Solana, рынок исполнения и OPSONCHAIN

• Заголовок: «Solana's first VWAP execution layer»
• Архитектура тремя блоками: Data ingest → VWAP engine → Execution router
• DATA-BACKED EXECUTION: «VWAP achieved ≈1.6× better than DCA and ≈2.0× better than the market average. Why? VWAP concentrates flow into deep-liquidity minutes and avoids thin periods where slippage and volatility are worse.»
• FAIL-SAFES & GUARDRAILS: «Per-run notional caps, per-bucket size limits, and kill-switch conditions.»
• FULLY CONFIGURABLE EXECUTION: «Threshold scores, lookback periods, slice size, and risk limits are all tuned to your objectives — whether that's tighter VWAP tracking, faster slices, or strict completion windows.»
• TRANSPARENCY & AUDITABILITY: «All executions exportable as structured logs: timestamp, venue, price, size, and reference VWAP.»
• Кнопка «Request Access», форма с полями Fund / Institution и Amount to be invested. Продажа через звонок, не самообслуживание.

3 ноября 2025: «Solana's next frontier isn't faster swaps — it's recurring execution. Automated flows that let treasuries and buybacks scale liquidity without moving markets. A steady rhythm replacing speculative bursts: the foundation of institutional market structure on-chain.»

10 ноября 2025: «Execution quality is an optimization problem. TWAP/DCA assumes time is the independent variable — fixed intervals, fixed cadence. But in markets, time isn't constant. Liquidity density and volatility fluctuate non-linearly. VWAP reframes the model: volume becomes the weighting function. OpsOnchain uses real-time liquidity data across Solana DEXs to minimize impact cost and align trade flow with market absorption capacity.»

31 октября 2025: «For Whales, DAOs, and Treasuries — horror isn't ghosts. It's getting front-run by bots, bleeding through slippage, and pretending fragmented liquidity is "fine".»

Отсюда три вещи: целевой клиент (киты, DAO, казначейства), боль (фронтран, слиппедж, фрагментация), и метод (VWAP вместо TWAP/DCA).

Основатель — Arjun Panthula (@Arjcr7, Dublin City, Ireland, аккаунт с января 2025, 60 подписчиков).

«Signal-gated» — это те самые «threshold scores» с лендинга: слайс уходит не по таймеру, а когда скор условий (глубина, спред, волатильность, ожидаемый impact) перевалил порог.

Вывод: тебя зовут не на позицию инженера, а закрывать всю технику. Значит и разговаривать надо как кофаундер: не только «я умею», но и «вот что я думаю про продукт, рынок и риски».

• Декабрь 2025 — Honorable Mention в категории DeFi на Colosseum Cypherpunk Hackathon (9000+ участников, 1576 финальных проектов; гран-при взял Unruggable). В списке главных победителей их нет, упоминание в категории есть.
• Февраль 2026 — Jet London.
• Апрель 2026 — round table с Jito (Nick Almond, Brian Smith).
• Май 2026 — питч на MonkeFoundry Demo Day в Майами (инкубатор MonkeDAO), «execution layer of Solana — live on May 4th».
• Орбита: Superteam Ireland, MonkeDAO, Colosseum. Подписаны на партнёров Colosseum, команду Jito, Helius (mert), toly, HumidiFi, Temporal/Harmonic, Steakhouse, a16z crypto.

Для продукта, который продаётся фондам и казначействам через отношения, эта сеть стоит больше, чем алгоритм. Скажи это — это подкупает и это правда.

• TWAP (time-weighted average price) — равные куски через равные промежутки. Просто, предсказуемо, и именно поэтому легко предсказуемо ботами. Плюс он одинаково торгует и в глубокие минуты, и в мёртвые.
• DCA — по сути тот же TWAP в розничной обёртке (купить на N долларов каждый день).
• VWAP (volume-weighted average price) — торгуешь пропорционально ожидаемому профилю объёма: больше там, где рынок исторически глубокий, меньше в тонкие интервалы. Бенчмарк — фактический VWAP рынка за окно; ты «побеждаешь», если купил дешевле него.
• POV (percentage of volume) — держать фиксированную долю от реального объёма (например, 8%). Адаптивный, но не гарантирует завершение к дедлайну.
• Implementation shortfall — честная метрика: разница между ценой в момент принятия решения и фактической средней ценой исполнения, со всеми издержками. Именно её меряют институционалы, а не «слиппедж относительно котировки».
• Participation rate — какую долю объёма рынка ты съел. Ключевой рычаг: чем выше, тем быстрее исполнение и тем больше impact.

В TradFi VWAP считается по консолидированной ленте сделок биржи. Ончейн такой ленты нет: объём размазан по десяткам программ, и, что важнее, ончейн-объём подделывается. Wash-trading на лонг-тейле — норма; HumidiFi, например, стартовал с промывки объёма внутри своих же кошельков не имеет отношения — а вот атакующие Drift именно так рисовали «живой» токен CVT.

29 июля 2026, эпоха 1009 — лимит компьюта блока поднят с 60M до 100M CU (+66%). Автор предложения — Lucas Bruder (Jito), впервые опубликовано на GitHub в мае 2025.

• Пер-аккаунтный лимит оставили 12M CU — специально, чтобы стимулировать параллелизм по разным аккаунтам.
• Время слота осталось 400 мс: пропускную способность не разменяли на латентность.
• Мотивация: около 11% блоков упирались в потолок 60M в пиковые моменты.
• Фон: более 70% валидаторов перешли на XDP (kernel-bypass networking; есть в Agave 4.0+, по умолчанию в Firedancer).

Это отличная деталь для разговора — свежайшая и по делу: для execution-движка потолок блока и лимит на аккаунт напрямую определяют, сколько можно прокачать через один пул за слот.

