Artigos
O Rand Protocol está descrito em papel. Seis artigos estão em vigor: o artigo do protocolo em seu terceiro rascunho, o artigo da implementação de referência, escrito contra o nó que a rede de teste executa, o relatório da ponte, o artigo sobre o zUSD, o dólar protegido, a análise de segurança autônoma e o resumo para investidores. Cada PDF é a fonte canônica: baixe-o, cite-o, audite-o. Onde o design tem limites, os artigos os declaram em vez de omiti-los.
- WhitepaperSTARKProof of Stake · BFTEVMPós-quântico
Rand Protocol
Computações arbitrárias confidenciais
Rascunho 3 · agosto de 2026, atualizado em setembro de 2026 · 73 páginas
Apresentamos o Rand, uma blockchain de prova de participação (proof-of-stake) cujo consenso tolerante a falhas bizantinas (BFT) oferece finalidade determinística rápida e cuja toda transação é uma prova de conhecimento zero. O peso no consenso vem exclusivamente da participação (stake) vinculada: nenhuma computação confere poder de voto, escolhe um líder ou decide uma bifurcação. O que a cadeia contém, sim, é uma grande quantidade de provas geradas ao lado do consenso: cada carteira produz um STARK para a própria transação e, uma vez habilitada a agregação de provas em nível de bloco, agregadores vinculados ganham RAND ao provar STARKs recursivos sobre as provas dos usuários. Os validadores ganham as taxas dos blocos que propõem; a semântica dos contratos inteligentes é a da Máquina Virtual Ethereum (EVM). O artigo explica o próprio esquema de conhecimento zero — como uma computação se torna uma tabela, a tabela um conjunto de polinômios e os polinômios uma prova de cerca de 1,4 MB por transferência, que qualquer validador verifica em milissegundos. O Rand é uma cadeia geral de contratos inteligentes que não possui nenhum tipo de transação transparente: toda computação — uma transferência de token ou uma chamada arbitrária de contrato — é executada de forma confidencial por construção. Os usuários mantêm RAND blindado, pagam o gas com ele e executam código arbitrário cujas entradas, operandos e estado intermediário nunca aparecem na cadeia, enquanto os validadores verificam um único STARK de que a execução foi correta. A EVM fornece a semântica contra a qual a execução é provada, como um guest interpretador dentro do circuito, de modo que o bytecode Solidity existente roda sem modificações; ela não é um caminho de execução transparente ao lado do blindado.
Esta revisão também propõe, como direção de pesquisa não implementada, a Atribuição Verificável de Provador (Verifiable Prover Attribution, VPA). A cadeia em operação não a utiliza: suas carteiras provam as próprias transações, seu líder é escolhido em rodízio (round robin), seu mempool não é criptografado e seu único papel de prova vinculado é o registro de agregadores, em que se paga o primeiro agregado finalizado que cobre um pacote; a Parte II começa com esse estado, e seus teoremas são afirmações sobre a proposta, não sobre o sistema implantado. O rascunho original provava que o circuito de uma transação privada era satisfeito, mas nada dizia sobre como as provas são atribuídas aos provadores, sob que ordenação um provador prova um lote, ou como um verificador sabe que a entidade que submete uma prova é a que a computou nas condições que o protocolo incentiva. Um STARK certifica que o circuito foi satisfeito; não certifica as condições sob as quais foi satisfeito. Mostramos que essa lacuna abre três superfícies de ataque concretas — conluio entre provador e validador, MEV do lado do provador e trabalho Sybil/sem responsabilização — formalizamos cada uma e propomos fechá-las com um beacon de atribuição recomputável, uma ordenação canônica com um mempool selado (criptografado por limiar) e uma atestação com prova embutida pós-quântica. Reformulamos, assim, a afirmação do rascunho de que “transações privadas eliminam o front-running” como um teorema condicional — cujas condições a cadeia em operação não atende, de modo que, nessa cadeia, o conteúdo fica oculto, mas a ordenação não é protegida.
