摘要

  • 托管是一种有价值但狭窄的控制手段。它验证资金，根据约定指令持有资金，并在满足特定条件时释放或退还资金。它降低了对手方支付风险；但它并不能获得对 RIR 的资格决定、记录、制裁审查、RIR 间协调或后续更正的权力。
  • 因此，IPv4 交易完成至少包含两个不同的终局性事件。支付终局性是资金根据托管安排被无条件释放的时刻。注册终局性是相关注册机构完成了一致、权威的变更，并定义了哪些仍可更正、质疑或逆转的时刻。
  • 大多数托管设计通过观察将两个事件联系起来，而非使其原子化。提供商或一方看到完成通知或接收方记录，将该证据视为交割并释放资金。注册机构并不同时在提交资金的同一系统中提交记录，也不一定受托管代理人关于完成状态的解释的约束。
  • 危险的案例出现在这些间隙中：批准后记录更新不完整；一个 RIR 先于其对应方完成；资金根据一个瞬时公开状态释放；法院或欺诈裁定要求更正；技术权力仍归卖方所有；或拒绝发生在各方已产生融资、法律和运营成本之后。
  • 一份严肃的转移协议应定义注册终局性证书、切换快照、确切的停止条件、有界限的确认窗口、技术状态检查、退款和解约责任、更正处理、余量保留和针对无法返回的补救措施。“Whois 已改变”并不是一个完整的完成条件。
  • 资源号协会可以在不成为托管公司或转移把关人的情况下，支持一套可移植的证据和协调标准。目标是提供一项狭窄的注册服务，其完成状态是确定的、可签名的、可审查的，并具有足够的互操作性，足以让商业结算依赖它。

屋内最安全的钱仍可能为失败的转移买单

对 IPv4 交易完成的一种安慰性描述几乎像电影情节。买方的资金存放在一个中立账户中。卖方无法动用。卖方向注册机构请求转移地址块。注册机构批准。买方检查记录。托管代理释放资金。双方都不必信任一个同时控制地址和现金的陌生人。

这种顺序比在交割前向卖方发送不可逆的电汇更安全。但它并非托管一词通常暗示的那种广义安全。

考虑一笔每一方商业行为体都诚信行事的交易。买方按时注资。卖方提交准确文件。经纪人及时沟通。托管代理人完全按照指示行事。转移仍可能被拒绝，因为注册机构对持有期、组织链、接收方条件、区域规则或争议标志的解释与各方不同。在某个机构要求更多证据时，转移可能仍处于暂停状态。它可能被一个注册机构批准，而等待另一个。在公开记录中可能看上去已完成，而凭证或相关服务仍附属于前持有人。后来的法院命令或发现伪造授权可能导致记录必须被更正。

在上述任何情形中，托管都没有发生故障。它只是无法控制失效的组件。

这正是卢恒的观察重点：一份有序的协议、清洁的文件和托管本身并不能强制保障连续性。经纪人可以让一项交易看起来井井有条，而决定性的行政依赖关系仍处于交易之外。注册柜台仍决定它是否认可这一变更。在跨 RIR 的情况下，两个柜台必须同意并协调。托管公司可以依据条件持有资金，但它无法将那些独立的机构变成一个可靠的结算引擎。

市场通常如此描述这种安排，就好像托管凌驾于整个交易之上。而实际上，它只是伫立在注册机构旁边。这两个系统通过人员、电子邮件、工单、公开记录和合同指示交换证据。它们不共享一个单一的提交点。一个系统的故障并不会自动且瞬时地逆转另一个。

因此，正确的问题并非“是否使用了托管？”而是“托管到底使什么成为终局，注册机构到底使什么成为终局，以及如果那些时刻不重合会发生什么？”

托管解决支付风险，这值得保留

对过度标榜的批评不应演变成对托管控制本身的批评。一个适当构成的托管安排发挥了一项基本的市场功能。它在转移开始前改变双方的动机。

没有托管，被要求先付款的买方要面临卖方消失、未提交转移、对地址块缺乏权限或无法满足来源注册机构要求的风险。被要求先转移的卖方则面临买方获得认可的注册地位后拒绝付款、破产或虚构争议的风险。当双方位于不同国家且从未打过交道时，普通的诉讼难以替代对顺序的控制。

