Duobao Admin - Money & Chain Ops

用户余额负债100% backed

412,680

USDT · wallet-service 权威账

今日购票 GMV2,145 tickets

3,482

USDT · 17 个在售期号

平台留存v1.0 4%

139.28

今日 · 未接代理/VIP 返现

链上运营成本LINK low

184.62

USDT 等价 · gas + LINK

公司净收益after gas

-119.09

留存 - 返佣 - gas/LINK

多签待办5

5

2 大额提现 / 2 调拨 / 1 Safe 执行

BSC VRF LINK 余额接近阈值P1

当前 6.2 LINK，阈值 5 LINK；按今天开奖速度预计 28 小时触底。影响 VRF_ONLY 期号开奖。

提现广播 nonce 卡住WD-58293

BSC 出款钱包 nonce=88214 等待 18m，后续 3 笔提现排队，需 replace-by-fee 审批。

归集批次待确认SWP-8821

148 个用户充值地址归集到 hot wallet，18,420 USDT，当前 9/12 confirmations。

昨日五方对账已平0.00

用户余额账、活动奖池账、公司收益账、钱包流水、链上 receipt 平衡；今日仍有 4 个待归类差异。

Duobao 资金主线

v1.0 用户不用每次链上付款；链上主要发生在充值、归集、开奖 VRF、提现

wallet-service is source of truth

1

充值入账

用户给专属地址转 USDT；确认数达标后增加平台余额。

2

购票扣款

从平台余额扣款，分到 round pool、平台留存和后续分成预留。

3

开奖成本

VRF 请求消耗 gas + LINK；BACKEND 模式无链上成本。

4

派奖入余额

USDT 奖先入平台余额；实物奖进入履约，不直接链上打款。

5

提现出链

人工审核后冻结余额，sign-service 签名广播，平台代付 gas。

6

归集与 PoR

充值地址 -> 归集钱包 -> 热/出款/运营多签/温储备/冷储备；日终锁公司收益账。

今日运营看板

这些指标决定今天谁要处理什么

充值入账 SLA

链上确认 -> 用户余额

8 异常

96.8%

p95 4m12sbelow min 5

VRF 开奖健康

默认生产开奖模式

3 超时

97.2%

avg 84sLINK 6.2

提现队列

审核 -> 广播 -> 确认

6 待处理

42,180 USDT

2 大额1 nonce stuck

储备覆盖率

平台钱包资产 / 用户余额负债

充足

121.4%

8 walletscold 80%+

运营多签

大额出款 / 热补给 / 温转冷

5 待签

2 / 3

EVM: SafeTRON: 权限/MPC

日常资金操作流

先按“能不能自动化、需不需要多人签、是否触碰冷钱包、是否已对账”来处理资金动作

request / approve / sign / reconcile

层级	覆盖动作	触发条件	签名 / 执行	审批人	今日待办	落账要求
L1 小额自动化 Small automation	充值入账、用户地址归集、小额提现、常规 gas/LINK 补给	金额低于阈值、风控通过、白名单通过、gas runway 正常	KMS + policy limit	系统自动 + OPS_FINANCE 单人审核	8 充值异常	ledger + tx receipt + audit_event
L2 运营多签 Ops multisig	大额提现、hot -> ops multisig、hot -> warm、异常补偿	>= 1,000 USDT、命中风控、热钱包超过阈值、人工补偿	2-of-3 ops	运营负责人 / 财务 / 安全任 2	5 待签	approval_request + signer set + tx receipt + audit_event
L3 冷钱包动作 Cold wallet	warm -> cold、cold -> warm、月度储备整理、PoR 快照	周储备归集、热钱包补给、储备证明月度公告	cold 2-of-3	创始人 / CTO / 财务任 2；后台只跟踪	1 待执行	public address balance + audit_event + PoR snapshot
L4 对账闭环 Reconcile closure	每日五方对账、gas/LINK 分摊、VRF retry 成本归类、差异单关闭	每日 06:00 cron、人工重跑、异常 tx 或 late receipt	no signing	finance_ops 处理；chain_ops 复核链上异常	4 差异	business ledger = chain receipt = wallet movement = audit

