Um novo conjunto de provas verificadas por máquina publicado no Ethereum Research em 21 de julho de 2026 avança de forma significativa a teoria formal de preservação de estado entre domínios — e as implicações vão muito além da verificação acadêmica. O trabalho mecaniza a composição de mapas de preservação entre domínios de sincronização e os estratifica por amplitude de acoplamento, usando o Isabelle/HOL como motor de prova. O resultado não é apenas uma coleção de teoremas, mas uma base de verificação reutilizável e livre de “sorry” que qualquer bridge, saída de rollup, sequenciador compartilhado ou perna de liquidação permissionada pode descarregar diretamente.
Summary
Principais pontos
- Mapas de preservação entre máquinas de estados formam uma categoria completa — identidade, composição e associatividade são todos verificados por máquina em Isabelle/HOL.
- A máquina de estados regulatória opera sobre cinco estados, sete ações e doze transições válidas, codificando a semântica das ações legais diretamente na relação de transição.
- A força de sincronização é modelada como uma torre de funtores graduada por amplitude de cadeia; esquecer as participações da cadeia de nível mais alto é provado ser uma transformação natural.
- A mecanização é lançada como um build de Isabelle/HOL livre de “sorry” e está publicamente disponível.
Composição Mecanizada de Mapas de Preservação e Estrutura de Categoria
O resultado formal central é simples de enunciar e difícil de superestimar em importância: mapas de preservação entre máquinas de estados formam uma categoria. Três teoremas — preservation_id, preservation_compose e preservation_assoc — conferem a esses mapas identidade, composição fechada e associatividade, respectivamente, todos verificados por meio de locais genéricos de Isabelle/HOL sobre máquinas de estados arbitrárias.
Por que a estrutura de categoria importa aqui? Porque ela autoriza o raciocínio “link a link” ao longo de cadeias arbitrariamente longas de sistemas interoperantes. Em uma sequência envolvendo uma perna de rollup, uma camada base e uma perna de liquidação permissionada, o mapa de preservação de ponta a ponta decorre dos links individuais sem exigir uma nova prova. A associatividade significa que o agrupamento dos saltos é irrelevante para a garantia. Quando uma propriedade de ponta a ponta falha, pelo menos uma obrigação por link deve ter falhado — a decomposição organiza o diagnóstico, mesmo que não o execute automaticamente.
A mecanização é construída como um conjunto de locais genéricos, o que significa que as leis são diretamente reutilizáveis por qualquer domínio que satisfaça as obrigações do local. Essa escolha de design separa a estrutura formal de qualquer protocolo específico, tornando a base portátil em todo o ecossistema de rollups.
Modelando Transições de Estado Regulatórias com uma Máquina de Cinco Estados
Transições regulatórias não são rótulos abstratos neste modelo. A instância mecanizada opera sobre um espaço de cinco estados e sete ações com doze transições válidas dentre trinta e cinco pares de ações sintaticamente possíveis — e essa esparsidade é o ponto. Uma apreensão aplicada a um ativo já em estado confiscado é juridicamente sem sentido; o modelo a rejeita na relação de transição em vez de deixar a restrição para a convenção em tempo de execução.
Semântica jurídica refletida em restrições de transição
A escalada é direcional, um estado é terminal (formalizado como confiscated_terminal), e a preservação é tratada como uma interpretação de local de ação heterogênea. A preservação então carrega peso jurídico concreto: o efeito que uma transição regulatória produz deve sobreviver à passagem entre domínios. Um ativo congelado não pode chegar do outro lado apenas restrito.
A mecanização é deliberadamente delimitada. Uma proposta de Padrão em Rascunho, ERC-8319, atualmente em revisão no Ethereum Research, fornece a taxonomia pública de ações juridicamente distintas que motivou esta instância específica — mas a mecanização não implementa o ERC-8319, e o ERC-8319 não exige nenhuma máquina de estados específica. As duas camadas são intencionalmente separadas.