托管代理人通过保管资金并应用约定的释放条件来解决这种双边不信任。Escrow.com 公布的 IPv4 流程明确：双方商定价格，买方存入付款，卖方完成可验证的转移，买方确认收到并接受，提供商释放付款。其 IPv4 条款指明来源和接收方 RIR，允许用接收方 RIR 的 Whois 记录或买方确认来证明收到，并将释放与验收或检查期届满联系起来。IPv4.Global 描述了类似的流程，即资金被持有，注册变更在买方账户中得到确认，然后资金被释放。

这些安排可以保护优质资金，减少故意不履约，并创建中立的指示记录。它们还可以定义取消、争议和退款程序。这是巨大的价值。它允许各方发起注册请求，而无需任何一方先将自己的主要资产无担保地交付出去。

但托管代理人保护的资产是金钱。即使其条款将地址块称为财产并定义了什么构成交割，它也并不运营 RIR。它观察一个外部事实，并将一份私人协议应用于该观察。它并非决定来源是否已获授权、接收方是否符合资格、跨 RIR 路径是否兼容，或者因证据虚假记录是否应后续修订的机构。

当请求被拒绝时，这种区别最易看清。托管提供商可以根据协议退还买方资金。它无法让各方回到交易前的准确位置。法律费用已经发生。融资可能已被预留。买方可能已向客户承诺了容量。卖方可能已停止营销地址块。技术团队可能已更改路由对象、地理位置记录、允许名单或部署计划。一笔不可退还的注册费用可能已经支付。托管保全了本金；但它无法抹除依赖。

因此，正确的改革从将托管限制在其能力范围内开始。不要要求它来认证转移的政策价值。不要要求它来保证路由。不要将它的释放视为每个注册后果均属永久的结论性证据。让它精于保管和有条件的结算，然后要求一个足够好的注册完成信号以支持该结算。

支付终局性有一个可知的法律时刻

支付终局性不只是买方点击“接受”。它是根据托管条款和适用的支付法律相关金钱义务已被解除的时刻，释放不再仅仅是临时的。在此之前，资金可能已存入但卖方无法动用。释放指令可能已发送但尚未结算。银行转账可能仍受合规审查或操作失败的影响。在终局性之后，卖方应能依赖该付款，而无需预期买方会启动普通逆转。

金融市场的标准在这里很有用，因为它们对词汇的使用异常严格。支付与市场基础设施委员会将最终结算定义为根据适用规则不可撤销且无条件地转移或解除一项义务。其结算终局性原则要求一个系统界定结算何时成为最终，以及在此之后被接受的指令不能被参与者撤销的时刻。

IPv4 的出售并非证券交易，RIR 也并非金融市场基础设施。这种比较是功能性的。当两项有价值义务被交换时，精巧的结算设计拒绝让“完成”一词飘浮不定。它识别那个法律时刻、产生它的系统、参与者可用的证据以及对异常更正的处理。

同样的纪律应适用于托管的地址转移。协议应说明支付终局性发生在托管代理人发出支付指令时、卖方银行到账时、检查期届满时，还是在某些其他定义点。它应区分释放批准与实际收到。如果货币兑换、代理行或制裁筛查可能在释放后扣留支付，这一间隔不应被隐藏在一个时间戳之下。

这种清晰性重要，因为救济在终局性时发生变化。在释放前，有效的取消可能以有限损失退还资金。在释放后，寻求还款的买方可能仅有一项对卖方的合同索赔。如果卖方已分配了收入、进入破产或迁移了法域，区别是巨大的。一个定义模糊的注册触发条件因此能将一种可纠正的行政不确定性转变为一项无担保的追偿索赔。

支付终局性是当前设计的强项，因为托管公司和支付机构对其持有的资金有直接控制。注册环节缺乏一个普遍定义的同等时刻。这一不对称性，而非托管的内在缺陷，产生了交割风险。

注册终局性不仅仅是批准邮件

注册终局性回答一个不同的问题：买方、卖方和依赖机构何时可以将认可的注册状态视为完整、一致且不再受普通的单方面变更影响？

当前的 RIR 材料指出了该答案的部分内容，但没有一个全局定义。ARIN 的转移指南说，在批准、收到签署的协议和适用费用以及任何所需的 RIR 间协调之后，资源将被转移。APNIC 说来源发起，接收方确认，APNIC 评估请求，接收方为批准的转移支付费用，APNIC 更新 Whois 记录。RIPE 政策说原持有人直到完成都负责，且 RIPE NCC 通过更新注册记录来完成转移。对于 RIR 间转移，RIPE 公布的程序要求两个注册机构均批准，并根据两套规则进行协调。