• TVL DeFi: источники расходятся — ~$5.5 млрд по одной выборке, ~$9.4 млрд по другой (разная методика: со стейкингом или без). Проверь DeFiLlama в день разговора, если будешь называть цифру.
• RWA — главный растущий сюжет: $3+ млрд на Solana (исторический максимум, июнь 2026), кумулятивный объём токенизированных акций $10 млрд (+180% за месяц), дневной рекорд $683 млн.
• Backed/Sunrise листанули токенизированные акции SpaceX ($SPCX) в день IPO — $13 млн аллокации разошлись за 30 минут, $108 млн объёма за сутки. Ondo добавил 173 акции и ETF (всего 430+ активов). Securitize + BNY привели токенизированный CLO-фонд. Moody's вешает кредитные рейтинги ончейн через Alpha Ledger.
• Платежи: Western Union выпустил стейблкоин USDPT на Solana (эмитент Anchorage Digital Bank). Mastercard — расчёты стейблами (3.7 млрд карт, 210+ стран) плюс Agent Pay for Machines. Production-воркфлоу: Visa, PayPal, Stripe, Fiserv, SoFi, State Street, R3. Toss Bank (15 млн клиентов) подписал MOU.
• ETF: американские Solana-ETF показали 12+ дней притока подряд, кумулятивно >$900 млн к февралю 2026.

• У pump.fun graduation rate (доля токенов, доходящих до полноценного пула) упал до 0.26% к неделе 16 июня 2026, активность −80%.
• Дневная выручка pump.fun с нескольких миллионов до ~$800k.
• Средние дневные комиссии сети: 33 000 SOL в январе → ~5300 SOL в июне (−84%).
• При этом в Q1 2026 pump.fun всё ещё дал $124.7 млн из $342.2 млн суммарной выручки приложений (~36%). Кумулятивно они прошли $1 млрд в марте 2026.

Это именно тот нарратив, на котором стоит OPSONCHAIN: лёгкие деньги на спекуляции кончились, сеть двигается к институциональному потоку и RWA. Хорошо звучит в разговоре как «почему сейчас».

Раз транзакция объявляет заранее, какие аккаунты она читает и какие пишет, рантайм может построить граф конфликтов и исполнять непересекающиеся транзакции параллельно на разных ядрах. Это и есть Sealevel. Ethereum исполняет строго последовательно, потому что не знает заранее, куда полезет контракт.

Что из этого следует для трейдинга: два свопа против одного и того же пула конфликтуют по write-lock и сериализуются. «Горячий» аккаунт — это узкое место. Отсюда же и лимит 12M CU на аккаунт в блоке: сколько бы ты ни платил, больше через один пул за блок не прокачаешь.

Раз аккаунты приходят «снаружи», атакующий может подсунуть любой аккаунт. Поэтому программа обязана проверить сама:

• owner — этот аккаунт действительно принадлежит моей программе?
• is_signer — этот аккаунт действительно подписал транзакцию?
• тип — это точно аккаунт того типа, который я жду? (иначе «type cosplay»: структура пользователя читается как структура админа)
• адрес — если это PDA, выведена ли она из правильных сидов с каноническим bump?
• program id при CPI — я вызываю ту программу, которую думаю, а не подставленную?

Anchor закрывает большинство этих проверок декларативно. Native-код не закрывает ничего. Именно на пропущенных проверках построены Cashio ($52.8M) и Crema ($8.8M).

PDA намеренно лежит вне кривой ed25519 — у него нет приватного ключа, поэтому «подписывать» за него может только программа (это называется invoke_signed). Чтобы адрес оказался вне кривой, к сидам добавляют однобайтовый bump.

find_program_address перебирает bump от 255 вниз и возвращает первый подходящий — это канонический bump. Если программа принимает bump как входной параметр и не проверяет каноничность, атакующий может найти другой валидный bump и получить второй легальный PDA под те же сиды — то есть второй «баланс» того же пользователя. Классический баг, называется bump seed canonicalization. В Anchor лечится констрейнтом #[account(seeds = [...], bump)].

Каждый аккаунт в транзакции — это 32 байта публичного ключа. В маршруте через 6 пулов их набирается десятки, и транзакция не влезает.

ALT — ончейн-таблица, хранящая до 256 публичных ключей. Транзакция ссылается на таблицу и указывает однобайтовый индекс вместо 32-байтового ключа: экономия 31 байт на аккаунт. Работает только в versioned-транзакциях v0.

Практически: любой серьёзный роутер на Solana обязан уметь ALT, иначе часть маршрутов ему недоступна физически.

Обычно транзакция содержит recent blockhash и протухает примерно за минуту. Это встроенная защита от replay и от «подписал вчера, отправили через месяц».

Durable nonce — отдельный аккаунт с сохранённым nonce, который заменяет blockhash. Транзакция с ним остаётся валидной сколь угодно долго, пока nonce не использован. Придумано для офлайн-подписи и холодного хранения.

Обычный своп потребляет 150 000+ CU. Обновление котировки у HumidiFi — 143 CU, то есть в тысячу раз дешевле. Это позволяет маркет-мейкеру перекотировать несколько раз в секунду за копейки и при этом ставить высокую цену за CU, чтобы его апдейт попал в блок раньше тейкерской сделки.

Именно поэтому такие обновления пишут на Pinocchio — там нет лишней сериализации.

