Il bridge delle stablecoin
Rand emette un solo asset, RAND, e il suo prezzo si muove. Un pool schermato in cui non c'è nulla di stabile da detenere ha un'utilità limitata per i pagamenti, perciò USDT e USDC vengono importati dalle chain in cui già circolano e coniati, al netto di una commissione di bridge dello 0,1%, come zUSD: un dollaro schermato, garantito dalle riserve combinate di USDT e USDC, detenuto come note nello stesso pool di tutto il resto e riscattabile in qualsiasi momento in una delle due monete.
L'alternativa è attendere che Tether e Circle emettano in modo nativo, il che è una decisione commerciale presa rispetto a volumi che la chain non ha ancora. Il bridging non richiede alcuna cooperazione da parte dell'emittente. Il prezzo è una catena di credito più lunga e un custode tutto nostro — e questa pagina lo dichiara apertamente, senza edulcorarlo.
- Stablecoin bloccate
- —
- ogni stablecoin accettata, su tutte e quattro le chain
- USDT bloccati
- —
- Tether USD
- USDC bloccati
- —
- USD Coin
- Offerta di zUSD
- —
- il totale del registro dei token, uno a uno rispetto a quanto è bloccato
| Chain | Token | Coniati oggi | Limite giornaliero | Bloccati |
|---|
Lettura del bridge dall'explorer…
Lock
USDT o USDC viene depositato nel contratto di custodia sulla chain d'origine e lì immobilizzato. Il contratto si limita a bloccare e rilasciare; non conia mai nulla.
Attestazione
I guardiani osservano l'emitter registrato su ciascuna chain di origine, attendono la profondità di conferma e firmano ciò che hanno visto. Sei firme su otto formano un quorum. Attestano che un messaggio è stato pubblicato, non che cosa significhi.
Mint
Rand verifica il quorum, un secondo quorum post-quantistico degli stessi guardiani e il vincolo con l'emittente; controlla il limite di mint di quella riserva e quello globale nelle ultime 24 ore; segna l'attestazione come spesa; e inserisce un impegno di nota nel pool shielded, per il deposito al netto della commissione del bridge (0,1% dalla chain 20, trattenuta come nota zUSD per la tesoreria). Da questo momento l'asset è una nota zUSD, indistinguibile da qualsiasi altra nota nell'insieme di anonimato.
Riscatto
Il titolare spende la nota in un'unica transazione che indica la moneta, la chain di destinazione e l'indirizzo, e paga una commissione di bridge di 0,01 RAND. Dalla chain 20 la chain trattiene inoltre lo 0,1% dell'importo come nota di commissione zUSD, e il rilascio è l'importo al netto di tale commissione. Rand la rifiuta se la riserva di quella moneta contiene meno dell'importo. Il nullifier viene pubblicato per primo, poi i guardiani attestano il burn, quindi la custodia rilascia i fondi. Il diritto di credito viene distrutto prima che il collaterale si muova, mai dopo.
Il valore bloccato è pubblico al confine. Ogni trasferimento successivo della nota non lo è. Il confine della riservatezza è il bridge stesso: ciò che entra è trasparente, ciò che circola su Rand è schermato.
Un token, sette riserve
zUSD è un unico token, ma la sua copertura viene contata riserva per riserva: una riserva è una moneta su una chain d'origine, indicizzata sulla coppia e non sul simbolo. USDT bloccato su Ethereum e USDT bloccato su Tron stanno in custodie separate, e Rand registra quanto ciascuna ha bloccato. Un riscatto indica la sua moneta e la sua chain ed è rifiutato se quella riserva contiene meno dell'importo, quindi un riscatto su una chain non può attingere alla custodia di un'altra. L'offerta di zUSD è uguale alla somma delle sette per costruzione.
I valori on-wire hanno otto decimali. Dove un token ne usa diciotto, il contratto blocca solo l'importo rappresentabile; dove ne usa sei, un riscatto deve essere un numero intero della più piccola unità della moneta stessa. In entrambi i casi nessuna unità bloccata resta priva di un'attestazione in grado di rilasciarla.
| Chain | Monete | Standard | Custodia | Conferma | Decimali |
|---|---|---|---|---|---|
| Ethereum | USDT, USDC | ERC-20 | Contratto di lock | 32 blocchi | 6 |
| Binance Smart Chain | USDT, USDC | BEP-20 | Contratto di lock | 20 blocchi | 18, troncati a 8 on-wire |
| Tron | USDT | TRC-20 | Contratto di lock | 20 blocchi | 6 |
| Solana | USDT, USDC | SPL | Programma di custodia | Slot finalizzato | 6 |
Otto guardiani, sei per firmare
Un insieme di guardiani è un elenco ordinato di chiavi di attestazione. Un messaggio è attestato quando più di due terzi di essi lo firmano: la soglia bizantina dell'insieme dei validator, applicata a un comitato che osserva chain che i validator di Rand non possono vedere dall'interno del consenso. Il formato è quello di Wormhole, portato e non reinventato, così che il guardiano, il verifier Solidity e il verifier Rust possano essere confrontati tra loro.
