摘要

  • 托管是一种有价值但范围狭窄的控制手段。它验证资金，按照约定指令持有，并在满足特定条件时释放或退还资金。它降低了对手方的支付风险；但并未获得对 RIR 资格决定、记录、制裁审查、RIR 间协调或后续修正的授权。
  • 因此，IPv4 交割至少包含两个截然不同的终局事件。支付终局是资金在托管安排下无条件释放的时刻。注册终局是负责的注册局完成一致、权威的变更，并定义哪些内容仍可修正、质疑或撤销的时刻。
  • 大多数托管设计通过观察而非原子化方式将这两个事件联系起来。服务商或交易方看到完成通知或接收方记录，将该证据视为交付并释放资金。注册局不会在同一个系统中同时提交记录变更和支付承诺，且注册局不一定受托管机构对完成解释的约束。
  • 危险情况发生在这些间隙之中：批准后记录更新不完整；一个 RIR 完成而对应方未完成；资金针对瞬时公共状态释放；法院或欺诈调查要求修正；技术授权仍留在卖方手中；或在交易方已产生融资、法律和运营成本后收到拒绝通知。
  • 一份严谨的转移协议应定义注册终局证书、切换快照、确切终止条件、有边界的确认窗口、技术状态检查、退款与撤销义务、修正处理、剩余留置以及无法恢复时的补救措施。“Whois 已变更”并非一个完整的交割条件。
  • Number Resource Society 可以倡导可移植的证据和对账规则，并发布供注册局、托管机构和会员讨论的模型。Number Resource Society 不能发布、对账或认证权威转移记录：职责相应的 RIR 必须生成确定性、已签名且可审核的完成状态，商业结算依赖于该状态。

最安全的资金仍可能为失败的转移提供资金

IPv4 交割的美好版本几乎像电影一样。买方的资金等待在第三方账户中。卖方无法触碰。卖方请求注册局转移地址块。注册局批准。买方检查记录。托管机构释放资金。没有人需要信任陌生人同时持有地址和现金。

该流程比在交付前向卖家进行不可逆的电汇更安全。但它并不像“托管”这个词通常隐含的广义含义那么安全。

假设每一方都诚实行事。买方按时注资。卖方提交准确文件。经纪人及时沟通。托管机构严格遵循指令。转移仍可能被拒绝，因为注册局对持有期、组织链、接收方条件、区域规则或争议标志的解释与交易方不同。转移可能在一个机构要求更多证据时暂停。转移可能被一个注册局批准，同时等待另一个注册局。转移可能在一个公共记录中显示完成，而证书或相关服务仍附着于前持有者。后续的法院命令或对授权伪造的认定可能要求修正记录。

在上述任何一种情况下，托管都没有出现故障。它只是无法控制出问题的部分。

这就是卢恒观察中重要的区别：有序的协议、整洁的文书工作和托管本身并不能强制连续性。经纪人可以让交易看起来井井有条，而决定性的行政依赖却仍在交易之外。注册局仍然决定是否承认这项变更。在 RIR 间转移的情况下，两个注册局必须同意并协调。托管公司可以按照条件持有资金，但它无法将这些独立的机构转变为一个可靠的结算引擎。

市场常将这种安排描述为托管凌驾于整个交易之上。实际上它与注册局并行。两个系统通过人员、电子邮件、工单、公共记录和合约指令交换证据。它们不共享单一的提交点。一个系统的失败不会自动立即逆转另一个系统。

这就是为什么正确的问题不是“是否使用了托管？”，而是“托管究竟让什么成为了终局，注册局究竟让什么成为了终局，如果这两个时刻不一致会怎样？”

托管解决支付风险，这值得保留

对过度声称的批评不应转变为对控制手段本身的批评。一个妥善设立的托管安排履行着基本的市场功能。它在转移开始前就改变双方的激励。

如果没有托管，被要求先付款的买方将面临卖方消失、未能提交转移、缺乏对地址块的授权或无法满足来源注册局要求的风险。被要求先转移的卖方将面临买方接收公认注册位置后拒绝付款、破产或捏造争议的风险。当双方位于不同国家且未曾打过交道时，普通诉讼是控制流程的拙劣替代品。

