Workspace IndexDev Notes › Four capabilities, each buying back what the chain gave away

#21PoC

Four capabilities, each buying back what the chain gave away

The must-build column of the plumbing table turns into four engineering capabilities: netting, hybrid matching with a verifiable audit trail, intent routing, and oracle failure with surveillance. Each one re-acquires, at a cost, a property the on-chain design discarded for free.

Not yet scoped — and the discipline is to keep this a price list rather than a syllabus. For each of the four rows below, write the one number that says whether the capability exists in a given system, not whether it has been studied: required collateral over net exposure, the fraction of the order lifecycle provable to an outsider, realised slippage against the executable side of the book, and time-to-resolution when the primary oracle is unavailable. Anything that cannot be reduced to such a number belongs in reading, not in a card. Successor to event-contract-plumbing, whose three-bucket table is the input to this one.

Why

The four capabilities look unrelated and are the same move four times. Clearing, matching, routing and resolution each name a property the on-chain design already has for free — and each is the price of keeping that property once the system has to be fast, capital-efficient, or connected to the world. That symmetry is the finding, and it is what stops the list from being a syllabus.

Netting is the clearest case. Full collateralisation is not a safety feature the chain gives you; it is what remains after the clearing house is removed. Novation, multilateral netting, margin models and the default waterfall exist to make capital go further, and every scheme that recovers that efficiency — portfolio margin at the account level, a hybrid engine with an off-chain credit pool — re-introduces exactly the credit relationship whose absence was the selling point. The honest framing is not how do we net on chain but what are we willing to trust again, and how much capital does that buy back.

Matching repeats it with a different noun. The chain is the audit trail only while the order lifecycle happens on it; move matching off-chain for cost and latency and the trail leaves with it. Sequencer log commitments, Merkle proofs and ZK state-transition proofs are how a hybrid venue buys back auditability it stopped getting for free — and the residual question is always which parts of the lifecycle remain unprovable, since amendments and cancellations are harder to commit to honestly than fills.

Routing and resolution close the pattern. There is no best-execution duty on chain, but the economics of routing return as MEV — an agency cost paid to whoever sequences, which auctions, private order flow and slashable solver commitments try to price rather than abolish. And the chain cannot see the world at all, so every oracle fallback, dispute escrow and TLS-attested feed is a trusted party added back one at a time, while surveillance — the invariant checks, circuit breakers and rate limits that a traditional venue staffs a desk for — has to be written as code that runs without anyone watching.

Which is the positioning argument, stated precisely. The scarce engineer is not the one who can deploy a token or an AMM. It is the one who can read a nineteenth-century clearing mechanism, identify which of its guarantees a chain already provides and which it merely removed, and then re-implement the second group under gas, asynchrony and permissionlessness. event-contract-plumbing established that the requirements list is public and free to read. This card is what reading it costs.

How it works

The four rows, and the number each one is measured by

Capability What the chain gives free What re-acquiring it costs The number
Clearing and netting — novation, multilateral netting, SPAN/VaR margin, default waterfall; on-chain portfolio margin and hybrid credit pools No counterparty risk, because every position is fully collateralised A credit relationship comes back. Netting without a CCP means somebody is exposed between the trade and the cover Required collateral ÷ net exposure. 1.0 means no netting exists; the gap below 1.0 is what was bought and from whom
Hybrid matching — off-chain LOB with batch settlement; sequencer log commitments, Merkle proofs, ZK state-transition proofs The chain is the audit trail, publicly and by construction The trail leaves with the matching. It has to be re-bought cryptographically, and amendments and cancellations are the hard part, not fills Share of the order lifecycle provable to an outsider — submissions, amendments, cancellations, fills
Intent routing — Dutch and batch auctions, private order flow, solver networks with slashable commitments No best-execution obligation to satisfy The obligation returns as MEV, paid to whoever sequences. Auctions price the agency cost rather than removing it Realised slippage against the executable side of the book — ask when buying, bid when selling, never the mid
Oracle failure and surveillance — multi-oracle fallback, dispute escrow, TLS-attested feeds, MPC feeds; invariant checks, circuit breakers, rate limits Deterministic settlement, once the input is known The chain cannot see the world. Every fallback adds a trusted party, and surveillance must run with nobody watching Time to resolution when the primary oracle is unavailable, and how many parties had to be trusted to get there

Why the symmetry matters more than the list

Read the middle column downward and the same sentence appears four times: the free property was free because something had been removed, and putting the capability back puts the thing back too. That is not an argument against building any of it — a venue that refuses all four is slow, capital-hungry, unauditable and blind. It is an argument for stating the price each time, because a design that adds netting without naming the credit it re-introduced has not solved counterparty risk; it has stopped measuring it.

