Watchtower

O que é uma Watchtower?

Uma Watchtower é um serviço de monitoramento que ajuda a proteger canais de pagamento da Lightning Network do Bitcoin quando o nó Lightning de um usuário está offline ou não consegue responder.

Ela monitora a blockchain do Bitcoin em busca de transações suspeitas de fechamento de canal e transmite uma transação de penalidade ou de justiça caso detecte um estado antigo e revogado do canal.

A Bitcoin Optech explica que as watchtowers monitoram a blockchain em busca de transações que podem fazer os usuários perder fundos e podem responder enviando uma transação de penalidade ou recuperação.

Na Lightning Network, dois usuários podem abrir um canal de pagamento e realizar muitos pagamentos off-chain sem registrar cada pagamento imediatamente no Bitcoin.

Isso melhora a velocidade e a escalabilidade, mas cria um requisito importante de segurança.

Cada participante do canal precisa conseguir detectar se a outra parte tenta fechar o canal usando um estado de saldo antigo que beneficie o atacante.

Uma watchtower resolve esse problema permanecendo online e observando esse tipo de violação.

Para iniciantes, a definição mais simples é: uma Watchtower é um recurso de segurança para canais Lightning que monitora o Bitcoin enquanto seu nó está offline e reage se alguém tentar trapacear com um estado desatualizado do canal.

Por que as Watchtowers são importantes

As watchtowers são importantes porque os canais da Lightning Network dependem de uma resposta oportuna a disputas.

Se os dois parceiros do canal forem honestos, um canal pode ser fechado normalmente e cada lado recebe o saldo correto.

Se uma das partes for desonesta, ela pode tentar transmitir uma transação de compromisso antiga que lhe dê mais fundos do que o estado atual permite.

O protocolo Lightning pune esse comportamento por meio de mecanismos de revogação e penalidade.

No entanto, o usuário honesto precisa perceber a violação e responder antes que o time lock expire.

O guia de Watchtowers da Lightning Labs explica que um par que sofreu uma violação precisa permanecer online regularmente e monitorar transações da blockchain antes que o prazo de arbitragem tenha passado.

Esse requisito pode ser difícil para usuários comuns.

Um laptop pode estar desligado.

Um nó móvel pode perder a conexão.

Um nó doméstico pode ficar sem energia.

Um servidor pode falhar.

Um usuário pode estar viajando ou não conseguir responder.

Watchtowers reduzem esse risco ao terceirizar o monitoramento para outra máquina ou serviço.

Elas são especialmente importantes para usuários que executam nós Lightning, mas não conseguem mantê-los online e sincronizados o tempo todo.

Watchtower na Lightning Network

Na Lightning Network, uma watchtower se concentra na proteção contra violações de canais.

Uma violação de canal acontece quando uma contraparte transmite uma transação de compromisso revogada.

Uma transação de compromisso representa uma possível liquidação de um canal Lightning na blockchain do Bitcoin.

Sempre que o saldo de um canal muda, o estado anterior é revogado e substituído por um estado mais recente.

O estado mais antigo não deve mais ser utilizado.

Se alguém transmitir o estado antigo, a outra parte poderá usar dados de revogação para punir a violação.

A especificação de transações BOLT 3 descreve como outputs com atraso criam uma oportunidade para transações de penalidade quando uma transação de compromisso revogada é publicada.

Uma watchtower é projetada para detectar essa transação de compromisso revogada e publicar a resposta adequada.

Ela não precisa encaminhar pagamentos para o usuário.

Ela não precisa controlar a carteira do usuário.

Sua função é limitada, mas importante.

Ela monitora a blockchain e reage quando surge um perigo específico.

Como funciona uma Watchtower

Uma watchtower funciona por meio de dados criptografados de violação preparados pelo nó Lightning que ela protege.

Quando um canal é atualizado, o nó cliente cria informações que podem ser usadas se o estado antigo for transmitido posteriormente.

O cliente envia à watchtower dados criptografados e um localizador que ajuda a watchtower a reconhecer uma futura violação.

A watchtower armazena esses dados enquanto continua monitorando a blockchain do Bitcoin.

Se uma contraparte posteriormente transmitir uma transação de compromisso revogada, o ID da transação permite que a watchtower identifique a violação.

As mesmas informações de violação podem desbloquear a transação de justiça criptografada que o cliente forneceu anteriormente à watchtower.

Em seguida, a watchtower transmite a transação de justiça para a rede Bitcoin.

A Lightning Labs explica que a watchtower armazena transações de revogação criptografadas e só consegue descriptografá-las quando a violação relevante aparece on-chain, em sua visão geral do mecanismo de watchtower.

Esse design protege melhor a privacidade do que simplesmente entregar à watchtower todos os dados do canal.

A watchtower pode buscar possíveis transações de violação, mas não deve precisar conhecer cada saldo de canal ou cada pagamento normal.

O que é uma transação de justiça?

Uma transação de justiça é a transação usada para punir um participante desonesto de um canal Lightning que transmite um estado de compromisso revogado.

Ela também é chamada de transação de penalidade ou transação de reparação de violação.

Seu objetivo é reivindicar fundos que a parte desonesta tentou obter usando um estado desatualizado do canal.

A documentação de watchtower do LND descreve watchtowers fazendo backup de transações criptografadas de reparação de violação, também conhecidas como transações de justiça, em outras watchtowers.

Uma transação de justiça não é um pagamento comum.

Ela é uma transação defensiva.