托管机构通过托管资金并应用约定的释放条件来解决这种双边不信任。Escrow.com 公布的 IPv4 流程很明确：双方同意价格，买方存入付款，卖方完成可验证转移，买方确认接收并接受，服务商释放付款。其 IPv4 条款确定了源和接收方 RIR，允许通过接收方 RIR 的 Whois 记录或买方确认来证明接收，并将释放与接收或检查期届满挂钩。IPv4.Global 描述了类似的流程：资金被持有，注册变更在买方账户中得到确认，然后资金被释放。

这些安排可以保护资金安全，减少故意不履行，并创建中立的指令记录。它们还可以定义取消、争议和退款程序。这具有重大价值。它允许双方在任一方未对其主要资产进行无担保交付的情况下启动注册局请求。

但托管机构保护的资产是资金。即使其条款将地址块称为财产并定义何谓交付，它并不运营 RIR。它观察外部事实，并将私人协议应用于该观察。它并非决定来源方是否被授权、接收方是否符合资格、RIR 间路线是否兼容或记录是否因证据虚假而应在日后修改的机构。

当请求被拒绝时，这种区别最为明显。托管机构可以根据协议退还买方的资金。但它无法将双方恢复到交易前的确切状态。法律费用已经产生。融资可能已被预留。买方可能已向客户承诺容量。卖方可能已停止营销该地址块。技术团队可能已更改路由对象、地理位置记录、允许列表或部署计划。不可退还的注册费可能已支付。托管保留了本金；它并未消除依赖。

因此，正确的改革始于让托管处于其能力范围之内。不要要求它认证转移的政策价值。不要要求它保证路由。不要将其释放视为每个注册后果都是永久性的结论性证据。让它擅长托管和有条件结算，然后要求一个足够好的注册完成信号来支持该结算。

支付终局具有可知的法律时刻

支付终局不仅仅是买方点击“接受”。它是指相关资金义务已根据托管条款和适用支付法被解除，且释放不再仅仅是临时性的时刻。在此之前，资金可能已存入但卖方无法使用。释放指令可能已发送但尚未结算。银行转账可能仍需接受合规审查或面临操作失败。终局之后，卖方应能够依赖支付，而无需担心买方发起的常规撤销。

金融市场的标准在此处很有用，因为它们对词汇异常严格。支付与市场基础设施委员会（CPMI）将最终结算定义为根据治理规则对义务的不可撤销且无条件的转移或解除。其结算终局原则要求系统定义结算变得终局的点，以及接受指令后参与者无法撤销的点。

但这并不意味着 IPv4 销售是证券交易，RIR 是金融基础设施。这种比较是功能性的。当交换两项有价值的义务时，精密的结算设计拒绝让“完成”一词含义模糊。它识别法律时刻、产生该时刻的系统、可供参与者使用的证据以及处理特殊修正的方式。

同样的原则应适用于托管下的地址转移。协议应说明支付终局发生在托管机构发出支付指令时、卖方银行收到款项时、检查期届满时还是其他定义的时间点。它应区分释放批准与实际收到。如果货币兑换、代理银行或制裁审查可能在释放后延迟支付，则该间隔不应隐藏在一个时间戳之下。

这种清晰度很重要，因为补救措施在终局后发生变化。在释放前，有效的取消可能以有限损失退还资金。在释放后，寻求还款的买方可能只有针对卖方的合同请求权。如果卖方已分配收益、进入破产或转移司法管辖区，则差异巨大。一个定义不清晰的注册触发条件因此可能将一个可纠正的行政歧义转变为无抵押的追偿请求。

支付终局是当前设计中的强项，因为托管公司和支付机构可以直接控制其持有的资金。而注册局方面缺乏一个普遍定义的等效时刻。这种不对称性（而非托管本身的固有缺陷）产生了交割风险。

注册终局不仅仅是一封批准邮件

注册终局回答的是另一个问题：买方、卖方以及依赖该状态的机构，何时可以将公认的注册状态视为完整、一致且不再受常规单方面变更的影响？

当前的 RIR 资料定义了该答案的部分内容，但缺乏一个全局定义。ARIN 的转移指南指出，在批准、收到已签署协议和适用费用以及任何所需的 RIR 间协调后，资源将被转移。APNIC 指出，来源方发起、接收方确认、APNIC 评估请求、接收方为已批准的转移付费、APNIC 更新 Whois 记录。RIPE 政策指出，原始持有者在完成前仍负有责任，RIPE NCC 通过更新注册记录来完成转移。对于 RIR 间转移，RIPE 的公布程序要求两个注册局均批准并在两套规则下进行协调。

