Таймер, который решает, что вас нет

Любая посмертная передача упирается в один вопрос: кто и как узнает, что момент настал. У нотариуса есть свидетельство о смерти; у распределённой системы свидетельства нет и быть не может — она не имеет доступа ни к загсам, ни к больницам.

Остаётся косвенный признак. Человек перестал подавать признаки жизни в системе — значит, вероятно, его нет. Это допущение заведомо несовершенно, и вся инженерия здесь сводится к тому, чтобы уменьшить цену ошибки.

Порог молчания в спецификации — 360 дней. Число выбрано не случайно, и его стоит подержать в голове: почти год без единого действия.

Слишком короткий срок опасен очевидным образом. Человек уехал, заболел, сменил телефон, ушёл из сети на три месяца — и система объявляет его умершим при жизни. Ошибка в эту сторону необратима: права переданы, доступ у другого.

Слишком длинный порог опасен иначе, и об этом обычно не думают. Наследник ждёт годы; за это время он может сам не дожить, потерять кошелёк или просто забыть о существовании архива. Год — попытка встать между двумя этими неприятностями.

Поверх основного срока предусмотрено окно предупреждения в семь дней. Это важнее, чем кажется: механизм не срабатывает молча. Прежде чем передать права, он даёт неделю на то, чтобы человек подал признак жизни и всё отменил. Любое действие в системе сбрасывает таймер обратно.

Право управления Ковчегом оформлено токеном стандарта SPL в Solana — Токеном Наследия. Передаётся не пароль и не файл, а именно право, и это меняет устройство задачи: пароль можно скопировать незаметно, токен переходит транзакцией, которую видно.

Сценариев передачи два. Активный — человек при жизни указывает адрес кошелька наследника и подписывает отложенную транзакцию. И автоматический — по срабатыванию таймера. Первый надёжнее, потому что не зависит от правильности допущения о молчании; второй существует на случай, когда до первого руки не дошли.

Самая аккуратная часть конструкции — разделение ключа по схеме Шамира. Ключ не хранится целиком нигде: он режется на доли, и для восстановления нужно собрать заранее оговорённое их количество.

Смысл в том, что исчезает единая точка отказа. Взлом одного хранилища не даёт ничего, потеря одной доли не смертельна. Это ровно то свойство, которого нет у обычной схемы «пароль в конверте у нотариуса»: конверт либо цел и его можно украсть, либо утрачен и тогда не поможет ничто.

Хранение стоит денег, а человек, которого нет, платить не может. Поэтому оплата вынесена в тот же дефляционный роутер: с сервисной транзакции пять процентов сжигается, шестьдесят пять уходят в казначейство на выкуп ресурса для вечного хранения, а незанятые амбассадорские доли, до тридцати процентов, тоже отправляются в сжигание.

Логика та же, что и во всей экономике проекта: хранение оплачивается не подпиской, которая прервётся, а разовым вкладом в фонд, живущий на разнице между доходностью и падающей ценой хранения.

Первое и главное — ложное срабатывание. Триста шестьдесят дней и неделя предупреждения сильно снижают риск, но не убирают его. Человек в долгой болезни, без доступа к устройствам, формально неотличим от ушедшего.

Второе — наследник как слабое звено. Схема исправно передаст права на кошелёк, указанный когда-то. Если наследник потерял к нему доступ или адрес указан с ошибкой, безупречно сработавший протокол приведёт архив в никуда.

Третье — сама сеть оракулов, которая наблюдает за активностью. Она распределена, и это правильно, но она остаётся частью системы: пока работает, работает и таймер.

Мой вывод такой. Автоматическая передача — не замена завещанию, а страховка на случай, когда завещания не оставили. Самое разумное, что может сделать человек, прочитавший спецификацию, — не полагаться на таймер, а сделать активный перенос при жизни и сказать наследнику вслух, что тот его получил.