Un mint su Rand richiede anche un secondo quorum: sei degli stessi otto guardiani firmano lo stesso digest con Dilithium2, vincolato alla chain Rand, e Rand rifiuta un mint privo dell'uno o dell'altro. Un rilascio su una chain di origine poggia ancora sul solo quorum secp256k1.
Attestazione non è autorizzazione
I guardiani attestano la pubblicazione. Osservano un contratto che emette messaggi, attendono le conferme e firmano ciò che hanno osservato. Non interpretano il payload. Se il livello di messaggistica accetta messaggi da qualsiasi chiamante, allora qualunque soggetto in grado di inviare una transazione sulla chain di origine può causare il mint di una quantità arbitraria di zUSD senza compromettere una sola chiave dei guardiani: l'attestazione dei guardiani è veritiera, perché il messaggio è stato effettivamente pubblicato.
Ciò che impedisce il mint non è la verifica delle firme ma il vincolo con l'emitter: la destinazione accetta un'attestazione solo se proviene dal contratto di bridge registrato per la chain che l'attestazione stessa indica. In un livello di messaggistica permissionless la validità della firma non implica l'autorizzazione, e questo vincolo è il controllo che regge l'intero sistema.
Che cosa limita il danno
Nessuno di questi elementi rende il bridge trustless. Ciascuno trasforma un guasto da illimitato a limitato, o da silenzioso a osservabile.
Solidità della custodia
Teor. 9.13Ogni chain conta ciò che detiene e rifiuta di rilasciare più di quello, e Rand tiene lo stesso conteggio per riserva e rifiuta un riscatto che lo superi. Un'attestazione falsificata non può prelevare denaro che non è mai stato bloccato lì, quindi un guasto di mint illimitato diventa un guasto custodiale limitato.
Vincolo con l'emitter
Def. 9.7 · Cor. 9.8Un'attestazione è accettata solo se è stata emessa dal contratto di bridge registrato per la chain indicata nell'attestazione stessa. Senza questo, chiunque fosse in grado di pubblicare un messaggio su una chain di origine potrebbe coniare a piacimento, con guardiani onesti che firmano il vero.
Protezione dal replay
Def. 9.10Ogni attestazione è riscattabile esattamente una volta, indicizzata dal suo digest, e ogni riscatto pubblica un nullifier. Né un mint né un rilascio possono essere ripetuti.
Verificabilità dell'offerta
Teor. 9.14L'offerta schermata è uguale ai mint pubblici meno i burn pubblici, e la condizione di peg rispetto alla custodia è verificabile da chiunque senza aprire una nota. I trasferimenti interni al pool conservano il valore per costruzione, perciò non possono alterare il totale.
Limiti e pausa
Oss. 9.16Sulla testnet attuale ogni riserva può coniare al massimo 100,000 zUSD, e tutte e sette insieme al massimo 4,000 zUSD, in qualsiasi arco di 24 ore mobile. Una chiave di pausa, custodita separatamente dalle chiavi dei guardiani, può bloccare subito il conio. Non può riattivarlo: serve il quorum di guardiani post-quantistico, che può anche sostituire la chiave di pausa, mentre i rimborsi restano aperti per tutto il tempo. I contratti sulla chain di origine mantengono un proprio pauser e propri limiti di frequenza. Questi limitano l'esposizione, ma non la eliminano.
Profondità di conferma
I guardiani firmano solo dopo che la chain di origine ha consolidato il lock, così un deposito colpito da una riorganizzazione non può sostenere un conio.
Il componente più debole
Tutto il resto del protocollo si riduce alla difficoltà crittografica o a un limite bizantino su un insieme di validatori con stake e soggetti a slashing. Il bridge no, e il paper lo dice con queste parole. La Proposition 2.8 del paper zUSD argomentava proprio contro questa costruzione; viene riprodotta senza modifiche perché è ancora corretta e, poiché ogni garanzia di zUSD poggia su una componente attestata, la garanzia su ogni unità è la minore tra la solvibilità della custodia e l'integrità della doppia soglia dei guardiani.
- ›Un quorum di chiavi dei guardiani può rilasciare l'intero saldo in custodia su ogni chain. Non esistono prove di frode, finestre di contestazione né ritardi ottimistici. Una firma di quorum valida è l'autorizzazione.
- ›I guardiani non sono né vincolati da un bond né soggetti a slashing da parte del consenso di Rand. Le perdite di questa classe di bridge — Ronin, Wormhole, Nomad, Harmony — sono derivate dalla compromissione di chiavi e da bug di verifica, non da fallimenti del consenso.
- ›Se una sola macchina detiene sei chiavi, quella macchina è il bridge. Operatori, giurisdizioni e hardware di custodia delle chiavi distinti sono un requisito di distribuzione, non una preferenza di configurazione.
- ›zUSD è un unico asset in pool: un credito sulla custodia di Rand, che a sua volta è un credito verso Tether e verso Circle. Ogni detentore si assume il rischio di entrambi gli emittenti, qualunque moneta abbia depositato, più il rischio dei guardiani, e quest'ultimo è l'anello più debole con ampio margine.