这些声明使得记录更新具有决定性作用。但它们并不意味着该时刻的每个可见产物都同样具有结论性。

批准通知可能取决于合同或费用。已更改的公共注册记录可能落后于或领先于内部账户状态。资源证书可能需要撤销或颁发。反向 DNS 委托和互联网路由注册（IRR）对象可能需要单独操作。转移日志可能稍后发布。在双边情况下，来源方可以移除旧状态，而目的地方正在创建新状态，或者双方由于缓存和发布间隔不同看到不同的结果。

因此，注册终局应包括四个要素。首先，决定在常规行政渠道内是最终的：所有陈述条件已满足，且无常规员工操作待办。其次，权威保管记录是一致的：相关注册系统中恰好存在一个公认的当前持有者。第三，由注册局控制的相关授权已达到声明的手环状态，或任何剩余步骤已识别并分配。第四，机构定义了结果日后可能被修正的例外理由，例如欺诈、笔误、法院命令或成功的审查。

第四个要素令人不适但却必不可少。“最终”不能诚实地意味着不受法律或修正的影响。RIPE NCC 公布的仲裁摘要包括关于转移的争议，以及因法院裁决或虚假信息而被逆转的转移案例。这些例子并不证明常规完成的转移不稳定。它们证明，当出现更高级的法律或证据依据时，行政记录可以在表面上完成后被更改。

一个有用的终局声明必须区分常规不可撤销性与例外修正。没有这种区分，买方可能相信完成邮件保证了永久性，而注册局认为它仅仅是基于当时所掌握的信息行事。托管可能基于买方的理解释放资金，而机构保留更广泛的修正权。

因此，注册终局并非形而上学的所有权。它是一个有边界的机构承诺：注册局已完成请求的状态转变，无未解决的常规条件，由此产生的记录内部一致，其后任何变更必须使用定义的例外理由，并附有通知、证据和审查。

观察并非原子化结算

最根本的设计错误在于混淆条件性与原子性。

托管协议创造了条件性。它实际上说：“如果证据 X 出现，则释放资金。”如果 X 是指向买方的接收方 RIR 记录，托管机构检查该记录或接受确认，然后采取行动。该流程比无条件电汇更安全地将支付与注册联系起来。

它不具有原子性，因为两个状态变更并非作为不可分割的操作发生。RIR 在一个法律和技术环境中更新其记录。托管机构在另一个环境中释放资金。消息、公共查询或人工指令跨越边界。时间流逝。事实可能被误解或改变。

这种区别在价值交换系统中很常见。CPMI-IOSCO《金融市场基础设施原则》的原则 12 指出，应通过使一方义务的最终结算取决于另一方义务的最终结算来消除本金风险。货银对付机制的设计使得最终交付仅在最终支付发生时发生。重要的词是两处“最终的”。一个临时的交付信号加上最终的现金并非同一回事。

IPv4 托管通常提供的是“先观察，后支付”，而非真正的货银对付。观察可能很好。它可以被加密记录、独立检查并合同接受。然而，托管系统无法在提交资金时锁定注册局状态。RIR 无法查看托管账本并使其自身的完成取决于不可撤销的支付。如果另一方在最后一刻失败，两个系统都无法自动中止两条腿。

这种非原子性创造了一个经典的不确定区间。在时间点一，注册局看似已完成。在时间点二，观察者验证。在时间点三，托管释放。在时间点四，卖方收到。在此区间期间或之后，可能浮现错误报告、竞争性主张、法院命令、制裁事件、技术修正或交易对手不匹配。概率可能很低；风险敞口是整个本金加依赖成本。

声称该区间很短并不能消除它。声称服务商值得信赖也不能消除它。要求买方点击接受将判断转移给买方，但并未改善底层注册局的保证。正确的解决方案不是假装系统是一个系统。而是将它们之间的接口设计为一等风险边界。

这意味着注册局必须发布一份适合外部依赖的完成声明，并且托管指令必须精确说明哪份声明的资格。该声明应具有双方已知的唯一交易参考，识别前缀和转移类型，在适用时注明来源和接收方注册局，记录生效时间，确认常规条件已关闭，并识别任何仍在等待的技术服务。公开的 Whois 结果可以佐证它。但它不应取代它。