这些声明使记录更新具有决定性。但它们并不意味着那一时刻每个可见工件都同样具有结论性。

批准通知可能以合同或费用为条件。变更后的公开注册记录可能落后于内部账户状态，或超前于它。资源证书可能需要吊销或颁发。反向 DNS 委托和互联网路由注册表对象可能需要单独行动。转移日志可能晚些发布。在双边案例中，来源可以移除旧状态而目的地正在创建新状态，或者各方因缓存和发布间隔不同而看到不同结果。

因此，注册终局性应包含四个要素。

第一，该决定在普通行政渠道内是终局性的：所有声明的条件均已满足，没有日常的员工行动尚存。第二，权威托管记录一致：在相关注册系统中恰好存在一个被认可的当前持有人。第三，注册机构控制的相关权力已到达声明的交接状态，或者任何剩余步骤被识别并分配。第四，该机构定义了结果后来可被更正的例外理由，如欺诈、文书错误、法院命令或成功的复核。

第四项要素令人不适但必要。“终局”不能诚实地意味着免于法律或更正的豁免。RIPE NCC 公布的仲裁摘要包括关于转移的争议以及法院认定或虚假信息后转移被逆转的案例。那些例子并不证明普通的已完成转移是不稳定的。它们证明，当一个更高级的法律或证据理由出现时，行政记录可在表面完成后被更改。

一份有用的终局性声明必须区分普通不可撤销性与例外更正。没有这一区别，买方可能相信一封完成邮件保证永久性，而注册机构却相信它仅应用了当时可获的信息。托管可能依据买方的理解释放资金，即使该机构保留更广泛的更正权力。

因此，注册终局性并非形而上的所有权。它是一个有边界的制度承诺：注册机构已完成所请求的状态转换，不存在未解决的普通条件，得出的记录内部一致，此后的任何更改必须基于定义的例外理由，并附有通知、证据和复核。

观察非原子结算

最深层的设计错误是将条件性与原子性混为一谈。

托管协议创建了条件性。它在效果上相当于说：“如果证据 X 出现，则释放资金。”如果 X 是显示买方的接收方 RIR 记录，托管代理人检查该记录或接受一份确认，然后采取行动。这一顺序比无条件的电汇更安全地将支付与注册联系起来。

但它并不原子，因为两个状态变更并非作为一个不可分割的操作发生。RIR 在一个法律和技术环境中更新其记录。托管代理人在另一个环境中释放资金。一条消息、公开查询或人工指令越过了边界。时间流逝。事实可能被误解或发生变化。

这一区别在价值交换系统中是熟悉的。CPMI-IOSCO 金融市场基础设施原则的原则 12 说，应通过使一项关联义务的最终结算以另一项的最终结算为条件来消除本金风险。券款对付机制的设计使得最终交割当且仅当最终付款发生时才发生。重要的词是两个“最终”。一个与最终现金配对的临时交割信号并不同等。

IPv4 托管通常提供的是“观察，然后支付”，而非真正的券款对付。观察可能极为出色。它可以用密码学方式记入日志，独立检查并得到合同接受。然而，托管系统无法在它提交资金时锁定注册状态。RIR 无法查看托管账本，并使自己的完成以不可撤销的支付为条件。两个系统都无法在最后时刻对方失败时自动中止己方。

这种非原子性制造了一个经典的不确定间隔。在时刻一，注册似乎已完成。在时刻二，观察者验证。在时刻三，托管释放。在时刻四，卖方收到。在此间隔期间或之后，错误报告、竞争性主张、法院命令、制裁事件、技术更正或对手不匹配可能出现。概率可能很低；暴露的是整个本金加上依赖成本。

将间隔称为短暂并不会消除它。将提供商称为可信也不会消除它。要求买方点击接受将判断转移给买方，但并未改善底层注册保证。正确的解决方案不是假装诸系统为一体，而是将它们之间的界面设计为一等风险边界。

这意味着注册机构必须发出适合外部依赖的完成声明，而托管指令必须准确指定哪份声明算数。该声明应具有各方知晓的唯一交易参考、标识前缀和转移类型、在适用时列出来源和接收方注册机构、记录生效时间、确认普通条件已关闭，以及识别任何仍待完成的技术服务。公开的 Whois 结果可以佐证它。它不能替代它。