Graus de Sincronização como uma Torre de Funtores Graduada por Amplitude de Cadeia
Nem todo ativo em um sistema entre domínios requer a mesma força de sincronização, e a torre de funtores formaliza essa heterogeneidade. O espaço de estados é graduado por amplitude de cadeia: para cada nível k, um portador contém todos os estados globais cujas participações em ativos estão suportadas nas cadeias 0 até k, ancoradas na cadeia hub 0. Isso fornece um funtor por nível, e o índice formaliza o que o modelo chama de amplitude de acoplamento.
Teorema de transformação natural ao esquecer participações da cadeia de nível mais alto
Entre níveis adjacentes, o mapa degree_forget descarta as participações da cadeia de nível mais alto. O teorema central — degree_natural_transformation — prova que esse mapa é natural: esquecer as participações da cadeia de nível mais alto comuta com toda transição regulatória. Compostos desses mapas de projeção são novamente naturais, de modo que a projeção para qualquer nível inferior é lícita em um passo ou em vários.
Um traço concreto ilustra o que isso significa. Considere um ativo nas cadeias 0 até 2 e um congelamento indexado a ele. Aplicar o congelamento na amplitude 2 e depois esquecer a cadeia 2 leva ao mesmo estado que esquecer a cadeia 2 primeiro e depois aplicar o congelamento na amplitude 1. A projeção para um contexto mais estreito não pode produzir um histórico regulatório que contradiga aquele que o contexto mais estreito deveria ter observado. O trabalho observa explicitamente que um protocolo de saída vivo com atrasos, novas tentativas e mudanças de participação é uma aplicação candidata dessa lei — e apenas isso; não se afirma que nenhum protocolo específico refine o modelo.
Pressupostos do Modelo, Graus Declarados dos Ativos e Artefatos Disponíveis
Âncoragem em uma única cadeia hub e implicações para cenários multi-hub
Os resultados de naturalidade se apoiam em uma topologia de hub único: a cadeia hub 0 nunca é esquecida em nenhum nível, e a admissibilidade é ancorada a ela em todo o modelo. Nada na estrutura atual trata de configurações multi-hub ou topologias de acoplamento mutáveis. Essa fronteira não é uma ressalva menor — é uma restrição estrutural sobre onde os teoremas atuais se aplicam.
Ativos carregam graus de sincronização fixos na emissão, com mudanças dinâmicas em aberto
O modelo lida com reatribuição estática de graus entre ciclos de sincronização, mas mudanças de grau durante um ciclo ativo permanecem explicitamente fora do modelo. Os teoremas são agnósticos quanto ao momento em que um grau é declarado; a leitura de design de produto — declaração na emissão — é uma instanciação, não uma afirmação de teorema. O que acontece quando o grau de um ativo muda enquanto um ciclo de sincronização está em andamento, e qual grau rege esse ciclo, é uma questão em aberto que os autores destacam diretamente.
Questões em Aberto e Limitações na Preservação de Estado entre Domínios
Os autores são francos sobre onde o framework termina. Quatro questões em aberto são declaradas explicitamente, e elas não são periféricas — cada uma representa uma lacuna que limita o escopo atual do modelo de maneiras praticamente importantes.
- Regras de grau agregado: Quando unidades com graus declarados distintos compartilham um identificador de ativo, quais regras de agregação conservadoras são sólidas e a que custo para fungibilidade e expressividade? A mecanização não prova nenhuma regra de junção multiativo.
- Promoção dinâmica: Se um grau declarado muda enquanto um ciclo de sincronização está em andamento, qual grau rege esse ciclo e onde a fronteira de transição deve ser colocada?
- Naturalidade multi-hub: O resultado atual preserva a cadeia hub 0. Que estrutura adicional recuperaria a naturalidade em múltiplos hubs ou em uma topologia de acoplamento mutável?
- Fronteiras de obrigação: Quais leis pertencem a uma especificação pública, quais devem ser satisfeitas por conformidade em nível de implementação e quais permanecem como orientação de design?