拒绝留下的远不止退款

最干净的失败发生在任何注册局变更之前。RIR 拒绝请求，托管条件未满足，买方收到退款。但这也不是回到原点。

注册局的拒绝可能源于几种不同的事实。来源方可能与公认持有者不符。公司授权可能不完整。地址块可能受到锁定、争议或近期转移限制。接收方可能未通过需求或资格测试。RIR 间路径可能不被接受。制裁审查可能阻止操作。交易方可能错过截止日期或拒绝提供额外文件。

这些原因以不同的方式分配责任。如果卖方声称地址块符合条件但实际上不符合，买方可能有权要求赔偿尽职调查成本。如果买方未能满足事先披露的资格条件，则卖方不应承担全部损失。如果注册局在预批准后改变了其解释，则双方都面临机构风险。如果两个 RIR 意见不一，则任何商业方可能都没有过错。

通用的退款条款无法应对这些区别。购买协议需要一个与后果挂钩的拒绝分类。它应识别哪些陈述仍然有效，谁支付注册和托管费用，排他性是否立即终止，卖方是否可以重新营销该地址块，各方收到什么证据，以及是否允许修订后的请求。当注册局只给出模糊的原因时，协议不应自动认定任何一方违约。

预批准减少了一类风险，但无法弥补整个流程。ARIN 和 APNIC 都公布了接收方预批准机制。ARIN 声明其预批准可保持有效两年，而 APNIC 描述了 24 个月的有效期。这些检查可以防止买方为明显超出其批准规模的交易提供资金。它们不能证明卖方的授权、地址块资格、无争议、RIR 间接受或最终切换。它们也可能被批准后出现的事实所取代。

资金安全返还仍然是托管的一个成功。失败的收购仍然是交易的失败。评估注册局表现的会员需要分别看待这些结果。否则，退款的存在可能被用来忽视本应可预测或更早解释的拒绝所带来的经济成本。

延迟使受保护资金变成冻结的资本

托管常被描述为仿佛等待是中性的，因为资金是安全的。它并非中性。被持有的资金不能同时为另一项收购、网络扩展或日常流动性需求提供资金。卖方无法重新部署收益。双方仍然面临需求、融资条件、货币、公司授权和商业计划的变化。

等待的原因很重要。有些时间是合理的：必须验证身份、检查授权、履行制裁义务、调查矛盾的主张。有些时间属于交易方，因为文件提交延迟或不准。有些时间属于 RIR 间交接。有些时间没有明确的责任方，因为工单只是处于待办状态。

托管无法强迫给出答案。最终截止日期可以结束商业安排，但不能让注册局在该日期前做出决定。如果一方注册局已开始变更状态，或者双方就交付条件是否满足存在分歧，取消本身可能很困难。买方可能害怕在距离完成仅一步之遥时放弃。卖方可能在买方资金被占用的同时拒绝延期。

因此，合同应定义不止一个截止日期。它需要一个提交截止日期，届时所有交易方文件必须提交；一个准备就绪确认，在资金完全承诺之前；一个切换授权，在双方注册局都准备好之后；以及一个最终截止日期，在此之后未经新的联合指示不得启动任何状态变更。如果注册局无法同意最终的停止点，托管条件必须承认这种不确定性，而不是将沉默视为进展。

一份有用的暂停通知应识别出控制方，而无需暴露机密文件：买方操作、卖方操作、来源注册局审查、接收方注册局审查、联合对账、法律保留或外部命令。该通知应说明案例是否仍可取消，以及暂停期间哪个状态是权威的。

这并非要求每一次转移都能瞬时完成。而是要求受保护的资金不应成为无人负责的延迟的借口。本金安全与资本可用性是不同的属性。一个能够使有价值的交易处于暂停状态的机构应该能够说明什么在等待、谁可以解决以及当交易方的商业窗口关闭时会发生什么。

两个注册局带来脑裂交割风险

RIR 间转移以最清晰的形式暴露了非原子性。来源注册局知道当前持有者，必须撤销或变更该状态。接收方注册局必须创建新的公认状态。两者都应用自己的政策和程序。RIPE NCC 的 RIR 间文档明确说明两个注册局都必须批准，并且请求需与相关 RIR 协调处理。

“协调”一词承载着沉重的负担。它必须防止同时冲突的保管、没有公认持有者的间隔、不匹配的前缀边界、不兼容的生效日期以及关于条件是否满足的分歧。它还必须足够好地协调相关服务，以便买方在交割后能够运营。

