مفاتيح المسؤول والتوقيع المتعدد

سطح السلطة عبر برامج Raydium — ما يمكن لكل مسؤول فعله، وكيفية هيكلة التوقيع المتعدد، وكيفية التحقق على السلسلة من يحمل كل دور حالياً.

هذه الصفحة مُترجَمة آليًا بواسطة الذكاء الاصطناعي. النسخة الإنجليزية هي المرجع المعتمد.

عرض النسخة الإنجليزية →

لكل برنامج من برامج Raydium دور امتياز واحد على الأقل — مفتاح يمكنه ترقية البرنامج أو إنشاء تكوينات جديدة أو سحب رسوم البروتوكول. تقليل ما يمكن لهذه الأدوار فعله (وحمايتها خلف توقيعات متعددة مع تأخيرات) هو الدفاع الأساسي ضد مسؤول مخترق. تُفصّل هذه الصفحة الأدوار وكيفية تأمينها عملياً.

​

الأدوار حسب البرنامج

​

AMM v4

الدور	عنوان السلطة	ما يمكنه فعله
ترقية البرنامج	Squads multisig (3/4)	نشر بايتكود البرنامج الجديد
مسؤول المجموعة	Treasury multisig (3/5)	تبديل حالة المجموعة، تحديث الرسوم على المجموعات الموجودة

​

CPMM

الدور	عنوان السلطة	ما يمكنه فعله
ترقية البرنامج	Squads multisig (3/4)	نشر بايتكود البرنامج الجديد
مسؤول AmmConfig	Treasury multisig (3/5)	إنشاء AmmConfigs جديدة (فئات الرسوم)؛ تبديل الموجودة
متلقي رسوم إنشاء المجموعة	Treasury multisig (3/5)	استقبال رسوم إنشاء المجموعة لمرة واحدة
منشئ Permission-PDA	برنامج admin أو مالك create-permission-PDA مخصص (قيمة مختلفة على mainnet مقابل devnet)	استدعاء CreatePermissionPda لمنح سلطة وصول إلى InitializeWithPermission. منذ ترقية 2026-09 يمكن للمالك المخصص أيضاً استدعاء ClosePermissionPda، لذا فهو يمنح ويلغي؛ قبل تلك الترقية كان الإلغاء حكراً على المسؤول.

جمع رسوم المنشئ لا يقدم دور امتياز. CollectCreatorFeePermissionless يقبل أي دافع، يقيد مالك المستقبل إلى PoolState.pool_creator، ويقيد كلا الوجهتين إلى ATAs الكنسية لذلك المنشئ. يمكن للمتصل تمويل ATAs المفقودة وتشغيل الكنس لكن لا يمكنه إعادة توجيه الرسوم.

​

CLMM

الدور	عنوان السلطة	ما يمكنه فعله
ترقية البرنامج	Squads multisig (3/4)	نشر بايتكود البرنامج الجديد
مسؤول AmmConfig	Treasury multisig (3/5)	إنشاء/تعديل AmmConfigs
مسؤول DynamicFeeConfig	Treasury multisig (3/5)	CreateDynamicFeeConfig / UpdateDynamicFeeConfig — معايرة فئات الرسوم الديناميكية التي قد تختار استدعاء CreateCustomizablePool الانضمام إليها
جامع lamports الزائدة	برنامج admin أو محفظة collect-lamports مخصصة (قيمة مختلفة على mainnet مقابل devnet)	CollectExcessLamports: كنس lamports فوق الحد الأدنى المعفي من الإيجار من PoolState وخزائن مجموعة واحدة، بالإضافة إلى أي PDAs مملوكة لـ CLMM تم تمريرها. ينقل lamports فقط، لا توازن الرموز أبداً، ولا يمكنه إغلاق الحسابات. تمت الإضافة 2026-09-30.
limit_order_admin (على مستوى البرنامج)	محفظة تشغيلية ساخنة خارج السلسلة، وليس توقيع متعدد	تسوية وإغلاق أوامر الحد نيابة عن أصحابها. مفتاح الحارس هو ثابت برنامج واحد على مستوى البرنامج (قيمة مختلفة على mainnet مقابل devnet)، يتم التحقق منه عبر signer == limit_order.owner || signer == limit_order_admin::ID على SettleLimitOrder / CloseLimitOrder. الإخراج يهبط دائماً في ATA المالك الأصلي؛ لا يمكن للحارس إعادة توجيه الأموال أو تعديل الأوامر أو فتح أوامر جديدة.