• Proof of History — не консенсус, а «часы»: непрерывная VDF-цепочка хэшей, дающая проверяемый порядок и время событий до консенсуса.
• Leader schedule — расписание лидеров известно заранее на эпоху. Каждый лидер держит слот 400 мс (обычно 4 слота подряд).
• Gulf Stream — нет мемпула: клиенты и RPC пересылают транзакции напрямую будущему лидеру. Публичной очереди для наблюдения не существует.
• Turbine — раздача блока: он режется на шарды (shreds) с erasure-кодированием и раздаётся деревом.
• TowerBFT — голосование с локаутами поверх PoH. Финальность («rooted») ~12.8 секунды (32 слота), оптимистичное подтверждение ~400–600 мс.
• swQoS (stake-weighted QoS) — валидаторы резервируют пропускную способность для транзакций, приходящих от нод с большим стейком. Отсюда весь рынок «платного доступа к лидеру».

Alpenglow заменяет и Proof of History, и TowerBFT. Разработан под руководством Роджера Ваттенхофера (ETH Zurich). Два компонента:

• Votor (голосование). Два режима: если блок собрал ≥80% стейка в первом раунде — финальность сразу, ~100 мс. Если ≥60% — идёт второй раунд, и ≥60% во втором дают финальность ~150 мс. Голоса — лёгкие UDP-сообщения, агрегируются BLS-подписями в сертификаты. Голосование уходит офчейн.
• Rotor (раздача блока). Вместо многоуровневого дерева Turbine — однохоповая раздача Reed-Solomon-шардов через стейк-взвешенно выбранных релеев. По whitepaper: при 1 Гбит/с раздача 1500 шардов занимает 18 мс.
• Вместо PoH-часов — фиксированные интервалы 400 мс и локальные таймауты: пришёл родительский блок вовремя — шлёшь NotarVote, не пришёл — SkipVote.
• Модель устойчивости 20+20: до 20% злонамеренного стейка не ломают безопасность, и ещё 20% может просто лежать без потери живости.

Экономические следствия: голосовые транзакции сейчас едят около 75% TPS и стоят валидатору ~1 SOL в день. После Alpenglow они уходят офчейн — порог рентабельности валидатора падает примерно с 4850 SOL до 450 SOL.

Статус: валидаторы одобрили 98% против 1%, тест-кластер работает с мая 2026, выкатка на мейннет поэтапная — август–октябрь 2026.

• Agave (команда Anza, форк оригинального solana-labs) — исторический основной клиент на Rust.
• Firedancer (Jump Crypto) — полная переписка на C++, ради производительности и разнообразия клиентов. Полный Firedancer на мейннете с 12 декабря 2025 (Breakpoint, Абу-Даби). Промежуточный вариант Frankendancer = сеть от Firedancer + исполнение от Agave.
• Ориентировочный расклад на середину 2026: full Firedancer ~14% стейка, Frankendancer ~26%, Agave-семейство ~60%. Оценки вторичных источников, уточни цифру на день разговора.
• Mithril — третья независимая реализация, в июне 2026 научилась продюсить блоки, тестируется.
• Отдельно: Jito-Solana — это не отдельный клиент, а модификация Agave с MEV-инфраструктурой; на нём >92% стейка (по некоторым оценкам ~95%). Это, кстати, риск концентрации: баг в Jito-Solana задел бы почти всю сеть.

Token-2022 — вторая токен-программа, на мейннете с января 2024. Даёт опциональные расширения, вшитые прямо в токен:

• Transfer fee — комиссия за перевод на уровне протокола
• Permanent delegate — вечный делегат, который может двигать токены у кого угодно (для регулируемых активов: изъятие по решению суда)
• Transfer hook — вызов вашей программы при каждом переводе (whitelists, KYC-проверки)
• Confidential transfer — зашифрованные суммы
• Interest-bearing, non-transferable, metadata, immutable owner и другие

К маю 2026 все крупные институциональные стейблкоины стартуют на Token-2022: PYUSD (PayPal), USDG (Paxos), EURC (Circle). Старые токены (USDC, BONK) остаются на классическом SPL.

Чтобы аккаунт жил, он должен быть rent-exempt: держать на балансе SOL пропорционально размеру данных (максимум 10 MiB). Это не сгорает — закрыл аккаунт, забрал SOL обратно.

Контраст с Ethereum: там storage вечен и оплачен навсегда, вернуть нельзя. На Solana состояние экономически ограничено, и «уборка мусора» выгодна.

Отсюда же паттерн атаки: закрытие аккаунта надо делать правильно — просто вывести лампорты недостаточно, аккаунт можно «оживить» в той же транзакции. Нужно занулить данные и поставить closed-дискриминатор.

Раньше изменения протокола шли через SIMD (технические документы) и неформальное согласие валидаторов. В июле 2026 запустили формальное ончейн-голосование — Solana Governance Proposals (SGP):

• Чтобы завести предложение, нужно 100 000 SOL застейкано (~$7.7 млн)
• Порог поддержки для выхода на голосование — 15% активного стейка
• Принятие — 2/3 голосующего стейка; воздержавшиеся не учитываются, минимального кворума нет
• Голосование по эпохам (~2 дня)
• Staker sovereignty: делегатор может перебить голос своего валидатора или проголосовать, если тот воздержался
• Разделение: SGP отвечает «делать ли вообще», SIMD — «как именно технически»

1. «Нет мемпула — значит нет фронтрана». Неправда. Публичной очереди нет, но есть приватные потоки, сам лидер и аукцион Jito. Сэндвичи на Solana вынесли $370–500 млн за 16 месяцев. Правильный ответ: модель MEV другая — не «наблюдай мемпул и обгоняй», а «получи привилегированный доступ к лидеру».

2. «Реентранси нет — значит безопаснее». Реентранси действительно почти невозможна (глубина CPI 4 + write-locks). Но на её место приходят проверки, которых нет в EVM: owner, signer, тип аккаунта, канонический bump, program id при CPI. Итоговая площадь атаки не меньше, просто другая.

