne logikk. Multisignatur-depot endrer den strukturen: midlene ligger på en adresse som krever mer enn én nøkkel før en transaksjon blir gyldig, for eksempel to av tre eller tre av fire. Ingen enkelt aktør kan gjennomføre en utbetaling på egen hånd.
| Beslutningsmakt | Single-key-escrow | Multisignatur-depot |
|---|---|---|
| ;; Hvem kan flytte midler alene | én aktør eller ett system | ingen enkelt aktør alene |
| ;; Kjøpers eksponering mot plattformsvikt | høy hvis plattformen holder nøkkelen | redusert når kjøper kontrollerer én nøkkel |
| ;; Selgers eksponering mot uærlig kjøper | avhenger av sentral gjennomgang | krever at kjøper og en part til blir enige |
| ;; Tilgjengelighetsrisiko hvis en nøkkel mistes | ofte mulig å gjenopprette via plattformen | kan blokkere utbetalinger med mindre terskelen fortsatt kan nås |
Den vanligste strukturen er to av tre. Én nøkkel kan holdes av kjøper, én av selger og én av markedet eller en nøytral megler. For å frigi betaling må to signerer samarbeide. Ved normal gjennomføring kan kjøper og selger signere sammen. Ved en tvist kan markedets nøkkel slutte seg til den ene siden. Det viktige er ikke hvor mange nøkler som finnes, men hvor mange som kreves og hvem som faktisk kontrollerer dem. Noen Torzon-brukere sjekker multisig-adressen og de offentlige nøklene som er oppført i ordren før de finansierer, slik at de kan se om oppsettet faktisk er multisignatur eller bare en vanlig lommebok med ekstra løfter i grensesnittet. Et nyttig spørsmål å stille: hvilke parter kan jeg verifisere på kjeden, og hvilke parter finnes bare som påstander på en side?
Hva som skjer når én signerer er utilgjengelig eller nekter
Hvis selgeren forsvinner etter sending og kjøperen ønsker å fullføre, kan kjøperen i noen tilfeller signere sammen med markedsnøkkelen. Hvis kjøperen blir stille etter å ha mottatt varene, kan selgeren signere med markedsnøkkelen når tvisteprosessen støtter frigivelse. Det farlige tilfellet er når terskelen ikke kan nås fordi to nødvendige nøkler er tapt, frakoblet eller holdes av samme person. En multisig som krever to nøkler, men der markedet kontrollerer to av dem, er bare enkeltkontroll i en mer komplisert forkledning. Derfor er det viktig å se på reell kontroll og signer-uavhengighet, ikke bare på merkelappen «multisig». I enhver signerstruktur forblir fokuset på om én eller flere parter fortsatt kan flytte midler når én signerer nekter å samarbeide.
Motpartsrisiko-scenarioer: Der multisig holder, og der det svikter
Multisig-depot endrer formen på motpartsrisiko, men fjerner den ikke. Det nyttige spørsmålet er ikke «er dette trygt?», men hvilken feil tilhører hvem — og hvem som fortsatt sitter med en nøkkel når noe bryter sammen. Depot med to av tre nøkler fungerer best når nøyaktig én part blir utilgjengelig eller uærlig. Det fungerer dårligst når to parter finner sammen, eller når kjøperen forveksler en delvis beskyttelse med en fullverdig en.
Tenk på de tre nøklene som en trekant. En transaksjon beveger seg bare når to hjørner er enige. Hvis ett hjørne forsvinner, kan de to andre fortsatt samarbeide ærlig — det er gevinsten med designet. Men hvis to hjørner kontrolleres av samme person, kollapser trekanten til en linje, og multisig-en blir en lommebok med én signatur og noen ekstra trinn.
Død selger, kjøper uten respons
- Betaling låstKjøper sendte midler til den delte depotadressen
- Selger blir tausIngen oppdatering, ingen forsendelsesbekreftelse, ikke noe svar
- Kjøper åpner tvistMarkedsplassens nøkkel blir den andre signaturen
- Markedsplassen bekrefter taushetHvis det ikke finnes bevis for forsendelse, brukes refusjonsveien
- Midler returneresKjøpernøkkel pluss markedsnøkkel frigjør det fastlåste beløpet
Den viktigste risikoreduksjonen her er reell: en selger kan ikke bare forsvinne med midlene, fordi selgerens nøkkel alene ikke kan bruke dem. Kjøperen kan heller ikke refundere seg selv uten markedsplassens medvirkning, noe som forhindrer det motsatte svindelopplegget med å hevde at levering ikke har skjedd etter å ha mottatt pakken.
Omstridt levering med bevis på begge sider
Dette er det svakeste tilfellet for multisig, ikke fordi mekanismen bryter sammen, men fordi den ikke kan lese bevis. Hvis selgeren legger fram en forsendelsesbekreftelse og kjøperen hevder at pakken aldri kom fram, er de to gjenværende ærlige partene ikke lenger enige om hva «ærlig» betyr. Markedsplassen må bestemme hvilken historie den skal støtte, og den avgjørelsen er ikke kryptografisk — den er operasjonell.
En markedsplass som alltid signerer med kjøperen i tvister, blir et verktøy på kjøperens side; en som alltid signerer med selgeren, blir et verktøy på selgerens side. Se på hva tvistehistorikken belønner før du stoler på selve depotstrukturen.