إنشاء مجموعات إضافية لزوج في عنوان مشتق من seed_index (CreateCustomizablePoolV2) لا يحتاج إلى دور. قبل ترقية 2026-10-22 كانت تتطلب PDA Permission صادرة عن مفتاح permission_pda_admin مخصص؛ تم حذف ذلك الدور وحساب Permission وتعليماته الإدارية الاثنتان.

limit_order_admin هو دور تشغيلي ضيق متعمد. يوجد بحيث يمكن لحارس خارج السلسلة كنس الأوامر المملوءة دون الحاجة إلى أن يكون صاحب الأمر متصلاً. مفتاح الحارس ساخن (يعيش على VM الحارس) ويتم تدويره بشكل مستقل عن التوقيعات المتعددة أعلاه. بشكل ملموس، سلطة الحارس محدودة بـ:

• SettleLimitOrder — دفع إخراج الأمر المملوء إلى ATA المالك بسعر حد الأمر.
• CloseLimitOrder — إغلاق حساب أمر مستقر بالكامل لاسترجاع الإيجار (الإيجار يذهب إلى مالك الأمر).

لا يمكنه استدعاء OpenLimitOrder أو IncreaseLimitOrder أو DecreaseLimitOrder أو تعديل أي حقل مجموعة أو التوقيع على أي تعليمة أخرى — يتم فرض هذه الفحوصات على السلسلة بواسطة قيود البذرة و has_one في هيكل Accounts للتعليمة. في أسوأ الحالات، يمكن لحارس مخترق أن يكون غير متاح (تبقى الأوامر متوقفة حتى يقوم المالك بتسويتها بنفسه) أو تسوية/إغلاق أوامر قابلة للملء بشرعية بترتيب مختلف؛ لا يمكنه نقل أموال المستخدم إلى أي مكان آخر غير حيث أذن به المالك بالفعل.

​

Farm v6

الدور	عنوان السلطة	ما يمكنه فعله
ترقية البرنامج	Squads multisig (3/4)	نشر بايتكود البرنامج الجديد
منشئ المزرعة (لكل مزرعة)	محفظة منشئ المزرعة	تمويل خزائن المكافآت، تمديد الجداول الزمنية، استرجاع المكافآت غير المستخدمة

المزارع الفردية ليس لديها مسؤول بروتوكول — يتحكم منشئ كل مزرعة فقط في مزرعته، وسلطات المنشئ محدودة (لا يمكنه الاستيلاء على حصص المستخدم، لا يمكنه تغيير رمز الرهن).

​

LaunchLab

الدور	عنوان السلطة	ما يمكنه فعله
ترقية البرنامج	Squads multisig (3/4)	نشر بايتكود البرنامج الجديد
مسؤول البرنامج	مسؤول Raydium المشترك	إنشاء وتحديث حسابات GlobalConfig؛ تشغيل مسارات إدارية أخرى
منشئ تكوين مفوض	سلطة خاصة بالعنقود	إنشاء GlobalConfig جديد؛ لا يمكنه تحديث تكوين موجود
مسؤول المنصة	سلطة بذرة PDA لـ PlatformConfig واحد	تحديث إعدادات المنصة وإنشاء أو إغلاق حسابات PlatformAllowConfig لتلك المنصة
منشئ الإطلاق (لكل إطلاق)	محفظة منشئ الإطلاق	المطالبة برسوم منشئ منحنى الربط؛ يستقبل حقوق رسوم منشئ CPMM فقط عندما لا تتجاوز المنصة platform_cp_creator

قائمة السماح لمسؤول المنصة تقيد نفسها بنفسها: فهي تحد من حسابات GlobalConfig التي قد تستخدمها الإطلاقات تحت تلك المنصة. لا تمنح سلطة على منصات أخرى أو أموال إطلاق موجودة. تعيش عناوين السلطة المفوضة الكنسية في reference/program-addresses.