Ela só é usada quando alguém tenta trapacear ou publica acidentalmente um estado revogado.

A possibilidade de uma transação de justiça torna a trapaça irracional, pois o atacante pode perder o saldo do canal.

Esse design de penalidade é uma das premissas centrais de segurança do modelo atual de canais Lightning.

Uma watchtower ajuda a tornar a transação de justiça prática quando o usuário honesto está offline.

Watchtower vs. nó Lightning

Um nó Lightning é um software que abre canais, envia pagamentos, recebe pagamentos, encaminha pagamentos, gerencia liquidez, acompanha estados de canais e interage com a blockchain do Bitcoin.

Uma watchtower é uma função especializada de monitoramento que protege um nó Lightning contra violações de canal.

Um nó Lightning pode, em alguns casos, executar seu próprio servidor de watchtower.

Um nó Lightning também pode se conectar, como cliente de watchtower, a outra watchtower.

O guia de configuração de watchtower do LND explica que o LND pode executar a funcionalidade de servidor e de cliente de watchtower, mas ambas precisam ser habilitadas especificamente.

Isso significa que uma watchtower não substitui um nó Lightning.

Ela é um serviço defensivo que oferece suporte a um nó Lightning.

O usuário ainda precisa de um nó ou carteira que gerencie os canais corretamente.

A watchtower apenas ajuda a responder quando o nó está offline ou não consegue agir durante uma janela de violação.

Watchtower vs. explorador de blocos

Uma watchtower não é o mesmo que um explorador de blocos.

Um explorador de blocos permite que os usuários pesquisem transações, endereços, blocos, taxas e, quando houver suporte, dados de contratos inteligentes.

Uma watchtower monitora ativamente a blockchain em busca de um risco específico e pode transmitir uma transação de resposta quando necessário.

Um explorador de blocos é principalmente uma ferramenta de visualização.

Uma watchtower é uma ferramenta de automação defensiva.

Um usuário pode usar manualmente um explorador de blocos para verificar se um canal foi fechado.

No entanto, a verificação manual não é suficiente se o usuário estiver offline, dormindo, viajando ou sem saber da violação.

Uma watchtower existe porque a segurança da Lightning exige ação oportuna.

Ela é projetada para agir automaticamente dentro da janela de time lock.

Isso torna as watchtowers mais parecidas com infraestrutura de segurança do que com dashboards de análise.

Watchtower vs. serviço de custódia

Uma watchtower não é um serviço de custódia.

Ela não precisa manter os Bitcoins do usuário.

Ela não precisa da frase de recuperação do usuário.

Ela não precisa das chaves privadas do usuário para gastos normais da carteira.

A Bitcoin Optech afirma que as watchtowers não recebem os fundos que monitoram em custódia e são responsáveis por monitorar a blockchain e transmitir transações.

Essa distinção é muito importante.

Uma watchtower legítima não deve pedir uma frase de recuperação.

Uma watchtower legítima não deve pedir chaves privadas.

Uma watchtower legítima não deve exigir custódia total dos fundos do canal.

A watchtower pode receber dados criptografados que se tornam úteis apenas se aparecer uma transação de violação.

Isso permite que a watchtower defenda o usuário sem controlar seus fundos.

Por que canais Lightning precisam de Watchtowers

Os canais Lightning precisam de monitoramento porque qualquer participante do canal pode fechá-lo unilateralmente ao publicar uma transação de compromisso.

Isso é útil porque um usuário pode recuperar fundos mesmo se a outra parte desaparecer.

No entanto, também significa que um atacante pode tentar publicar uma transação de compromisso antiga.

O protocolo Lightning lida com isso tornando os estados antigos perigosos de publicar.

Quando um canal é atualizado, ambos os lados trocam informações de revogação que invalidam o estado anterior.

Se um estado revogado for publicado, a parte honesta poderá usar o segredo de revogação para reivindicar fundos por meio de um caminho de penalidade.

O guia da Lightning Labs explica que cada nova atualização de canal invalida a transação de compromisso anterior por meio da troca de um segredo de penalidade.

O desafio é o tempo.

A parte honesta precisa perceber o fechamento indevido antes que o output atrasado do atacante possa ser gasto.

Uma watchtower ajuda a cumprir esse requisito de tempo.

Transações de compromisso

Uma transação de compromisso é uma transação pré-assinada que representa a divisão atual de saldos em um canal Lightning.

Cada lado possui uma versão da transação de compromisso atual.

Se o canal precisar ser fechado sem cooperação, um participante poderá publicar sua transação de compromisso mais recente no Bitcoin.

Transações de compromisso mais antigas são revogadas após cada atualização de canal.

Publicar uma transação de compromisso revogada é uma violação de canal.

A especificação Lightning BOLT 3 descreve outputs de transações de compromisso e caminhos de penalidade que permitem à contraparte gastar determinados outputs imediatamente quando a chave de revogação está disponível.

As watchtowers existem porque as transações de compromisso tornam pagamentos off-chain possíveis, mas ainda exigem a execução de disputas no nível da blockchain.

Elas monitoram se uma transação de compromisso antiga aparece on-chain.

Se isso ocorrer, ajudam a parte honesta a aplicar a penalidade correta.

Violação de canal

Uma violação de canal é uma tentativa de fechar um canal Lightning usando um estado revogado ou desatualizado.

Isso pode ser malicioso se o atacante tentar intencionalmente reivindicar mais fundos do que deveria receber.