Reconciliamos ainda três inconsistências internas da análise de segurança original: (i) a contradição entre a robustez de colisão quântica de ~85 bits (limite BHT) e a alegação de 128 bits pós-quânticos do resumo e das tabelas de parâmetros, corrigida no projeto por um hash de transcrição de 384 bits mais um teorema explícito de separação de segurança por primitiva (a implementação ainda usa um hash de transcrição de 256 bits, ≈85 bits quânticos); (ii) o VRF de seleção de líder não especificado, que é quebrado por Shor se instanciado sobre uma curva elíptica, para o qual especificamos um beacon commit–reveal pós-quântico com sorteio criptográfico baseado em hash (não implementado: a cadeia em operação rotaciona os líderes em rodízio e não tem VRF algum); e (iii) o corpo Goldilocks subespecificado, para o qual exigimos uma extensão de grau k e vinculamos a robustez do FRI ao número de consultas e ao orçamento de grinding. Esta revisão também migra a camada de execução da Solana Virtual Machine para a Ethereum Virtual Machine (EVM), trazendo ativos ERC-20 e contratos Solidity para o modelo de transações blindadas, e introduz a liquidação de gas em lote: como uma cobrança de gas por transação em RAND blindado é, por si só, uma impressão digital desanonimizante da chamada EVM (e, portanto, do contrato ERC-20 tocado), o gas é comprometido em faixas públicas de quantização dentro do circuito e deduzido como uma única cobrança agregada por lote, de modo que a pegada na cadeia é um total por lote, e não uma dedução por conta e por chamada. Por fim, apresentamos um roteiro de migração de agilidade criptográfica que entra em operação com SNARKs, evolui para STARKs transparentes e se reforça até a segurança pós-quântica plena ao longo de um calendário de ~18 meses (~14 meses no caminho crítico paralelizado), com cada transição condicionada de modo a ser uma mudança de parâmetro, e não um fork de consenso.
Esta revisão de agosto de 2026 estende o modelo blindado das transferências de valor para a computação arbitrária confidencial: generalizamos a relação de transferência para uma relação de execução universal sobre uma máquina virtual provada por STARK, especificamos topologias de prova em GPU locais e delegadas com sua fronteira exata de confidencialidade e situamos o projeto diante do panorama atual de sistemas de prova (Groth16, PLONK, Halo2, HyperPlonk, STARKs baseados em FRI), zkVMs de propósito geral (RISC Zero, SP1, Cairo/Stwo, Miden, Jolt, OpenVM), rollups zkEVM e cadeias de privacidade (Aztec, Aleo, Miden, Zcash), cujas armadilhas de pagamento de gas e delegação de provadores motivam diretamente os projetos de gas blindado e de VPA do RAND. Analisamos o mercado de provadores que a camada de incentivos implica, mostrando que o custo por prova é determinado pela utilização, e não pela energia, e que a demanda de provas de uma rede saturada é atendida por algumas dezenas de GPUs — de modo que a descentralização dos provadores deve ser justificada por vivacidade (liveness) e confidencialidade, e não por um orçamento de segurança, já que a robustez (soundness) não depende do conjunto de provadores. Por fim, especificamos como a garantia exógena em dólares — USDT e USDC — é importada para o Rand como z-ativos blindados por uma ponte de bloqueio e cunhagem (lock-and-mint) atestada, o que dá ao pool blindado uma unidade de conta estável sem exigir que os emissores implantem nativamente — uma dependência comercial que, de outro modo, subordinaria a história de pagamentos do protocolo ao roteiro de um terceiro. Isolamos a propriedade que torna essa ponte sólida e é a mais fácil de omitir: um quórum de guardiões atesta que uma mensagem foi publicada em uma cadeia observada, e não que a ponte a criou, de modo que, em uma camada de mensagens sem permissão, a validade da assinatura não implica autorização e a vinculação ao emissor (emitter binding) é determinante. Provamos um limite de robustez de custódia que restringe a perda à custódia por cadeia, independentemente da hipótese sobre os guardiões, mostramos que a oferta de z-ativos blindados permanece publicamente auditável em relação a essa custódia sem abrir nenhuma nota e identificamos a ponte como a fronteira pós-quântica do sistema: as assinaturas secp256k1 dos guardiões são quebradas por Shor, de modo que o caminho de liberação permanece seguro apenas classicamente até que as cadeias de origem ofereçam precompilações pós-quânticas, por mais reforçado que seja o lado do Rand.