​

سلطة ترقية البرنامج

تستخدم برامج Raydium آلية ترقية BPF Loader v3 القياسية في Solana. سلطة الترقية لجميع البرامج هي Squads multisig 3/4.

لماذا 3/4: عدد كافٍ من الموقعين بحيث لا يكون الاختراق الواحد كافياً؛ قليل بما يكفي بحيث يكون تنسيق ترقية شرعية قابلة للتتبع. الأربع سلطات مستقلة، موقعون على أجهزة باردة معزولة يحتفظ بها أعضاء الفريق الأساسي. التوقيع المتسلسل يمنع الموافقات المتوازية على نفس المعاملة؛ تحمل المعاملات نافذة انتهاء صلاحية ثابتة. يتم مراجعة عمليات Multisig بشكل دوري بالشراكة مع برنامج STRIDE في Solana (Asymmetric Research).

​

إزالة سلطة الترقية

لم تقم Raydium بتعيين سلطة ترقية أي برنامج إلى null. يعمل البروتوكول تحت مبدأ أن البرامج تحتاج إلى أن تكون قابلة للترقية (لإصلاح الأخطاء، إضافة امتدادات مثل Token-2022، إصلاح انجراف التكامل). المقايضة: يثق المستخدمون بأن Squads multisig 3/4 سيقوم فقط بنشر ترقيات مراجعة جيداً.

لا يوجد برنامج Raydium متجمد حالياً أو بطيء الحركة بما يكفي ليتم التعامل معه كبديل ثابت — AMM v4، تاريخياً الأكثر ثباتاً منهم، تم نشره مرة أخرى في 2026-07-22. آخر فتحة نشر لكل برنامج عامة؛ اقرأها قبل افتراض أن أياً منها نائم:

البرنامج	آخر نشر (mainnet)
LaunchLab	2026-09-02
CPMM / CLMM / AMM Routing	2026-08-17
AMM v4	2026-07-22
Stable AMM	2026-06-22
Lock (Burn & Earn)	2025-08-23
Farm v6	2024-05-13

(من حساب ProgramData لكل برنامج؛ solana program show <PROGRAM_ID> يُبلّغ عن نفس الفتحة.)

​

سلطة AmmConfig

إنشاء كل AmmConfig جديد له إذن — يصرح Squads multisig 3/5 بفئات رسوم وتباعد علامات جديدة. تشير المجموعات الموجودة إلى AmmConfig الخاص بها بواسطة PDA؛ فئة رسوم المجموعة هي ما يقوله AmmConfig.

هل يمكن للمسؤولين تغيير AmmConfig موجود؟ نعم، من الناحية التقنية. updateAmmConfig قابل للاستدعاء من قبل المسؤول. عملياً، يتم تجنب التعديلات على AmmConfigs المنشورة لأنها تغير اقتصاديات جميع المجموعات التي تستخدم هذا التكوين بصمت. سياسة البروتوكول هي إنشاء AmmConfig جديد لأي تغيير والهجرة.

هل يمكن للمسؤولين سرقة رسوم البروتوكول عبر التكوين؟ لا — يحتوي AmmConfig على معاملات الرسوم لكن ليس متلقي رسوم البروتوكول؛ هذا عنوان منفصل ثابت لكل مجموعة.

​

مطالبة رسوم البروتوكول

جزء من رسوم المبادلة (عادة 3–12 bps من 25 bps رسوم المبادلة، حسب التكوين) يتراكم في خزينة رسوم البروتوكول. يمكن للـ multisig سحب هذه الرسوم المتراكمة. لا يرى المستخدمون رصيد LP الخاص بهم يتغير من هذا — إنها حصة البروتوكول المخصصة مسبقاً، وليس أموال LP.

​

سلطة منشئ المزرعة

تمنح Farms v6 المنشئ القوة لـ:

• تمويل خزينة المكافآت (إضافة المزيد من الرموز).
• تمديد الجدول الزمني (دفع وقت الانتهاء لاحقاً).
• استدعاء withdrawReward بعد وقت الانتهاء لاسترجاع رصيد الخزينة غير المستخدم.