Também pode ser acidental se um operador de nó restaurar incorretamente um backup antigo e publicar dados obsoletos do canal.

A documentação do Core Lightning explica que, quando um nó Lightning fica offline, a contraparte pode tentar forçar o fechamento do canal com um estado desatualizado, também conhecido como compromisso revogado, em sua documentação de watchtower.

A watchtower não precisa saber por que a violação ocorreu.

Ela só precisa reconhecer que um estado revogado foi publicado.

Ao detectar a violação, ela pode publicar a transação de penalidade em nome do cliente.

Isso protege o cliente contra comportamento malicioso e determinadas falhas acidentais.

Time locks e janela de violação

A resposta à violação precisa ocorrer antes que o time lock expire.

As transações de compromisso Lightning incluem outputs atrasados que dão à parte honesta tempo para punir um fechamento com estado revogado.

A BOLT 3 explica que os outputs que devolvem fundos ao proprietário de uma transação de compromisso precisam ser atrasados por determinado número de blocos para permitir transações de penalidade.

Esse atraso é normalmente chamado de to-self delay.

A duração do atraso afeta a segurança e a usabilidade.

Um atraso maior oferece mais tempo para detectar e responder a violações.

Um atraso menor permite que os usuários acessem fundos mais rapidamente após um fechamento unilateral.

As watchtowers são úteis porque reduzem a necessidade de o nó do usuário permanecer online durante toda a janela de atraso.

No entanto, elas ainda precisam ser confiáveis o suficiente para identificar a violação e transmitir a transação de justiça a tempo.

Uma watchtower offline durante a janela de violação não consegue proteger o canal.

Design de blobs criptografados

Os designs modernos de watchtower frequentemente usam blobs criptografados para proteger a privacidade do usuário.

O cliente fornece à watchtower dados criptografados de reparação de violação, em vez de informações completas e legíveis do canal.

A watchtower pode armazenar o blob criptografado e um localizador.

Se não ocorrer violação, a watchtower não deve conseguir ler a transação protegida.

Se ocorrer uma violação, a transação de violação fornece as informações necessárias para descriptografar e publicar a transação de reparação.

A documentação de watchtower do LND afirma que a watchtower armazena blobs criptografados de tamanho fixo e só consegue descriptografar e publicar a transação de justiça depois que um estado de compromisso revogado é transmitido.

Esse design limita o que a watchtower aprende.

Ela pode saber com que frequência o cliente atualiza canais.

Ela pode saber quando ocorre uma violação.

Ela não deve precisar conhecer antecipadamente todos os saldos, pagamentos ou detalhes dos canais.

Considerações sobre privacidade

Watchtowers melhoram a segurança, mas podem introduzir considerações de privacidade.

Uma watchtower pode saber que um cliente existe.

Ela pode conhecer a frequência aproximada de atualizações pela frequência com que o cliente envia dados.

Ela pode saber que ocorreu uma violação se descriptografar e transmitir uma transação de justiça.

Ela pode aprender informações de nível de rede se o cliente se conectar diretamente sem ferramentas de privacidade.

A documentação do LND afirma que as comunicações do cliente com uma watchtower são criptografadas e autenticadas por pares de chaves efêmeros, reduzindo o rastreamento por identificadores de longo prazo.

Isso não significa que a privacidade seja perfeita.

Operadores de nós devem pensar cuidadosamente sobre quais watchtowers usam, como se conectam e se desejam usar roteamento de rede que preserve a privacidade.

Executar uma watchtower privada em infraestrutura separada pode reduzir parte da exposição de privacidade a terceiros.

Usar várias watchtowers pode melhorar a disponibilidade, mas também pode distribuir metadados entre mais serviços.

Privacidade e confiabilidade devem ser equilibradas.

Watchtowers altruístas

Uma watchtower altruísta é uma watchtower que protege clientes sem receber recompensa dos fundos recuperados do canal.

O sistema de watchtower do LND historicamente enfatizou watchtowers altruístas privadas.

O guia de configuração do LND afirma que as watchtowers discutidas são altruístas e não recebem compensação ou outros incentivos por atender um nó.

Watchtowers altruístas são úteis para configurações autohospedadas.

Um usuário pode executar uma watchtower em outra máquina, rede ou local para proteger seu próprio nó Lightning.

Amigos ou membros da comunidade também podem monitorar uns aos outros caso confiem na confiabilidade do serviço.

A fraqueza é o incentivo.

Se uma watchtower não recebe recompensa, pode ter menos motivo econômico para permanecer online, armazenar dados e responder com confiabilidade.

Por isso, o design de incentivos de watchtowers continua sendo um importante tema de pesquisa e implementação.

Watchtowers com recompensa

Uma watchtower com recompensa é uma watchtower que pode receber compensação por proteger um cliente com sucesso.

A Bitcoin Optech observa que transações de reparação de violações Lightning podem ser projetadas para que uma watchtower receba uma parte dos fundos protegidos se seu serviço for necessário.

Designs com recompensa podem melhorar os incentivos, pois a watchtower tem um motivo para fornecer um serviço confiável.

No entanto, designs com recompensa também aumentam a complexidade.

O protocolo precisa decidir como a recompensa será paga.

Ele precisa evitar dar controle excessivo à watchtower.

Ele precisa preservar a privacidade.

Ele precisa impedir abusos ou alegações falsas.

Ele precisa tornar a economia viável tanto para o cliente quanto para a watchtower.

Um sistema de recompensas pode apoiar um mercado de serviços de watchtower, mas precisa ser cuidadosamente projetado para evitar novas premissas de confiança.