没有托管机构能仅通过查询一条公共记录就看到这一切。如果来源方不再命名卖方，但目的地尚未完成买方的创建，交付是否发生？如果目的地命名了买方，而来源方的证书或路由对象仍然有效，转移是否完成？如果一个注册局发送了批准，而另一个后来报告条件未满足，哪条消息控制释放？

最坏的结果是脑裂状态：每个机构、交易方或公共接口对于谁被认可以及案例是否完成给出不同的答案。资金端因此没有安全的二进制触发条件。释放可能使买方受损；退款可能使卖方受损；等待可能困住双方，而运营授权已在转移中。

答案是一个协调的切换协议，而不是一个沟通承诺。在切换之前，两个注册局应签署涉及同一案例、资源集和预期接收方的准备就绪声明。来源方应识别转移前的最后一个有效状态。接收方应确认其所有条件均已满足。切换协调员应安排一个计划窗口。每个注册局应证明其已完成操作。最终的协调应声明两个结果视图一致。

如果任意一方的完成证明缺失或不一致，案例进入异常状态，托管保持关闭。注册局随后恢复约定的转移前状态，或根据公布的决策规则完成切换。商业方不应事后就哪个注册局的部分操作算作交付进行谈判。

这在逻辑上类似于两阶段提交，但不需要使用字面上的技术。重要的特性是准备、提交、中止和协调。在法律或证据需要的地方，人工审查仍可保留。必须消失的是一个未定义的中间状态，其中一个机构已行动，另一个未行动，而交易方的本金取决于截图和判断。

注册局记录周围有依赖的授权

保管记录是核心，但转移还会触及其他与注册局相关的控制措施。RPKI 证书和路由源授权（ROA）可能影响网络验证路由源的方式。反向 DNS 可能影响服务和声誉。互联网路由注册（IRR）对象可能影响过滤器。RDAP 和 Whois 数据指导滥用、安全和商业查询。账户访问决定谁能维护这些功能。

这些控制并不全都证明所有权或命令路由。但它们确实影响着买方是否能够使用其购买的注册位置。因此，交易可能在狭窄的保管记录中是完整的，但在周围的授权中被证明是有缺陷的。

假设买方显示为注册人，但由于账户权限未传播而无法创建所需的 RPKI 授权。如果旧的授权仍然存在，卖方可能保留比预期更多的表面授权。如果在替换可用之前撤销旧授权，则在执行源验证的网络中，路由可能变为无效。反向 DNS 或注册局维护的路由对象也可能出现类似差距。

交割条件不应要求每个独立网络都接受买方的路由。RIR 无法保证这一点，且 BGP 仍受运营商政策约束。交割条件应要求注册局控制的服务达到声明的手环状态。终局证书可以列出每项服务为已转移、已撤销、新可用、不适用或分配给有日期的后交割操作。

双方应捕获一个切换快照。它包括权威注册响应、账户权限、相关证书状态、委派的反向 DNS 状态以及范围内的任何注册局运营路由记录。哈希值或签名收据可以显示观察到的内容，而无需发布机密账户材料。该快照成为评估后续不一致性的证据。

这也保护了注册局。没有精确的快照，每个交割后的路由或声誉问题都可能被归咎于“转移”。有了快照，双方可以区分注册局控制失败与上游过滤器、地理定位延迟、过时的私人允许列表或买方配置。问责变得更狭窄、更可信。

托管不应持有可能受到每个全球运营影响的全额购买价款，直到每个运营影响都解决。那将使释放变得无限期。更好的设计将核心注册终局条件与有边界的技术留置区分开。大多数资金可以在一致的保管状态成为终局时释放。较小的约定留置可以涵盖指定的注册局控制后续事项，为期较短。独立的路由接受仍然在托管保证范围之外，除非卖方明确承诺提供协助。

回滚说起来容易做起来难

交易文件经常使用“撤销”，仿佛它是一个逆转按钮。如果转移失败，地址返回，买方收到资金。这个想法仅在任一条腿成为终局之前以及第三方依赖新状态之前有效。

支付释放后，返还资金要求卖方拥有资金并同意配合。注册完成后，返回地址块可能需要新的注册局操作、新文件、另一次政策审查或对持有期的例外。如果买方已宣布前缀、向客户分配地址、颁发证书、更改反向 DNS 或签订下游合同，操作返回变成一次迁移。如果原始卖方不再符合资格或已解散，恢复可能无法实现。

