Quando o Pagamento Deixa de Pertencer a Qualquer um dos Lados
Em uma página de venda direta, as moedas do comprador vão diretamente para a carteira do vendedor, e o comprador fica torcendo para que o vendedor envie o pedido. A etapa de custódia da Torzon rompe essa cadeia: depois que uma negociação é financiada, o pagamento permanece em um estado de custódia temporária que não pertence nem ao comprador nem ao vendedor no sentido comum. O comprador já comprometeu os fundos, mas o vendedor ainda não pode gastá-los. O vendedor tem um compromisso travado, mas o comprador não pode simplesmente retirar as moedas de volta por capricho. Essa condição intermediária é justamente o objetivo.
“Neutra” aqui significa uma restrição mecânica, e não uma promessa de bom comportamento. Se a condição de liberação não for cumprida, o pagamento não se move automaticamente para nenhuma das partes. Se um vendedor desaparecer, o comprador também não fica automaticamente seguro; a custódia neutra apenas impede que o vendedor leve o dinheiro no momento em que ele chega. A proteção vem da estrutura de regras, e não de alguém simplesmente dizer que o mercado será justo.
Pense na custódia como um pacote guardado em um armário que só abre quando uma regra compartilhada é satisfeita. O armário não é o seu pacote, e também não é o pacote do vendedor, até que o estado de liberação mude.
Um estado de retenção neutro não é garantia de uma negociação bem-sucedida. Ele apenas garante que um dos lados não pode sair unilateralmente com os fundos antes que a regra de liberação seja acionada.
Lendo os Estados do Escrow como um Registro, Não como uma Promessa
Na maioria dos mercados, um selo de custódia é um rótulo estático: “Escrow” aparece sob um anúncio, e os compradores assumem que os fundos estão de fato estacionados. Uma forma mais útil de ler a Torzon é tratar os estados de custódia como posições de razão contábil, não promessas. Uma posição de razão contábil só se move quando ocorre um evento verificável — um depósito é registrado, um temporizador expira, uma parte assina uma liberação — e cada transição deixa um rastro que você, o comprador, pode verificar. Um rótulo sozinho não deixa rastro; uma mudança de estado deixa. A diferença está em você estar olhando para uma alegação ou para um registro.
A pergunta prática é: o que precisaria ser verdade para que o status que você vê fosse falso? Se a resposta for “apenas a palavra do mercado”, o estado é fraco. Se a resposta for “vários marcadores independentes teriam de se mover juntos”, o estado é mais difícil de falsificar. Essa é a forma de pensar do razão contábil: você não pergunta se o mercado diz que a custódia está financiada; você pergunta que evidência on-chain ou de nível de protocolo se moveria quando o financiamento realmente acontecesse.
Marcadores de estado verificáveis
Referência de depósito
Um evento de financiamento deve corresponder a um endereço de pagamento único ou identificador de fatura que possa ser verificado de forma independente, não a um rótulo de pool compartilhado.
Altura do bloco ou txid
No momento em que os fundos são compensados, deve haver uma âncora determinável — um ID de transação, posição de bloco ou equivalente — que vincule o pagamento ao anúncio.
Início do temporizador
Um estado real de custódia geralmente inicia uma contagem regressiva. Se o status mostrar “financiado”, mas não existir condição de liberação baseada em tempo, o estado está incompleto.
Gatilho de liberação
O estado deve nomear a condição exata que move os fundos adiante — confirmação do comprador, resultado de disputa ou liberação automática — não apenas “processando”.
Por exemplo, um comprador que vê “Financiado” sem nenhuma referência de transação recebeu uma promessa. Um comprador que vê “Financiado” vinculado a um endereço de pagamento que ele usou, com um temporizador em execução, está vendo várias partes do mesmo registro. Se uma parte estiver ausente, o estado de custódia pode ser cosmético. O hábito útil é verificar se o estado exibido mudaria automaticamente quando ocorresse um evento do mundo real — porque um razão contábil não precisa que o mercado se lembre de atualizá-lo; a regra dispara a atualização.
| Custódia como promessa | Custódia como razão contábil |
|---|---|
| Selo de custódia visível |
Antes de tratar qualquer status de custódia como real, faça uma pergunta: “Se isto fosse falso, o que pareceria diferente?” Se a resposta for “nada”, o status é decoração. Siga em frente.