3. «Программы апгрейдятся — значит хуже прокси». Не хуже, а иначе. Нет delegatecall и коллизий слотов storage — целый класс багов исчезает. Но апгрейдабельность по умолчанию, и пользователь этого не видит: программа может измениться завтра, и в эксплорере это не так заметно, как прокси на Etherscan.

1. Справедливая цена считается офчейн — по ликвидным CEX (Binance и др.), собственными моделями.
2. Ончейн лежит не книга ордеров, а кривая, привязанная к оракулу, с параметрами вроде concentration, target_x/y, множителей цены. Обновлять надо только параметры, а не сотни ордеров.
3. Обновление сверхдешёвое: у HumidiFi — 143 CU против 150 000+ у обычного свопа. Значит квоты обновляются несколько раз в секунду за копейки.
4. Cancel priority. Порядок в блоке определяется аукционом по цене за CU. Маркет-мейкер платит высокий тип Jito и успевает обновить котировку раньше, чем в том же блоке исполнится тейкерская сделка. На Ethereum такой защиты у ончейн-квоты нет — именно поэтому такая модель родилась на Solana.
5. Право не котировать. Они могут вообще не дать квоту, если волатильность высокая или инвентарь перекошен. Некоторые режут подозрительный поток эвристиками (например, отклоняют свопы дешевле 100k CU как вероятно эксплуатационные).
6. Поток берут через Jupiter: 99.2% объёма GoonFi и 97.3% ZeroFi приходит из агрегатора. Одна интеграция = доступ ко всему розничному потоку.

HumidiFi: за 74 дня $25.6 млрд объёма при TVL пула всего $5.33 млн — то есть эффективность капитала на порядки выше пулового AMM. К 2026: ~$35.5 млрд за 30 дней, обгоняя Meteora (~$33.6 млрд) и Raydium (~$21.4 млрд), доля внутри категории ~65%.

Главное свойство — size invariance: спред почти не растёт с размером в диапазоне до $100k, потому что маркет-мейкер котирует от модели и инвентаря, а не от формы кривой. У пулового AMM спред снизу ограничен комиссией, а сверху растёт по кривой.

• Централизация. Ликвидность мажорных пар оказалась в руках нескольких фирм. Пассивные LP вытеснены в лонг-тейл.
• Непрозрачность. Программы апгрейдятся, логика может меняться без анонса, фронтенда нет, кто оператор — часто неизвестно.
• Право не торговать. В стрессе они могут просто перестать котировать — ровно тогда, когда ликвидность нужна больше всего. Для execution-движка это конкретный риск: твой профиль ликвидности исчезает в момент волатильности.
• Зависимость от Jupiter. Один канал дистрибуции на всех.

• Metis — сильно модифицированный Bellman-Ford: маршруты могут делиться и сливаться на любой стадии, одна и та же площадка может использоваться в разных сплитах.
• Juno — мета-движок: агрегирует несколько роутеров (свои + Hashflow + DFlow), Metis v1.5, самообучение — автоматически отодвигает источники, которые плохо исполняют.
• Ultra v3 (17 октября 2025) — конечный продукт:
  • Iris — мета-агрегация поверх JupiterZ, DFlow, Hashflow, OKX
  • Predictive execution — симулирует фактическую цену исполнения, а не котировку, и выбирает маршрут с наименьшим слиппеджем
  • ShadowLane — приватный сабмит, «34× лучше защита от сэндвича»
  • Gasless, минимальный трейд снижен до $10

Плюс отдельные API, которые прямо пересекаются с OPSONCHAIN: Trigger API (лимитки, TP/SL и DCA в одном), Recurring API, тарифы от 1 до 500 RPS. И JupiterZ — их RFQ: ~$100 млн в день с нулевым слиппеджем, 15+ маркет-мейкеров, 30 000+ транзакций в день.

Маркет-мейкеры теряют деньги на «токсичном» потоке — сделках информированных трейдеров, которые снимают устаревшие котировки. Ретейл-поток «нетоксичный»: он не несёт информации и на нём можно зарабатывать спред.

DFlow строит рынок order flow: «эндорсеры» оценивают токсичность потока, из него делаются Order Flow Contracts, которые продаются маркет-мейкерам на аукционе, а премия возвращается источнику потока как ребейт (это ончейн-версия payment for order flow из TradFi).

Почему это важно тебе: исполнение крупного институционального ордера — это по определению поток, который выглядит информированным. Если ваш движок будет заходить размером, маркет-мейкеры будут расширять спред именно вам. Умение не выглядеть токсичным (рандомизация размера и тайминга, разные маршруты, отказ от предсказуемого TWAP-ритма) — это реальная часть продукта.

Публичного мемпула нет — значит нельзя «подсмотреть и обогнать». Но расписание лидеров известно заранее, и внутри своего слота лидер сам решает порядок. Поэтому весь MEV на Solana — это борьба за привилегированный доступ к лидеру.

Jito — доминирующая инфраструктура с августа 2022:

• Block engine + бандлы: searcher отправляет атомарный набор транзакций с чаевыми в SOL
• Релеер держит входящие транзакции ~200 мс, чтобы провести офчейн-аукцион
• Комиссия Jito — 5% с чаевых, минимум 10 000 лампортов
• Клиент Jito-Solana использует >92% стейка

В марте 2024 Jito закрыл публичный мемпул ради здоровья сети — вредный MEV сразу упал, но возникли непрозрачные приватные мемпулы, и валидаторам стали делать предложения с долей прибыли.