由法院指令进行的修正更加复杂。可能要求注册局更改其记录，因为原始转移协议无效、授权被伪造或更早的权利优先。仅通过更改持有者字段无法重建商业结算。买方可能已善意支付。卖方可能已破产。客户可能正在使用这些地址。托管早已关闭。

这就是为什么回滚策略必须在交割前设计好，并且“注册终局”必须指定修正边界。应针对提交前中止、注册后/支付前取消、支付后合同撤销以及强制性记录修正制定不同的条款。每个状态都有不同的补救措施。

在提交之前，恢复已签署的转移前快照并退还资金。在注册局已提交但支付释放之前，中止应要求两个注册局在退款将交付视为未发生之前确认恢复。在支付终局之后，通常的补救措施不应是非正式的员工逆转。它应要求合同或法律上规定的修正理由、通知受影响方、保留证据、紧急审查机会和连续性计划。

当无法精确返回时，协议需要替代履行：等价的干净地址空间、金钱赔偿、保险、储备金或其他协商的补救措施。认为每个地址块可互换是错误的，因为大小、注册局区域、历史、声誉和运营准备情况不同。替代规则必须定义等价性，而不是假设它。

注册局的责任不是保证卖方的偿付能力。它是避免对其自身操作是临时性、最终性还是已修正产生不必要的歧义。更改权威记录的机构应发布同样权威的修正记录，说明法律或证据依据、生效时间和当前公认状态。无声的逆转让根据先前结果结算的市场无法接受。

协议需要一个状态机，而非“完成”一词

务实的起草改革是用一套互斥的状态来取代叙述性的交割语言。每个参与者应知道转移处于哪个状态以及在该状态下允许哪些操作。

已协议 指双方已签署但托管未完全注资，且不得发生注册局切换。已注资 指已持有可靠资金，但无注册局表示案例已准备就绪。审核中 指请求正在被评估，转移前注册状态保持权威。准备切换 指状态变更所需的所有交易方条件和所有 RIR 批准均已满足。提交中 指协调的更新窗口已开始，取消需要例外规则。注册终局 指一致状态和所需证明存在。支付终局 指托管已不可撤销地履行支付义务。异常 指不匹配、挑战或技术故障阻止正常推进。已修正 指完成后发生了例外的变更，并保留了理由和替代状态。

不应从经过的时间推断任何状态。没有公共页面应默默地推进商业协议。每次过渡需要行为者、证据、生效时间和允许的下一个状态。如果必要事件未发生，案例应移动到异常，而不是仍歧义地“处理中”。

释放指令应依赖于注册终局，而不是已批准、提交中或一个可见记录。注册终局状态需要共同引用、精确的资源集、最终持有者、适用时的来源和目的地证明，以及注册局控制授权的声明状态。买方接受可以是一个附加条件，但不应强迫买方证明只有注册局才能知道的事实。

状态机还改进了争议解决。如果资金从“审核中”释放，则托管条件错误或误用。如果在“提交中”期间来源和目的地证明冲突，则注册局负责协调。如果在两个终局状态之后收到法院命令，则修正和商业补救条款管辖。参与者不再争论“完成”的情感含义；他们识别出失败的转换。

这套原则应可在不同经纪人和 RIR 之间移植。商业条款可以有所不同。价格、保证、管辖法律和融资可以保持私有。最小状态词汇表可以保持通用，因为它描述了支付与注册保管之间的接口，而非交易的价值。

终局需要能在交割后存续的证据

一封电子邮件和一张截图是高价结算的薄弱基础。它们可能是真的，但仍然不完整。截图可能显示的是缓存页面。邮件可能说“已批准”，而条件仍然存在。公共记录可能在没有识别引起变更的请求的情况下发生变化。

注册终局收据应既可机器验证又人类可读。它应包含 RIR 名称、共同案例引用、转移类型、精确前缀、公认来源和接收方、生效时间戳、所应用的政策版本、完成状态、对应方证明引用以及常规完成条件已关闭的声明。它应声明定义的例外修正理由和审查联系人。数字签名应允许交易方和托管机构日后验证来源。

托管机构不需要保密性质的尽职调查。它需要一份语义是公开的是/否收据。买方和卖方可能收到提交和决定的更完整私人记录。公共转移日志可以在事后提供独立的透明度记录。这些证据层应在资源和新手上达成一致，而不披露合同价格或受保护文件。

托管系统应发布自己的终局收据：释放金额、货币、受益人、指令时间、可用时的实际结算确认，以及释放所依赖的注册收据。关联两个收据创建了审计链。它没有合并系统，但它使边界可见。