منشئو المزارع لا يمكنهم:

• سحب LP المراهن من المستخدم.
• تغيير رمز الرهن.
• تغيير معدلات الانبعاث بأثر رجعي (فقط للأمام عبر setRewards).
• تجميد حصاد المستخدم.

يمكن لمنشئ مزرعة خبيث في أسوأ الحالات عدم تمويل الخزينة بشكل كافٍ بحيث تجف المزرعة؛ حصة المستخدم الأساسية آمنة دائماً.

​

تكوين Squads multisig

تشغل Raydium اثنين من Squads multisigs منفصلين لسطح مخاطر مختلف. يمكن فحص كليهما على السلسلة عبر واجهة Squads Protocol.

Multisig	الحد الأدنى	Timelock	النطاق
ترقية البرنامج	3/4	24 ساعة	السلطة الوحيدة لنشر بايتكود برنامج جديد لـ AMM v4 و CPMM و CLMM و LaunchLab و Lock و AMM Routing و Stable Swap وبرامج Farm/Staking القديمة. عرض في app.squads.so/.../FytDr…ceZQK.
الخزينة	3/5	لا يوجد	أصول الخزينة، إيرادات البروتوكول، النفقات التشغيلية. تحتفظ أيضاً بسلطة برنامج-مسؤول محدودة من Raydium (إنشاء AmmConfigs، كنس رسوم البروتوكول، تكوين معاملات المجموعة) في الوقت الحالي. عرض في v3.squads.so/dashboard/RVha…dHdtYz09.

الخصائص التشغيلية لـ multisig الترقية:

• 24 ساعة timelock على أي معاملة. ترقية موافق عليها اليوم لا تُنفذ قبل 24 ساعة على الأقل، مما يعطي المستخدمين وقتاً للرد.
• توقيع على أجهزة باردة معزولة. الأجهزة الباردة لديها بطاقات شبكة تمت إزالتها فعلياً؛ تتصل فقط بمحفظة أجهزة وتقرأ بيانات المعاملة عبر رمز QR من جهاز ساخن منفصل.
• التوقيع المتسلسل. فقط بعد أن يقوم جهاز بارد واحد بإنشاء وتوقيع معاملة يمكن لجهاز بارد التالي البدء في عملية التوقيع الخاصة به — منع التوقيعات المتضاربة أو المتوازية على نفس المعاملة.
• انتهاء صلاحية المعاملة. كل معاملة تحمل نافذة انتهاء صلاحية ثابتة، لذا تُلغي المعاملات القديمة تلقائياً.
• فرض TOTP + مفتاح فعلي على الأجهزة الساخنة المستخدمة لبدء المعاملة والبث على السلسلة.
• قائمة انتظار معاملات عامة. يمكن لأي شخص مراقبة الترقيات المعلقة على واجهة Squads.

لا يحتوي Squads multisig للخزينة على timelock — نطاقه أضيق والعمليات الروتينية (إنشاء AmmConfigs، كنس الرسوم) تحتاج إلى الهبوط في نفس اليوم. يحتفظ Squads multisig للخزينة أيضاً بسلطة برنامج-مسؤول محدودة المدرجة في جداول البرنامج لكل برنامج أعلاه؛ هذا ترتيب مؤقت ويتم مراجعته بشكل دوري مع شركاء أمان المشروع.

​

التحقق من الصلاحية على السلسلة

أبسط طريقة للتحقق من سلطة الترقية الحالية للبرنامج:

solana program show <PROGRAM_ID>

يتضمن الناتج:

Program Id:          CPMMoo8L3F4NbTegBCKVNunggL7H1ZpdTHKxQB5qKP1C
Owner:               BPFLoaderUpgradeab1e11111111111111111111111
ProgramData Address: <ProgramDataPDA>
Authority:           <EXPECTED_MULTISIG_ADDRESS>
Last Deployed In Slot: <slot>
Data Length: <n> bytes

إذا لم تكن Authority هي عنوان multisig المتوقع من Squads، فهناك خطأ ما. تنشر Raydium عناوين الصلاحيات المتوقعة على reference/program-addresses.