The order to learn them in, and why

Not the order above. Start with resolution, because a market that cannot settle correctly makes every other capability irrelevant, and because it is the row with the least public prior art. Then netting, which decides the capital structure everything else runs on. Then matching, which is a performance decision that can be deferred until volume exists. Routing last, because MEV is a cost that only appears at size — and by then the first three have determined how much of it there is to extract.

The honest limit of a card like this

Four capabilities is a career, not a sprint, and a list of things to learn is the least reliable artifact in this catalogue — it survives contact with reality only if each row is reduced to a number that can be produced for a real system. That is why the fourth column exists, and why a row without one should be dropped rather than admired.

Review clarification

Why use a chain if trust comes back?

The remaining value is not no trust but constrained trust. A sequencer may order trades without receiving custody or power to rewrite final settlement; an oracle may decide an event without authority over unrelated treasury funds. The deepest test is credible exit: if one service disappears, do users retain their assets, history and ability to continue elsewhere? If not, the chain may be extra cost around an effectively centralised system.

Every efficiency number needs a risk counter-number

Capability Efficiency measure Risk counter-measure
Netting 1 - net exposure / gross exposure collateral / stressed potential loss
Matching lifecycle steps with proofs meaningful deviations still undetectable
Routing slippage from executable bid/ask benchmark age, impact, accessible venues
Oracle fallback time to resolution incorrect-resolution risk and source independence

Collateral below net exposure may be under-collateralisation, not netting. A high provable fraction can hide censorship. Slippage mixes routing quality with latency and impact. Fast oracle recovery can mean one unsafe fallback. The evaluation must pair efficiency gained with risk reintroduced.

← All Dev Notes · Workspace Index · Top ↑

네 가지 역량, 각각은 체인이 버린 것을 되사는 일

배관 표의 만들어야 함 칸은 네 가지 엔지니어링 역량으로 바뀝니다 — 네팅, 검증 가능한 감사 추적을 갖춘 하이브리드 매칭, 인텐트 라우팅, 오라클 장애 대응과 시장 감시. 넷 모두 온체인 설계가 공짜로 버린 속성을 값을 치르고 되사는 일입니다.

아직 범위 미정 — 규율은 이걸 커리큘럼이 아니라 가격표로 유지하는 것입니다. 아래 네 줄 각각에 대해, 공부했는지가 아니라 그 역량이 어떤 시스템에 존재하는지를 말하는 숫자 하나를 적습니다 — 순노출 대비 필요 담보, 외부인에게 증명 가능한 주문 생애주기의 비율, 호가의 체결되는 쪽 대비 실현 슬리피지, 주 오라클 부재 시 해결까지 걸리는 시간. 그런 숫자로 환원되지 않는 것은 카드가 아니라 독서 목록에 속합니다. 세 칸 표를 입력으로 삼는 event-contract-plumbing 의 후속입니다.

네 역량은 무관해 보이지만 같은 수를 네 번 두는 것입니다. 청산·매칭·라우팅·판정은 각각 온체인 설계가 이미 공짜로 갖고 있는 속성의 이름이고, 동시에 시스템이 빨라지거나 자본 효율적이 되거나 세상과 연결되는 순간 그 속성을 유지하기 위해 치러야 하는 값입니다. 그 대칭이 발견이고, 이 목록이 커리큘럼으로 전락하지 않게 막는 것입니다.