Watchtowers privadas

Uma watchtower privada é operada pelo mesmo usuário ou organização que executa o nó Lightning protegido.

O principal objetivo é a redundância.

Se o nó Lightning principal ficar offline, a watchtower separada ainda poderá estar online e monitorando a blockchain do Bitcoin.

A Lightning Labs recomenda que uma watchtower opere, idealmente, em uma máquina, rede e local separados do nó que protege.

Isso protege contra falhas comuns, como quedas da internet doméstica, falta de energia, falhas de hardware ou problemas na rede local.

Uma watchtower privada oferece ao usuário mais controle e privacidade do que um serviço público de terceiros.

No entanto, ela também exige mais habilidade operacional.

O usuário deve manter a watchtower online.

O usuário deve manter as atualizações de software.

O usuário deve garantir armazenamento e conectividade confiáveis.

Uma watchtower privada só é útil se estiver mais disponível que o nó principal durante um problema.

Watchtowers de terceiros

Uma watchtower de terceiros é operada por outra pessoa, empresa ou provedor de serviços.

A documentação do Core Lightning descreve uma watchtower como um serviço de terceiros que pode defender um nó contra violações quando ele fica offline.

Watchtowers de terceiros podem ser úteis para usuários que não desejam manter infraestrutura adicional.

Elas também podem oferecer maior uptime se operadas profissionalmente.

No entanto, os usuários devem avaliar confiabilidade, privacidade, custo, disponibilidade, compatibilidade da implementação e termos de serviço.

Uma watchtower de terceiros não deve exigir custódia de fundos.

Ela não deve exigir uma frase de recuperação.

Ela não deve exigir chaves privadas da carteira.

Os usuários também devem evitar serviços falsos de watchtower que alegam proteger fundos Lightning, mas pedem credenciais sensíveis.

O melhor design de watchtower de terceiros oferece monitoramento sem se tornar um custodiante confiável.

Clientes e servidores de Watchtower

Sistemas de watchtower geralmente incluem um cliente e um servidor.

O cliente é o nó Lightning que deseja proteção.

O servidor é a watchtower que monitora a blockchain e armazena dados criptografados de violação.

No LND, os usuários podem habilitar separadamente, por configuração, a funcionalidade de servidor e de cliente de watchtower.

A documentação da Lightning Labs explica que dois nós podem atuar como watchtowers um do outro, ou seja, podem operar em modo de servidor e cliente ao mesmo tempo.

Essa configuração mútua pode ser útil para pequenas comunidades ou operadores de nós que buscam redundância.

No entanto, o monitoramento mútuo só funciona se cada nó estiver realmente online e for confiável quando o outro estiver offline.

Uma relação de watchtower não tem valor se as duas máquinas falharem pelo mesmo motivo.

Uma boa configuração separa hardware, rede, localização e domínios de falha.

Watchtowers LND

O LND inclui funcionalidade de watchtower, mas ela deve ser habilitada intencionalmente.

A documentação oficial de configuração de watchtower do LND explica como habilitar o modo de servidor com configurações de watchtower e o modo de cliente com configurações de cliente de watchtower.

Watchtowers LND são importantes porque o LND é uma das principais implementações de nós Lightning.

A documentação do LND descreve watchtowers altruístas privadas como uma segunda linha de defesa para cenários de violação quando o nó cliente está offline ou não consegue responder.

Usuários que executam LND devem entender se o suporte ao cliente de watchtower está ativo.

Eles também devem saber se estão executando seu próprio servidor de watchtower ou se conectando a outro.

Erros de configuração podem criar uma falsa sensação de segurança.

Um usuário deve verificar se a watchtower está acessível, sincronizada e realmente recebendo dados de backup.

A configuração de uma watchtower não é apenas uma caixa de seleção.

Ela faz parte da segurança operacional de um nó Lightning.

Watchtowers Core Lightning

O Core Lightning também oferece suporte a fluxos relacionados a watchtowers por meio de plugins e sistemas externos de watchtower compatíveis.

A documentação de watchtower do Core Lightning explica que uma watchtower pode defender um nó contra violações ao monitorar a blockchain e retransmitir uma transação de penalidade em nome do usuário.

A documentação do Core Lightning também menciona plugins de cliente de watchtower que funcionam com watchtowers compatíveis com BOLT13.

Isso mostra que o suporte a watchtowers não é apenas um tema do LND.

É um tema mais amplo da infraestrutura Lightning.

Implementações Lightning diferentes podem lidar com o suporte a watchtowers de maneiras distintas.

Operadores de nós devem seguir a documentação de sua própria implementação.

Eles não devem copiar configurações de outra implementação sem entender a compatibilidade.

A Lightning é um ecossistema com várias implementações, portanto, detalhes específicos de cada implementação são importantes.

BOLT13 e padrões de Watchtower

BOLT13 é uma área de especificação proposta ou desenvolvida pela comunidade relacionada à comunicação entre watchtowers Lightning.

O rascunho de watchtower BOLT13 descreve um modelo de alto nível no qual o cliente envia uma transação de penalidade criptografada e um localizador de transação à watchtower a cada nova atualização de canal.

O objetivo dos padrões de watchtower é melhorar a interoperabilidade entre clientes e torres.

A interoperabilidade é importante porque um usuário pode querer escolher entre vários serviços de watchtower.

Uma implementação Lightning também pode querer oferecer suporte a sistemas externos de watchtower sem integrações personalizadas e isoladas.