Principais resultados- Teor. 5.3 — Vazamento de privacidade no pagamento de gas
- Teor. 7.9 — Privacidade do gas em lote
- Teor. 10.6 — Atestação não implica autorização
- Teor. 10.14 — Robustez de custódia
- Teor. 10.19 — A bridge é a fronteira pós-quântica
- Teor. 13.2 — Lacuna de atribuição
- Teor. 15.4 — Front-running, corrigido e condicional
- Teor. 15.9 — Solidez do VPA
- Teor. 18.1 — Separação da segurança quântica por primitiva
- Teor. 19.2 — Solidez do FRI, paramétrica
O Rascunho 3 substitui os Rascunhos 1 e 2O Rascunho 1 (dezembro de 2025) e o Rascunho 2 (a revisão do VPA de maio de 2026) estão retirados. Três erros da própria análise anterior são corrigidos em vez de atenuados: a alegação de 128 bits de segurança pós-quântica contradizia o limite quântico de colisão de 85 bits de um hash de 256 bits; o VRF de seleção de líder seria quebrado por Shor sobre uma curva elíptica; e o Goldilocks simples não consegue sustentar a solidez do FRI alegada. A camada de execução migra da SVM para a EVM e o token duplo se reduz apenas a RAND. As atualizações de setembro de 2026 reconciliam o desenho com o full node de referência até a chain 15: Rand é declarada explicitamente como proof of stake, o esquema de conhecimento zero é descrito por extenso, e o VPA é marcado como uma proposta que a chain em operação não usa.
- ImplementaçãozkVM · RISC-VHotStuffChain 15Testnet
Rand Protocol — Implementação de referência
Um ledger blindado e uma máquina virtual verificada por STARK, como implantados
Rascunho de implementação 3 · setembro de 2026 · 46 páginas
Os sistemas de liquidação das finanças convencionais são confidenciais por padrão: os saldos das contas e os registros de transferências são visíveis ao titular da conta, à instituição e, mediante processo legal, a um regulador, e a mais ninguém. As blockchains públicas invertem essa propriedade. Na Ethereum e na Solana, o estado global e a fila de transações pendentes são observáveis por todos os participantes, o que expõe o fluxo de ordens institucional a front-running sistemático e revela as contrapartes e os valores de cada transferência de stablecoin. Nenhum protocolo em produção combina hoje a confidencialidade de um ledger bancário com a liquidação determinística, a verificação transparente e a segurança pós-quântica de uma chain pública.
Este artigo apresenta o Randprotocol, uma blockchain de camada um projetada para fechar essa lacuna, tal como implementada em seu full node de referência. O ativo nativo, RAND, existe apenas como notes em um pool totalmente blindado: uma árvore de compromissos Poseidon2 de profundidade 32 e um conjunto de nullifiers substituem as contas, e cada transferência é um bundle fixo de duas entradas e duas saídas, cuja validade é estabelecida por uma prova STARK transparente, baseada em hash, da execução de um único programa guest RISC-V fixado. O mesmo sistema de provas sustenta computação arbitrária confidencial: programas RV32IM são implantados por hash de conteúdo e invocados com uma prova de execução no lugar de suas entradas, e a chain registra oito palavras de saída públicas. O consenso é HotStuff encadeado, com quóruns ponderados por stake, uma regra de commit de três views consecutivas e conjuntos de validadores derivados por época a partir de um registro público; o stake é vinculado a partir do pool e retirado de volta para ele. Uma bridge atestada por guardiões deposita ativos de quatro chains externas como notes. As assinaturas dos validadores são CRYSTALS-Dilithium2 e os envelopes de notes usam ML-KEM-768 com ChaCha20-Poly1305.
Descrevemos a implementação componente por componente e, em seguida, desenvolvemos sua análise formal contra os parâmetros implantados: as relações de bundle e de chamada provadas pela máquina virtual de conhecimento zero de nove tabelas, incluindo a construção do acumulador de taint que substitui uma asserção dentro do circuito; os argumentos de lookup-bus que vinculam o digest do programa e o compromisso de entrada com salt; a solidez do FRI no perfil de produção (80 consultas, 20 bits de grinding, blowup 8, uma extensão de grau 2 do corpo Goldilocks), enunciada tanto sob o limite provado de proximity gaps quanto sob a conjectura ethSTARK; as identidades de balanço de valor e de auditoria de oferta do pool; e a segurança (safety) e a vivacidade (liveness) das regras de consenso cientes de épocas.