بالنسبة لأدوار AmmConfig / pool admin، اجلب الحساب على السلسلة وفك تشفيره:

import { CpmmConfigInfoLayout } from "@raydium-io/raydium-sdk-v2";

const info = await connection.getAccountInfo(configPda);
const config = CpmmConfigInfoLayout.decode(info!.data);
console.log("protocol owner:", config.protocolOwner.toBase58());
console.log("fund owner:",     config.fundOwner.toBase58());

لا يحتوي AmmConfig على حقل admin — برنامج admin هو مفتاح عام مُترجَم في البرنامج (crate::admin::ID)، والسلطات التشغيلية لكل config هي protocolOwner / fundOwner. سلطة ترقية BPF منفصلة وتتعلق بمستوى المُحمِّل؛ اقرأها باستخدام solana program show.

​

تغييرات الصلاحية التاريخية

التاريخ	البرنامج	التغيير
2022-12	AMM v4	تم نقل سلطة الترقية من التوقيع الفردي إلى multisig 3/4 بعد الحادثة
2023-02	جميع البرامج	تم توحيد جميع الأدوار التشغيلية تحت multisig الخزانة 3/5
2023-11	CLMM	تمت إضافة multisig ثانٍ لعمليات المكافآت فقط لتقليل التعرض
2024-05	CPMM	النشر الأولي مع سلطة multisig من اليوم الأول

​

الاعتبارات من جانب المستخدم

ماذا يجب أن تفعل كمستخدم / LP / مُدمِج؟

1. تحقق من سلطة الترقية قبل التخصيصات الكبيرة. تأكد من أنها تطابق multisig الموثق.
2. راقب نشاط multisig. واجهة Squads تعرض المعاملات المعلقة؛ ترقية مجدولة تمنحك 24 ساعة للتراجع إذا اختلفت مع التغيير.
3. استراتيجيات الاسترجاع الواعية للقفل الزمني. إذا كنت تشغل auto-compounder، تأكد من أن مسار التراجع لديك لا يتطلب تعليمة يتم تغييرها.
4. لا تفترض عدم قابلية البرنامج للتغيير. يمكن ترقية كل برنامج Raydium؛ خطط لذلك.

​

الأخطاء الشائعة للمُدمِجين

​

1. تخزين عناوين الصلاحيات مؤقتًا

إذا قمت بترميز عنوان سلطة الترقية أو عنوان multisig admin في الكود الخاص بك وتم تدويره لاحقًا، فإن التحقق الخاص بك يفشل. اجلب من reference/program-addresses في وقت التشغيل أو قم بالتحديث بشكل دوري.

​

2. افتراض استقرار AmmConfigs

يمكن إنشاء AmmConfig جديد في أي وقت. يجب على المُجمِّع / الموجِّه الخاص بك إعادة جلب قائمة الإعدادات الكاملة بشكل دوري (كل ساعة مناسب).

​

3. متجهات الحزن من منشئ المزرعة

إذا كنت تودع في مزرعة منخفضة السمعة، يمكن لمنشئها إنهاء المزرعة مبكرًا واسترجاع خزينة المكافآت (بافتراض عدم قيام أي مستخدم بالمراهنة بعد). بمجرد قيام المستخدمين بالمراهنة، يتم فرض الحقوق النسبية من قبل البرنامج؛ الاسترجاع يحصل فقط على الباقي بعد الإنهاء العقلاني.

​

المؤشرات

• reference/program-addresses — عناوين الصلاحيات الموثوقة.
• security/attack-vectors — كيف تظهر تسويات admin.
• ray/treasury — عناوين الخزانة وجمع الرسوم.
• security/disclosure — الإبلاغ عن مشاكل admin المشبوهة.

المصادر:

• Squads Protocol — واجهة multisig.
• وثائق برنامج Solana والمُحمِّل — آلية الترقية، وكيفية إلغاء سلطة الترقية لجعل البرنامج غير قابل للتغيير.