Como a Custódia Multisig Divide o Poder de Mover os Fundos
Uma carteira de custódia simples com assinatura única funciona como um cadeado com uma única chave. Quem controla essa chave pode movimentar fundos sozinho, o que significa que o comprador ou o vendedor ainda precisa confiar em um signatário intermediário ou na lógica interna do mercado. A custódia com múltiplas assinaturas muda essa estrutura: os fundos ficam em um endereço que exige mais de uma chave para que uma transação seja válida, por exemplo duas de três ou três de quatro. Nenhum detentor consegue sozinho autorizar um pagamento.
| Poder de decisão | Custódia com uma chave | Custódia com múltiplas assinaturas |
|---|---|---|
| ;; Quem pode movimentar fundos sozinho | um detentor ou sistema | nenhum detentor isolado |
| ;; Exposição do comprador a falha da plataforma | alta se a plataforma detém a chave | reduzida quando o comprador controla uma chave |
| ;; Exposição do vendedor a comprador desonesto | depende de revisão central | exige acordo entre o comprador e outra parte |
| ;; Risco de indisponibilidade se uma chave for perdida | geralmente recuperável pela plataforma | pode bloquear pagamentos se o limite mínimo não puder mais ser alcançado |
A estrutura comum é duas de três. Uma chave pode ficar com o comprador, uma com o vendedor e uma com o mercado ou com um árbitro neutro. Para liberar o pagamento, dois signatários precisam cooperar. Em uma conclusão normal, comprador e vendedor podem assinar juntos. Em uma disputa, a chave do mercado pode se juntar a qualquer um dos lados. O importante não é quantas chaves existem, mas quantas são exigidas e quem de fato as controla. Alguns usuários do Torzon verificam o endereço multisig e as chaves públicas listadas no pedido antes de enviar fundos, para saber se a configuração é realmente com múltiplas assinaturas ou apenas uma carteira comum com promessas extras na interface. Uma pergunta útil a fazer: quais partes eu consigo verificar na cadeia e quais partes existem apenas como declarações em uma página?
O que acontece quando um signatário fica indisponível ou se recusa a assinar
Se o vendedor desaparecer após o envio e o comprador quiser finalizar, às vezes o comprador pode assinar junto com a chave do mercado. Se o comprador ficar em silêncio após receber os produtos, o vendedor pode assinar com a chave do mercado quando o processo de disputa apoiar a liberação. O caso perigoso é quando o número mínimo de assinaturas não pode ser alcançado porque duas chaves necessárias estão perdidas, offline ou em posse da mesma pessoa. Uma multisig que exige duas chaves, mas na qual o mercado controla duas delas, é apenas controle único vestindo uma fantasia mais complicada. Por isso é importante observar o controle real e a independência dos signatários, não apenas o rótulo “multisig”. Em qualquer estrutura de signatários, o foco continua sendo se uma ou mais partes ainda conseguem movimentar fundos quando um signatário se recusa a cooperar.
Cenários de Risco de Contraparte: Onde a Multisig Resiste e Onde Falha
A custódia multisig muda a forma do risco de contraparte, mas não o elimina. A pergunta útil não é “isto é seguro?”, mas qual falha pertence a quem — e quem ainda detém uma chave quando algo quebra. O escrow com duas de três chaves funciona melhor quando exatamente uma das partes fica indisponível ou desonesta. Funciona pior quando duas partes se alinham, ou quando o comprador confunde uma salvaguarda parcial com uma salvaguarda completa.
Pense nas três chaves como um triângulo. Uma transação só avança quando dois vértices concordam. Se um vértice desaparece, os outros dois ainda podem cooperar honestamente — essa é a vantagem do design. Mas se dois vértices forem controlados pela mesma pessoa, o triângulo desaba em uma linha, e a multisig se torna uma carteira de uma assinatura com etapas extras.
Vendedor morto, comprador sem resposta
- Pagamento bloqueadoO comprador enviou os fundos para o endereço de escrow compartilhado
- Vendedor fica em silêncioSem atualização, sem confirmação de envio, sem resposta
- Comprador abre disputaA chave do mercado se torna a segunda assinatura
- Mercado verifica o silêncioSe não houver prova de envio, o caminho de reembolso é usado
- Fundos retornamChave do comprador mais chave do mercado liberam o valor retido
A principal redução de risco aqui é real: um vendedor não pode simplesmente desaparecer com os fundos, porque a chave do vendedor sozinha não pode gastá-los. O comprador também não pode se auto-reembolsar sem a cooperação do mercado, o que impede o golpe oposto de alegar não entrega após receber o pacote.
Entrega contestada com evidências de ambos os lados
Este é o caso mais fraco para multisig, não porque o mecanismo quebra, mas porque ele não consegue ler evidências. Se o vendedor fornece uma confirmação de envio e o comprador alega que o pacote nunca chegou, as duas partes honestas restantes não concordam mais sobre o que significa “honesto”. O mercado precisa decidir qual história apoiar, e essa decisão não é criptográfica — é operacional.
Um mercado que sempre assina junto com o comprador em disputas se torna uma ferramenta do lado do comprador; um que sempre assina junto com o vendedor se torna uma ferramenta do lado do vendedor. Observe o que o histórico de disputas dele recompensa antes de confiar na própria estrutura de custódia.