A análise identifica as propriedades que a implementação ainda não oferece. Taxas, pesos de stake, valores de depósito na fronteira do pool e identidades de programas são públicos; a carteira atual revela ao nó consultado a folha que pretende gastar; uma prova de 80 consultas ocupa cerca de 1,3 MB (1,43 MB para o bundle de quatro slots da chain 14 em diante), o que limita um bloco de 4 MiB a três transferências blindadas (duas a partir da chain 14; a chain 15 eleva o bloco para 20 MiB); a agregação de provas em nível de bloco, o slashing e os guests EVM e SVM estavam pendentes na revisão base (os guests foram incorporados desde então, embora as chamadas EVM sejam inadmissíveis sob o limite de chamadas do tier 14, e três rodadas de auditoria conduzidas pelos fundadores foram encerradas; nenhuma auditoria independente foi realizada); e o prover de GPU não foi executado em hardware. O software está implantado em uma rede de teste de 26 validadores (chain 17 desde 2026-09-29, todos os validadores operados pela equipe fundadora) e não é adequado para uso com valor real.
Principais resultados- Teor. 5.8 — Solidez de conhecimento, condicional
- Teor. 5.11 — Conhecimento zero estatístico
- Teor. 5.12 — Solidez do FRI como instanciada
- Teor. 5.14 — Segurança por primitiva do sistema implantado
- Teor. 5.17 — Balanço de valor do pool
- Teor. 5.22 — Safety
- Teor. 5.24 — Liveness após o GST
- Teor. 5.28 — A bridge não é pós-quântica
Escrito sobre o fullnode 26ab1d4, com adendos até 8e64781Toda afirmação sobre o sistema refere-se ao nó de referência no commit 26ab1d4 (branch main, 2026-09-16): o pool blindado, o staking, a bridge como notes e envelopes de chamada, o conjunto de restrições 6 da zkVM, a VM de recursão e a agregação em nível de bloco, incorporada mas condicionada ao genesis. Duas passagens posteriores são registradas como adendos marcados onde o nó evoluiu: 2026-09-24 (d050259, v0.5–v0.5.5, chain 14 — o bundle de quatro slots com ativo oculto, o registro de tokens, a bridge reforçada) e 2026-09-27 (8e64781, v0.5.6–v0.5.8, chain 15 — o pin do cabeçalho de chamada e o limite de tier, as constantes Poseidon2 congeladas, o vínculo de agregação).
- BridgeLock-and-MintECDSA · Dilithium2Quatro Chains
A Rand Bridge
Lock-and-mint atestado para um pool blindado, com co-assinaturas pós-quânticas
Relatório técnico, rascunho 1 · setembro de 2026 · 13 páginas
Rand é uma blockchain confidencial cujo valor reside em compromissos em um pool blindado, e não em saldos transparentes. Seu caso de pagamentos precisa de um ativo estável, e nenhum emissor implanta um nativamente em uma chain sem volume. A Rand bridge importa USDT e USDC da Ethereum, da BNB Smart Chain, da Tron e da Solana como um único dólar blindado, o zUSD, lastreado um para um pela custódia nessas chains. Este relatório especifica a bridge tal como construída: a mensagem de transferência de 184 bytes e suas duas camadas de assinatura — um quórum de guardiões secp256k1 para cada mensagem e um quórum de co-assinaturas Dilithium2 em cada mint na Rand, ambos de seis de oito hoje; o caminho de depósito que termina em uma note que a própria chain deriva do valor atestado; o caminho de saque em que um burn é vinculado à sua prova e liberado contra contadores de custódia por chain; a superfície de governança (rotação de guardiões com uma janela de carência de um dia, listagem explícita, uma pausa unidirecional que somente um quórum pós-quântico pode suspender); e as regras de relógio que uma chain com bridge impõe ao próprio consenso.
Enunciamos e provamos as propriedades que a construção oferece — inforjabilidade de quórum, a necessidade do vínculo ao emissor, solidez de custódia, auditabilidade da oferta e o limite pós-quântico assimétrico segundo o qual um adversário capaz de executar Shor pode forjar liberações, mas não mints — e enunciamos, com o mesmo cuidado, o que ela não oferece: os guardiões não têm stake vinculado nem estão sujeitos a slashing, e, embora seis das oito chaves hoje rodem em hosts próprios, uma conta de hospedagem e uma chave de operador ainda alcançam todas elas. São relatados os endereços de implantação, os tamanhos de mensagem, os custos de gas e os resultados das rodadas em produção.