A questão da fungibilidade merece atenção particular. A torre de funtores não exige nenhuma proveniência por lote — os quadrados de naturalidade indexam transições por ação regulatória, identificador de ativo e amplitude de cadeia, sem rastrear nada sobre quais unidades vieram de onde. Mas ela pressupõe um identificador de ativo estável em nível de ativo com uma atribuição de grau bem definida. Misturar unidades de graus declarados diferentes sob um único identificador fica fora da fronteira de tipagem do modelo. Duas correções são visíveis — identificadores em “baldes” ou um grau agregado conservador que domina todas as declarações de unidades — mas ambas têm custos: identificadores em baldes fraturam a fungibilidade até que os baldes sejam encerrados, enquanto um único grau agregado amplia as obrigações de todo o saldo com base em seu componente de grau mais alto.
O que o trabalho em última análise contribui é um esqueleto formalmente verificado sobre o qual hierarquias de protocolos operacionais podem ser colocadas — uma vez que o refinamento da amplitude de cadeia para semântica operacional de grau seja estabelecido. Esse refinamento ainda não foi feito. O esqueleto é sólido; construir sobre ele agora exige saber exatamente onde termina o seu piso.
Perguntas Frequentes
Qual é a principal contribuição da mecanização apresentada?
Ela mecaniza a composição de mapas de preservação entre máquinas de estados, provando que eles formam uma categoria com identidade, composição e associatividade — tudo verificado em Isabelle/HOL — e os estratifica por amplitude de acoplamento usando uma torre de funtores.
Como as transições de estado regulatórias são modeladas no estudo?
Elas são modeladas como uma máquina de cinco estados e sete ações com doze transições válidas, codificando a semântica das ações legais diretamente na relação de transição, de modo que operações juridicamente sem sentido — como apreender um ativo já confiscado — sejam rejeitadas no nível do modelo em vez de deixadas para a convenção em tempo de execução.
O que a torre de funtores representa nos graus de sincronização?
Ela representa uma estrutura graduada de força de sincronização indexada por amplitude de cadeia, em que esquecer as participações da cadeia de nível mais alto é provado ser uma transformação natural que comuta com toda transição regulatória — o que significa que a projeção para um contexto mais estreito não pode contradizer o histórico regulatório que esse contexto deveria ter visto.
Quais pressupostos o modelo faz em relação à topologia de rede e aos graus de sincronização dos ativos?
O modelo assume uma única cadeia hub 0 como âncora topológica; configurações multi-hub e topologias mutáveis estão fora dos resultados atuais. Os graus de sincronização dos ativos são fixos na emissão e tratados como estáticos dentro de um ciclo; mudanças dinâmicas de grau durante ciclos de sincronização ativos permanecem um problema em aberto.
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”Qual é a principal contribuição da mecanização apresentada?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Ela mecaniza a composição de mapas de preservação entre máquinas de estados, provando que eles formam uma categoria com identidade, composição e associatividade — tudo verificado em Isabelle/HOL — e os estratifica por amplitude de acoplamento usando uma torre de funtores.”}},{“@type”:”Question”,”name”:”Como as transições de estado regulatórias são modeladas no estudo?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Elas são modeladas como uma máquina de cinco estados e sete ações com doze transições válidas, codificando a semântica das ações legais diretamente na relação de transição, de modo que operações juridicamente sem sentido — como apreender um ativo já confiscado — sejam rejeitadas no nível do modelo em vez de deixadas para a convenção em tempo de execução.”}},{“@type”:”Question”,”name”:”O que a torre de funtores representa nos graus de sincronização?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Ela representa uma estrutura graduada de força de sincronização indexada por amplitude de cadeia, em que esquecer as participações da cadeia de nível mais alto é provado ser uma transformação natural que comuta com toda transição regulatória — o que significa que a projeção para um contexto mais estreito não pode contradizer o histórico regulatório que esse contexto deveria ter visto.”}},{“@type”:”Question”,”name”:”Quais pressupostos o modelo faz em relação à topologia de rede e aos graus de sincronização dos ativos?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”O modelo assume uma única cadeia hub 0 como âncora topológica; configurações multi-hub e topologias mutáveis estão fora dos resultados atuais. Os graus de sincronização dos ativos são fixos na emissão e tratados como estáticos dentro de um ciclo; mudanças dinâmicas de grau durante ciclos de sincronização ativos permanecem um problema em aberto.”}}]}
Artigo produzido com a assistência de inteligência artificial e revisado pela equipe editorial.