拒绝留下的不只是退款

最干净的失败发生在任何注册变更之前。RIR 拒绝请求，托管条件未满足，买方收回资金。即使这也并非回零。

注册拒绝可能源于多种不同事实。来源可能与认可持有人不符。公司授权可能不完整。地址块可能受锁定、争议或近期转移限制的约束。接收方可能无法通过需求或资格测试。跨 RIR 路径可能不被接受。制裁审查可能阻止行动。一方可能错过截止日期或拒绝提供额外文件。

那些原因以不同方式分配责任。如果卖方声称地址块符合资格而事实并非如此，买方可能对尽职调查成本有索赔。如果买方未满足事先披露的资格条件，卖方不应承担全部损失。如果一个注册机构在预批准后改变解释，双方均面临制度风险。如果两个 RIR 意见不一，任一商业方可能均无过错。

一项泛泛的退款条款无法解答这些区别。购买协议需要一种与后果相挂钩的拒绝分类。它应确定哪些陈述继续有效，谁支付注册和托管费用，排他性是否立即终止，卖方是否可以重新营销地址块，各方收到何种证据，以及是否允许修订后的请求。当注册机构仅给出了模糊原因时，协议不应自动认定任何一方违约。

预批准减少了一类风险，但无法治愈整个过程。ARIN 和 APNIC 都公布了接收方预批准机制。ARIN 声明其预批准可在两年内保持有效，APNIC 则描述了 24 个月的有效期。这些检查可以防止买方为一项明显超出其批准规模的交易提供资金。它们不能证明卖方的授权、地址块资格、无争议、跨 RIR 的可接受性或最终切换。它们也可能被批准后产生的事实所取代。

资金安全返回仍是托管的成功。收购失败仍是交易的失败。评估注册机构绩效的成员需要分别看到那些结果。否则，退款的存在可被用来忽视那些本应可预见或及早解释的拒绝的经济成本。

延迟将受保护资金变成被固定资本

托管常被描述得好像等待是中性的，因为资金是安全的。它并非中性。被持有的资金无法同时用于另一项收购、网络扩张或普通的流动性需要。卖方无法重新调度收入。双方均持续暴露于需求、融资条件、货币、公司授权和商业计划的变化之中。

等待的原因重要。一些时间是正当的：身份必须被认证，授权被检查，制裁义务被履行，相互矛盾的主张被调查。一些时间属于各方，因为文件提交滞后或不准确。一些属于 RIR 间交接。还有一些没有可见主人，因为一张工单仅仅处于待处理状态。

托管无法强制得到答复。一个最终期限可以终止商业安排，但它无法让注册机构在该日期前做出决定。如果一家注册机构已开始改变状态，或者各方对交割条件是否满足存在分歧，取消本身就可能困难。买方可能不敢离开一个距完成只差一天的条件。卖方可能拒绝展期，而买方资金仍被占用。

因此，合同应定义不止一个截止日期。它需要一个接收截止日期，届时各方文件必须已提交；一个准备就绪确认，在资金完全投入前；一个切换授权，在双方注册侧均准备完毕后；以及一个最终期限，此后任何状态变更不得在未获重新联合指示下发起。如果注册机构不同意最终停止，托管条件必须承认那种不确定性，而不是将沉默视为进展。

一份有用的暂停通知应在不暴露保密文件的情况下指明控制者：买方行动、卖方行动、来源注册机构审查、接收方注册机构审查、联合协调、法律保留或外部命令。通知应说明条件是否仍可取消，以及在暂停期间哪个状态是权威的。

这并非要求每笔转移都瞬间完成，而是要求被保护的资金不成为无主延迟的借口。本金的安全与资本的可用性是不同的属性。一个能使一笔宝贵交易悬而不决的机构，应能陈述何事正在处理、谁能解决它，以及当双方的商业窗口关闭时会发生什么。

两家注册机构造成脑裂交割风险

跨 RIR 转移以最清晰的形式暴露了非原子性。来源注册机构知道当前持有人，且必须注销或变更该状态。接收方注册机构必须创建新的认可状态。两者均适用自己的政策和程序。RIPE NCC 的跨 RIR 文件明确说，两个注册机构均须批准，且请求在与相关 RIR 协调下处理。