No entanto, os usuários devem entender que as especificações Lightning e as implementações de watchtower continuam evoluindo.

Nem toda watchtower oferece suporte a todos os recursos.

Nem toda implementação de nó oferece suporte ao mesmo fluxo de watchtower.

Nem todo padrão proposto é final ou universal.

Para operadores de nós, a abordagem mais segura é usar a documentação atual da versão do software que executam.

The Eye of Satoshi

The Eye of Satoshi é um projeto open source de watchtower Lightning.

O repositório oficial rust-teos descreve The Eye of Satoshi como uma watchtower Lightning compatível com BOLT13 e escrita em Rust.

Ele é frequentemente mencionado em discussões sobre infraestrutura de watchtowers de terceiros.

O projeto mostra como watchtowers podem ser construídas como sistemas independentes, em vez de apenas serem integradas a uma implementação de nó.

Projetos open source de watchtower são importantes porque permitem que desenvolvedores inspecionem designs, testem interoperabilidade e contribuam com melhorias.

No entanto, os usuários ainda devem avaliar implantação, uptime, reputação do operador, privacidade, compatibilidade e manutenção.

Código open source não significa automaticamente que um serviço de watchtower seja confiável.

Uma watchtower precisa estar realmente em execução, acessível, sincronizada e capaz de transmitir transações durante uma violação.

A segurança depende tanto da qualidade do software quanto da confiabilidade operacional.

Confiabilidade de Watchtowers

Uma watchtower precisa ser confiável o suficiente para monitorar a blockchain e agir durante a janela de violação.

Se a watchtower não detectar uma violação, o cliente ainda poderá perder fundos.

A confiabilidade depende de uptime, acesso a um nó Bitcoin, conectividade de rede, armazenamento, gestão de taxas, manutenção do software e configuração correta.

Uma watchtower deve conseguir detectar transações relevantes rapidamente.

Ela deve conseguir transmitir a transação de justiça com uma taxa suficiente.

Ela deve conseguir permanecer online durante o período em que o cliente está offline.

Executar a watchtower na mesma máquina do nó protegido é menos útil porque ambos podem falhar juntos.

Executá-la em infraestrutura separada melhora a tolerância a falhas.

Usar mais de uma watchtower pode melhorar a redundância.

No entanto, mais watchtowers também significam mais gerenciamento operacional e potencialmente mais exposição de metadados.

Taxas e economia das Watchtowers

A economia das watchtowers é importante porque o monitoramento tem custos.

Uma watchtower pode precisar de armazenamento, largura de banda, infraestrutura de nó, manutenção, uptime, monitoramento e gestão de taxas de transação.

Uma watchtower altruísta pode fornecer serviço gratuitamente, mas um serviço gratuito pode não escalar para sempre.

Uma watchtower paga pode cobrar taxas de assinatura, taxas por canal ou recompensas por sucesso, dependendo do design.

Uma watchtower com recompensa pode receber pagamento apenas se agir com sucesso durante uma violação.

Isso alinha os incentivos de uma forma, mas pode não compensar a watchtower pelo monitoramento rotineiro quando violações são raras.

Um modelo de assinatura pode compensar o monitoramento rotineiro, mas cria considerações de cobrança e confiança.

A economia das watchtowers deve equilibrar custo para o usuário, confiabilidade da torre, privacidade, incentivos e descentralização.

Se os serviços de watchtower se tornarem centralizados demais, os usuários poderão depender de um pequeno número de operadores.

Se houver poucos incentivos, serviços confiáveis podem ser difíceis de manter.

Limitações das Watchtowers

Watchtowers são úteis, mas não são perfeitas.

Uma watchtower não pode proteger fundos se nunca recebeu os dados necessários da violação.

Uma watchtower não pode responder se estiver offline durante a janela de violação.

Uma watchtower não pode prevenir todos os riscos da Lightning.

Ela é projetada para violações por estados revogados, não para toda possível falha de roteamento, problema de liquidez, aumento de taxas ou erro do usuário.

Uma watchtower não pode corrigir uma frase de recuperação perdida.

Uma watchtower não pode recuperar fundos de um golpe não relacionado.

Uma watchtower não pode garantir que o nó de um usuário esteja configurado corretamente.

Algumas implementações de watchtower podem não abranger todos os tipos de output ou todos os recursos avançados de canais.

A documentação de watchtower do LND observa limitações específicas da implementação sobre quais outputs recebem backup em seu sistema de watchtower.

Operadores de nós devem entender o que sua watchtower protege e o que ela não protege.

Watchtowers e Lightning móvel

Watchtowers são especialmente relevantes para usuários móveis da Lightning.

Dispositivos móveis nem sempre estão online.

Eles podem ficar sem bateria.

Eles podem perder a conectividade de rede.

Eles podem ser limitados por restrições do sistema operacional para atividades em segundo plano.

Eles podem não manter monitoramento completo da blockchain o tempo todo.

Isso torna a segurança de canais Lightning em dispositivos móveis mais desafiadora do que a operação de nós baseados em servidores.

Algumas carteiras móveis usam designs diferentes para reduzir a necessidade de monitoramento pelo usuário.

Algumas dependem de provedores de serviços, serviços de gerenciamento de canais ou sistemas de backup.

Algumas podem usar proteção no estilo de watchtower em segundo plano.

Os usuários devem ler cuidadosamente a documentação da carteira, pois nem todas as carteiras Lightning usam o mesmo modelo de custódia, canal ou watchtower.