Principais resultados- Prop. 5.1 — Sem redirecionamento
- Teor. 5.2 — Solidez de custódia
- Teor. 8.1 — Inforjabilidade de quórum
- Teor. 8.3 — Atestação não é autorização
- Teor. 8.4 — Auditabilidade da oferta com bridge
- Teor. 8.5 — A assimetria pós-quântica
Complemento à seção de bridge do artigo do protocoloEspecifica a bridge tal como implantada, na mesma notação da seção de cadeias cruzadas do artigo do protocolo e em consistência com ela: o guardian set 1 (seis de oito, secp256k1) substituiu o conjunto original de cinco de seis em 2026-09-25, e o conjunto Dilithium2 passou de seis para oito chaves no genesis da chain 15, em 2026-09-26.
- Stablecoin blindadaReserva integralMultichain · MultiemissorChain 15
zUSD — Um dólar blindado com reserva integral na Rand
Transferências confidenciais de stablecoin sem risco de desvinculação, sobre uma reserva bloqueada multichain e multiemissor
Setembro de 2026 · substitui o zUSDT (dez. 2025, rev. ago. 2026) · 11 páginas
O zUSD tem reserva integral: cada unidade é lastreada um para um por uma stablecoin em dólar mantida em um contrato de custódia na chain em que essa stablecoin é emitida nativamente — USDT e USDC na Ethereum, na BNB Smart Chain e na Solana, e USDT na Tron, sete lastros ao todo — e é resgatável por qualquer um deles, sob demanda. Deliberadamente, não é uma stablecoin algorítmica nem fracionária; por isso, não tem dependência reflexiva do preço de nenhum ativo volátil nem a superfície de espiral da morte do tipo que destruiu a UST da Terra. O token vive na Rand, um ledger blindado, e portanto é uma note blindada desde o momento em que é cunhada. Cada perna é atestada, de modo que a garantia sobre cada unidade é min(solvência da reserva, integridade do limiar dos guardians), sob um limiar duplo de seis de oito assinaturas ECDSA e seis de oito coassinaturas Dilithium2.
O invariante de reserva S = Σ_b L_b vale com igualdade e é imposto por construção em uma única função do ledger. O artigo apresenta, por lastro, o enunciado do que é garantido, incluindo o novo risco que a combinação de dois emissores introduz, e expõe os mecanismos de limitação de perdas que a implantação traz: um teto móvel de cunhagem de 24 horas por lastro e um global, uma chave de pausa que só pode pausar, um limite superior para o tempo de bloco e tetos de liberação nos contratos de custódia. Deixa explícito o que ainda não existe: operadores de guardians independentes, um administrador multiassinatura com timelock em cada contrato de custódia e uma prova de reservas verificável sem o explorador do próprio projeto.
Principais resultados- Teor. 2.6 — Preservação do invariante
- Cor. 2.7 — Resgatabilidade
- Prop. 2.8 — Degradação da reserva integral pela bridge
- Cor. 2.9 — Garantias por lastro
- Prop. 4.1 — Verificabilidade pública sob blindagem
Setembro de 2026 — substitui o zUSDTDescreve o projeto tal como implantado na chain 15 da Rand e difere do zUSDT em três pontos que o código agora incorpora: o token vive na Rand, e não na Solana, de modo que não há forma transparente a blindar; a reserva abrange dois emissores além de várias chains, e o titular pode resgatar por qualquer lastro; e cada perna é uma perna atestada, sob um limiar duplo de seis de oito coassinaturas ECDSA e Dilithium2. A Proposição 2.8 é reproduzida sem alteração porque continua correta, e o Corolário 2.9 registra o novo risco que a combinação de dois emissores introduz.