“协调”一词承载了大量负担。它必须防止同时存在冲突的托管、一段无认可持有人的间隔、不匹配的前缀边界、不兼容的生效日期，以及在条件是否满足上的分歧。它还必须足够对齐相关服务，以使买方能在交割后运营。

没有托管代理人能仅仅通过查询一个公开记录就看到所有那些。如果来源不再显示卖方，但目的地尚未完成对买方的创建，交割是否已发生？如果目的地显示出买方，而来源侧的证书或路由对象仍处于活跃状态，转移是否已完成？如果一个注册机构发送批准，而另一个后来报告有一个条件未满足，哪条消息控制释放？

最坏的结果是脑裂状态：每个机构、每一方或公开接口对谁被认可以及案件是否完成给出了不同的答案。此时资金侧没有安全的二元触发器。释放可能令买方暴露风险；退款可能令卖方暴露风险；等待可能令双方均被套牢，而运营权力已在移动。

答案是一套协调的切换协议，而不是一个“将进行沟通”的承诺。在切换前，两个注册机构均应签署一份就绪声明，引用相同的案件、资源集和预期接收方。来源应识别最后有效的转前状态。接收方应确认其所有条件均满足。切换协调人应发出一个排定的窗口。每家注册机构应证明其完成行动。一份最终协调应声明两个结果视图一致。

如果任何完成证明缺失或不一致，案件进入异常状态，托管保持关闭。随后注册机构恢复约定的转前状态，或根据公布的决定规则完成切换。商业各方不应在事后被迫就哪家注册机构的部分行动算作交割进行谈判。

这在逻辑上类似两阶段提交，但不必使用那种字面技术。重要的特征是准备、提交、中止和协调。在法律或证据要求之处，人工复核可以保留。必须消失的是一种无定义的中间状态，在其中一家机构已行动，另一家尚未行动，而双方的本金取决于屏幕截图和判断。

注册记录周围有从属权力

托管行是核心，但转移涉及其他与注册机构相关的控制。RPKI 证书和路由起源授权可影响网络如何验证路由起源。反向 DNS 可影响服务和声誉。互联网路由注册表对象可影响过滤器。RDAP 和 Whois 数据引导滥用、安全和商业查询。账户访问决定谁能维护这些功能。

这些控制并不全都证明所有权或命令路由。然而，它们的确影响买方能否用到其花钱购买的注册位置。因此，一笔交易可以在狭窄的托管记录中完成，而周围的权力却有缺陷。

假设买方作为注册人出现，但因账户权益尚未传播而无法创建所需的 RPKI 授权。如果旧授权仍保留，卖方可能保有超出预期的表面权力。如果旧授权在替代授权可用前被撤销，路由可能在执行起源验证的网络上变为无效。类似间隙可能发生在反向 DNS 或注册机构维护的路由对象中。

交割条件不应要求每一个独立网络都接受买方的路由。RIR 无法保证这一点，且 BGP 仍由运营商策略决定。它应要求注册机构控制的服务达到声明的交接状态。终局性证书可列出每项服务为已转移、已撤销、新可用、不适用或分配给一个带有日期的交割后行动。

各方应捕获一份切换快照。它包括权威的注册响应、账户权益、相关证书状态、委派的反向 DNS 状态以及范围内的任何注册机构运营的路由记录。哈希或签名收条可显示观察到什么，而无需公开发布保密账户材料。该快照成为评估后来不一致的依据。

这也保护了注册机构。没有精确快照，每个交割后的路由或声誉问题都可能被归咎于“转移”。有了它，各方可以区分注册机构控制失败与上游过滤器、地理位置滞后、陈旧的私有允许名单或买方配置。问责变得更为狭窄和可信。

托管不应扣留全部购买价款直到每个全球运营影响均已沉降。那会使释放无限期。更好的设计是将核心注册终局性条件与有边界的技术留存区分开。大多数资金可在一致托管状态成为最终时释放。一笔较小的商定留存可覆盖指定的注册机构控制的后续事项，为期短暂。独立的路由接受仍处在托管保证之外，除非卖方明确承诺了协助。

