Votação de SPO em Cardano ainda depende de chaves frias

Duas ações de governança de Cardano com expiração em 1 de setembro voltaram a chamar atenção para a carga operacional imposta aos operadores de stake pool. A atualização do Comitê Constitucional e uma ação de parâmetro que reduz minPoolCost de 170 para 75 ADA exigem apoio de mais de 51% do stake ativo de SPO.

Em 25 de agosto, o apoio de SPO estava em 12% para a atualização do comitê e 16.9% para a ação de parâmetro.

Votos de SPO exigem um fluxo de assinatura offline

O processo atual de governança de Cardano exige que um voto de SPO seja criado com a chave de verificação fria da pool e assinado com sua chave de assinatura correspondente.

Segundo o Cardano Developer Portal, a credencial de assinatura deve permanecer em uma máquina isolada, sem conexão à internet, e nunca deve ser transferida para um dispositivo conectado à internet.

O operador deve preparar os arquivos necessários, mover a transação não assinada para o ambiente offline, assiná-la e levá-la de volta a uma máquina online para submissão. A taxa de rede costuma ficar em torno de 0.2 ADA, o que significa que o custo não é o principal obstáculo. A questão maior é a necessidade de acessar e manusear uma credencial que protege a identidade central da pool.

Os operadores podem incluir vários arquivos de voto na mesma transação, permitindo votar nas duas ações ativas em um único procedimento de assinatura. Isso reduz o número de interações offline, mas não elimina o fluxo de trabalho sensível à segurança.

Abster-se sem tomar nenhuma ação também nem sempre é neutro. Em muitas ações de governança, o stake ativo de um SPO permanece parte do denominador a menos que a pool seja explicitamente configurada para se abster. Votações de hard fork ainda exigem um voto direto de SPO.

Calidus separa a identidade do controle da pool

CIP-0151 introduziu Calidus como uma chave quente autorizada que pode representar uma stake pool sem expor repetidamente sua credencial primária. A autorização é registrada on-chain e aprovada pela chave fria da pool.

Uma chave Calidus pode ser usada por ferramentas de governança, exploradores e aplicações descentralizadas para verificar que uma mensagem ou ação se origina do operador de pool reconhecido. Por ser substituível, uma chave comprometida pode ser suplantada por meio de um novo registro com um nonce mais alto. Os operadores também podem revogar a autorização registrando uma chave em branco.

Isso cria uma camada de segurança entre a atividade rotineira de aplicações e a credencial que controla a pool. A chave fria é usada para estabelecer a autorização, enquanto a chave Calidus substituível lida com interações de menor risco.

No entanto, essa autorização atualmente se aplica à identidade e a mensagens em nível de aplicação. Ela não permite que uma chave Calidus assine um voto de governança de SPO válido no ledger.

Suporte à votação no ledger ainda não está ativo

Uma proposta para estender Calidus à votação no protocolo foi apresentada ao Intersect Civics Committee em 11 de junho de 2026. O objetivo era permitir que os SPO votassem por meio de credenciais derivadas em vez de usar diretamente o hardware de segurança que guarda sua chave de assinatura primária.

O comitê considerou endossar formalmente a integração no nível do ledger em 25 de junho, mas a votação foi adiada porque os membros solicitaram mais tempo. As atas públicas disponíveis, revisadas para este artigo, não documentam uma decisão posterior que tenha alterado esse status.

O apoio do comitê, por si só, não ativaria o recurso. A votação com Calidus ainda exigiria uma especificação técnica, implementação no ledger, testes e um caminho de ativação do protocolo acordado.

Os baixos percentuais de votação não podem ser atribuídos exclusivamente ao gerenciamento de chaves. Discordância com uma proposta, pools inativas e escolhas de delegação também afetam a participação. Ainda assim, o processo atual cria trabalho operacional adicional sempre que um SPO decide votar.

Até que Calidus ou outro método de autorização delegada se torne válido no nível do ledger, operadores que desejam que seu stake seja contado nas ações de 1 de setembro devem concluir o fluxo de assinatura offline existente com a credencial que protege sua pool.