• Сэндвичи: $370–500 млн извлечено у пользователей Solana за 16 месяцев.
• Одна программа (vpeNALD…oax38b, DeezNode) — почти половина всех сэндвичей: 1.55 млн сэндвич-транзакций за 30 дней, 65 880 SOL (~$13.4 млн) прибыли, средняя атака ~$8.67. Связанный валидатор контролирует ~811 тыс. SOL.
• Арбитраж: 90.4 млн успешных арбитражных транзакций в год, $142.8 млн суммарной прибыли, средняя $1.58, максимум одной сделки — $3.7 млн.
• Жертвы сэндвичей — в основном те, кто ставит высокий slippage tolerance на неликвидных токенах.

Это ровно та боль, которую OPSONCHAIN называет в своём хэллоуин-твите. Для крупного ордера сэндвич — не главная угроза (главная — impact), но предсказуемый TWAP-ритм делает тебя целью.

Block Assembly Marketplace (Jito, анонс 21 июля 2025) приносит на Solana разделение ролей proposer/builder:

• BAM-ноды работают в TEE (доверенных аппаратных анклавах) рядом с валидаторами: секвенируют транзакции внутри анклава, держат их зашифрованными до момента исполнения и выдают криптографические аттестации порядка. Это фактически шифрованный мемпул.
• Плагины — программируемые интерфейсы к планировщику: приложение может задать собственную логику упорядочивания.
• ACE (Application-Controlled Execution) — приложение определяет ограничения на уровне блоко-сборки: порядок транзакций, границы слиппеджа, кто вообще может взаимодействовать с его инструкциями. Пример из презентаций: taker speed bump, как у Hyperliquid.

Каналы:

• swQoS — доступ к зарезервированной полосе через ноду с большим стейком
• Jito bundles — атомарность + приватность + чаевые
• Helius Sender — шлёт по всем путям сразу (Helius, Jito, Harmonic, Rakurai)
• Temporal / Nozomi (команда Harmonic), bloXroute Warp (заявляют landing rate до 99%), Astralane, BlockRazor, ZeroSlot, Paladin, Node1

Метрики, которые смотрят в проде:

• Landing rate — доля долетевших транзакций. Ниже 95% — уже разбираться
• Slot lag — насколько твоя нода отстаёт от вершины цепи
• Time-to-leader — сколько идёт sendTransaction до текущего лидера

Плюс правильная оценка приоритетной комиссии (динамически, по конкретным аккаунтам маршрута) и ретраи со свежим blockhash. И «blackout windows» — автопауза, когда комиссии или латентность RPC вылезают за порог.

• Geyser — плагин-интерфейс валидатора, отдающий поток обновлений напрямую из памяти, без нагрузки на RPC.
• Yellowstone gRPC — стандарт де-факто: push-стрим аккаунтов, транзакций, слотов; латентность порядка десятков миллисекунд. Цель для клиента — 0–1 мс сетевой латентности до gRPC-эндпоинта, то есть колокация.
• Helius LaserStream — Yellowstone-совместимый, но декодит прямо из шардов (shreds), что даёт ещё ~8 мс форы; плюс 24 часа исторического реплея и мультинодовый фейловер.
• Jito ShredStream — низколатентная раздача шардов (ускоряет чтение, но не отправку).

Для «Data ingest» из архитектуры OPSONCHAIN это буквально базовый слой: подписка на аккаунты пулов, свопы prop AMM'ов, обновления Pyth — и из этого строится профиль объёма и оценка impact.

• Kamino — крупнейший лендинг, TVL $1–1.8 млрд. Три слоя: K-Lend (единый пул ликвидности вместо фрагментации, плюс изолированные рынки в V2), kVaults (односторонние депозиты, k-токены как расписка), Multiply (плечевые лупы в один клик). Плюс свой Swap.
• Save (бывший Solend), MarginFi, Loopscale, Exponent (транширование риска), Hylo.

• Jito — крупнейший DeFi-протокол Solana по TVL (~$1.4 млрд): jitoSOL с доходностью ~7.5–8.5% за счёт захвата MEV-чаевых, клиент Jito-Solana, BAM, Jito Restaking (NCN).
• Sanctum (~$1 млрд) — инфраструктура, позволяющая любому валидатору выпустить свой LST поверх общего пула ликвидности. Растёт за счёт того, что валидаторы не хотят отдавать стейк-власть Jito.
• Marinade (~$740 млн) — доля упала с ~60% до ~22%; придумали Stake Auction Marketplace, где валидаторы торгуются за делегирование.
• Solayer — рестейкинг и «hardware-accelerated SVM».

Pyth доминирует. Модель pull:

• Паблишеры (биржи, маркет-мейкеры) пишут свои цены в отдельный аппчейн Pythnet каждые 400 мс
• Агрегация выдаёт цену и доверительный интервал
• На Solana цена не пушится постоянно, а «подтягивается» транзакцией в момент, когда нужна

Switchboard — второй по значимости, с кастомными фидами и TEE.

• Squads — стандарт смарт-аккаунтов и мультисигов Solana, >$10 млрд под управлением. Готовят Squads Policy Network (SPN) — децентрализованную сеть гранулярных транзакционных политик для смарт-аккаунтов, с интеграцией Jito (Re)staking. Поверх Squads построен кошелёк Fuse. Для вашего продукта это ключевая интеграция: казначейства уже сидят в Squads.
• Helius / Triton / Chainstack / QuickNode — RPC и стриминг. Helius в 2026 купил Light Protocol (ZK compression).
• MagicBlock — ephemeral rollups: делегируешь конкретные аккаунты во временный SVM-инстанс рядом с пользователем, латентность <10–50 мс, затем состояние возвращается на L1.
• Raiku — гарантированный блокспейс: резервирование места в блоке до 60 секунд заранее, пре-конфирмации <30 мс, детерминированное исполнение под нагрузкой. $13.5 млн от Pantera и др., мейннет в 2026. Прямо релевантно institutional execution — назови как возможного партнёра.
• Metaplex (NFT/Core), Tensor / Magic Eden (NFT), pump.fun / Bags / Believe (лончпады), Wormhole / deBridge / Mayan / CCTP / Axelar (мосты; Axelar пришёл на Solana в июне 2026).