回滚说起来容易做起来难

交易文件经常使用“解约”一词，仿佛它是一个倒回键。如果转移失败，地址返回，买方收回资金。这一想法只有在一方成为最终及第三方依赖新状态之前才奏效。

在支付释放后，退钱要求卖方拥有资金并予以配合。在注册完成后，退还地址块可能需要新的注册行动、新文件、另一项政策审查或对持有期的例外。如果买方已宣告了前缀、将地址分配给客户、颁发了证书、更改了反向 DNS 或签订了下游合同，运营上的回归就成了一次迁移。如果原卖方不再符合资格或已解散，恢复可能不可能。

法院指令的更正则更为复杂。注册机构可能被要求更改其记录，因为原转移协议无效、授权系伪造或一项在先权利优先。商业结算不能仅通过更改持有人字段来重建。买方可能是善意付款的。卖方可能已破产。客户可能已在该空间上运转。托管早已关闭。

这就是为何回滚政策必须在交割前设计，为何“注册终局性”必须指明更正边界。应区分转前中止、注册后/支付前取消、支付后合同解约和强制记录更正等不同期间。每种状态有不同的救济。

在提交前，恢复签署的转前快照并退还资金。在注册机构已提交但支付释放前，中止应要求两个注册机构均确认恢复，然后退款才可将交割视为未发生。在支付终局性后，常规救济不应是员工的非正式逆转。它应要求合同或法律规定的更正理由、对受影响方的通知、证据的保存、进行紧急复核的机会以及一份连续性计划。

在精确返回不可能时，协议需要替代履行：等量清洁地址空间、金钱损害赔偿、保险、一笔准备金或另一种协商的救济。假定每个地址块可互换将是错误的，因为规模、注册区域、历史、声誉和运营准备各不相同。替代规则必须定义等同而非假设它。

注册机构的职责不是保证卖方的偿付能力。它是避免在自己行动是临时的、终局的还是被更正的方面制造不必要的模糊。一个更改了权威记录的机构，应发布同样权威的更正记录，声明法律或证据理由、生效时间和当前认可状态。无声逆转与一个已依据先前结果结算的市场不相容。

协议需要状态机，而非“完成”一词

实用的起草改革是将叙述性的交割语言替换为一小组互斥状态。每个参与者均应知道转移处于哪个状态，以及其中允许哪些行动。

已约定指各方已签署但托管未完全注资，且不可进行注册切换。已注资指合格资金被持有，但没有注册机构表示案件已就绪。审查中指请求正在被评估，转前注册状态仍为权威。切换就绪指所有各方条件和状态变更前所需的所有 RIR 批准均已满足。提交中指协调的更新窗口已开始，取消需遵守例外规则。注册最终指一致状态和所需证明已存在。支付最终指托管已不可撤销地解除了支付义务。异常指不匹配、挑战或技术故障阻止了正常推进。已更正指一项例外的完成后变更已做出，并保留了理由和替代状态。

任何状态不应从已流逝的时间推断。任何公共页面不应默默推进商业协议。每次状态转换需要一个行为者、证据、生效时间和允许的下一状态。如果一个要求的事件未发生，案件应移入异常，而非模糊地处于“处理中”。

释放指令应取决于注册最终，而非已批准、提交中或一个可见记录。注册最终状态应要求公共引用、精确的资源集、最终持有人、来源和目的地证明（若适用），以及注册机构控制权力的声明状态。买方接受可以是一个附加条件，但不应迫使买方去认证只有注册机构才能知道的事实。

状态机也改进争议解决。如果资金从“审查中”释放，托管条件是错误或不当应用的。如果来源和目的地证明在“提交中”冲突，注册机构拥有协调责任。如果法院命令在两个最终状态之后到达，更正和商定救济条款适用。参与者不再争论完成的情感含义，而是识别失败的转换。

这一纪律应在经纪商和 RIR 中可移植。商业条款可变化。价格、保证、管辖法律和融资可保持私有。最小状态词汇可保持共通，因为它描述的是支付与注册托管之间的界面，而非交易的价值。

终局性需要能在交割屏幕之外存活的证据

一封邮件和一张截图是一个高价值结算的薄弱基础。它们可以是真实的，但仍可能不完整。截图可能显示一个缓存页面。邮件可能说“已批准”，而条件仍存在。公开记录可能发生变更，而未指明导致它的请求。

注册终局性收条应机器可验证且人可读。它应包含 RIR 名称、公共案件参考、转移类型、确切前缀、被认可的来源和接收方、生效时间戳、所应用的政策版本、完成状态、对应方证明引用，以及一项声明普通完成条件已关闭。它应说明定义的例外更正理由和复核联系方式。数字签名应允许各方和托管代理人后来验证来源。

