La votazione degli SPO di Cardano si affida ancora alle chiavi cold

Due azioni di governance di Cardano in scadenza il 1 settembre hanno riportato l'attenzione sull'onere operativo posto sugli operatori di stake pool. L'aggiornamento del Constitutional Committee e un'azione sui parametri che abbassa minPoolCost da 170 a 75 ADA richiedono entrambe il supporto di oltre il 51% dello stake attivo degli SPO.

Al 25 agosto, il supporto degli SPO era al 12% per l'aggiornamento del Constitutional Committee e al 16.9% per l'azione sui parametri.

I voti degli SPO richiedono un flusso di firma offline

L'attuale processo di governance di Cardano richiede che un voto di uno SPO venga creato con la chiave di verifica cold del pool e firmato con la corrispondente chiave di firma.

Secondo il Cardano Developer Portal, la credenziale di firma dovrebbe rimanere su una macchina air gapped e non dovrebbe mai essere trasferita su un dispositivo connesso a Internet.

L'operatore deve preparare i file necessari, spostare la transazione non firmata nell'ambiente offline, firmarla e riportare la transazione completata su una macchina online per l'invio. La commissione di rete è di solito intorno a 0.2 ADA, quindi il costo non è il principale ostacolo. La questione più ampia è la necessità di accedere e gestire una credenziale che protegge l'identità principale del pool.

Gli operatori possono includere più file di voto nella stessa transazione, consentendo loro di votare su entrambe le azioni attive con un'unica procedura di firma. Questo riduce il numero di interazioni offline ma non elimina il flusso di lavoro sensibile alla sicurezza.

Astenersi non facendo nulla non è sempre neutrale. Per molte azioni di governance, lo stake attivo di uno SPO rimane parte del denominatore a meno che il pool non sia configurato esplicitamente per astenersi. I voti di hard fork richiedono ancora un voto diretto dello SPO.

Calidus separa l'identità dal controllo del pool

CIP-0151 ha introdotto Calidus come una hot key autorizzata che può rappresentare uno stake pool senza esporre ripetutamente la sua credenziale primaria. L'autorizzazione è registrata on chain e approvata dalla cold key del pool.

Una chiave Calidus può essere utilizzata da strumenti di governance, explorer e applicazioni decentralizzate per verificare che un messaggio o un'azione provenga dall'operatore del pool riconosciuto. Poiché è sostituibile, una chiave compromessa può essere superata tramite una nuova registrazione con un nonce più alto. Gli operatori possono anche revocare l'autorizzazione registrando una chiave vuota.

Questo crea un livello di sicurezza tra l'attività applicativa di routine e la credenziale che controlla il pool. La cold key viene utilizzata per stabilire l'autorizzazione, mentre la chiave Calidus sostituibile gestisce le interazioni a rischio inferiore.

Tuttavia, tale autorizzazione si applica attualmente a messaggi di identità e a livello di applicazione. Non consente a una chiave Calidus di firmare un voto di governance dello SPO valido a livello di ledger.

Il supporto al voto a livello di ledger non è ancora attivo

Una proposta per estendere Calidus al voto sul protocollo è stata presentata all'Intersect Civics Committee l'11 giugno 2026. L'obiettivo era consentire agli SPO di votare tramite credenziali derivate invece di usare direttamente l'hardware di sicurezza che contiene la loro chiave di firma primaria.

Il comitato ha considerato l'adozione formale dell'integrazione a livello di ledger il 25 giugno, ma il voto è stato rinviato perché i membri hanno richiesto più tempo. I verbali disponibili pubblicamente esaminati per questo articolo non documentano una decisione successiva che abbia cambiato questo stato.

Il solo supporto del comitato non basterebbe ad attivare la funzione. Il voto con Calidus richiederebbe comunque una specifica tecnica, l'implementazione nel ledger, test e un percorso di attivazione del protocollo concordato.

Le basse percentuali di voto non possono essere attribuite esclusivamente alla gestione delle chiavi. Il disaccordo con una proposta, i pool inattivi e le scelte di delega influiscono anche sulla partecipazione. Ciononostante, l'attuale processo crea ulteriore lavoro operativo ogni volta che uno SPO decide di votare.

Fino a quando Calidus o un altro metodo di autorizzazione delegata non diventerà valido a livello di ledger, gli operatori che vogliono che il loro stake sia conteggiato per le azioni del 1 settembre devono completare l'attuale flusso di firma offline con la credenziale che mette in sicurezza il loro pool.