Ключи администратора и мультиподпись

Поверхность привилегий в программах Raydium — что может делать каждый администратор, как устроена мультиподпись и как проверить на цепи, кто в данный момент занимает каждую роль.

Эта страница переведена с помощью ИИ. За эталон принимается английская версия.

Открыть английскую версию →

Каждая программа Raydium имеет как минимум одну привилегированную роль — ключ, который может обновить программу, создать новые конфигурации или вывести комиссии протокола. Минимизация возможностей этих ролей (и защита их мультиподписями с задержками) — основная защита от скомпрометированного администратора. На этой странице перечислены роли и способы их защиты на практике.

​

Роли по программам

​

AMM v4

Роль	Адрес полномочия	Что может делать
Обновление программы	Squads мультиподпись (3/4)	Развернуть новый байт-код программы
Администратор пула	Treasury мультиподпись (3/5)	Переключать статус пула, обновлять комиссии существующих пулов

​

CPMM

Роль	Адрес полномочия	Что может делать
Обновление программы	Squads мультиподпись (3/4)	Развернуть новый байт-код программы
Администратор AmmConfig	Treasury мультиподпись (3/5)	Создавать новые AmmConfigs (уровни комиссий); переключать существующие
Получатель комиссии за создание пула	Treasury мультиподпись (3/5)	Получать единовременную комиссию за создание пула
Создатель Permission-PDA	Программный admin или выделенный владелец create-permission-PDA (разные значения на mainnet и devnet)	Вызывать CreatePermissionPda для предоставления полномочия доступа к InitializeWithPermission. С обновления 2026-09 выделенный владелец может также вызывать ClosePermissionPda, поэтому он как предоставляет, так и отзывает доступ; до этого обновления отзыв был доступен только администратору.

Сбор комиссии создателя не вводит привилегированную роль. CollectCreatorFeePermissionless принимает любого плательщика, ограничивает владельца получателя на PoolState.pool_creator и ограничивает оба назначения каноническими ATA этого создателя. Вызывающий может финансировать отсутствующие ATA и запустить сбор, но не может перенаправить комиссии.

​

CLMM

Роль	Адрес полномочия	Что может делать
Обновление программы	Squads мультиподпись (3/4)	Развернуть новый байт-код программы
Администратор AmmConfig	Treasury мультиподпись (3/5)	Создавать/изменять AmmConfigs
Администратор DynamicFeeConfig	Treasury мультиподпись (3/5)	CreateDynamicFeeConfig / UpdateDynamicFeeConfig — калибровать уровни динамической комиссии, которые может выбрать вызов CreateCustomizablePool
Сборщик избыточных lamports	Программный admin или выделенный кошелек для сбора lamports (разные значения на mainnet и devnet)	CollectExcessLamports: собрать lamports сверх минимума для освобождения от аренды из PoolState одного пула и хранилищ, плюс любые CLMM-принадлежащие PDA, переданные в качестве аргументов. Перемещает только lamports, никогда не перемещает балансы токенов и не может закрывать счета. Добавлено 2026-09-30.
limit_order_admin (на уровне программы)	Горячий кошелек для операций вне цепи, не мультиподпись	Расчет и закрытие лимитных ордеров от имени их владельцев. Ключ keeper — это единственная константа на уровне программы (разные значения на mainnet и devnet), проверяется через signer == limit_order.owner || signer == limit_order_admin::ID на SettleLimitOrder / CloseLimitOrder. Выход всегда попадает в ATA исходного владельца; keeper не может перенаправить средства, изменить ордеры или открыть новые.

Создание дополнительных пулов для пары по адресу, производному от seed_index (CreateCustomizablePoolV2), не требует роли. До обновления 2026-10-22 требовалась Permission PDA, выданная выделенным ключом permission_pda_admin; эта роль, счет Permission и его две инструкции администратора были удалены.

limit_order_admin — это намеренно узкая операционная роль. Она существует, чтобы внецепной keeper мог собирать заполненные ордеры без необходимости быть в сети владельцу ордера. Ключ keeper горячий (находится на VM keeper) и ротируется независимо от мультиподписей выше. Конкретно, полномочие keeper ограничено:

• SettleLimitOrder — отправить заполненный выход ордера в ATA владельца по лимитной цене ордера.
• CloseLimitOrder — закрыть счет полностью расчетного ордера для возврата аренды (аренда идет владельцу ордера).

