Résumé

  • L'escrow est un contrôle précieux mais limité. Il vérifie les fonds, les conserve selon des instructions convenues et les libère ou les rembourse lorsqu'une condition définie est remplie. Il réduit le risque de contrepartie; il n'acquiert pas d'autorité sur la décision d'éligibilité du RIR, ses enregistrements, l'examen des sanctions, la coordination inter-RIR ou une correction ultérieure.
  • Une clôture IPv4 contient donc au moins deux événements de finalité distincts. La finalité du paiement est le point auquel l'argent est libéré sans condition dans le cadre de l'arrangement d'escrow. La finalité du registre est le point auquel le ou les registres responsables ont effectué un changement cohérent et faisant autorité et défini ce qui peut encore être corrigé, contesté ou annulé.
  • La plupart des conceptions d'escrow lient les deux événements par observation plutôt que de les rendre atomiques. Un fournisseur ou une partie voit un avis d'achèvement ou un enregistrement du destinataire, traite cette preuve comme une livraison et libère les fonds. Le registre ne valide pas simultanément l'enregistrement dans le même système que le paiement, et il n'est pas nécessairement lié par l'interprétation de l'achèvement par l'agent d'escrow.
  • Les cas dangereux surviennent dans les lacunes: approbation suivie d'une mise à jour incomplète de l'enregistrement; un RIR terminant avant son homologue; des fonds libérés contre un état public transitoire; une décision de justice ou une constatation de fraude nécessitant une correction; l'autorité technique restant chez le vendeur; ou un rejet arrivant après que les parties aient engagé des frais de financement, juridiques et opérationnels.
  • Un contrat de transfert sérieux devrait définir un certificat de finalité du registre, un instantané de basculement, des conditions d'arrêt exactes, une fenêtre de confirmation limitée, des vérifications de l'état technique, des obligations de remboursement et d'annulation, le traitement des corrections, une retenue résiduelle et des recours en cas de retour impossible. « Le Whois a changé » n'est pas une condition de clôture complète.
  • La Number Resource Society peut plaider en faveur de preuves portables et de règles de rapprochement et publier un modèle que les registres, les fournisseurs d'escrow et les membres peuvent discuter. Elle ne peut pas émettre, rapprocher ou certifier l'enregistrement de transfert faisant autorité: les RIR responsables doivent produire l'état d'achèvement déterministe, signé et vérifiable sur lequel repose le règlement commercial.

L'argent le plus sûr de la pièce peut encore financer un transfert échoué

La version rassurante d'une clôture IPv4 est presque cinématographique. L'argent de l'acheteur attend dans un compte neutre. Le vendeur ne peut pas y toucher. Le vendeur demande au registre de déplacer le bloc. Le registre approuve. L'acheteur vérifie l'enregistrement. L'agent d'escrow libère les fonds. Personne n'a à faire confiance à un étranger à la fois pour les adresses et l'argent.

Cette séquence est plus sûre que d'envoyer un virement irrévocable à un vendeur avant la livraison. Elle n'est pas sûre au sens large souvent implicite dans le mot escrow.

Considérons une transaction dans laquelle chaque acteur commercial agit honnêtement. L'acheteur finance à temps. Le vendeur soumet des documents précis. Le courtier communique rapidement. L'agent d'escrow suit exactement les instructions. Le transfert peut encore être refusé parce qu'un registre interprète différemment des parties une période de détention, une chaîne organisationnelle, une condition du destinataire, une règle régionale ou un indicateur de litige. Il peut rester suspendu pendant qu'une institution demande plus de preuves. Il peut être approuvé par un registre et attendre l'autre.

Il peut sembler complet dans un registre public tandis que les identifiants ou les services connexes restent attachés au détenteur précédent. Une ordonnance judiciaire ultérieure ou une constatation d'autorité falsifiée peut exiger la correction de l'enregistrement.

L'escrow n'a pas fonctionné dans aucun de ces cas. Il ne contrôle tout simplement pas le composant défaillant.

C'est la distinction importante dans l'observation de Lu Heng selon laquelle un accord ordonné, des documents propres et un escrow ne garantissent pas en eux-mêmes la continuité. Un courtier peut donner l'impression qu'une transaction est organisée alors que la dépendance administrative décisive reste en dehors du contrat. Le bureau du registre détermine toujours s'il reconnaîtra le changement. Dans un cas inter-RIR, deux bureaux doivent être d'accord et se coordonner. La société d'escrow peut détenir de l'argent contre une condition, mais elle ne peut pas transformer ces institutions distinctes en un moteur de règlement fiable.

Le marché décrit souvent cet arrangement comme si l'escrow se situait au-dessus de l'ensemble de la transaction. En réalité, il se situe à côté du registre. Les deux systèmes échangent des preuves par l'intermédiaire de personnes, de courriels, de tickets, de registres publics et d'instructions contractuelles. Ils ne partagent pas un seul point de validation. Une défaillance dans l'un ne provoque pas automatiquement et instantanément l'inversion de l'autre.

C'est pourquoi la bonne question n'est pas: « L'escrow a-t-il été utilisé? » C'est: « Qu'est-ce que l'escrow a rendu exactement définitif, qu'est-ce que le registre a rendu exactement définitif, et que se passe-t-il si ces moments ne coïncident pas? »

L'escrow résout le risque de paiement, et cela mérite d'être préservé

La critique des excès ne doit pas devenir une critique du contrôle lui-même. Un arrangement d'escrow correctement constitué remplit une fonction essentielle du marché. Il modifie les incitations des deux côtés avant le début d'un transfert.

Sans escrow, un acheteur à qui on demande de payer en premier court le risque que le vendeur disparaisse, ne soumette pas le transfert, n'ait pas l'autorité sur le bloc ou ne puisse pas satisfaire le registre source. Un vendeur à qui on demande de transférer en premier court le risque que l'acheteur reçoive la position d'enregistrement reconnue et retienne ensuite le paiement, devienne insolvable ou invente un litige. Lorsque les parties se trouvent dans des pays différents et n'ont jamais eu affaire l'une à l'autre, les litiges ordinaires sont un mauvais substitut pour contrôler la séquence.

Un agent d'escrow répond à cette méfiance bilatérale en prenant custody des fonds et en appliquant des conditions de libération convenues. La séquence IPv4 publiée par Escrow.com est explicite: les parties conviennent d'un prix, l'acheteur dépose le paiement, le vendeur effectue un transfert vérifiable, l'acheteur confirme la réception et l'accepte, et le fournisseur libère le paiement.