托管代理人不需要保密尽职调查。它需要一份是/否收条，其语义是公开的。买方和卖方可以收到一份关于提交和决定的更完整的私人记录。公共转移日志可随后提供一份独立的透明度记录。这些证据层应在资源和日期上一致，而不披露合同价格或受保护文件。

托管系统应发放自己的终局性收条：释放金额、币种、受益人、指令时间、实际结算确认（若可获得），以及释放所依赖的注册收条。将两份收条链接起来创建一个审计链条。它不会合并系统，但使边界可见。

在注册提交之后、支付终局性之前，应有一个有边界的确认期。在此期间，两个 RIR 和双方验证证明状态可见且一致。该期间应足够长以捕捉发布和权益不匹配，但足够短以不给买方一个交割后的免费期权。其目的是验证，而非重新考虑交易。

如果验证失败，案件自动进入异常。资金仍被持有。注册机构识别是证明错误还是实施错误。买方不能因无关商业理由而拒绝，卖方也不能要求针对一个部分状态释放。明确的范围保护双方。

证据留存重要，因为争议可能在数年之后产生。各方应保留签名收条，而非私人凭证。注册机构应在受控访问下保存转前和转后快照、授权证据以及决定理由。托管应保存指示和最终支付记录。后来的更正随后可重建每个机构在彼时知道和承诺了什么。

风险应归于控制它的行为者

当前市场常常将注册风险加载到宽泛的买方和卖方保证中，因为注册机构否认商业交易。这可以理解但并不完整。各方应承担他们能够调查或控制的风险，而不应被迫通过默认方式来为未经解释的机构裁量提供保险。

卖方控制关于其身份、权限、争议、先前承诺和地址块历史的真实披露。买方控制真实的接收方信息、资格证据、账户就绪状态和支付。经纪人控制其陈述、指示和利益冲突。托管代理人控制保管和释放条款的应用。RIR 控制其公布程序的一致性、其决定的完整性、其记录转换的准确性以及其完成信号的清晰性。

责任不必意味着无限的损害赔偿。它意味着该机构不能定义决定性条件、执行决定性行为，然后将每个后果描述为私人事务。如果一个注册机构错误地发出终局性收条、与另一 RIR 失去同步，或在没有所承诺的复核下更改记录，它应提供更正、理由和与该项服务失败相称的补救。

这遵循了卢恒笔记中更广泛的责任原则：对高价值运营资产的权力不能与行使该权力的责任相分离。注册机构的角色越窄，这种对称就越容易提供。一个注册机构无需保证价格、盈利能力、客户需求或全球路由。它可以保证它根据规则认证了请求、维持了唯一一致的记录、发出了准确的完成收条，并对任何更正使用了定义的程序。

保险和准备金可覆盖残余风险。经纪人的专业责任险可应对指示错误。托管许可和保证金保护保管。转移保证保险可覆盖来源授权中的特定缺陷。注册机构可为错误的记录行动维持服务失败险。它们均不应被营销为总体保护；每一项都映射到一个受控的失败域。

各方也应避免将每个注册机构延迟变成卖方违约、或将每个注册拒绝变成买方违约的合同条款。需要一个中性的制度失败类别。它触发退款和成本分配，而不制造过错。该类别的反复无解释使用随后成为成员监督的证据，而非隐藏在和解中的私人损失。

成员需要知道交割界面是否有效

注册机构的问责不能仅从已完成转移的列表中评价。对于托管界面，成员需要关于案件在就绪、注册提交和商业结算之间停在哪里的汇总证据。

报告单位应为与一个注册案件或一组协调过的双边案件相连的一个商业转移案件。应统计有多少已注资案件达到切换就绪、多少进入了提交、多少生成了匹配的终局性收条、多少进入异常、多少在支付前恢复，以及多少需要完成后更正。原因应区分各方证据、政策不合格、对应方分歧、技术实施不匹配、外部法律命令和注册机构错误。

报告还应披露在异常发生时资金是否被持有，以及案件是通过完成、退款、替代履行还是诉讼解决的。金额无需公开。问责问题是界面是否保护了双方，以及制度缺陷是否造成了无补偿的损失。