Kompromittert kjøpernøkkel
Hvis en kjøpers enhet kompromitteres og en angriper får tak i kjøperens depotnøkkel, trenger angriperen fortsatt en ny nøkkel til for å flytte midler. Den nøkkelen kan komme fra en selger som samarbeider, eller fra en markedsplass som ikke bekrefter kjøperens identitet før den signerer. Multisig-en hever dermed kostnaden for angrepet: å stjele én nøkkel er ikke lenger nok, men å stjele én nøkkel pluss å sosialmanipulere markedsplassen kan fortsatt være det.
- Ytre sirkel — Angriper kontrollerer bare kjøpernøkkelen — kan fortsatt ikke bruke midler alene
- Midtre sirkel — Angriper får selgerens medvirkning i tillegg — transaksjonen kan fullføres til det utfallet angriperen velger
- Indre sirkel — Kjøperen mister også muligheten til å be om refusjon — gjenoppretting avhenger helt av markedsplassens nøkkel
Den praktiske testen for enhver depotordning er ikke antallet nøkler, men spørsmålet: «Hvis jeg mister kontrollen akkurat nå, hvilken enkeltaktør kan fortsatt flytte midlene mine uten meg?» Hvis svaret er uklart, må du ikke behandle depotet som nøytralt.
Verifikasjonssjekkliste før du aksepterer escrow som reell
En ekte escrow-påstand bør tåle en kort runde med skeptisk kontroll. Du trenger ikke bevise hele markedsinfrastrukturen; du trenger bare å se om den synlige tilstanden samsvarer med løftet om nøytral oppbevaring med multisignatur før du binder midler.
Hva grensesnittet alene kan og ikke kan bevise
En bestillingsside med et grønt escrow-merke beviser svært lite i seg selv. Et klonet nettsted kan gjengi samme etikett. Det som betyr noe, er om adressen, tilstandsendringene og signeringsmodellen samsvarer med påstandene markedet selv kommer med i sin egen forklaring av hvordan oppbevaringen fungerer.
Hvis en selger ber deg om å fullføre tidlig eller flytte betalingen utenfor escrow-flyten, kan ingen mengde grensesnittkontroll reparere det som allerede er ødelagt.
- Trinn 1Bekreft at du lastet markedet gjennom din egen lagrede onion-adresse, ikke via et søkeresultat, et innlegg i sosiale medier eller en limt lenke
- Trinn 2Åpne ordrens escrow-status og legg merke til om den vises som finansiert, ventende eller omstridt — ikke bare en generell «beskyttet»-etikett
- Trinn 3Sjekk om den synlige innskuddsadressen beskrives som en del av en multisignaturordning som involverer en markedsnøkkel, ikke én enkelt privatnøkkel kontrollert av selgeren
- Trinn 4Spør hvor tvisteløsningen vises: en ekte oppbevaringsflyt bør vise en vei der verken kjøper eller selger alene kan frigi midlene
- Trinn 5Etter en liten test, se om tilstanden endres kun gjennom eksplisitte handlinger som kjøperbekreftelse, åpning av tvist eller administratoravgjørelse
Tenk på det som et depositum som holdes av en tredjepart. Kvitteringen alene er ikke bevis; du vil også vite hvem som kan signere en frigivelse, hva som utløser frigivelsen, og om motparten kan nedlegge veto. Escrow er en kontrollstruktur, ikke et klistremerke.
En nøye leser bør forvente at escrow- og multisignaturforklaringen er konsistent på tvers av markedet: innskuddsflyten, tvisteveien og frigivelsesvilkårene bør bruke samme begreper og peke på de samme aktørrollene. Uoverensstemmelse mellom ordrestatusens ordlyd og oppbevaringsforklaringen er et signal om å stoppe.
Før du sender noe av verdi, test escrow-tilstanden på en triviell ordre og observer om den beveger seg fra finansiert til ventende til frigitt kun gjennom de forventede aktørhandlingene.
Ofte stilte spørsmål
Hvordan vet jeg at depotordningen faktisk er aktiv og ikke bare en statusetikett?
Depotstatusen er en registrering av hvor transaksjonen står, ikke en garanti for at noen vil opptre ærlig. Du bør behandle den som en reskontrooppføring som kan leses og kontrolleres uavhengig, snarere enn som et løfte fra én part.
Hva skjer med betalingen mellom det øyeblikket jeg sender den og det øyeblikket handelen avsluttes?
Mens handelen er uavklart, står midlene i en tilstand der verken kjøperen eller selgeren kan flytte dem på egen hånd. De slutter å tilhøre én av partene alene, og frigivelse krever at depotvilkårene er oppfylt.
Hvorfor skulle multisignatur-depot være tryggere enn én enkelt depotlommebok?
Multisig fordeler makten til å flytte midler på flere nøkler som holdes av forskjellige parter, slik at ingen enkeltperson ensidig kan bruke eller stjele fra depotet. Det reduserer tilliten til én enkelt operatør, men det avhenger fortsatt av hvem som kontrollerer nøklene.
Hva bør jeg kontrollere før jeg aksepterer at depotet er ekte på Torzon Market?
Kontroller at depotadressen er den som vises av markedsplassen, bekreft at det nødvendige antallet signaturer samsvarer med den oppgitte policyen, og sørg for at du forstår hvem som holder hver nøkkel. Hvis noen av disse detaljene er uklare eller ikke stemmer, bør du ikke behandle depotet som ekte.