• Hyperliquid держит 66–73% децентрализованного перп-потока, ~$50 млрд недельного объёма, и по FDV обогнал Solana.
• Но динамика другая: перп-площадки Solana выросли +57.1% г/г в H1 2026 против +6.4% у Hyperliquid.
• По доле DEX-объёма Solana ~54% (Birdeye, H1 2026).
• Позиционирование: Hyperliquid — концентрированная ставка на деривативы на собственном L1; Solana — широкая экосистема (платежи, RWA, потребительские приложения, агенты).

Anchor даёт то, чего нет в голом рантайме:

• Декларативную валидацию аккаунтов: #[derive(Accounts)] и констрейнты has_one, seeds, bump, owner, close, constraint. Типы Signer<'info> и Account<'info, T> закрывают проверки подписанта и владельца автоматически.
• 8-байтовые дискриминаторы типов аккаунтов и инструкций — защита от type cosplay.
• IDL — аналог ABI, из него генерируются клиенты.

Anchor 1.0.0 вышел в апреле 2026 — первый стабильный мажор, с ломающими изменениями:

• пакет @anchor-lang/core вместо @coral-xyz/anchor
• Surfpool вместо solana-test-validator
• LiteSVM как дефолтный шаблон тестов

Клиентские SDK: старый @solana/web3.js v1 и новый @solana/kit (по сути web3.js v2). Anchor 1.0 поддерживает оба.

1. Anchor — удобство и безопасность по умолчанию, но лишние CU и большой бинарь.
2. Native (solana-program) — всё руками, включая все проверки.
3. Pinocchio (репозиторий anza-xyz) — библиотека без внешних зависимостей, no_std, zero-copy доступ к данным аккаунта: входной payload трактуется как байтовый слайс и читается на месте, без сериализации/десериализации. Результат — кратно меньше CU и в 13–23 раза меньше бинарь.

Именно на этом уровне пишутся вещи вроде обновления оракула за 143 CU. Есть ещё Quasar как альтернатива.

Практический вывод для продукта: основную бизнес-логику пишешь на Anchor (безопаснее и быстрее ревьюить), а горячие инструкции, которые ходят часто и должны быть дешёвыми, — на Pinocchio.

• LiteSVM — запускает SVM прямо в процессе теста. Очень быстро, можно руками ставить состояние аккаунтов и sysvars. Есть биндинги для Rust, TypeScript и Python. Это база для юнит-тестов.
• Mollusk — лёгкое исполнение SVM для изолированной проверки отдельных инструкций, с замером CU.
• Surfpool / Surfnet — интеграционные тесты на реалистичном состоянии, drop-in замена solana-test-validator, умеет форкать мейннет. Это ближайший аналог форк-тестов Foundry.
• Trident (Ackee, при поддержке Solana Foundation) — фаззинг Rust-программ: рандомизирует внутри фазы, какие инструкции и в каком порядке запускать, но сохраняет реалистичную структуру транзакции.

Исторически на Solana не было полноценного аналога Foundry — теперь есть, и это твой козырь: если ты придёшь с планом «форк-тесты против живого мейннета плюс фаззинг инвариантов», это звучит сильно.

1. Все аккаунты передаются явно. Нельзя сходить в мэппинг на лету — клиент считает все PDA заранее.
2. Overflow в release молчит. Rust в release-профиле оборачивает арифметику. Обязательно overflow-checks = true в Cargo.toml либо checked_add/checked_sub/checked_mul.
3. CU — бюджет, который надо считать. По умолчанию инструкция запрашивает 200k CU, максимум на транзакцию 1.4M. Сложный маршрут упирается.
4. Размер транзакции 1232 байта — реальный потолок, лечится ALT.
5. После CPI данные устарели — Anchor не обновляет десериализованные структуры сам, нужен reload().
6. remaining_accounts — дыра: на них не распространяется декларативная валидация, каждый аккаунт надо проверять руками.
7. realloc и zero_init: при расширении аккаунта можно «просветить» старые данные, если неправильно выставить флаг обнуления.
8. Паники. Деление на ноль, выход за границы массива, .unwrap() на None — прерывают исполнение. Валидируй делители, используй безопасный доступ и ?.
9. Точность. Умножение после деления теряет разряды; saturating_* молча упирается в потолок; округление в пользу пользователя ломает инварианты пула. Это ровно те баги, которые ты и так ищешь в аудитах.

Дефолтный загрузчик — BPF Loader Upgradeable, адрес BPFLoaderUpgradeab1e11111111111111111111111.

Программа живёт в двух аккаунтах:

• Program account — адрес, по которому её вызывают; содержит указатель на второй аккаунт
• ProgramData account — собственно байткод, upgrade_authority и слот деплоя

Деплой: создаёшь buffer account (InitializeBuffer), льёшь ELF чанками (много Write), затем DeployWithMaxDataLen.

Апгрейд (Upgrade): рантайм проверяет, что Program writable и принадлежит загрузчику, что у buffer правильная authority; копирует байткод в ProgramData, добивает ренту, сливает остаток buffer'а. Новая версия действует со следующего слота (deployment_slot + 1). Адрес программы не меняется.

Другие инструкции:

• SetAuthority / SetAuthorityChecked — сменить владельца апгрейда; установка в None делает программу иммутабельной навсегда
• ExtendProgramChecked — увеличить место под байткод, если новая версия больше
• Close — закрыть buffer/ProgramData и вернуть ренту

CLI: solana program deploy, solana program set-upgrade-authority <addr> --final; у Anchor — anchor deploy / anchor upgrade.