每一对 RIR 间应协调其计数。一个来源注册机构报告一项已完成转移而目的地报告案件被放弃，并非小的统计差异。它标志着关于商业结算可能已依赖的事件的分歧。该对应方应在解决后发布更正说明。

完成后变更需要特别的可见性。公布更正的数量、粗略理由、持有人是否变更、是否涉及上诉或法院命令，以及是否使用了运营连续性措施。为保护各方，小的单元格可以延迟或合并。更正的存在不应消失。

这种报告并非旨在令机构因每一个被拒绝或被更正的案件而蒙羞。一些拒绝保护了记录。一些更正执行了有效法律。目标是证明该机构知道普通拒绝、失败切换、文书更正与有争议逆转之间的区别。一个无法对自己结果分类的注册机构，并未准备好向受托管市场提供一个终局性信号。

NRS 可在不拥有交易的情况下标准化边界

资源号协会在此具有实际角色，如果它能抵制成为又一层批准关卡的诱惑。

它可以发布一套开放的转移终局性词汇表：状态定义、必需收条字段、双边就绪和完成证明、异常理由、更正通知和协调规则。注册机构、托管公司和经纪人可以独立采用该标准。不需 NRS 的许可即可进行有效的转移。

它可以提供一致性测试。一个参与注册机构可以证明它不会在所需对应方证据存在前发布“注册最终”，重复的当前持有人状态被拒绝，中断的切换返回已知状态，签名的收条保持可验证。这些测试检验记录服务的可靠性，而非买方和卖方的商业值得性。

它可以支持各方控制的便携性。买方和卖方应能在一个共通数据包中导出其状态历史、提交、RIR 通知和终局性收条。如果发生托管争议，各方能提供相同的签名事件历史。便携性也减少了对一个可能在交割后变更的工单界面的依赖。

它可以基于各机构签名的回报发布汇总的异常和更正报告。比较应保留背景和缺失数据，而非产生一个戏剧化的排行榜。一个报告了一项错误并修复了它的 RIR 可能比一个因不测量而报告零异常的 RIR 更值得信任。

NRS 不应持有客户资金、选择经纪人、设定转移价格、认证法律所有权或替代法院。它不应让它的收条成为强加于各方的额外条件。其价值在于使商业结算与注册簿记之间现存的边界变得狭窄、可测试和可更换。

这是对一个适合资产市场的簿记员的积极愿景。它不宣称有权为交易开光。它提供一份足够准确的记录，使其他方能在不必猜测簿记员意图的情况下结算他们的交易。

当注册机构停止借用托管声誉时，托管最强大

“委托转移”一词能为整个交易创造出虚假的光环。资金安全，所以转移听起来安全。结论并不成立。

托管保护买方不至于在约定的交割证据出现前付款，也保护卖方不至于在没有承诺资金的情况下交割。它可在其条款内管理争议。它能产生一份清洁的支付记录。这些都是重大保护，并应继续作为陌生方之间交易的标准。

RIR 仍控制着一个独立的终局性域。它可以批准或拒绝。它可以要求文件。它可以与对应方合作得好或坏。它可以创建一致记录或临时不匹配。它后来可能面临令更正合理的证据。这些权力中没有任何一种仅仅因为资金在一个持牌账户中等待而得到担保。

一个成熟的市场停止将一种控制用作另一种的替代。它要求受保护的资金和可靠的注册终局性。它分别定义那些时刻，通过签名证据将它们链接，并为链接失败的例外情形做好准备。

最小改革是具体的。注册机构在一致的状态变更后发出终局性收条。RIR 间对使用准备、提交、中止和协调状态。托管指令仅凭最终收条加上有边界的验证期进行释放。相关的注册机构控制权力予以声明。更正使用保留的理由、通知和复核。协议区分退款、恢复、解约和替代履行。

这些都不要求注册机构保证商业价值或路由。它要求注册机构保证只有它能执行的记录行动的质量。这些都不要求托管来判断政策。它要求托管依赖其含义不会在资金离开后变动的证据。

最难的一课也是最简单的。一笔受保护的支付无法修复一个任意的拒绝。它无法加速一场无主的延迟。它无法同步两个机构。它无法在下游依赖后恢复一个地址块。它无法将一份临时记录转变为一笔不可撤销的记录。

托管能让诚信方之间不必就本金相互信任。只有设计良好的注册流程才能免于让他们在簿记员身上下注。

来源