Ses conditions IPv4 identifient les RIR source et destinataire, permettent que la réception soit attestée par les enregistrements Whois du RIR destinataire ou la confirmation de l'acheteur, et lient la libération à l'acceptation ou à l'expiration d'une période d'inspection. IPv4.Global décrit une séquence comparable dans laquelle l'argent est détenu, le changement de registre est confirmé dans le compte de l'acheteur, puis les fonds sont libérés.

Ces arrangements peuvent protéger les bons fonds, réduire l'inexécution délibérée et créer un enregistrement neutre des instructions. Ils peuvent également définir des procédures d'annulation, de litige et de remboursement. C'est une valeur substantielle. Cela permet aux parties de commencer une demande de registre sans qu'aucune des deux parties ne fasse une livraison non garantie de son actif principal.

Mais l'actif protégé par l'agent d'escrow est l'argent. Même si ses conditions qualifient le bloc d'adresses de propriété et définissent ce qui constitue une livraison, il n'exploite pas le RIR. Il observe un fait externe et applique un accord privé à cette observation. Ce n'est pas l'institution qui décide si la source était autorisée, si le destinataire est qualifié, si une route inter-RIR est compatible ou si un enregistrement doit être modifié ultérieurement parce que les preuves étaient fausses.

La distinction est plus facile à voir lorsqu'une demande est rejetée. Le fournisseur d'escrow peut restituer les fonds de l'acheteur conformément à l'accord. Il ne peut pas remettre les parties dans la position exacte qu'elles occupaient avant la transaction. Des frais juridiques ont été engagés. Un financement a peut-être été réservé. Un acheteur a peut-être promis une capacité à des clients. Un vendeur a peut-être cessé de commercialiser le bloc. Des équipes techniques ont peut-être modifié les objets de routage, les enregistrements de géolocalisation, les listes blanches ou les plans de déploiement.

Des frais de registre non remboursables ont peut-être déjà été payés. L'escrow préserve le principal; il ne supprime pas la dépendance.

La réforme correcte commence donc par maintenir l'escrow dans sa compétence. Ne lui demandez pas de certifier les mérites politiques d'un transfert. Ne lui demandez pas de garantir le routage. Ne traitez pas sa libération comme une preuve concluante que chaque conséquence du registre est permanente. Rendez-le excellent en matière de custody et de règlement conditionnel, puis exigez un signal d'achèvement du registre suffisamment bon pour soutenir ce règlement.

La finalité du paiement a un moment juridique connaissable

La finalité du paiement est plus que le fait que l'acheteur clique sur « accepter ». C'est le point auquel l'obligation monétaire pertinente a été éteinte en vertu des conditions d'escrow et du droit applicable en matière de paiement, et la libération n'est plus simplement provisoire. Avant ce point, les fonds peuvent être déposés mais non disponibles pour le vendeur. Une instruction de libération peut avoir été envoyée mais pas réglée. Un virement bancaire peut encore être soumis à un examen de conformité ou à une défaillance opérationnelle.

Après la finalité, le vendeur devrait pouvoir compter sur le paiement sans s'attendre à un renversement ordinaire initié par l'acheteur.

Les normes des marchés financiers sont utiles ici car elles sont exceptionnellement strictes en matière de vocabulaire. Le Comité sur les paiements et les infrastructures de marché définit le règlement final comme un transfert ou une libération irrévocable et inconditionnel d'une obligation conformément aux règles applicables. Son principe de finalité du règlement demande à un système de définir le point auquel le règlement est final et le point après lequel une instruction acceptée ne peut être révoquée par un entité.

Une vente IPv4 n'est pas pour autant une transaction sur titres, et un RIR n'est pas pour autant une infrastructure de marché financier. La comparaison est fonctionnelle. Lorsque deux obligations de valeur sont échangées, une conception de règlement sophistiquée refuse de laisser le mot « complet » flotter. Elle identifie le moment juridique, le système qui le produit, les preuves disponibles pour les entités et le traitement d'une correction exceptionnelle.

La même discipline devrait s'appliquer aux transferts d'adresses sous escrow. L'accord devrait indiquer si la finalité du paiement se produit lorsque l'agent d'escrow émet un ordre de décaissement, lorsque le compte bancaire du vendeur est crédité, lorsque la période d'inspection expire ou à tout autre moment défini. Elle devrait distinguer l'approbation de la libération de la réception effective. Si la conversion de devises, les relations bancaires ou le filtrage des sanctions peuvent retarder un décaissement après la libération, cet intervalle ne doit pas être caché sous un seul horodatage.

Cette clarté est importante car les recours changent à la finalité. Avant la libération, une annulation valide peut restituer les fonds avec une perte limitée. Après la libération, un acheteur cherchant un remboursement peut n'avoir qu'une créance contractuelle contre le vendeur. Si le vendeur a distribué le produit, est en faillite ou a changé de juridiction, la différence est énorme. Un déclencheur de registre mal défini peut donc transformer une ambiguïté administrative corrigible en une demande de recouvrement non garantie.

La finalité du paiement est le point fort de la conception actuelle car les sociétés d'escrow et les institutions de paiement ont un contrôle direct sur les fonds qu'elles détiennent. La partie registre manque d'un moment défini universellement équivalent. Cette asymétrie, et non un défaut intrinsèque de l'escrow, produit le risque de clôture.

La finalité du registre n'est pas simplement un courriel d'approbation

La finalité du registre répond à une question différente: quand l'acheteur, le vendeur et les institutions qui s'y fient peuvent-ils traiter l'état d'enregistrement reconnu comme complet, cohérent et ne faisant plus l'objet d'un changement unilatéral ordinaire?

Les documents actuels des RIR identifient des parties de cette réponse mais pas une définition globale. Le guide de transfert d'ARIN indique qu'après approbation, réception des accords signés et des frais applicables, et toute coordination inter-RIR requise, les ressources seront transférées. APNIC indique que la source initie, le destinataire accuse réception, APNIC évalue la demande, le destinataire paie les frais pour un transfert approuvé et APNIC met à jour l'enregistrement Whois.

La politique du RIPE indique que le détenteur d'origine reste responsable jusqu'à l'achèvement et que le RIPE NCC achève le transfert en mettant à jour les enregistrements d'enregistrement. Pour un transfert inter-RIR, la procédure publiée par le RIPE exige l'approbation des deux registres et une coordination conformément aux deux ensembles de règles.