在注册局提交之后、支付终局之前，应有一个有边界的确认期。在此期间，两个 RIR 和双方验证证明的状态可见且一致。该期间应足够长以捕捉发布和权限不匹配，但又足够短以不给买方在交付后提供免费的期权。其目的是验证，而非重新考虑交易。

如果验证失败，案例自动进入异常。资金保持持有。注册局识别是证明还是实施存在错误。买方不能因无关的商业原因拒绝，卖方不能针对部分状态要求释放。清晰的范围保护了双方。

证据保留很重要，因为争议可能在数年后发生。双方应保留签名收据，而非私人凭据。注册局应在受控访问下保留转移前后快照、授权证据和决定理由。托管应保留指令和最终支付记录。后续修正随后可以重建每个机构当时所知和所承诺的内容。

风险应由控制该风险的一方承担

当前市场通常将注册局风险加载到广泛的买方和卖方保证中，因为注册局否认参与商业交易。这可以理解，但不完整。交易方应承担其能够调查或控制的风险。他们不应被迫为未解释的机构自由裁量权提供默认保险。

卖方控制着对其身份、授权、争议、先前承诺和地址块历史的名实一致的披露。买方控制着真实的接收方信息、资格证据、账户准备和支付。经纪人控制着其陈述、指示和利益冲突。托管机构控制着保管和释放条款的适用。RIR 控制着其既定程序的一致性、其决定的完整性、其记录转换的准确性以及其完成信号的清晰度。

责任不一定意味着无限损害赔偿。它意味着机构不能定义决定性的条件、执行决定性的行为，然后将每个后果描述为私事。如果注册局错误地发布了终局收据、与另一 RIR 失去同步或在没有承诺审查的情况下更改了记录，则应提供修正、理由和与服务失败相称的补救措施。

这遵循了卢恒笔记中更广泛的问责原则：对高价值运营资产的权力不能脱离行使该权力的责任。注册局角色越窄，提供这种对称性就越容易。注册局无需保证价格、盈利能力、客户需求或全球路由。它可以保证其根据规则验证了请求，保留了唯一一致的记录，发布了准确的完成收据，并对任何修正使用了定义的流程。

保险和储备金可以覆盖剩余风险。经纪人的专业责任保险可以应对指示错误。托管许可和保证金保护保管。转移保证保单可以覆盖来源授权的特定缺陷。注册局可以为错误的记录操作维护服务失败保险。这些都不应被营销为全面保护；每项都映射到一个可控的故障域。

双方还应避免将每次注册局延迟都变为卖方违约或将每次注册局拒绝都变为买方违约的合同条款。需要一个中立的机构失败类别。它触发退款和成本分配，而不制造指责。该类别重复且无合理解释的使用随后成为会员监督的证据，而非隐藏在结算中的私人损失。

会员需要知道交割界面是否有效

注册局的问责不能仅从已完成转移的列表来评估。对于托管界面，会员需要了解案例在准备就绪、注册承诺和商业结算之间停止位置的汇总证据。

报告单位应是一个商业转移案例，关联到一个注册局案例或一组协调后的双边案例。它应计算有多少已注资案例达到了准备切换，多少进入了提交，多少产生了匹配的终局收据，多少进入了异常，多少在支付前恢复了，以及多少需要完成后修正。原因应区分交易方证据、政策不合格、交易对手分歧、技术实施不匹配、外部法律命令和注册局错误。

报告还应披露在发生异常时资金是否被持有，以及案例是通过完成、退款、替代履行还是诉讼解决的。金额无需公开。问责问题在于界面是否保护了双方，以及机构缺陷是否造成了未获补偿的损失。

每个 RIR 交易对都应核对各自的计数。来源注册局报告转移完成，而目的地注册局报告案例已放弃，这不是微小的统计差异。它表明对可能已依赖的商业结算的事件存在分歧。该对应在解决后发布修正说明。

完成后变更需要特殊的可见性。发布修正数量、主要理由、持有者是否改变、是否涉及上诉或法院命令，以及是否使用了连续性措施。小样本可以延迟或合并以保护交易方。修正的存在不应消失。

此报告并非旨在让机构因每个被拒绝或修正的案例而感到羞耻。一些拒绝保护了记录。一些修正执行了有效的法律。目标是证明机构知道常规拒绝、失败切换、笔误修正和有争议逆转之间的区别。无法对其自身结果进行分类的注册局，无法准备向托管市场提供终局信号。