Существует loader-v4 (позволяет retract/redeploy/finalize без пересоздания аккаунтов), но официальная документация всё ещё описывает v3 как дефолт — формулируй осторожно.

1. Upgrade authority — в мультисиг, практически всегда Squads. Есть готовые GitHub Actions (squads-program-action, squads-program-upgrade): пайплайн собирает, льёт buffer и создаёт предложение на апгрейд. Нюанс: с мультисигом верификация билда требует ручного экспорта PDA-транзакции, потому что authority обязана быть подписантом.
2. Verified builds — воспроизводимая сборка в докере плюс ончейн-запись, чтобы любой мог убедиться, что байткод соответствует публичному коду (solana-verify, поддержка в SolanaFM и у OtterSec). На Solana это не дефолт, в отличие от Etherscan.
3. Таймлок. У Drift таймлок был удалён при миграции на новый мультисиг за пять дней до атаки — и админ-контроль ушёл двумя транзакциями с интервалом в одну секунду.
4. Двухшаговая передача authority — назначить pending_authority, который должен принять роль. Защищает от опечатки в адресе.

Байткод обновили — а старые аккаунты остались в старом формате. Паттерн:

• Первые байты аккаунта — дискриминатор (Anchor кладёт 8 байт), сразу за ним своё поле schema_version.
• Новые поля добавляются в хвост структуры, версия инкрементится.
• Пишется отдельная инструкция миграции, которая читает старую версию и переписывает в новую.
• realloc — только когда без него никак, с доплатой ренты и аккуратным zero_init.
• Программа должна уметь обслуживать обе версии, пока миграция не завершена.

• Декабрь 2020 — баг Turbine: блоки отслеживались по номеру слота, а не по хэшу → 6 часов простоя.
• Сентябрь 2021 — боты на IDO Grape залили 400 000 транзакций в секунду → 17 часов простоя, хардфорк.
• Май 2022 — 4 млн запросов на минт Candy Machine, 100 Гбит/с → 7 часов.
• Июнь 2022 — баг durable nonce: транзакция обрабатывалась дважды → 4.5 часа; durable nonce отключали до фикса.
• Февраль 2023 — переполнение дедупликации Turbine одним большим блоком → 9 часов.
• Февраль 2024 — бесконечный цикл перекомпиляции в JIT-кеше (LoadedPrograms) → 5 часов. Последний крупный сбой мейннета.
• Август 2024 — критическая уязвимость выравнивания адресов в ELF: пропатчили приватно, накатив на 66.6% стейка до публичного раскрытия. Образцовый coordinated disclosure, без простоя.

Суммарно по подсчёту Helius (до Drift): ~38 инцидентов, ~$600 млн брутто, ~$469 млн отбито или возвращено, ~$131 млн чистых потерь. Из них 68% — эксплойты приложений, 16% — баги ядра, 11% — сетевые атаки, 5% — supply chain.

1. Соцынженерия, осень 2025 – март 2026. Группа под видом квант-фонда полгода строила отношения с контрибьюторами Drift: встречи на конференциях лично, Telegram, депозиты $1 млн+ в волты, участие в обсуждениях стратегий. К моменту атаки они выглядели как свои.
2. 12 марта 2026 — фейковый актив. Создали токен CVT (CarbonVote Token), держали ~80% сапплая, залили $500 ликвидности на Raydium, промывали объём между своими кошельками, зафиксировали цену ~$1 и поставили подконтрольный оракул. Снаружи — живой торгуемый актив.
3. 23–30 марта — durable nonces. Создали nonce-аккаунты, привязанные к членам Security Council, и через соцынженерию получили подписи вслепую на транзакции, содержание которых подписанты не разобрали. Durable nonce обходит протухание blockhash (~60 с) — подпись остаётся валидной неограниченно долго.
4. 26–27 марта — подарок судьбы. Drift мигрировал Security Council на порог 2-из-5 и убрал таймлок полностью. Атакующие добрали свежие подписи под новый кворум.
5. 1 апреля, 16:05:18–16:05:19 UTC. Две заранее подписанные транзакции с интервалом в одну секунду передали административный контроль на адрес атакующего.
6. 16:05–18:31 — вынос. Параметры протокола перенастроены: CVT принимается как коллатерал с бесконечным лимитом заимствования. Внесли 500 млн мусорных CVT (по их же оракулу ~$500 млн) и вывели реальные активы: JLP $159.3M, USDC $71.4M, cbBTC $11.3M, USDT $5.6M, USDS $5.3M, WETH $4.7M, dSOL $4.5M, WBTC $4.4M, FARTCOIN $4.1M, JitoSOL $3.6M и другие — 18+ токенов. Свопнули в USDC, мостанули в Ethereum (~23 минуты после захвата), конвертировали в ETH.
7. Задело 12–20 протоколов через зависимости от ликвидности и волтов Drift.

Каждая транзакция несла валидные подписи легитимных подписантов. Ончейн-проверки не могли отличить их от нормальных операций — с точки зрения протокола всё было корректно.

Ответ индустрии — intent-based security: смотреть не «кто подписал», а «что делает транзакция»:

• передача админ-прав на свежесозданный адрес
• коллатерал возрастом 20 дней с копеечной реальной ликвидностью
• аномальные изменения параметров риска
• скорость и объём вывода → circuit breaker

• Stride — программа оценки DeFi-протоколов по восьми столпам безопасности, ведёт Asymmetric Research. Протоколы с TVL >$10 млн получают постоянный операционный мониторинг за счёт грантов Solana Foundation; >$100 млн — ещё и финансирование формальной верификации. Founding members: Asymmetric Research, OtterSec, Neodyme, Squads, ZeroShadow.
• SIRN (Solana Incident Response Network) — членская сеть security-фирм и исследователей для реагирования в реальном времени, приоритет по TVL.
• Введены ограничения на durable nonces для governance-операций Security Council'ов.