Ces déclarations rendent la mise à jour de l'enregistrement décisive. Elles ne rendent pas chaque artefact visible à ce moment-là également concluant.

Un avis d'approbation peut être conditionnel à un contrat ou à des frais. Un enregistrement public modifié peut être en retard ou en avance sur l'état interne du compte. Un certificat de ressource peut nécessiter une révocation ou une émission. La délégation du DNS inverse et les objets du registre de routage Internet peuvent nécessiter des actions distinctes. Le journal des transferts peut être publié plus tard. Dans un cas bilatéral, la source peut supprimer l'ancien état pendant que la destination crée le nouvel état, ou les parties peuvent voir des résultats différents parce que les caches et les intervalles de publication diffèrent.

La finalité du registre devrait donc inclure quatre éléments.

Premièrement, la décision est définitive dans le canal administratif ordinaire: toutes les conditions énoncées ont été remplies et aucune action de routine du personnel ne reste. Deuxièmement, l'enregistrement de détention faisant autorité est cohérent: il existe exactement un détenteur actuel reconnu dans le système de registre concerné. Troisièmement, l'autorité connexe contrôlée par le registre a atteint l'état de remise déclaré, ou toute étape restante est identifiée et assignée.

Quatrièmement, l'institution définit les motifs exceptionnels sur lesquels le résultat peut être corrigé ultérieurement, tels que la fraude, l'erreur administrative, une ordonnance judiciaire ou un examen réussi.

Ce quatrième élément est inconfortable mais nécessaire. « Définitif » ne peut pas honnêtement signifier à l'abri de la loi ou de la correction. Les résumés d'arbitrage publiés par le RIPE NCC incluent des litiges concernant des transferts et des cas où des transferts ont été annulés suite à des décisions de justice ou à de fausses informations. Ces exemples ne prouvent pas que les transferts ordinaires effectués sont instables. Ils prouvent qu'un enregistrement administratif peut être modifié après un achèvement apparent lorsqu'un motif juridique ou probatoire supérieur apparaît.

Une déclaration de finalité utile doit distinguer l'irrévocabilité ordinaire de la correction exceptionnelle. Sans cette distinction, un acheteur peut croire qu'un courriel d'achèvement garantit la permanence tandis que le registre croit qu'il a simplement appliqué les informations disponibles à ce moment-là. L'escrow peut libérer les fonds en fonction de la compréhension de l'acheteur même si l'institution conserve un pouvoir de correction plus large.

La finalité du registre n'est donc pas une propriété métaphysique. C'est une promesse institutionnelle limitée: le registre a effectué la transition d'état demandée, aucune condition ordinaire non résolue ne subsiste, l'enregistrement résultant est cohérent en interne, et toute modification ultérieure doit utiliser des motifs exceptionnels définis avec notification, preuves et examen.

L'observation n'est pas un règlement atomique

L'erreur de conception la plus profonde est de confondre conditionnalité et atomicité.

Un accord d'escrow crée une conditionnalité. Il dit, en effet, « libérez les fonds si la preuve X apparaît ». Si X est un enregistrement du RIR destinataire nommant l'acheteur, l'agent d'escrow vérifie cet enregistrement ou accepte une confirmation, puis agit. Cette séquence lie le paiement à l'enregistrement de manière plus sûre qu'un virement inconditionnel.

Elle n'est pas atomique car les deux changements d'état ne se produisent pas comme une seule opération indivisible. Le RIR met à jour ses enregistrements dans un environnement juridique et technique différent. L'agent d'escrow libère l'argent dans un autre. Un message, une requête publique ou une instruction humaine franchit la frontière. Le temps passe. Les faits peuvent être mal compris ou changer.

La distinction est familière dans les systèmes d'échange de valeur. Le principe 12 des Principes pour les infrastructures de marché financier du CPMI-IOSCO stipule que le risque principal doit être éliminé en conditionnant le règlement final d'une obligation liée au règlement final de l'autre. Les mécanismes de livraison contre paiement sont conçus de sorte que la livraison finale se produise si et seulement si le paiement final a lieu. Les mots importants sont les deux occurrences de « final ». Un signal de livraison provisoire associé à de l'argent comptant définitif n'est pas la même chose.

L'escrow IPv4 offre généralement « observer, puis payer », pas une véritable livraison contre paiement. L'observation peut être excellente. Elle peut être enregistrée cryptographiquement, vérifiée indépendamment et acceptée contractuellement. Pourtant, le système d'escrow ne peut pas verrouiller l'état du registre tout en engageant les fonds. Le RIR ne peut pas voir dans le grand livre d'escrow et rendre son propre achèvement dépendant du paiement irrévocable. Aucun des deux systèmes ne peut automatiquement annuler les deux jambes si l'autre échoue au dernier moment.

Cette non-atomicité crée un intervalle d'incertitude classique. Au temps un, le registre semble avoir terminé. Au temps deux, l'observateur vérifie. Au temps trois, l'escrow libère. Au temps quatre, le vendeur reçoit. Pendant ou après cet intervalle, un rapport d'erreur, une revendication concurrente, une ordonnance judiciaire, un événement de sanctions, une correction technique ou une incompatibilité de contrepartie peut apparaître. La probabilité peut être faible; l'exposition est l'ensemble du principal plus les coûts de dépendance.

Qualifier l'intervalle de court ne le supprime pas. Qualifier le fournisseur de fiable ne le supprime pas. Demander à l'acheteur de cliquer sur accepter transfère le jugement à l'acheteur mais n'améliore pas l'assurance sous-jacente du registre. La solution appropriée n'est pas de faire comme si les systèmes ne faisaient qu'un. C'est de concevoir l'interface entre eux comme une frontière de risque de première classe.

Cela signifie que le registre doit émettre une déclaration d'achèvement adaptée à une dépendance externe, et les instructions d'escrow doivent spécifier exactement quelle déclaration est qualifiée. La déclaration doit avoir une référence de transaction unique connue des parties, identifier les préfixes et le type de transfert, nommer le registre source et destinataire le cas échéant, enregistrer l'heure effective, confirmer que les conditions ordinaires sont remplies et identifier tout service technique encore en attente. Un résultat Whois public peut la corroborer. Il ne devrait pas la remplacer.

Le rejet laisse plus de choses derrière qu'un remboursement

L'échec le plus net survient avant tout changement de registre. Le RIR refuse la demande, la condition d'escrow n'est pas remplie et l'acheteur récupère l'argent. Même cela n'est pas un retour à zéro.