Он не может вызывать OpenLimitOrder, IncreaseLimitOrder, DecreaseLimitOrder, изменять какие-либо поля пула или подписывать какую-либо другую инструкцию — эти проверки применяются на цепи через ограничения seed и has_one в структе Accounts инструкции. Скомпрометированный keeper в худшем случае может быть недоступен (ордеры остаются припаркованы, пока владелец не расчитает их сам) или расчитать/закрыть законно заполняемые ордеры не по порядку; он не может переместить пользовательские средства куда-либо, кроме того, куда владелец уже их авторизовал.

​

Farm v6

Роль	Адрес полномочия	Что может делать
Обновление программы	Squads мультиподпись (3/4)	Развернуть новый байт-код программы
Создатель фермы (за ферму)	Кошелек создателя фермы	Финансировать хранилища вознаграждений, продлевать расписания, возвращать неиспользованные вознаграждения

Отдельные фермы не имеют администратора протокола — каждой фермой управляет только ее создатель, и возможности создателя ограничены (не может захватить ставки пользователей, не может изменить mint для ставок).

​

LaunchLab

Роль	Адрес полномочия	Что может делать
Обновление программы	Squads мультиподпись (3/4)	Развернуть новый байт-код программы
Администратор программы	Общий администратор Raydium	Создавать и обновлять счета GlobalConfig; работать с другими путями только для администраторов
Создатель делегированной конфигурации	Выделенный полномочный орган для конкретного кластера	Создать новый GlobalConfig; не может обновлять существующую конфигурацию
Администратор платформы	Полномочный орган seed PDA для одного PlatformConfig	Обновлять параметры платформы и создавать или закрывать счета PlatformAllowConfig этой платформы
Создатель запуска (за запуск)	Кошелек создателя запуска	Требовать комиссии создателя кривой связывания; получает права на комиссию создателя CPMM только когда платформа не переопределяет platform_cp_creator

Список разрешений администратора платформы самоограничивается: он ограничивает, какие счета GlobalConfig запуски под этой платформой могут использовать. Он не предоставляет полномочия над другими платформами или существующими средствами запуска. Канонические адреса делегированного полномочия находятся в reference/program-addresses.

​

Полномочие обновления программы

Программы Raydium используют стандартный механизм обновления BPF Loader v3 Solana. Полномочие обновления для всех программ — это мультиподпись 3/4 Squads.

Почему 3/4: достаточно подписантов, чтобы одного компрометирования было недостаточно; достаточно мало, чтобы координировать законное обновление было практично. Четыре полномочия независимы, изолированы от сети, холодные устройства, удерживаемые членами основной команды. Последовательное подписание предотвращает параллельные одобрения одной и той же транзакции; транзакции имеют фиксированное окно истечения. Операции мультиподписи периодически проверяются в партнерстве с STRIDE Program Solana (Asymmetric Research).

​

Удаление полномочия обновления

Raydium не установил полномочие обновления ни одной программы на null. Протокол работает на принципе, что программы должны быть обновляемы (для исправления ошибок, добавления расширений, таких как Token-2022, исправления дрейфа интеграции). Компромисс: пользователи доверяют, что мультиподпись 3/4 будет развертывать только хорошо проверенные обновления.

Ни одна программа Raydium в настоящее время не заморожена и не движется достаточно медленно, чтобы рассматриваться как неизменяемая альтернатива — AMM v4, исторически самая статичная из них, сама была переразвернута 2026-07-22. Последний развернутый слот для каждой программы является общедоступным; прочитайте его перед предположением, что какая-либо из них неактивна:

Программа	Последнее развертывание (mainnet)
LaunchLab	2026-09-02
CPMM / CLMM / AMM Routing	2026-08-17
AMM v4	2026-07-22
Stable AMM	2026-06-22
Lock (Burn & Earn)	2025-08-23
Farm v6	2024-05-13

(Из счета ProgramData каждой программы; solana program show <PROGRAM_ID> сообщает тот же слот.)