- Análise de segurançaPós-quânticaTaxonomia de ataques
Análise de segurança do protocolo Rand
Fundamentos criptográficos pós-quânticos, resistência a ataques e garantias formais de segurança
dezembro de 2025, reconciliado em setembro de 2026 · 13 páginas
Uma análise de segurança do protocolo Rand com provas formais sob modelos adversariais clássico e quântico, abrangendo o consenso BFT ponderado por stake (a Rand é uma chain de proof-of-stake: nenhuma computação confere peso no consenso), o sistema de privacidade baseado em STARK e as primitivas pós-quânticas CRYSTALS-Dilithium e Kyber. Analisa a resistência a ataques de 51%, ataques de longo alcance, nothing-at-stake, grinding, eclipse e Sybil, front-running, ataques de temporização e adversários quânticos, com limites formais e parâmetros concretos para cada um.
Sob hipóteses padrão de dificuldade em reticulados e uma atribuição, por função, dos tamanhos de digest — 384 bits onde uma colisão quebra a solidez, 256 bits onde basta a resistência a pré-imagem —, toda primitiva atinge ao menos 128 bits de segurança pós-quântica; sem essa atribuição, a mesma construção atinge 85 bits. O piso do sistema é a solidez do FRI: ao menos 100 bits sob a conjectura ethSTARK e 86 bits sob o limite provado de proximity-gaps, ajustável para 100 comprovados com 97 queries e para 128 com uma extensão de grau 3. Onde a implementação de referência se afasta do projeto — um hash de transcrição de 256 bits, ausência de slashing de validadores, líderes em rodízio, uma mempool em texto claro —, cada resultado o indica.
Principais resultados- Teor. 2.3 — Resistência quântica a colisões
- Teor. 3.5 — Segurança quântica do STARK
- Teor. 3.6 — Segurança pós-quântica global
- Teor. 4.4 — Segurança (safety) do HotStuff
- Teor. 5.3 — Não vinculabilidade dos nullifiers
- Teor. 6.8 — Mitigação de front-running, condicional
- Teor. 7.1 — Limiar de segurança econômica
Subordinado à Parte III do artigo do protocoloUm complemento autônomo da parte de segurança do artigo do protocolo, que é o tratamento canônico e reconciliado e prevalece em qualquer divergência. A análise de dezembro de 2025 trazia os três erros que o Draft 3 corrige; desde então, foi reconciliada com o Draft 3 e com a chain em execução.
- Resumo para InvestidoresRodada SeedSAFTOutubro de 2026
Rand Protocol: Resumo para Investidores
Liquidação privada e programável com provas baseadas em hash
outubro de 2026 · 6 páginas
As blockchains públicas publicam o que as empresas precisam proteger: quem pagou a quem, quanto e cada ordem antes de ser executada, e por isso os maiores reservatórios de capital ficam fora delas. A Rand é uma chain de camada 1 na qual todo pagamento é uma note protegida e toda transação é uma prova de conhecimento zero: a rede verifica que a regra foi executada sem ver as entradas, e uma viewing key permite que um auditor leia o que os concorrentes não podem. Programas em Rust ou C rodam em uma zkVM RISC-V provada por um STARK baseado em hash, sem configuração confiável, e os dólares chegam de quatro chains como um único dólar protegido, o zUSD.
O resumo apresenta o problema, o produto e seus custos medidos, os casos de uso por grau de maturidade, o mercado com estimativas publicadas, a comparação com Aleo, Railgun, Quantus e outros, um ano de pesquisa e a reconstrução de três semanas até uma rede de teste em operação, os preços do token e das rodadas, a rodada seed (SAFTs de 110 milhões de RAND, 11% de uma oferta máxima de um bilhão, a $0,03), a equipe e os riscos. Não constitui oferta de nenhum valor mobiliário ou token.
Principais resultados- Chain 20 · v0.6.8
- Seed: $0,03 por RAND, FDV de $30M
- SAFTs sobre oferta máxima de 1B
- 28 versões, 7 chains de teste
Arquivos-fonte
Todos os cinco artigos são escritos em LaTeX e compilados com tectonic. O código-fonte do zUSD é público — está vinculado a partir de sua entrada acima, de modo que cada afirmação nele pode ser conferida no arquivo de que veio, ao lado do código-fonte do zUSDT substituído, no mesmo repositório. Os códigos-fonte dos outros quatro artigos ainda não foram publicados; até que sejam, os PDFs acima são a sua forma canônica. Tudo o mais que é público — o node, as carteiras, o explorador — está na organização no GitHub.