Le refus du registre peut provenir de plusieurs faits différents. La source peut ne pas correspondre au détenteur reconnu. L'autorité de l'entreprise peut être incomplète. Le bloc peut être soumis à un verrou, un litige ou une restriction de transfert récent. Le destinataire peut échouer à un test de besoin ou d'éligibilité. Un chemin inter-RIR peut ne pas être accepté. Un examen des sanctions peut empêcher l'action. Une partie peut manquer un délai ou refuser de fournir des documents supplémentaires.

Ces raisons répartissent la responsabilité différemment. Si le vendeur a déclaré que le bloc était éligible et qu'il ne l'était pas, l'acheteur peut avoir une demande pour les frais de diligence. Si l'acheteur a échoué à une condition d'éligibilité divulguée à l'avance, le vendeur ne devrait pas supporter la totalité de la perte. Si un registre modifie son interprétation après une pré-approbation, les deux parties sont confrontées à un risque institutionnel. Si deux RIR ne sont pas d'accord, aucune des parties commerciales n'est peut-être en faute.

Une clause de remboursement générique ne peut pas répondre à ces distinctions. Le contrat d'achat a besoin d'une taxonomie des rejets liée aux conséquences. Il devrait identifier les déclarations qui survivent, qui paie les frais de registre et d'escrow, si l'exclusivité prend fin immédiatement, si le vendeur peut remettre le bloc sur le marché, quelles preuves chaque partie reçoit et si une demande révisée est autorisée. Lorsque le registre ne donne qu'une raison vague, l'accord ne doit pas automatiquement considérer l'une ou l'autre partie comme en défaut.

La pré-approbation réduit une catégorie de risque mais ne peut pas guérir l'ensemble du processus. ARIN et APNIC publient tous deux des mécanismes de pré-approbation des destinataires. ARIN indique que sa pré-approbation peut rester valide pendant deux ans, tandis qu'APNIC décrit une période de validité de 24 mois. Ces vérifications peuvent empêcher un acheteur de financer une transaction manifestement en dehors de sa taille approuvée. Elles ne prouvent pas l'autorité du vendeur, l'éligibilité du bloc, l'absence de litiges, l'acceptation inter-RIR ou le basculement final.

Elles peuvent également être supplantées par des faits survenant après l'approbation.

Le retour sûr de l'argent est toujours un succès de l'escrow. L'acquisition échouée est toujours un échec de la transaction. Les membres qui évaluent les performances du registre doivent voir ces résultats séparément. Sinon, l'existence de remboursements peut être utilisée pour écarter le coût économique des refus qui auraient dû être prévisibles ou expliqués plus tôt.

Le retard transforme les fonds protégés en capital immobilisé

L'escrow est souvent présenté comme si l'attente était neutre parce que l'argent est en sécurité. Ce n'est pas neutre. Les fonds détenus ne peuvent pas financer simultanément une autre acquisition, une expansion du réseau ou un besoin de liquidité ordinaire. Le vendeur ne peut pas réaffecter le produit. Les deux parties restent exposées aux changements de la demande, des conditions de financement, des devises, de l'autorité de l'entreprise et des plans d'affaires.

La cause de l'attente est importante. Un certain temps est légitime: l'identité doit être authentifiée, l'autorité vérifiée, les obligations de sanctions remplies et les demandes contradictoires examinées. Un certain temps appartient aux parties car les documents sont en retard ou inexacts. Un certain temps appartient à un transfert inter-RIR. Un certain temps n'a pas de propriétaire visible car un ticket est simplement en attente.

L'escrow ne peut pas forcer une réponse. Une date butoir peut mettre fin à l'accord commercial, mais elle ne peut pas forcer le registre à décider avant cette date. L'annulation peut elle-même être difficile si un registre a commencé à modifier l'état ou si les parties ne sont pas d'accord pour savoir si la condition de livraison a été remplie. Un acheteur peut craindre de s'éloigner d'un cas qui est à un jour de l'achèvement. Un vendeur peut refuser une prolongation alors que les fonds de l'acheteur restent immobilisés.

Le contrat devrait donc définir plus d'une échéance. Il a besoin d'une échéance d'admission à laquelle tous les documents des parties doivent être soumis; une confirmation de préparation avant que les fonds ne soient pleinement engagés; une autorisation de basculement après que les deux côtés du registre soient prêts; et une date butoir après laquelle aucun changement d'état ne peut être initié sans une instruction conjointe renouvelée. Si un registre ne peut pas accepter l'arrêt final, la condition d'escrow doit reconnaître cette incertitude plutôt que de traiter le silence comme un progrès.

Un avis de pause utile devrait identifier le contrôleur sans exposer de documents confidentiels: action de l'acheteur, action du vendeur, examen du registre source, examen du registre destinataire, rapprochement conjoint, blocage juridique ou ordre externe. L'avis devrait indiquer si le cas reste éligible à l'annulation et quel état est faisant autorité pendant la pause.

Ce n'est pas une exigence que chaque transfert soit instantané. C'est une exigence que l'argent protégé ne devienne pas une excuse pour un retard sans propriétaire. La sécurité du principal et la disponibilité du capital sont des propriétés différentes. Une institution qui peut maintenir une transaction de valeur en suspens devrait pouvoir indiquer ce qui est en attente, qui peut le résoudre et ce qui se produit lorsque la fenêtre commerciale des parties se ferme.

Deux registres créent un risque de clôture split-brain

Les transferts inter-RIR exposent la non-atomicité sous sa forme la plus claire. Le registre source connaît le détenteur actuel et doit retirer ou modifier cet état. Le registre destinataire doit créer le nouvel état reconnu. Tous deux appliquent leurs propres politiques et procédures. La documentation inter-RIR du RIPE NCC indique expressément que les deux registres doivent approuver et que les demandes sont traitées en coordination avec le RIR concerné.

L'expression « en coordination » porte un lourd fardeau. Elle doit éviter une détention simultanée conflictuelle, un intervalle sans détenteur reconnu, des limites de préfixes incompatibles, des dates d'effet incompatibles et un désaccord sur le respect des conditions. Elle doit également aligner les services connexes suffisamment bien pour que l'acheteur puisse fonctionner après la clôture.