네팅이 가장 분명합니다. 전액 담보는 체인이 주는 안전장치가 아니라 청산소를 없애고 남은 것입니다. 경개·다자간 상계·증거금 모델·디폴트 폭포는 자본을 더 멀리 가게 하려고 존재하고, 그 효율을 되찾는 모든 설계 — 계정 단위 포트폴리오 마진, 오프체인 크레딧 풀을 결합한 하이브리드 엔진 — 은 부재가 곧 세일즈 포인트였던 신용 관계를 정확히 다시 들여옵니다. 정직한 질문은 온체인에서 어떻게 네팅하나 가 아니라 무엇을 다시 신뢰할 용의가 있고, 그것이 자본을 얼마나 되사 주는가 입니다.

매칭이 명사만 바꿔 같은 일을 반복합니다. 체인이 감사 추적인 것은 주문 생애주기가 그 위에서 일어나는 동안뿐입니다. 비용과 지연 때문에 매칭을 내리면 추적도 함께 내려갑니다. 시퀀서 로그 커밋, 머클 증명, ZK 상태 전이 증명은 하이브리드 거래소가 공짜로 받던 감사 가능성을 되사는 방법이고, 남는 질문은 언제나 생애주기의 어느 부분이 증명 불가로 남는가입니다 — 정정과 취소는 체결보다 정직하게 커밋하기 어렵기 때문입니다.

라우팅과 판정이 패턴을 닫습니다. 온체인에 최선집행 의무는 없지만 라우팅의 경제학은 MEV로 돌아옵니다 — 순서를 정하는 쪽에게 지불되는 대리인 비용이고, 경매·프라이빗 오더플로·슬래시 가능한 솔버 약정은 그것을 없애기보다 값을 매기려는 시도입니다. 그리고 체인은 세상을 전혀 볼 수 없으므로, 모든 오라클 폴백·분쟁 에스크로·TLS 증명 피드는 신뢰 주체를 하나씩 다시 들이는 일이며, 시장 감시 — 전통 거래소가 사람을 앉혀 두는 불변식 점검·서킷 브레이커·레이트 리밋 — 는 아무도 지켜보지 않아도 도는 코드로 쓰여야 합니다.

이것이 포지셔닝 논지를 정확히 말한 것입니다. 희소한 엔지니어는 토큰이나 AMM을 배포할 줄 아는 사람이 아닙니다. 19세기 청산 메커니즘을 읽고, 그 보장 중 무엇을 체인이 이미 제공하고 무엇을 단지 제거했을 뿐인지 가려낸 뒤, 두 번째 무리를 가스·비동기성·무허가성 위에서 다시 구현할 수 있는 사람입니다. event-contract-plumbing 은 요구사항 목록이 공개돼 있고 공짜로 읽을 수 있음을 확인했습니다. 이 카드는 그것을 읽는 데 드는 값입니다.

동작 방식

네 줄, 그리고 각각을 재는 숫자

역량 체인이 공짜로 주는 것 되사는 데 드는 비용 그 숫자
청산·네팅 — 경개, 다자간 상계, SPAN/VaR 증거금, 디폴트 폭포. 온체인 포트폴리오 마진과 하이브리드 크레딧 풀 모든 포지션이 전액 담보라 거래상대방 리스크가 없음 신용 관계가 되돌아옴. CCP 없는 네팅은 거래와 담보 사이에 누군가 노출된다는 뜻 필요 담보 ÷ 순노출. 1.0이면 네팅 없음. 1.0 아래로 벌어진 만큼이 무엇을 누구에게서 샀는지
하이브리드 매칭 — 오프체인 LOB + 배치 정산. 시퀀서 로그 커밋, 머클 증명, ZK 상태 전이 증명 체인이 감사 추적. 공개적으로, 구조적으로 매칭과 함께 추적도 떠남. 암호학으로 되사야 하고, 어려운 쪽은 체결이 아니라 정정과 취소 외부인에게 증명 가능한 주문 생애주기의 비율 — 제출·정정·취소·체결
인텐트 라우팅 — 더치·배치 경매, 프라이빗 오더플로, 슬래시 가능한 솔버 네트워크 지켜야 할 최선집행 의무가 없음 의무가 MEV로 돌아옴. 순서를 정하는 쪽에게 지불되고, 경매는 그 대리인 비용을 없애는 게 아니라 값을 매김 호가의 체결되는 쪽 대비 실현 슬리피지 — 살 때 ask, 팔 때 bid. 중간값은 아님
오라클 장애·시장 감시 — 다중 오라클 폴백, 분쟁 에스크로, TLS 증명 피드, MPC 피드. 불변식 점검, 서킷 브레이커, 레이트 리밋 입력이 정해지면 결정론적 정산 체인은 세상을 볼 수 없음. 모든 폴백이 신뢰 주체를 하나씩 더하고, 감시는 아무도 안 볼 때도 돌아야 함 주 오라클 부재 시 해결까지의 시간, 그리고 거기 닿기까지 신뢰해야 했던 주체 수