Uma carteira Lightning móvel pode ser prática, mas as premissas de segurança podem ser diferentes das de um nó autogerenciado.

Watchtowers e autocustódia

Watchtowers podem oferecer suporte à autocustódia ajudando usuários a manter o controle dos fundos e reduzindo a necessidade de monitoramento online constante.

Um usuário Lightning em autocustódia normalmente controla suas próprias chaves e canais.

Isso dá ao usuário mais controle, mas também cria responsabilidade.

O usuário deve proteger chaves, manter backups, monitorar canais, gerenciar liquidez e manter o software atualizado.

Uma watchtower ajuda com uma parte dessa responsabilidade.

Ela monitora fechamentos de canais com estados revogados e transmite uma transação defensiva se necessário.

Ela não substitui uma boa segurança de chaves.

Ela não substitui backups estáticos de canais quando forem relevantes.

Ela não substitui a operação cuidadosa de um nó.

Ela é uma camada em um modelo maior de segurança de autocustódia.

A autocustódia é mais forte quando os usuários entendem cada camada em vez de depender de uma única ferramenta para resolver tudo.

Watchtowers e backups de canais

Watchtowers e backups de canais resolvem problemas diferentes.

Uma watchtower monitora a blockchain em busca de transações de compromisso revogadas.

Um backup de canal ajuda o usuário a recuperar informações de canais após falha de dispositivo ou perda de dados, dependendo do design do nó ou da carteira.

Restaurar incorretamente um estado antigo de canal pode ser perigoso, pois pode fazer um nó publicar dados de compromisso obsoletos.

Isso pode criar acidentalmente uma violação de canal.

Uma watchtower pode proteger contra a violação de uma contraparte, mas não substitui completamente backups adequados.

Usuários que executam nós Lightning devem entender o modelo de backup de sua implementação.

Eles devem evitar copiar diretórios de dados antigos sem conhecer os riscos.

Eles devem seguir os procedimentos oficiais de recuperação.

A proteção de watchtower e a segurança de backups devem ser tratadas como complementares.

Ambas fazem parte da gestão responsável de nós Lightning.

Watchtowers além da Lightning

O conceito de watchtower pode ser aplicado além da Lightning.

A Bitcoin Optech observa que a palavra watchtower também foi adaptada para softwares que monitoram vaults em busca de transações de unvaulting e impedem sua conclusão não autorizada caso uma política de usuário seja violada.

De modo mais amplo, uma watchtower pode significar um serviço de monitoramento de blockchain que observa transações perigosas e reage automaticamente.

Em canais de pagamento, a watchtower monitora estados antigos de canais.

Em sistemas de vault, ela pode monitorar eventos suspeitos de saque ou unvaulting.

Na segurança de contratos inteligentes, um sistema de monitoramento semelhante pode observar comportamento anormal de protocolos, ataques de governança, anomalias de oráculos ou atividade de chaves administrativas.

O significado exato depende do protocolo.

Na maioria dos contextos de glossário cripto, Watchtower refere-se principalmente ao mecanismo de segurança da Lightning Network.

No entanto, a ideia mais ampla é simples.

Uma watchtower monitora a atividade pública da blockchain e aciona uma resposta defensiva quando surge um risco específico.

Riscos de segurança no uso de Watchtowers

Watchtowers reduzem determinados riscos, mas introduzem suas próprias considerações de risco.

Um serviço falso de watchtower pode tentar roubar credenciais.

Uma watchtower mal operada pode não detectar violações.

Um provedor centralizado de watchtower pode criar preocupações de privacidade.

Um cliente de watchtower mal configurado pode deixar de enviar dados de violação.

Uma watchtower pode ficar inacessível devido a problemas de configuração de rede ou Tor.

Uma torre pode ter problemas de armazenamento que a impeçam de reter dados.

Uma transação de justiça pode precisar de gestão de taxa suficiente em períodos de congestionamento.

Um usuário pode acreditar que está protegido quando o serviço não está ativo.

Esses riscos não tornam as watchtowers ruins.

Eles mostram que a configuração da watchtower precisa ser verificada.

Operadores de nós devem testar a configuração, monitorar logs, confirmar sessões com torres e manter-se atualizados com a documentação da implementação.

Riscos de privacidade das Watchtowers

Os riscos de privacidade das watchtowers decorrem principalmente de metadados.

A torre pode saber quando um cliente se conecta.

Ela pode saber com que frequência blobs criptografados são enviados.

Ela pode saber que ocorreu uma violação caso responda.

Ela pode ver dados de nível de rede, como endereços IP, se o roteamento de privacidade não for usado.

Ela pode inferir padrões operacionais a partir do comportamento do cliente.

Designs de blobs criptografados reduzem a exposição de saldos e detalhes de transações, mas não eliminam todos os metadados.

Usuários que se preocupam com privacidade podem preferir watchtowers privadas, conectividade por Tor, múltiplas torres ou provedores de serviço cuidadosamente selecionados.

No entanto, adicionar mais watchtowers também pode distribuir metadados para mais lugares.

Não existe uma resposta perfeita.

A privacidade de watchtowers é um equilíbrio entre proteção, redundância, conveniência e vazamento de informações.

Como escolher uma Watchtower

O usuário deve primeiro verificar qual implementação Lightning utiliza.

Implementações diferentes podem oferecer suporte a fluxos de watchtower diferentes.

O usuário deve verificar se a watchtower é compatível com seu nó.