Number Resource Society 可以倡导共同边界而不拥有交易

Number Resource Society 在此扮演着务实的角色，作为会员代表和倡导组织，而非另一个批准、保证或运营层面。

它可以研究和发布一个开放的模型转移终局词汇表：拟议的状态定义、收据字段、双边准备和完成证明、异常原因、修正通知和对账规则。它可以代表获得 PoA 授权的会员争取这些保护。注册局、托管公司和经纪人可以独立考虑并采用该模型；只有职责相应的注册局才能定义和证明其权威状态。Number Resource Society 的许可不应是有效转移所必需的。

它可以发布提议的一致性场景并推动测试，由负责任的注册局和独立合格的审计师进行。这些经授权的运营商和审核员（而非 Number Resource Society）可以测试“注册终局”是否在对应方证据存在之前被拒绝，重复的当前持有者状态是否被拒绝，中断的切换是否返回已知状态，以及签名收据是否保持可验证。这些场景检查的是记录服务的可靠性，而非买方和卖方的商业应得性。

它可以倡导由交易方控制的便携性。职责相应的注册局或其他授权的案例系统运营商应让买方和卖方能够以通用数据包的形式导出其状态历史、提交、RIR 通知和终局收据。如果发生托管争议，每方可以提供相同的签名事件历史。便携性还减少了对可能在关闭后发生变化的工单界面的依赖；Number Resource Society 无需接收或持有该数据包。

它可以发布有来源支持的比较研究，使用公共注册版本、引用的机构声明和清晰标注的自愿说明。比较应保留背景、覆盖范围限制和缺失数据，而不是制作戏剧性的排行榜或声称协调权威分类账。报告错误并修复错误的 RIR 可能比不衡量异常而不报告异常的 RIR 更值得信赖。

Number Resource Society 不应持有客户资金或转移证据，选择经纪人，设定转移价格，认证法律所有权，证明注册局状态，对账 RIR 记录或取代法院。它没有可以强加给交易方作为额外条件的运营收据。其价值在于会员倡导、研究和公开解释，促使授权机构使商业结算与注册记录保存之间的边界变得狭窄、可测试且可替代。

这就是 Number Resource Society 可以倡导的积极愿景：一个适合资产市场的注册局簿记员。Number Resource Society 不认可交易或提供权威记录。职责相应的 RIR 提供足够准确的记录，以便他人无需猜测簿记员的意图即可结算交易。

当注册局不再借用托管的声誉时，托管才最强

“托管转移”这个短语可能给整个交易罩上虚假的光环。资金是安全的，所以转移听起来安全。这个结论并不成立。

托管保护买方在约定的交付证据出现前不必付款，并保护卖方在没有承诺资金的情况下不必交付。托管可以在其条款范围内管理争议。它可以产生干净的支付记录。这些都是重要的保护，且应继续作为不熟悉方之间交易的标准。

RIR 仍然控制着一个独立的终局领域。它可以批准或拒绝。它可以要求提供文件。它可以与对应方良好或糟糕地协调。它可以创建一致的记录或临时的错配。它日后可能面临证明修正合理的证据。这些权力中没有一项仅仅因为资金在许可账户中等待就得到保障。

一个成熟的市场不会再拿一种控制方式来替代另一种。它要求受保护的资金和可靠的注册终局。它分别定义这些时刻，通过签名证据将它们联系起来，并为连接失败的特殊情况做好准备。

最低限度的改革是具体的。注册局在一致状态变更后发布终局收据。RIR 对使用准备、提交、中止和协调状态。托管指令仅针对最终收据加上有边界的验证期进行释放。相关的注册局控制授权被声明。修正使用保留的理由、通知和审查。协议区分退款、恢复、撤销和替代履行。

这些都不要求注册局担保商业价值或路由。它要求注册局保证其唯一能执行的记录操作的质量。这些都不要求托管判断政策。它要求托管依赖其含义在资金离开后不会改变的证据。

最艰巨的教训也最简单。受保护的支付无法修复任意的拒绝。它无法加速无人负责的延迟。它无法同步两个机构。它无法在后续依赖后恢复地址块。它无法将临时记录转变为不可撤销的记录。

托管可以让诚实的交易方无需在本金上信任对方。只有精心设计的注册局流程才能让他们无需在记账员身上赌博。

来源