​

Полномочие администратора AmmConfig

Каждое создание нового AmmConfig имеет разрешение — мультиподпись 3/5 treasury авторизует новые уровни комиссий и интервалы tick. Существующие пулы ссылаются на свой AmmConfig по PDA; уровень комиссии пула — это то, что говорит AmmConfig.

Могут ли администраторы изменить существующий AmmConfig? Да, технически. updateAmmConfig может быть вызван администратором. На практике изменения развернутых AmmConfigs избегаются, потому что это молча изменяет экономику всех пулов, использующих эту конфигурацию. Политика протокола — создать новый AmmConfig для любого изменения и выполнить миграцию.

Могут ли администраторы украсть комиссии протокола через конфигурацию? Нет — AmmConfig содержит параметры комиссии, но не получателя комиссии протокола; это отдельный неизменяемый адрес для каждого пула.

​

Требование комиссии протокола

Часть комиссий за swap (обычно 3–12 bps из 25 bps комиссии за swap, в зависимости от конфигурации) накапливается в хранилище комиссии протокола. Мультиподпись может вывести эти накопленные комиссии. Пользователи никогда не видят изменения своего баланса LP из-за этого — это предварительно выделенная доля протокола, а не деньги LP.

​

Полномочие создателя фермы

Фермы v6 дают создателю возможность:

• Финансировать хранилище вознаграждений (добавить больше токенов).
• Продлевать расписание (отодвинуть время окончания позже).
• Вызывать withdrawReward после времени окончания для возврата неиспользованного баланса хранилища.

Создатели ферм не могут:

• Вывести поставленный пользователем LP.
• Изменить mint для ставок.
• Изменить коэффициенты эмиссии ретроактивно (только перспективно через setRewards).
• Заморозить сбор урожая пользователями.

Злонамеренный создатель фермы может в худшем случае недофинансировать хранилище, чтобы ферма иссякла; основная ставка пользователя всегда в безопасности.

​

Конфигурация мультиподписи Squads

Raydium работает с двумя отдельными мультиподписями Squads для различных поверхностей риска. Обе можно проверить на цепи через пользовательский интерфейс Squads Protocol.

Мультиподпись	Порог	Timelock	Область
Обновление программы	3/4	24 часа	Единственный полномочный орган для развертывания нового байт-кода программы для AMM v4, CPMM, CLMM, LaunchLab, Lock, AMM Routing, Stable Swap и устаревших программ Farm/Staking. Просмотр на app.squads.so/.../FytDr…ceZQK.
Treasury	3/5	нет	Активы казны, доход протокола, операционные расходы. Также держит ограниченный полномочный орган администратора программы Raydium (создание AmmConfigs, сбор комиссий протокола, конфигурирование параметров пула) на данный момент. Просмотр на v3.squads.so/dashboard/RVha…dHdtYz09.

Операционные свойства мультиподписи обновления:

• 24-часовой timelock на любую транзакцию. Обновление, одобренное сегодня, выполняется не ранее чем через 24 часа, давая пользователям время для ответа.
• Подписание на изолированных холодных устройствах. Холодные устройства имеют физически удаленные сетевые карты; они подключаются только к аппаратному кошельку и читают данные транзакции через QR-код с отдельного горячего устройства.
• Последовательное подписание. Только после того, как одно холодное устройство создаст и подпишет транзакцию, следующее холодное устройство может начать свой процесс подписания — предотвращая конфликтующие или параллельные подписи на одной и той же транзакции.
• Истечение транзакции. Каждая транзакция имеет фиксированное окно истечения, поэтому устаревшие транзакции автоматически становятся недействительными.
• Принудительное применение TOTP + физического ключа на горячих устройствах, используемых для инициирования транзакций и трансляции на цепь.
• Очередь общедоступных транзакций. Любой может отслеживать ожидающие обновления в пользовательском интерфейсе Squads.