Aucun agent d'escrow ne peut voir tout cela simplement en interrogeant un registre public. Si la source ne nomme plus le vendeur mais que la destination n'a pas fini de créer l'acheteur, la livraison a-t-elle eu lieu? Si la destination nomme l'acheteur alors qu'un certificé ou un objet de routage côté source reste actif, le transfert est-il complet? Si un registre envoie une approbation et que l'autre signale plus tard qu'une condition n'a pas été remplie, quel message contrôle la libération?

Le pire résultat est un état split-brain: chaque institution, partie ou interface publique donne une réponse différente sur qui est reconnu et si le cas est complet. La jambe d'argent n'a alors aucun déclencheur binaire sûr. La libération peut exposer l'acheteur; le remboursement peut exposer le vendeur; l'attente peut piéger les deux alors que l'autorité opérationnelle est déjà en mouvement.

La réponse est un protocole de basculement coordonné, pas une promesse de communiquer. Avant le basculement, les deux registres doivent signer une déclaration de préparation faisant référence au même cas, à l'ensemble des ressources et au destinataire prévu. La source doit identifier le dernier état valide avant le transfert. Le destinataire doit confirmer que toutes ses conditions sont remplies. Un coordinateur de basculement doit émettre une fenêtre programmée. Chaque registre doit attester de son action achevée. Un rapprochement final doit déclarer que les deux vues résultantes sont en accord.

Si l'une ou l'autre attestation d'achèvement est absente ou incohérente, le cas entre dans un état d'exception et l'escrow reste fermé. Les registres restaurent alors l'état avant transfert convenu ou terminent le basculement conformément à une règle de décision publiée. Les parties commerciales ne devraient pas avoir à négocier après coup l'action partielle de quel registre compte comme livraison.

Cela ressemble à une validation en deux phases en logique, mais il n'est pas nécessaire d'utiliser cette technologie littérale. Les caractéristiques importantes sont préparer, valider, annuler et rapprocher. L'examen humain peut rester là où la loi ou les preuves l'exigent. Ce qui doit disparaître, c'est un milieu indéfini dans lequel une institution a agi, une autre non, et le principal des parties dépend de captures d'écran et de jugements.

Un enregistrement de registre a une autorité dépendante autour de lui

La ligne de détention est centrale, mais un transfert atteint d'autres contrôles liés au registre. Les certificats RPKI et les autorisations d'origine de route peuvent affecter la manière dont les réseaux valident les origines de route. Le DNS inverse peut affecter les services et la réputation. Les objets du registre de routage Internet peuvent influencer les filtres. Les données RDAP et Whois orientent les demandes de lutte contre les abus, de sécurité et commerciales. L'accès au compte détermine qui peut maintenir ces fonctions.

Ces contrôles ne prouvent pas tous la propriété ou ne commandent pas le routage. Ils façonnent cependant la capacité de l'acheteur à utiliser la position d'enregistrement qu'il a payée. Une transaction peut donc être complète dans l'enregistrement de détention étroit et défectueuse dans l'autorité environnante.

Supposons que l'acheteur apparaisse comme le titulaire du droit d'enregistrement mais ne puisse pas créer l'autorisation RPKI requise parce que les droits du compte ne se sont pas propagés. Si d'anciennes autorisations subsistent, le vendeur peut conserver plus d'autorité apparente que prévu. Si les anciennes autorisations sont révoquées avant que les remplacements ne soient disponibles, les routes peuvent devenir invalides sur les réseaux appliquant la validation de l'origine. Des lacunes similaires peuvent se produire avec le DNS inverse ou les objets de routage maintenus par le registre.

La condition de clôture ne devrait pas exiger que chaque réseau indépendant accepte la route de l'acheteur. Les RIR ne peuvent pas le garantir, et le BGP reste régi par la politique des opérateurs. Elle devrait exiger que les services contrôlés par le registre atteignent un état de remise déclaré. Le certificat de finalité peut répertorier chaque service comme transféré, révoqué, nouvellement disponible, non applicable ou affecté à une action post-clôture datée.

Les parties devraient capturer un instantané de basculement. Il inclut la réponse d'enregistrement faisant autorité, les droits du compte, l'état du certificé pertinent, l'état du DNS inverse délégué et tout enregistrement de routage exploité par le registre dans le périmètre. Des hachages ou des reçus signés peuvent montrer ce qui a été observé sans publier de données confidentielles sur le compte. L'instantané devient la preuve par rapport à laquelle une incohérence ultérieure est évaluée.

Cela protège également le registre. Sans instantané précis, tout problème de routage ou de réputation post-clôture peut être attribué au « transfert ». Avec un tel instantané, les parties peuvent distinguer une défaillance de contrôle du registre d'un filtre en amont, d'un décalage de géolocalisation, d'une liste blanche privée obsolète ou d'une configuration de l'acheteur. La responsabilité devient plus étroite et plus crédible.

L'escrow ne devrait pas détenir la totalité du prix d'achat jusqu'à ce que chaque effet opérationnel mondial se soit stabilisé. Cela rendrait la libération indéfinie. Une meilleure conception sépare la condition de finalité du registre principal des retenues techniques limitées. La plupart des fonds peuvent être libérés lorsque l'état de détention cohérent est final. Une retenue convenue plus petite peut couvrir les éléments de suivi spécifiés contrôlés par le registre pendant une courte période. L'acceptation du routage indépendant reste en dehors de la garantie d'escrow, sauf si le vendeur a expressément promis une assistance.

L'annulation est facile à dire et difficile à exécuter

Les documents de transaction utilisent souvent « annuler » comme s'il s'agissait d'un bouton d'inversion. Si le transfert échoue, les adresses reviennent et l'acheteur reçoit l'argent. L'idée ne fonctionne que si aucune des deux jambes n'est devenue définitive et si des tiers ne se sont pas fiés au nouvel état.

Après la libération du paiement, le retour de l'argent nécessite que le vendeur l'ait et se conforme. Après l'achèvement du registre, le retour du bloc peut nécessiter une nouvelle action du registre, de nouveaux documents, un autre examen politique ou une exception à une période de détention. Si l'acheteur a annoncé les préfixes, attribué des adresses à des clients, émis des certificats, modifié le DNS inverse ou conclu des contrats en aval, le retour opérationnel devient une migration. Si le vendeur d'origine n'est plus qualifié ou a été dissous, la restauration peut être impossible.

Une correction ordonnée par un tribunal est encore plus complexe. Le registre peut être tenu de modifier son enregistrement parce que le contrat de transfert original était invalide, que l'autorité a été falsifiée ou qu'un droit antérieur prévaut. Le règlement commercial ne peut pas être reconstruit simplement en modifiant le champ du détenteur. L'acheteur peut avoir payé de bonne foi. Le vendeur peut être insolvable. Les clients peuvent être actifs sur l'espace. L'escrow a été fermé depuis longtemps.