- ›Non è stato eseguito alcun audit indipendente. I contratti sono distribuiti su quattro mainnet dal 19 September 2026 e custodiscono USDT reali, con limiti di 100 per trasferimento e 1,000 al giorno per token. Oggi un solo operatore detiene tutte le chiavi dei guardiani: sei su host separati e due su un laptop.
La frontiera
Consenso, privacy e attribuzione sono post-quantistici: solidità di STARK, un hash di transcript a 384 bit, firme Dilithium. Le attestazioni dei guardiani su secp256k1 non lo sono, e il percorso di rilascio poggia ancora solo su di esse. Un avversario quantistico recupera ogni chiave dei guardiani dalla sua chiave pubblica pubblicata e rilascia l'intero saldo in custodia. La sicurezza post-quantistica del sistema è il minimo tra i suoi componenti e, sul lato del rilascio, questo componente vale zero bit finché non migra.
Il verificatore è il livello di esecuzione di Rand, che verifica già Dilithium. Ogni conio ora porta, accanto al quorum secp256k1, un quorum Dilithium2 degli stessi guardiani sullo stesso digest, quindi recuperare le chiavi secp256k1 non basta più a falsificare un conio. Dalla chain 15 il quorum post-quantistico può ruotare il proprio insieme e la chiave di pausa, con ogni rotazione firmata dall'insieme corrente; sulla chain 20 una rotazione richiede inoltre la prova che le nuove chiavi siano effettivamente detenute e ha effetto un giorno dopo essere stata accettata.
Ethereum, Binance Smart Chain, Tron e Solana verificano secp256k1 in modo nativo. La verifica di ML-DSA nel codice di un contratto costa oggi milioni di gas. Il percorso di rilascio resta protetto in modo classico finché le chain di origine non adotteranno precompilati post-quantistici, e Rand non può anticipare questa data da sola.
Cosa ne consegue per gli operatori
L'esposizione residua è limitata dalla custodia, non dall'offerta shielded, e si riduce man mano che il bridge è usato per i flussi anziché per la conservazione. Tenere grandi saldi inattivi sul lato di origine è la configurazione che massimizza la perdita nell'era quantistica, quindi i limiti di custodia vanno fissati di conseguenza. La sostituzione con fiducia minimizzata è già nella cassetta degli attrezzi del sistema: uno STARK che verifichi il consenso di una chain di origine ridurrebbe l'assunzione del bridge a quella chain più la solidità di STARK e rimuoverebbe del tutto l'insieme dei guardiani. Gli ostacoli sono il costo della prova e l'ingegneria per ogni chain, non una primitiva mancante.
Stato dell'implementazione
Esiste un'implementazione di riferimento: contratti di custodia per le chain EVM e Tron, un programma di custodia su Solana, un guardiano che osserva tutte le chain e serve le attestazioni assemblate, e un codec condiviso per il formato di trasmissione, incluso nel fullnode come crate bridge-codec, così che una modifica del formato in un linguaggio faccia fallire i test negli altri. Sul lato Rand il full node implementa la metà ricevente dalla fase S3 del pool shielded: un'attestazione deposita una nota che la chain calcola a partire dall'importo attestato, un saldo trasferito tramite bridge è una nota nello stesso pool di RAND, e un burn è una sola transazione con una sola prova. Una chain attiva il bridge con una sezione nel proprio genesis. L'attuale testnet, la chain 20, lo ha attivo: otto guardiani, otto guardiani post-quantistici, una chiave di pausa e un limite globale di conio giornaliero di 4,000 zUSD sono nel suo genesis, e lo sono anche zUSD con le sue sette riserve, che riporta lo zUSD in circolazione al momento del cut, con la custodia ancora bloccata a suo sostegno. Il suo genesis indica gli endpoint del bridge per Ethereum, BNB Chain e Tron ridistribuiti il 30 September 2026, e applica una commissione dello 0.1% in zUSD su ogni conio e ogni burn, così che l'offerta continui a essere uguale alla custodia bloccata a suo sostegno. Un round trip su ciascuna chain di origine è stato eseguito sulla chain 14 il 20 September 2026. I dati in cima a questa pagina sono letti dalla chain 20.
I contratti, il guardiano e il relayer sono pubblici su github.com/randprotocol/bridge, e gli indirizzi distribuiti con le relative transazioni sono elencati nel suo registro della distribuzione su mainnet. Gli endpoint sono attivi su Ethereum, BNB Smart Chain, Tron e Solana dal 19 September 2026, con ogni token limitato a 100 per trasferimento e 1,000 al giorno. La custodia contiene valore reale: 10 USDT al 30 September 2026, a sostegno dei 10 zUSD in circolazione. Non è stato eseguito alcun audit indipendente e un solo operatore detiene tutte le chiavi dei guardiani.
Leggi la specifica
La sezione 9 del paper del protocollo specifica il bridge: il formato di attestazione, il vincolo dell'emittente, il conio e il rimborso shielded, la solidità della custodia, la verificabilità dell'offerta e l'asimmetria post-quantistica. Il paper zUSD tratta l'invariante delle riserve, il costo del bridging enunciato come proposizione e i limiti di perdita che la distribuzione della chain 14 comporta.