Мультиподпись treasury не имеет timelock — ее область уже и рутинные операции (создание AmmConfigs, сбор комиссий) должны выполняться в тот же день. Мультиподпись treasury также держит ограниченный полномочный орган администратора программы, указанный в таблицах для каждой программы выше; это временное расположение и периодически проверяется с партнерами по безопасности проекта.

​

Проверка полномочий в цепи

Самый простой способ проверить текущий орган обновления программы:

solana program show <PROGRAM_ID>

Вывод включает:

Program Id:          CPMMoo8L3F4NbTegBCKVNunggL7H1ZpdTHKxQB5qKP1C
Owner:               BPFLoaderUpgradeab1e11111111111111111111111
ProgramData Address: <ProgramDataPDA>
Authority:           <EXPECTED_MULTISIG_ADDRESS>
Last Deployed In Slot: <slot>
Data Length: <n> bytes

Если Authority не совпадает с ожидаемым адресом мультиподписи Squads, что-то не так. Raydium публикует ожидаемые адреса органов на странице reference/program-addresses.

Для ролей администратора AmmConfig / пула получите учётную запись в цепи и декодируйте её:

import { CpmmConfigInfoLayout } from "@raydium-io/raydium-sdk-v2";

const info = await connection.getAccountInfo(configPda);
const config = CpmmConfigInfoLayout.decode(info!.data);
console.log("protocol owner:", config.protocolOwner.toBase58());
console.log("fund owner:",     config.fundOwner.toBase58());

AmmConfig не имеет поля admin — администратор программы — это открытый ключ, скомпилированный в программу (crate::admin::ID), а операционные органы для каждой конфигурации — это protocolOwner / fundOwner. Орган обновления BPF — это отдельная проблема уровня загрузчика; прочитайте его с помощью solana program show.

​

История изменений полномочий

Дата	Программа	Изменение
2022-12	AMM v4	Орган обновления перенесён с однопользовательской подписи на мультиподпись 3/4 после инцидента
2023-02	Все программы	Все операционные роли объединены под мультиподпись казначейства 3/5
2023-11	CLMM	Добавлена вторая мультиподпись для операций только с вознаграждениями, чтобы снизить риск
2024-05	CPMM	Первоначальное развёртывание с органом мультиподписи с первого дня

​

Рекомендации для пользователей

Что вам следует делать как пользователю/LP/интегратору?

1. Проверьте орган обновления перед крупными выделениями средств. Убедитесь, что он совпадает с документированной мультиподписью.
2. Отслеживайте активность мультиподписи. Интерфейс Squads показывает ожидающие транзакции; запланированное обновление даёт вам 24 часа на отмену, если вы не согласны с изменением.
3. Стратегии погашения с учётом временной блокировки. Если вы запускаете автоматический компаундер, убедитесь, что ваш путь отмены не требует инструкции, которая изменяется.
4. Не предполагайте неизменяемость программы. Каждая программа Raydium может быть обновлена; планируйте это.

​

Ловушки для интеграторов

​

1. Кэширование адресов органов

Если вы жёстко закодируете адрес органа обновления или адрес мультиподписи администратора в своём коде, а позже он изменится, ваша проверка не пройдёт. Получайте данные со страницы reference/program-addresses во время выполнения или обновляйте периодически.

​

2. Предположение об устойчивости AmmConfigs

Новый AmmConfig может быть создан в любой момент. Ваш агрегатор/маршрутизатор должен периодически повторно получать полный список конфигураций (ежечасно достаточно).

​

3. Векторы атак создателя фермы

Если вы вносите средства в ферму с низкой репутацией, создатель может завершить ферму раньше и вернуть хранилище вознаграждений (при условии, что никто ещё не внёс средства). После того как пользователи внесли средства, пропорциональные права обеспечиваются программой; возврат получает только остаток после рационального завершения.

​

Ссылки

• reference/program-addresses — канонические адреса органов.
• security/attack-vectors — как проявляются компрометации администратора.
• ray/treasury — адреса казначейства и сбора комиссий.
• security/disclosure — сообщение о подозреваемых проблемах администратора.

Источники:

• Squads Protocol — интерфейс мультиподписи.
• Документация программ и загрузчиков Solana — механизм обновления и способ отзыва органа обновления для создания неизменяемой программы.