C'est pourquoi la politique d'annulation doit être conçue avant la clôture et pourquoi la « finalité du registre » doit spécifier la limite de correction. Il devrait y avoir des conditions distinctes pour l'abandon avant validation, l'annulation après registre/avant paiement, l'annulation contractuelle après paiement et la correction obligatoire de l'enregistrement. Chaque état a des recours différents.

Avant la validation, restaurez l'instantané signé avant transfert et remboursez les fonds. Après que le registre a validé mais avant la libération du paiement, un abandon devrait exiger que les deux registres confirment la restauration avant qu'un remboursement ne traite la livraison comme non effectuée. Après la finalité du paiement, le recours normal ne devrait pas être une inversion informelle par le personnel. Il devrait nécessiter le motif contractuel ou juridique spécifié pour la correction, un avis aux parties concernées, la préservation des preuves, une possibilité d'examen urgent et un plan de continuité.

Lorsque le retour exact est impossible, l'accord a besoin d'une exécution de substitution: espace d'adresses propre équivalent, dommages-intérêts pécuniaires, assurance, réserve ou toute autre mesure négociée. Prétendre que chaque bloc d'adresses est fongible serait faux car la taille, la région du registre, l'historique, la réputation et la préparation opérationnelle diffèrent. La règle de substitution doit définir l'équivalence plutôt que de la supposer.

La responsabilité du registre n'est pas de garantir la solvabilité du vendeur. C'est d'éviter de créer une ambiguïté inutile sur le point de savoir si sa propre action était provisoire, définitive ou corrigée. Une institution qui modifie l'enregistrement faisant autorité devrait émettre un enregistrement de correction tout aussi faisant autorité indiquant le motif juridique ou probatoire, l'heure effective et l'état reconnu actuel. L'inversion silencieuse est incompatible avec un marché qui s'est réglé sur la base du résultat antérieur.

L'accord a besoin d'une machine d'état, pas du mot complet

La réforme pratique de la rédaction est de remplacer le langage narratif de clôture par un petit ensemble d'états mutuellement exclusifs. Chaque entité devrait savoir dans quel état se trouve le transfert et quelles actions y sont autorisées.

Convenusignifie que les parties ont signé mais que l'escrow n'est pas entièrement financé et aucun basculement de registre ne peut se produire.Financésignifie que des fonds valides sont détenus, mais aucun registre n'a déclaré que le cas est prêt.En cours d'examensignifie que la demande est évaluée et que l'état du registre avant transfert reste faisant autorité.Prêt pour le basculementsignifie que toutes les conditions des parties et toutes les approbations des RIR requises avant le changement d'état ont été satisfaites.En validationsignifie que la fenêtre de mise à jour coordonnée a commencé et que l'annulation nécessite la règle d'exception.Registre finalsignifie que l'état cohérent et les attestations requises existent.Paiement finalsignifie que l'escrow a irrévocablement libéré l'obligation de paiement.Exceptionsignifie qu'une incompatibilité, un défi ou une défaillance technique empêche la progression normale.Corrigésignifie qu'un changement exceptionnel après achèvement a été effectué avec un motif préservé et un état de remplacement.

Aucun état ne doit être déduit du temps écoulé. Aucune page publique ne doit faire progresser silencieusement l'accord commercial. Chaque transition a besoin d'un acteur, d'une preuve, d'une heure effective et d'états suivants autorisés. Si un événement requis ne se produit pas, le cas devrait passer en exception plutôt que de rester ambiguëment « en traitement ».

L'instruction de libération devrait dépendre de registre final, et non d'approuvé, de validation ou d'un seul enregistrement visible. L'état registre final devrait exiger la référence commune, l'ensemble exact de ressources, le détenteur final, les attestations source et destination le cas échéant, et l'état déclaré de l'autorité contrôlée par le registre. L'acceptation de l'acheteur peut être une condition supplémentaire, mais elle ne devrait pas forcer un acheteur à certifier des faits que seul le registre peut connaître.

La machine d'état améliore également le règlement des litiges. Si des fonds sont libérés depuis « en cours d'examen », la condition d'escrow était erronée ou mal appliquée. Si les attestations source et destination sont en conflit pendant « validation », les registres possèdent le rapprochement. Si une ordonnance judiciaire arrive après les deux états finaux, les clauses de correction et de recours commercial s'appliquent. Les entités ne se disputent plus sur le sens émotionnel de l'achèvement; ils identifient la transition échouée.

Cette discipline devrait être portable entre les courtiers et les RIR. Les conditions commerciales peuvent varier. Les prix, les garanties, le droit applicable et le financement peuvent rester privés. Le vocabulaire d'état minimal peut rester commun car il décrit l'interface entre le paiement et la détention du registre, et non le bien-fondé de la transaction.

La finalité nécessite des preuves qui survivent à l'écran de clôture

Un courriel et une capture d'écran sont de faibles fondements pour un règlement de grande valeur. Ils peuvent être authentiques et rester incomplets. Une capture d'écran peut montrer une page mise en cache. Un courriel peut dire approuvé alors que des conditions restent. Un enregistrement public peut changer sans identifier la demande qui l'a provoqué.

Le reçu de finalité du registre doit être vérifiable par machine et lisible par l'homme. Il doit contenir le nom du RIR, la référence de cas commune, le type de transfert, les préfixes exacts, la source et le destinataire reconnus, l'horodatage effectif, la version de la politique appliquée, le statut d'achèvement, les références d'attestation de la contrepartie et une déclaration selon laquelle les conditions d'achèvement ordinaires sont remplies. Il doit indiquer les motifs de correction exceptionnelle définis et le contact pour l'examen.

Une signature numérique devrait permettre aux parties et à l'agent d'escrow de vérifier la provenance ultérieurement.

L'agent d'escrow n'a pas besoin de diligence confidentielle. Il a besoin d'un reçu oui ou non dont la sémantique est publique. L'acheteur et le vendeur peuvent recevoir un enregistrement privé plus complet des soumissions et des décisions. Le journal des transferts public peut ensuite fournir un enregistrement de transparence distinct. Ces couches de preuve devraient s'accorder sur la ressource et la date sans divulguer le prix du contrat ou les documents protégés.