Chave do comprador comprometida
Se o dispositivo do comprador for comprometido e um atacante obtiver a chave de escrow do comprador, o atacante ainda precisa de uma segunda chave para mover os fundos. Essa segunda chave pode vir de um vendedor em conluio ou de um mercado que não verifica a identidade do comprador antes de assinar. A multisig, portanto, aumenta o custo do ataque: roubar uma chave já não basta, mas roubar uma chave mais engenharia social contra o mercado ainda pode bastar.
- Círculo externo — O atacante controla apenas a chave do comprador — ainda não consegue gastar os fundos sozinho
- Círculo médio — O atacante soma a cooperação do vendedor — a transação pode ser finalizada para o resultado escolhido pelo atacante
- Círculo interno — O comprador também perde a capacidade de solicitar reembolso — a recuperação depende inteiramente da chave do mercado
O teste prático para qualquer arranjo de escrow não é a contagem de chaves, mas a pergunta: “Se eu perder o controle agora, qual ator único ainda pode mover meus fundos sem mim?” Se a resposta não for clara, não trate o escrow como neutro.
Checklist de Verificação Antes de Aceitar o Escrow como Real
Uma alegação real de custódia deve sobreviver a uma breve sessão de verificação cética. Você não precisa provar toda a infraestrutura do mercado; só precisa ver se o estado visível corresponde à promessa de custódia neutra mantida por múltiplas assinaturas antes de comprometer os fundos.
O que a interface sozinha pode e não pode provar
A página do pedido mostrando um selo verde de custódia prova muito pouco por si só. Um site clonado pode exibir o mesmo rótulo. O que importa é se o endereço, as mudanças de estado e o modelo de assinatura correspondem às alegações feitas em outras partes da explicação do próprio mercado sobre como a custódia funciona.
Se um vendedor pedir que você finalize antecipadamente ou mova o pagamento para fora do fluxo de custódia, nenhuma verificação de interface poderá consertar o que já foi quebrado.
- Passo 1Confirme que você carregou o mercado pelo seu próprio endereço onion salvo, não por um resultado de busca, publicação em rede social ou link colado
- Passo 2Abra o status de custódia do pedido e observe se ele aparece como um estado financiado, pendente ou em disputa — não apenas um rótulo genérico de “protegido”
- Passo 3Verifique se o endereço de depósito visível é descrito como parte de um arranjo de múltiplas assinaturas envolvendo uma chave do mercado, não uma única chave privada controlada pelo vendedor
- Passo 4Pergunte onde a resolução de disputa aparece: um fluxo real de custódia deve mostrar um caminho em que nem o comprador nem o vendedor sozinhos possam liberar os fundos
- Passo 5Depois de um pequeno teste, observe se o estado muda apenas por meio de ações explícitas, como confirmação do comprador, abertura de disputa ou resolução por administrador
Pense nisso como um depósito de aluguel mantido por terceiros. O recibo sozinho não é prova; você também gostaria de saber quem pode assinar uma liberação, o que aciona essa liberação e se o outro lado pode vetá-la. Custódia é uma estrutura de controle, não um adesivo.
Um leitor atento deve esperar que a explicação de custódia e múltiplas assinaturas seja consistente em todo o mercado: o fluxo de depósito, o caminho de disputa e as condições de liberação devem usar os mesmos termos e apontar para os mesmos papéis de atores. Inconsistência entre o texto do status do pedido e a explicação de custódia é um sinal para parar.
Antes de enviar qualquer coisa de valor, teste o estado de custódia em um pedido trivial e observe se ele passa de financiado para pendente e depois liberado apenas pelas ações esperadas dos atores.
Perguntas frequentes
Como sei que o depósito caução está realmente ativo e não é apenas um rótulo de status?
O estado do depósito caução é um registro de onde a transação se encontra, não uma garantia de que alguém se comportará honestamente. Você deve tratá-lo como um lançamento contábil que pode ser lido e verificado de forma independente, e não como uma promessa de uma das partes.
O que acontece com o pagamento entre o momento em que eu o envio e o momento em que o negócio é fechado?
Enquanto o negócio estiver pendente, os fundos ficam em um estado em que nem o comprador nem o vendedor podem movimentá-los sozinhos. Eles deixam de pertencer a qualquer uma das partes isoladamente, e a liberação exige que as condições do depósito caução sejam cumpridas.
Por que a custódia com múltiplas assinaturas seria mais segura do que uma única carteira de depósito caução?
A multisig divide o poder de movimentar os fundos entre várias chaves controladas por partes diferentes, de modo que nenhuma pessoa sozinha possa gastar ou roubar o depósito caução unilateralmente. Isso reduz a confiança em um único operador, mas ainda depende de quem controla as chaves.
O que devo verificar antes de aceitar que o depósito caução é real no Torzon Market?
Verifique se o endereço do depósito caução é aquele exibido pelo mercado, confirme que o número exigido de assinaturas corresponde à política declarada e certifique-se de entender quem detém cada chave. Se algum desses detalhes estiver obscuro ou divergente, você não deve tratar o depósito caução como real.