1. Missing signer check — не проверили is_signer. Anchor: тип Signer<'info>.
2. Missing owner check — не проверили AccountInfo.owner. Anchor: Account<'info, T> или #[account(owner = ...)].
3. Type cosplay — два типа аккаунтов с одинаковым бинарным лэйаутом: «пользователь» читается как «админ». Лечится дискриминатором.
4. Arbitrary CPI — не проверили program id вызываемой программы → атакующий подсовывает свою. Смертельно, когда ваша PDA подписывает вызов.
5. Bump seed canonicalization — приняли произвольный bump → второй легальный PDA под те же сиды.
6. PDA sharing / seed collision — одна PDA на несколько ролей, либо разные входы дают одну PDA. Лечится префиксами и уникальными идентификаторами в сидах.
7. Closing accounts / revival — вывести лампорты недостаточно, аккаунт «оживляют». Нужно занулить данные и поставить closed-дискриминатор. Anchor: #[account(close = dest)].
8. Duplicate mutable accounts — один аккаунт передан дважды как mutable → перезапись. Проверять неравенство ключей.
9. Remaining accounts — обходят декларативную валидацию.
10. Account reloading — после CPI данные устарели, нужен reload().
11. Overflow / underflow — release-профиль Rust оборачивает молча.
12. Loss of precision — умножение после деления, saturating_*, округление не в ту сторону.
13. Insecure initialization / reinitialization — инициализацию можно фронтранить или повторить.
14. Sysvar / instruction introspection — доверие к подделываемым системным аккаунтам. По сути это и был Wormhole.
15. Oracle manipulation — Mango, Solend, Loopscale, Drift: во всех случаях цена. Лечение: Pyth с проверкой confidence interval и свежести, сглаживание, лимиты на скачок, whitelist коллатерала, кап на новые активы.
16. Реентранси — не проблема (CPI depth 4 + write-locks). Не путай с EVM.
17. Не-контрактные векторы доминируют по деньгам: ключи (Raydium, DEXX, Slope), supply chain (web3.js), инсайдеры (pump.fun, Cypher), соцынженерия + governance (Drift).

Подписка через Yellowstone gRPC или Helius LaserStream (декодинг из шардов, ~8 мс форы, 24 часа реплея):

• аккаунты пулов Raydium / Orca / Meteora
• свопы prop AMM'ов
• котировки Jupiter (quote API) — для оценки реально доступной цены
• Pyth с confidence interval — как сигнал «рынку сейчас нельзя доверять»

Из этого строится исторический профиль объёма (в какие часы и минуты рынок реально глубокий) и live-оценка impact.

• Разбить мандат на слайсы по профилю объёма (VWAP-траектория)
• Signal gate: слайс уходит, когда скор условий (спред, глубина, волатильность, время до дедлайна) выше порога
• Контроль participation rate — не больше N% объёма интервала
• Адаптация при отставании от графика (догонять, но не ломать impact-бюджет)
• Правило «когда не торговать вообще»: широкий confidence interval Pyth, деградация landing rate, аномальные комиссии
• Анти-предсказуемость: рандомизация размера и тайминга, чередование маршрутов — чтобы не выглядеть предсказуемым потоком для маркет-мейкеров и ботов

• Мелкие и средние слайсы: Jupiter Ultra / Swap API (через Iris уже даёт JupiterZ + DFlow + Hashflow + OKX) либо Titan
• Крупные клипы: RFQ (JupiterZ, DFlow firmQuote) — котировка равна цене исполнения, нет ончейн-impact
• Отправка: Jito bundle (атомарность + приватность + чаевые) либо мультипуть Helius Sender / bloXroute Warp / Temporal; swQoS-доступ; динамическая оценка приоритетной комиссии; ретраи со свежим blockhash
• Мониторинг: landing rate, slot lag, time-to-leader; при деградации — автопауза

VWAP считать в программе не надо. Программа должна быть исполнителем мандата с неотключаемыми ограничителями, чтобы институционал мог не доверять оператору:

• Non-custodial vault PDA (или делегирование на token account) — вывод возможен только на адрес владельца
• Ончейн-лимиты: max notional per run, max size per slice, min interval, deadline
• Price band относительно Pyth с проверкой confidence interval и свежести — оператор не может исполнить по цене вне коридора
• Whitelist маршрутов и программ, через которые разрешено исполнять
• Kill switch у клиента, а не у оператора
• Каждый филл эмитит событие (slot, venue, in/out, цена) — это и есть «exportable structured logs» с лендинга и основа TCA-отчёта
• Upgrade authority — Squads с таймлоком, verified builds, overflow-checks, фаззинг Trident, LiteSVM-тесты плюс форк-тесты на Surfpool
• Никаких durable nonce в governance-операциях

Дистрибуция через Squads. Большинство DAO и фондов держат средства в Squads-мультисиге. Правильный путь — не «переведите нам деньги», а «выдайте ограниченный мандат прямо из вашего Squads-аккаунта». Squads Policy Network идёт ровно в эту сторону.

TCA-отчёт (transaction cost analysis) — то, что реально покупает институционал:

• средняя цена исполнения против interval VWAP, в bps
• implementation shortfall от момента получения мандата
• participation rate по интервалам
• разбивка издержек: комиссии площадок + приоритетная комиссия + чаевые Jito + оценённый impact
• fill rate и landing rate
• экспорт CSV/JSON для их бухгалтерии и аудита