这个产品是用来更早地拒收一笔钱，不是用来更快地转走一笔钱。

立场

我们卖的价值在接收侧。一家托管型机构几乎从不是执法行动的直接目标；到达它的，是在针对别人的行动已经启动之后移动的钱。我们建造的一切都服务于「在贷记之前决定挂起还是拒收」这一个动作。没有一样东西服务于「决定把它转走」。

这不是一句使命宣言。它是下面那组具体限制的理由——每一条限制都让我们损失一部分收入或一部分触达，正因为如此它才是约束，而不是偏好。

让滥用变难的设计决策

政策靠当班的人执行；下面这些靠「能力本身不存在」执行。后者是更强的保证，也更容易被审计。

1. 01

   公共记录是回溯性的，且没有延迟版

   它只承载已经执行完毕的行动，并在事后标注每一次的间隔。想发布一条尚未执行的记录，会在构建时被内容 schema 直接拒绝——好心的编辑也没法误发一条出去。

   没有人能从我们这里读到任何仍在推进中的东西，任何延迟都不行。把这样一个流延后几分钟并不能缓解什么，所以我们没有做一个「慢一点的档位」，而是根本没有这个档位。

2. 02

   实时匹配返回裁决，不返回目标

   对通过验证的机构客户，API 只回答一个问题：这笔入金是否与执法活动相关、它到达的这条路径当前是否健康。它返回一条裁决和一个覆盖健康度。它不返回被针对的地址、不返回路径、不返回交易对手，也不返回客户自己没放进来过的任何东西。

   一个客户账号无法被用来发现目标。它最多只能透露一些关于该客户自己已经控制的地址的信息。

3. 03

   任何在途内容都没有批量导出

   不存在任何端点、报表、文件或控制台页面能枚举正在推进中的执法活动。裁决按单笔入金、按单个客户给出，每一条都受限速与日志约束。

   攻陷一个客户账号，得到的是关于这个客户的一串缓慢的回答，而不是一张地图。

4. 04

   我们交付的东西无法移动资金

   没有签名器、没有托管、没有转账端点、没有任何能签出带值交易的私钥。采集器持有的是只读凭证。

   即使一个部署被完全攻陷，也无法用它移动任何人的资产——我们的或客户的都不行。

5. 05

   判断永远不在我们这一侧自动执行

   我们返回一条裁决和它背后的证据。采纳与否是客户的决定，并记录在客户那一侧。裁决闸门的每一条失败路径都解析为挂起，绝不解析为贷记——所以一次故障不能被用来把一笔入金放行。

   这个系统无法通过「弄坏它」变得宽松。弄坏它只会让它更严格。

为什么在没人质问之前就发布

一家同类合规厂商曾在被指控「造了一个帮助它声称要检测的那群人的工具」之后，被迫发布一份负责任使用声明。在那种压力下写出来的同样一段文字，读起来是辩解。现在写出来，读起来是规格说明——它也确实是：这一页上的每一条，要么已经是产品的事实，要么是产品正在被约束着去满足的条件。如果我们哪天必须改动其中一条，改动会带着理由出现在动态里。

举报可疑的滥用

如果你认为我们的产品或我们发布的记录正在被用于规避执法，请告诉我们。竞争对手、研究者、记者、发行方、监管方的举报都在受理范围内，你不需要是我们的客户。

abuse@4shock.xyz

该写什么

你观察到了什么、发生在什么时候、涉及我们的哪一个界面。请不要发送私钥、凭证，或任何第三方的个人数据——我们不需要，也不愿意持有。

之后会发生什么

我们的目标是在三个工作日内确认收到。若一份可信举报涉及某个账号，我们可以立即暂停其访问、撤销其验证，并保全审计记录。凡是导致政策或产品约束发生变化的结论，都会发布在动态里。

我们不会做的事

在没有法定强制的情况下，我们不会向你或向任何人确认或否认某家机构是否是我们的客户。这层保护正是我们的客户所依赖的那一层，它不会因为动机良善而开例外。

面对发行方与监管方的姿态

• 在生产环境上线之前，而不是在第一篇报道出现之后，我们会主动向主要发行方与相关监管方通报我们的定位。
• 我们不为其中任何一方行事。我们不是任何发行方或任何监管机构的代理人、受托方或报送通道，也不从它们任何一方获得优先通知。我们观察到的一切都是任何人都能观察到的公开数据。
• 我们通过法律顾问回应合法请求，并在法律允许的范围内公开说明存在哪一类请求。
• 如果某个发行方改变执行方式，使得事前不再有任何可观测的痕迹，我们会在公共记录里报告这一变化，并且不会试图绕过它。事前可见性是发行方选择的治理方式的副产品，它从来就不是我们该去守护的东西。