Le système d'escrow devrait émettre son propre reçu de finalité: montant libéré, devise, bénéficiaire, heure de l'instruction, confirmation de règlement effective le cas échéant et le reçu du registre sur lequel la libération s'est appuyée. La liaison des deux reçus crée une chaîne d'audit. Elle ne fusionne pas les systèmes, mais rend la frontière visible.

Une période de confirmation limitée devrait suivre la validation du registre avant la finalité du paiement. Pendant cette période, les deux RIR et les deux parties vérifient que l'état attesté est visible et cohérent. La période devrait être suffisamment longue pour détecter les écarts de publication et de droits, mais suffisamment courte pour ne pas donner à l'acheteur une option gratuite après la livraison. Son but est la vérification, pas la reconsidération de la transaction.

Si la vérification échoue, le cas entre automatiquement en exception. Les fonds restent détenus. Les registres identifient si l'attestation ou la mise en œuvre est erronée. L'acheteur ne peut pas rejeter pour une raison commerciale sans rapport, et le vendeur ne peut pas exiger la libération contre un état partiel. Une portée claire protège les deux.

La conservation des preuves est importante car des litiges peuvent survenir des années plus tard. Les parties devraient conserver les reçus signés, pas les identifiants privés. Les registres devraient préserver les instantanés avant et après transfert, les preuves d'autorité et la raison de la décision sous accès contrôlé. L'escrow devrait préserver les instructions et l'enregistrement final du décaissement. Une correction ultérieure peut alors reconstruire ce que chaque institution savait et promettait à l'époque.

Le risque devrait incomber à l'acteur qui le contrôle

Le marché actuel charge souvent le risque du registre dans de larges garanties de l'acheteur et du vendeur parce que le registre décline la transaction commerciale. C'est compréhensible mais incomplet. Les parties devraient supporter les risques qu'elles peuvent enquêter ou contrôler. Elles ne devraient pas être obligées d'assurer une discrétion institutionnelle inexpliquée par défaut.

Le vendeur contrôle la divulgation véridique de son identité, de son autorité, de ses litiges, de ses engagements antérieurs et de l'historique du bloc. L'acheteur contrôle les informations véridiques sur le destinataire, les preuves d'éligibilité, la préparation du compte et le paiement. Le courtier contrôle ses déclarations, ses instructions et ses conflits. L'agent d'escrow contrôle la custody et l'application des conditions de libération. Le RIR contrôle la cohérence de sa procédure déclarée, l'intégrité de sa décision, l'exactitude de sa transition d'enregistrement et la clarté de son signal d'achèvement.

La responsabilité ne signifie pas des dommages illimités. Cela signifie que l'institution ne peut pas définir la condition décisive, effectuer l'acte décisif, puis décrire chaque conséquence comme une affaire privée. Si un registre émet un reçu de finalité par erreur, perd la synchronisation avec un autre RIR ou modifie l'enregistrement sans l'examen promis, il devrait fournir une correction, des raisons et un recours proportionné à la défaillance du service.

Cela suit le principe de responsabilité plus large dans les notes de Heng: le pouvoir sur les actifs opérationnels de grande valeur ne peut pas rester détaché de la responsabilité d'exercer ce pouvoir. Plus le rôle du registre est étroit, plus cette symétrie est facile à fournir. Un registre n'a pas besoin de garantir le prix, la rentabilité, la demande des clients ou le routage mondial. Il peut garantir qu'il a authentifié la demande conformément à ses règles, conservé un enregistrement cohérent unique, émis un reçu d'achèvement précis et utilisé une procédure définie pour toute correction.

L'assurance et les réserves peuvent couvrir les risques résiduels. La couverture professionnelle d'un courtier peut répondre aux erreurs d'instructions. Les licences et les cautions d'escrow protègent la custody. Une police de garantie de transfert pourrait couvrir des défauts spécifiés dans l'autorité source. Le registre pourrait maintenir une couverture pour les défaillances de service en cas d'actions d'enregistrement erronées. Aucune ne devrait être commercialisée comme une protection totale; chacune correspond à un domaine de défaillance contrôlé.

Les parties devraient également éviter les clauses contractuelles qui transforment chaque retard du registre en défaut du vendeur ou chaque rejet du registre en défaut de l'acheteur. Une catégorie neutre de défaillance institutionnelle est nécessaire. Elle déclenche un remboursement et une répartition des coûts sans fabriquer de blâme. L'utilisation répétée et inexpliquée de cette catégorie devient alors une preuve pour la surveillance des membres plutôt qu'une perte privée cachée dans les règlements.

Les membres doivent savoir si l'interface de clôture fonctionne

La responsabilité du registre ne peut pas être évaluée uniquement à partir de listes de transferts effectués. Pour l'interface d'escrow, les membres ont besoin de preuves agrégées sur les endroits où les cas s'arrêtent entre la préparation, la validation du registre et le règlement commercial.

L'unité de déclaration devrait être un cas de transfert commercial lié à un cas de registre ou à un ensemble rapproché de cas bilatéraux. Elle devrait compter combien de cas financés ont atteint prêt pour le basculement, combien sont entrés en validation, combien ont produit des reçus de finalité correspondants, combien sont entrés en exception, combien ont été restaurés avant le paiement et combien ont nécessité une correction après achèvement.

Les raisons devraient distinguer les preuves des parties, l'inéligibilité politique, le désaccord de la contrepartie, l'incompatibilité de mise en œuvre technique, l'ordre juridique externe et l'erreur du registre.

Le rapport devrait également divulguer si les fonds ont été détenus lorsqu'une exception s'est produite et si le cas a été résolu par achèvement, remboursement, exécution de substitution ou litige. Les montants n'ont pas besoin d'être publics. La question de responsabilité est de savoir si l'interface a protégé les deux jambes et si un défaut institutionnel a créé une perte non compensée.

Chaque paire inter-RIR devrait rapprocher ses comptes. Un registre source déclarant un transfert effectué alors que le registre de destination déclare un cas abandonné n'est pas une divergence statistique mineure. Cela signale un désaccord sur l'événement sur lequel le règlement commercial peut s'être appuyé. La paire devrait publier une note de correction après l'avoir résolu.

Les modifications après achèvement nécessitent une visibilité particulière. Publiez le nombre de corrections, le motif général, si le détenteur a changé, si un appel ou une ordonnance judiciaire a été impliqué et si des mesures de continuité opérationnelle ont été utilisées. Les petites cellules peuvent être retardées ou combinées pour protéger les parties. L'existence d'une correction ne devrait pas disparaître.

