SenditBank

O modelo

• Contas. Uma conta é um endereço de carteira (ou qualquer contrato que aja como a própria conta). Os saldos são balanceOf[account][asset], nunca indexados por uma chave.
• Ativos. pUSD, ETH como address(0), e tokens de um launcher que o operador adicionou (isAsset). Qualquer outro token é recusado. totalHeld[asset] é a soma exata de todos os saldos e nunca é maior do que o que o banco detém.
• Chaves. Endereços que uma conta registrou com uma prova assinada pela chave. Uma chave gasta o saldo da conta nos venues, envia, saca para a própria carteira da conta, se reabastece e se revoga. Ela não pode registrar chaves, mudar os tetos nem fazer withdrawTo para outro endereço.
• Venues. Os contratos autorizados a debitar contas: o motor, o livro de ordens, o cofre, a fábrica de cópias, o roteador spot, a casa de câmbio de pUSD. Cada um chama bank.pull(msg.sender, asset, amount) com o próprio chamador, então um venue não pode escolher de quem é o dinheiro que ele pega. Todo pagamento volta com bank.push(account, ...), nunca para o assinante.

Não há receive(), nem varredura, nem edição de saldo, nem upgrade, nem taxa. O ETH só entra por deposit e push.

Contas e accountOf

accountOf(sender) é a conta pela qual um remetente age: o dono enquanto sender for uma chave registrada sob o keyEpoch atual da conta e o globalEpoch atual, e o próprio sender caso contrário. Assim uma carteira resolve para si mesma, e todo venue também funciona com assinatura da carteira. Posições, cotas do cofre, contas de cópia e todos os eventos nomeiam a conta, nunca a chave.

Uma chave está obsoleta quando accountOf(keyOf(account)) != account. Não há playerOf aqui: esse é o nome que o banco do arcade dá à mesma ideia.

A prova da chave

A chave consente em servir a conta assinando um digest:

keyDigest(account, key) = keccak256(abi.encode(
  "SENDIT/key-proof/v1", block.chainid, address(bank), account, key,
  keyEpoch[account], globalEpoch))

A prova é a assinatura EIP-191 da chave sobre esses 32 bytes ("\x19Ethereum Signed Message:\n32" || digest): 65 bytes, s baixo, v 27 ou 28 (0 e 1 são aceitos). A carteira então a envia com setKey(key, proof) ou dentro de deposit(pusdAmount, gasToKey, key, proof), que também pode financiar o gas da chave na mesma transação.

import { encodeAbiParameters, parseAbiParameters, keccak256 } from "viem";
import { generatePrivateKey, privateKeyToAccount } from "viem/accounts";

const key = privateKeyToAccount(generatePrivateKey()); // keep the private key safe

// ADD a key under the epochs in force: the bank computes the digest for you.
const digest = await client.readContract({
  address: bank, abi: bankAbi, functionName: "keyDigest", args: [account, key.address],
});
const proof = await key.signMessage({ message: { raw: digest } }); // EIP-191, 32 bytes

// REPLACE every key of the account: the same digest under keyEpoch + 1.
const [epoch, global] = await Promise.all([
  client.readContract({ address: bank, abi: bankAbi, functionName: "keyEpoch", args: [account] }),
  client.readContract({ address: bank, abi: bankAbi, functionName: "globalEpoch" }),
]);
const nextDigest = keccak256(encodeAbiParameters(
  parseAbiParameters("string, uint256, address, address, address, uint64, uint64"),
  ["SENDIT/key-proof/v1", 78270n, bank, account, key.address, epoch + 1n, global],
));
const replaceProof = await key.signMessage({ message: { raw: nextDigest } });

Épocas: adicionar ou substituir

Uma prova é verificada contra um de dois pares de épocas, e qual deles decide o que acontece:

• Épocas atuais: ADD. A chave se junta às chaves ativas da conta; todas as outras continuam ativas (uma chave por dispositivo).
• keyEpoch + 1: REPLACE. O banco revoga primeiro (a época avança, todas as chaves se encerram, KeyRevoked) e depois registra a chave sob a nova época.

revokeKey() encerra todas as chaves da conta; rotateKey(newKey, proof) revoga e registra em uma só transação, com uma prova sob a nova época. invalidateAllKeys() avança o globalEpoch e encerra todas as chaves do banco. keyOf(account) é só a chave registrada por último, para onde vai o gas do depósito.

Tetos

As saídas de pUSD e ETH de uma chave para terceiros (send, refuel, e os pulls de um venue com teto, que hoje é o roteador spot) contam contra tetos diários por conta, sobre uma janela fixa de 24 horas a partir da primeira saída cobrada. Perps, o cofre e as cópias não têm teto, os tokens lançados também não, e as chamadas assinadas pela carteira nunca são cobradas. Os padrões do contrato são 10.000 pUSD e 5 ETH por dia; o deploy da rede de teste os desligou (UNCAPPED, leia defaultCaps()). Uma conta define os seus com setKeyCaps a partir da sua carteira: 0 significa o padrão.

Pausa

setPaused(true) interrompe pull e move dos venues, e send e refuel assinados por chave. Ele nunca interrompe withdraw, withdrawTo, push (então as posições continuam fechando e os pagamentos continuam chegando), depósitos, registro e revogação de chaves, nem o próprio send de uma carteira ou de um contrato (uma conta de cópia paga quem a copia por send). A casa de câmbio de pUSD respeita a pausa do banco nas suas duas portas.

Venues e o prazo de 24 horas

Um venue pode debitar qualquer conta por meio do remetente que repassa, então os venues são a raiz de confiança do banco. Adicionar um é proposeVenue, depois activateVenue após VENUE_DELAY (24 horas): um evento VenueProposed dá a cada conta um dia para sacar antes. listVenueNow pula a espera somente antes do primeiro crédito do banco. removeVenue é imediato, e um venue removido ainda pode fazer push.

Funções e eventos