Penumbra – private-by-default Proof of Stake сеть и decentralized exchange для IBC assets. Все пользовательские funds находятся в shielded pool, поэтому private transfers, staking, swaps и delegator voting происходят без публичного account history. Market liquidity видима, но личность market maker не привязана к позиции.
Mainnet penumbra-1 работает с 2024 года. Проект не является general-purpose smart contract платформой: protocol специально оптимизирован для shielded interchain asset flow, DEX, staking и governance. Это уменьшает attack surface, но ограничивает типы приложений.
Interchain shielded pool
Обычный IBC transfer в Penumbra создаёт shielded note. Внутри сети пользователь может передавать, торговать, stake и vote, не раскрывая address и balance. При withdrawal создаётся публичный IBC packet, поэтому privacy boundary совпадает с границей Penumbra.
Архитектура использует идеи Zcash и Groth16 proofs. Перед mainnet более 15 тысяч участников внесли randomness в двухфазную Summoning Ceremony. Достаточно одного честного участника, уничтожившего secret contribution, чтобы общий proving key не позволял подделывать proofs.
Penumbra подключена к экосистеме Cosmos, но безопасность imported asset зависит и от source chain, relayer и IBC light client. Shielding не исправляет depeg или governance failure исходного токена.
Что раскрывает DEX
Private transfer скрывает asset type, amount, sender и recipient. Swap intent сохраняет identity неизвестной, но публично показывает aggregate input и output assets и amounts для trading pair. Swap claim скрывает pro-rata output конкретного пользователя.
Liquidity position раскрывает amount, price bounds и trading function, потому что engine должен использовать её публично. Identity provider остаётся скрытой. Редкая position и синхронные IBC transfers могут косвенно сузить множество возможных owners.
Batch swaps
Все swap intents одной пары собираются за один блок и исполняются одним batch примерно раз в пять секунд. Внутри блока нет выгодной очередности между users, поэтому validator не может поставить собственную заявку перед конкретной victim transaction.
Первый action сжигает shielded inputs и заранее оплачивает claim fee. После публичного batch result автоматический SwapClaim выпускает пользователю его pro-rata output в shielded pool. Если batch не исполнился, claim возвращает original inputs.
Batch execution уменьшает классический внутриблочный MEV, но не устраняет price risk между блоками, external arbitrage и thin liquidity. В отличие от continuous AMM Uniswap, все users пары в одном блоке получают общий clearing result.
Concentrated liquidity
Каждая position является небольшим constant-sum market maker с собственными price bounds и fee. Набор positions образует liquidity graph. Engine ищет оптимальный маршрут, при необходимости делит trade и использует промежуточные assets.
После user batches protocol выполняет automatic arbitrage, выравнивая несогласованные routes. Profit выражается в UM и сжигается. Это возвращает value всему supply, а не внешнему searcher, но сложность routing увеличивает требования к корректности engine.
Private staking и delUM
При delegation UM преобразуется в validator-specific delegation token, обычно называемый delUM. Его exchange rate к UM растёт вместе с staking issuance за вычетом validator commission. Поэтому отдельная reward transaction делегатору не нужна: доход отражён в цене share.
Delegation amount и выбранный validator видны, но address delegator скрыт. Fungible notes одного validator упрощают transfers и accounting. Slashing снижает exchange rate всего соответствующего pool, поэтому риск оператора несут все его delegators.
Private governance
Validator публикует default vote за свой delegation pool. Delegator может анонимно заменить его своим yes, no или abstain. Proof раскрывает voting power и validator, но не address. Wallet должен обновлять note, чтобы reuse nullifier не связывал votes между proposals.
Есть signaling, emergency, parameter change и community pool spend proposals. Emergency proposal может остановить chain при поддержке трети active voting power. Высокая доля «против» сжигает proposer deposit и служит spam deterrent.
UM и fees
UM – native staking, governance и utility token. Transaction fees можно оплачивать несколькими approved assets, но UM обычно имеет наиболее эффективное pricing. Fees сжигаются, а staking issuance увеличивает validator pool exchange rates.
Genesis supply составлял 100 млн UM. Airdrop получил 16%, community pool – 25%, Institute for Applied Numogrammatics – 20%, contributors – 12,5%, seed investors – 12,1%, strategic investors – 5,1%, Radiant Commons – 4,5%, Penumbra Labs – 3,65%. Остаток распределения связан с округлением указанных категорий.
Investor tokens имели двухлетний schedule с годовым cliff, contributor allocations – минимум годовой lockup и vesting. Lockups не были встроены в ZK circuits; для accountability публиковались full viewing keys соответствующих wallets. Это снижало complexity, но опиралось на transparency и договорные ограничения.
История
Penumbra Labs начал разработку protocol примерно в 2021 году. После многочисленных testnets проект провёл circuit audits и две фазы public trusted setup в 2023–2024 годах. Genesis и Phase 0 состоялись летом 2024 года, затем governance включило IBC и полную DEX functionality.
В 2025 году появились новые web-интерфейсы, liquidity programs и strategic validator delegations. Mainnet продолжил обновляться через on-chain proposals, при этом core scope остался узким: shielded interchain trading, staking и governance.
Команда
Основатель и ведущий архитектор Penumbra Labs – Генри де Валанс, ранее работавший над cryptography и Zcash ecosystem. Penumbra Labs создал core protocol и Prax Wallet. Institute for Applied Numogrammatics и Radiant Commons поддерживают ecosystem отдельно от on-chain community pool. Ни одна из этих организаций не равна всему validator network.
Применение
Penumbra подходит для private IBC transfers, shielded asset exchange, confidential portfolio management, anonymous market making, staking и voting. Сложные lending protocols вроде Aave внутри неё не доступны без специальных protocol upgrades или cross-chain integrations.
Основные риски
Privacy leakage. IBC entry и exit, rare assets, timing и public liquidity positions могут связать действия.
Trusted setup и circuits. Ceremony уменьшает trust assumption, но implementation bug всё равно способен повредить privacy или supply integrity.
DEX liquidity. Thin positions дают poor execution и failed batches. Automatic routing не создаёт liquidity из ничего.
Validator risk. Slashing уменьшает delUM exchange rate, а concentration влияет на consensus и default governance votes.
Client risk. Wallet локально хранит keys и сканирует notes. Ошибка Prax, malicious frontend или потеря credentials может привести к потере funds или metadata.
Governance complexity. Anonymous voting защищает identity, но validator defaults и emergency power требуют активного контроля delegators.
Penumbra отличается тем, что privacy встроена в сам DEX и staking, а не добавлена поверх публичного account history. Её качество определяется глубиной IBC liquidity, размером shielded set, корректностью circuits и безопасностью user clients.