O usuário deve verificar se a torre está ativa, acessível e mantida.

O usuário deve verificar se ela é altruísta, paga, privada ou de terceiros.

O usuário deve verificar se ela oferece suporte aos recursos de canal que utiliza.

O usuário deve verificar se a comunicação pode ocorrer por redes que preservem a privacidade quando necessário.

O usuário deve verificar se o operador possui bom histórico de confiabilidade caso seja uma torre de terceiros.

O usuário deve evitar qualquer serviço que peça frases de recuperação ou chaves privadas.

O usuário deve considerar executar uma torre privada em infraestrutura separada caso gerencie liquidez Lightning relevante.

Uma boa escolha de watchtower depende do nível de risco, da habilidade técnica, das necessidades de privacidade e dos requisitos de uptime.

Melhores práticas para usuários de Watchtower

Os usuários devem manter o software de seu nó Lightning atualizado.

Os usuários devem habilitar a funcionalidade de cliente de watchtower apenas seguindo a documentação oficial de sua implementação.

Os usuários devem verificar se as sessões de watchtower estão ativas.

Os usuários devem usar infraestrutura confiável para torres privadas.

Os usuários devem evitar executar a watchtower apenas no mesmo dispositivo que o nó protegido.

Os usuários devem considerar múltiplas watchtowers para redundância quando as compensações de privacidade forem aceitáveis.

Os usuários devem proteger frases de recuperação e chaves privadas separadamente da configuração da watchtower.

Os usuários devem monitorar logs e alertas de falhas de conexão com torres.

Os usuários devem entender os procedimentos de backup e recuperação de sua implementação Lightning.

Os usuários nunca devem presumir que uma watchtower protege contra todos os riscos de Lightning ou de carteira.

Uma watchtower é uma camada de segurança, não um plano completo de segurança.

Benefícios das Watchtowers

O primeiro benefício das watchtowers é a proteção offline.

Elas ajudam a proteger fundos em canais quando o nó Lightning de um usuário está offline.

O segundo benefício é a redução da carga operacional.

Os usuários não precisam monitorar pessoalmente todos os blocos o tempo todo caso a proteção de watchtower esteja ativa.

O terceiro benefício é a dissuasão.

Atacantes têm menos probabilidade de transmitir estados revogados se souberem que watchtowers podem responder.

O quarto benefício é o suporte à autocustódia.

Watchtowers ajudam usuários a manter o controle dos fundos sem depender de um custodiante.

O quinto benefício é a redundância.

Uma watchtower privada em infraestrutura separada pode proteger contra interrupções locais.

O sexto benefício é o monitoramento com foco em privacidade.

Designs de blobs criptografados podem limitar o que a watchtower aprende antes de ocorrer uma violação.

O sétimo benefício é a segurança do ecossistema.

Watchtowers confiáveis tornam os canais Lightning mais seguros para usuários que não conseguem permanecer online constantemente.

Riscos e limitações das Watchtowers

A primeira limitação é a disponibilidade.

Uma watchtower offline durante a janela de violação não pode ajudar.

A segunda limitação é a configuração.

Se o cliente não estiver conectado corretamente, a watchtower pode não ter os dados necessários da violação.

A terceira limitação é a cobertura da implementação.

Alguns sistemas de watchtower podem não oferecer suporte a todos os recursos de canal ou tipos de output.

A quarta limitação são os metadados de privacidade.

Uma watchtower pode saber padrões de conexão ou a frequência de atualizações.

A quinta limitação é a pressão de taxas.

Transmitir uma transação de justiça em condições de taxas altas pode ser operacionalmente importante.

A sexta limitação é a confiança na confiabilidade.

Embora a watchtower não deva controlar fundos, os usuários ainda dependem dela para executar sua função de monitoramento.

A sétima limitação é o escopo.

Uma watchtower protege contra cenários específicos de violação de canal, não contra todos os riscos de Lightning, carteira ou golpes.

Equívocos comuns sobre Watchtowers

Um equívoco é pensar que uma watchtower mantém os fundos do usuário.

Uma watchtower Lightning devidamente projetada não precisa custodiar os fundos do usuário.

Outro equívoco é pensar que uma watchtower precisa da frase de recuperação do usuário.

Uma watchtower legítima nunca deve precisar de uma frase de recuperação ou chave privada.

Um terceiro equívoco é pensar que watchtowers evitam todas as perdas na Lightning.

Elas protegem principalmente contra violações de estados revogados de canais enquanto o usuário está offline.

Um quarto equívoco é pensar que watchtowers tornam backups desnecessários.

Backups e watchtowers resolvem problemas diferentes.

Um quinto equívoco é pensar que todas as watchtowers são idênticas.

Implementações, protocolos, serviços e configurações diferentes podem ter recursos e limitações distintos.

Um sexto equívoco é pensar que usar uma watchtower garante segurança.

A watchtower precisa estar online, acessível, compatível e configurada corretamente para ser útil.

Watchtower em termos simples

Uma Watchtower é como um segurança de um canal Lightning.

Ela monitora a blockchain do Bitcoin enquanto seu nó Lightning pode estar offline.

Se seu parceiro de canal tentar fechar o canal com um estado antigo, a watchtower poderá publicar uma transação de justiça.

Essa transação de justiça pune o fechamento indevido e ajuda a proteger seus fundos.

A watchtower não deve precisar de sua frase de recuperação.

A watchtower não deve manter suas moedas.