Cette déclaration n'a pas pour but de faire honte aux institutions pour chaque cas rejeté ou corrigé. Certains rejets protègent l'enregistrement. Certaines corrections appliquent la loi valide. L'objectif est de prouver que l'institution connaît la différence entre un refus ordinaire, un basculement échoué, une correction administrative et un renversement contesté. Un registre incapable de classer ses propres résultats n'est pas prêt à fournir un signal de finalité à un marché sous escrow.

NRS peut plaider pour une frontière commune sans posséder la transaction

La Number Resource Society a un rôle pratique ici en tant qu'organisation de représentation des membres et de plaidoyer, et non en tant que couche d'approbation, d'assurance ou d'exploitation supplémentaire.

Elle peut rechercher et publier un vocabulaire ouvert de finalité de transfert: définitions d'état proposées, champs de reçu, attestations de préparation et d'achèvement bilatérales, raisons d'exception, avis de correction et règles de rapprochement. Elle peut représenter les membres autorisés par PoA pour plaider en faveur de ces protections. Les registres, les sociétés d'escrow et les courtiers peuvent envisager et adopter le modèle indépendamment; seuls les registres responsables peuvent définir et attester leurs états faisant autorité. Aucune permission de NRS ne devrait être requise pour un transfert valide.

Elle peut publier des scénarios de conformité proposés et militer pour des tests par des registres responsables et des auditeurs qualifiés indépendants. Ces opérateurs et réviseurs autorisés, et non NRS, peuvent tester si « registre final » est retenu jusqu'à ce que la preuve de la contrepartie existe, si les états de détenteur en double sont rejetés, si un basculement interrompu revient à un état connu et si les reçus signés restent vérifiables. Les scénarios examinent la fiabilité du service d'enregistrement, et non le bien-fondé commercial des acheteurs et des vendeurs.

Elle peut plaider pour une portabilité contrôlée par les parties. Le registre responsable ou un autre opérateur de système de cas autorisé devrait permettre à l'acheteur et au vendeur d'exporter leur historique d'état, leurs soumissions, leurs avis de RIR et leurs reçus de finalité dans un paquet commun. En cas de litige d'escrow, chaque partie peut fournir le même historique d'événements signé. La portabilité réduit également la dépendance à une interface de tickets qui peut changer après la clôture; NRS n'a pas besoin de recevoir ou de détenir le paquet.

Elle peut publier des recherches comparatives basées sur des sources en utilisant les publications des registres publics, les déclarations institutionnelles citées et les comptes volontaires clairement étiquetés. La comparaison devrait préserver le contexte, les limites de couverture et les données manquantes plutôt que de produire un classement théâtral ou de prétendre rapprocher un grand livre faisant autorité. Un RIR qui signale une erreur et la corrige peut être plus digne de confiance qu'un RIR qui ne signale aucune exception parce qu'il ne les mesure pas.

NRS ne devrait pas détenir l'argent des clients ou les preuves de transfert, choisir les courtiers, fixer les prix de transfert, certifier le titre juridique, attester l'état du registre, rapprocher les enregistrements des RIR ou remplacer les tribunaux. Elle n'a aucun reçu opérationnel à imposer comme condition supplémentaire aux parties. Sa valeur réside dans le plaidoyer des membres, la recherche et l'explication publique qui pressent les institutions autorisées à rendre la frontière entre le règlement commercial et la tenue de registres du registre étroite, testable et remplaçable.

C'est la vision positive que NRS peut défendre: un teneur de registre adapté à un marché d'actifs. NRS ne bénit pas la transaction ni ne fournit l'enregistrement faisant autorité. Le RIR responsable fournit un enregistrement suffisamment précis pour que d'autres puissent régler leur transaction sans deviner ce que le teneur de registre voulait dire.

L'escrow est le plus fort lorsque le registre cesse d'emprunter sa réputation

L'expression « transfert sous escrow » peut créer un faux halo autour de l'ensemble de la transaction. L'argent est sûr, donc le transfert semble sûr. La conclusion ne suit pas.

L'escrow protège l'acheteur de payer avant la preuve convenue de livraison et protège le vendeur de livrer sans fonds engagés. Il peut gérer les litiges dans ses conditions. Il peut produire un enregistrement de paiement propre. Ce sont des protections majeures et devraient rester standard dans les transactions entre parties non familières.

Le RIR contrôle toujours un domaine de finalité distinct. Il peut approuver ou refuser. Il peut demander des documents. Il peut se coordonner bien ou mal avec un homologue. Il peut créer un enregistrement cohérent ou une incompatibilité temporaire. Il peut ensuite faire face à des preuves justifiant une correction. Aucun de ces pouvoirs n'est sécurisé simplement parce que l'argent attendait dans un compte agréé.

Un marché mature cesse d'utiliser un contrôle comme substitut d'un autre. Il exige des fonds protégés et une finalité fiable du registre. Il définit les moments séparément, les lie par des preuves signées et se prépare au cas exceptionnel où le lien échoue.

La réforme minimale est concrète. Les registres émettent un reçu de finalité après un changement d'état cohérent. Les paires inter-RIR utilisent les états préparer, valider, annuler et rapprocher. Les instructions d'escrow libèrent uniquement contre le reçu final plus une période de vérification limitée. L'autorité connexe contrôlée par le registre est déclarée. Les corrections utilisent des motifs préservés, un avis et un examen. Les accords distinguent le remboursement, la restauration, l'annulation et l'exécution de substitution.

Aucune de ces mesures ne demande à un registre de garantir la valeur commerciale ou le routage. Elles demandent au registre de garantir la qualité de l'action d'enregistrement que lui seul peut effectuer. Aucune ne demande à l'escrow de juger la politique. Elles demandent à l'escrow de se fier à des preuves dont le sens ne change pas après la sortie des fonds.

La leçon la plus difficile est aussi la plus simple. Un paiement protégé ne peut pas réparer un refus arbitraire. Il ne peut pas accélérer un retard sans propriétaire. Il ne peut pas synchroniser deux institutions. Il ne peut pas restaurer un bloc après une dépendance en aval. Il ne peut pas convertir un enregistrement provisoire en un enregistrement irrévocable.

L'escrow peut empêcher les parties honnêtes d'avoir à se faire confiance réciproquement pour le principal. Seul un processus de registre bien conçu peut les empêcher d'avoir à parier sur le teneur de registre.

Sources