목록보다 대칭이 중요한 이유

가운데 칸을 위에서 아래로 읽으면 같은 문장이 네 번 나옵니다 — 공짜였던 속성은 무언가가 제거됐기 때문에 공짜였고, 역량을 되돌리면 그 무언가도 함께 돌아온다. 넷 중 무엇도 만들지 말라는 논지가 아닙니다. 넷 다 거부한 거래소는 느리고 자본을 많이 먹고 감사 불가능하며 눈이 멉니다. 매번 값을 명시하라는 논지입니다 — 다시 들인 신용을 이름 붙이지 않은 채 네팅을 더한 설계는 거래상대방 리스크를 푼 것이 아니라 재기를 그만둔 것이기 때문입니다.

배우는 순서, 그리고 왜

위의 순서가 아닙니다. 판정부터. 정산이 틀리는 시장에서는 나머지 역량이 전부 무의미하고, 공개된 선행 사례가 가장 적은 줄이기 때문입니다. 그다음 네팅 — 나머지 전부가 올라탈 자본 구조를 결정합니다. 그다음 매칭 — 거래량이 생기기 전까지 미룰 수 있는 성능 결정입니다. 라우팅이 마지막 — MEV는 규모가 있어야 나타나는 비용이고, 그때쯤이면 앞의 셋이 뽑아갈 양이 얼마인지를 이미 정해 놓았기 때문입니다.

이런 카드의 정직한 한계

네 역량은 스프린트가 아니라 커리어이고, 배울 것 목록은 이 카탈로그에서 가장 신뢰도가 낮은 산출물입니다. 각 줄이 실제 시스템에 대해 산출할 수 있는 숫자로 환원될 때만 현실과의 접촉에서 살아남습니다. 네 번째 칸이 존재하는 이유이자, 숫자가 없는 줄은 감탄하지 말고 버려야 하는 이유입니다.

검토 후 보완

신뢰가 돌아오는데 왜 체인을 쓰는가

남는 가치는 무신뢰가 아니라 제약된 신뢰입니다. 시퀀서는 주문 순서를 정하되 자산 보관이나 최종 결제 변경 권한은 갖지 않고, 오라클은 사건을 판단하되 관련 없는 재무금을 쓸 권한은 갖지 않을 수 있습니다. 가장 깊은 검사는 실질적 이탈권입니다. 서비스 하나가 사라져도 사용자가 자산, 기록, 다른 곳에서 계속할 능력을 유지하는가? 아니라면 체인은 사실상 중앙화된 시스템에 비용만 더할 수 있습니다.

효율 숫자에는 위험 반대숫자가 필요하다

역량 효율 지표 위험 반대지표
네팅 1 - 순노출 / 총노출 담보 / 스트레스 잠재손실
매칭 증명 가능한 생애주기 단계 여전히 탐지 불가능한 유의미한 위반
라우팅 체결 가능한 bid/ask 대비 슬리피지 벤치마크 시점, 시장충격, 접근 가능 거래소
오라클 폴백 해결 시간 오판 위험과 출처 독립성

담보가 순노출보다 적으면 네팅이 아니라 부족담보일 수 있습니다. 높은 증명 비율도 검열을 숨길 수 있고, 슬리피지는 라우팅 품질과 지연·시장충격을 섞습니다. 빠른 오라클 복구는 위험한 단일 폴백을 뜻할 수 있습니다. 평가는 얻은 효율성과 다시 도입된 위험을 짝지어야 합니다.

← 전체 개발 노트 · 워크스페이스 인덱스 · 맨 위 ↑