Ela só precisa de dados criptografados de violação e da capacidade de monitorar a blockchain.

Ela é útil para usuários Lightning em autocustódia que não conseguem manter um nó online o tempo todo.

Para iniciantes, a regra principal é simples.

Uma watchtower ajuda a proteger canais Lightning contra trapaças com estados antigos, mas precisa ser configurada corretamente e nunca deve ser tratada como substituta completa da segurança do nó.

FAQ

O que é uma Watchtower em cripto?

Uma Watchtower é um serviço de monitoramento que ajuda a proteger canais da Lightning Network observando a blockchain do Bitcoin em busca de transações de fechamento de canais revogadas.

O que uma Watchtower faz?

Ela armazena dados criptografados de violação, monitora a blockchain, detecta possíveis violações de canal e transmite uma transação de justiça quando necessário.

Por que a Lightning Network precisa de Watchtowers?

Os canais Lightning precisam de uma resposta oportuna a violações, e watchtowers ajudam a proteger usuários quando seus próprios nós estão offline ou não conseguem responder.

Uma Watchtower mantém meus Bitcoins?

Não. Uma watchtower Lightning devidamente projetada não mantém fundos de usuários e não deve precisar de custódia.

Uma Watchtower precisa da minha frase de recuperação?

Não. Uma watchtower legítima nunca deve pedir frase de recuperação, chave privada ou frase de recuperação da carteira.

O que é uma violação de canal?

Uma violação de canal ocorre quando um participante de um canal Lightning transmite uma transação de compromisso antiga e revogada.

O que é uma transação de justiça?

Uma transação de justiça é uma transação de penalidade que responde a um estado de canal revogado e ajuda a punir a parte que cometeu a violação.

Uma Watchtower pode evitar todas as perdas na Lightning?

Não. Uma watchtower protege principalmente contra violações de estados revogados e não protege contra todos os riscos de carteira, liquidez, roteamento, backup ou golpes.

O que é uma Watchtower altruísta?

Uma watchtower altruísta fornece monitoramento sem receber uma recompensa dos fundos recuperados do canal.

O que é uma Watchtower com recompensa?

Uma watchtower com recompensa é um design no qual a torre pode receber compensação por responder com sucesso a uma violação.

Posso executar minha própria Watchtower?

Sim. Algumas implementações Lightning permitem que usuários executem watchtowers privadas em infraestrutura separada.

Uma Watchtower deve executar na mesma máquina do meu nó?

Geralmente é melhor executar uma watchtower privada em máquina, rede ou local separados, para que ela possa permanecer online se o nó principal falhar.

Posso usar mais de uma Watchtower?

Sim. Usar várias watchtowers pode melhorar a redundância, embora possa criar mais compensações operacionais e de privacidade.

Quais informações uma Watchtower aprende?

Com designs de blobs criptografados, uma watchtower não deve ver saldos completos dos canais ou detalhes de pagamentos normais, mas pode aprender metadados, como frequência de atualizações e eventos de violação.

Qual é o principal risco de usar uma Watchtower?

O principal risco é depender de uma watchtower que esteja offline, mal configurada, incompatível ou não seja confiável durante a janela de violação.

Uma Watchtower é igual a um explorador de blocos?

Não. Um explorador de blocos é principalmente uma ferramenta de visualização, enquanto uma watchtower monitora ativamente violações e pode transmitir transações defensivas.

Watchtower é usada apenas na Lightning?

O termo é mais usado para a segurança da Lightning Network, mas ideias de monitoramento semelhantes também podem ser aplicadas a vaults e outros sistemas de defesa em blockchain.

Como saber se minha Watchtower está funcionando?

Os usuários devem seguir a documentação oficial de sua implementação Lightning, verificar sessões de torres ativas, monitorar logs e confirmar que o cliente está enviando corretamente os dados de violação.

Conclusão

Uma Watchtower é uma importante ferramenta de segurança para a Lightning Network do Bitcoin.

Ela ajuda a proteger fundos em canais de pagamento quando um nó Lightning está offline, desconectado ou não consegue monitorar sozinho a blockchain do Bitcoin.

Sua principal função é detectar estados revogados de canais e transmitir uma transação de justiça antes do encerramento da janela de violação.

Isso torna a Lightning mais segura para usuários que não conseguem manter seu próprio nó online o tempo todo.

Uma watchtower devidamente projetada não precisa custodiar fundos de usuários.

Ela não precisa de uma frase de recuperação.

Ela não precisa de chaves privadas da carteira.

Ela funciona armazenando dados criptografados de reparação de violação e usando-os apenas se uma violação correspondente aparecer on-chain.

Watchtowers podem ser privadas, de terceiros, altruístas, baseadas em recompensa, integradas ao software de nós Lightning ou implementadas por sistemas externos de watchtower.

Elas são úteis, mas não são mágicas.

Elas devem estar online, configuradas corretamente, ser compatíveis com o cliente e conseguir transmitir a transação a tempo.

Elas também não substituem bons backups, segurança de carteira, manutenção de nós, gestão de liquidez ou atenção a golpes.

A ideia mais ampla de uma watchtower também é relevante além da Lightning, pois muitos sistemas cripto precisam de monitoramento automatizado e resposta defensiva.

Em termos simples, uma Watchtower é uma sentinela de segurança da blockchain.

Para usuários da Lightning, ela é um dos exemplos mais claros de como a autocustódia pode ser aprimorada com infraestrutura de segurança especializada sem abrir mão do controle dos fundos.