今日处理顺序

资金事故优先级按“用户可用性 + 出金风险 + 对账完整性”排序

operator queue

1. 先处理出金卡住WD-58293

nonce 卡住会阻塞后续提现，先走替换交易审批，避免重复出款。

2. 再处理 LINK / gas runway28h left

VRF 默认生产模式依赖 LINK，低于 3 天 runway 就进入补给审批。

3. 处理充值兜底8 exceptions

BELOW_MIN、WRONG_CHAIN_ADDR、AMOUNT_MISMATCH 都要有 reason 和 TG reference。

4. 关掉对账差异4 items

确认 gas/LINK 成本归属后，才能让日账平衡。

签名边界

后台只能做申请、审批、状态同步和审计

no private keys

小额自动化

KMS keyId + policy limit；sign-service 执行签名。

EVM 多签

Safe 2-of-3；后台创建草稿并同步签名状态。

TRON 多签

v1 先用权限账户、白名单、限额；资金上量后评估 MPC / 托管。

冷钱包

后台只跟踪，不能触发私钥动作；PoR 使用公开地址余额。

平台余额账

用户余额是唯一业务资金权威；链上余额只用于展示、出入金和对账

时间	journalId	UID	类型	业务对象	余额前	变动	余额后	链上引用	状态
10:44:03	FJ-909122	100812	DEPOSIT_CREDIT	DEP-77192	18.00	+420.00	438.00	0x84bc...1ef0	posted
10:41:29	FJ-909121	100702	BUY_TICKET	ROUND-2408-R12	93.40	-12.00	81.40	off-chain	posted
10:38:14	FJ-909120	100019	PRIZE_CREDIT	ROUND-2403-R8	4,455.00	+425.00	4,880.00	VRF req_7f3a	posted
10:31:10	FJ-909119	100221	WITHDRAW_FREEZE	WD-58293	10,020.00	-9,800.00	220.00	pending tx	frozen
10:28:02	FJ-909118	100331	REFUND_UNSOLD	ROUND-2399-R4	50.00	+8.00	58.00	off-chain	posted

新版资金账本模型

借鉴旧版字段语义，但不沿用“一行两腿”和 SUM 算余额

P0 data contract

对象	职责	关键字段	为什么需要
user_account_balance	用户余额快照	uid, token, available, frozen, version	直读余额；提现冻结走原子更新和乐观锁
fund_journal	统一资金台账	journalId, direction, before, delta, after, refType, refId	充值、购票、派奖、提现、退款、返佣都可追溯
chain_movement	链上资金动作	chain, token, from, to, txHash, logIndex, gasUsed	保留旧版充值/提现/归集链上证据，但拆清楚
fund_freeze_ledger	冻结镜像	uid, reason, frozenAmount, refId, expireAt, state	Redis 只做快查，真实冻结额必须可审计和恢复
deposit_intake	充值入账状态机	txHash, logIndex, confirmations, retryState, idempotencyKey	继承旧版 tx 去重和延迟确认，补上重试可视化
platform_revenue_ledger	公司收益账	revenueType, roundId, gross, cost, net, status	手续费、平台留存、返佣、gas/LINK 能独立统计
admin_action_log	管理员资金动作审计	actor, action, before, after, reason, ip, ua	任何审核、调整、解冻、补单都能查到人和原因

旧版可借鉴 / 不沿用

从旧版管理后台吸收经验，但不复制实现缺陷

legacy lessons

保留：链上监听 + 去重 + 延迟确认txHash + logIndex

充值入账和归集仍需要链上 spider / event listener、确认数门槛、失败重试。

保留：归集记录sweep_record

归集批次、nonce、gas、txHash、状态机值得保留，但要和 8 个钱包角色绑定。

不沿用：SUM 流水算余额anti-pattern

余额必须来自 user_account_balance，fund_journal 负责审计轨迹，不负责实时聚合。

不沿用：ex_* 一行两腿hard to audit

出账、兑换、gas、手续费都拆成明确 journal / movement / cost item，避免字段语义混乱。

提现风控墙

旧版只有最小提现额，新版需要把风控条件放进资金后台

规则	触发条件	动作	审批	落账要求
单笔上限	>= 1,000 USDT	进入大额复核 + 运营多签	运营负责人 / 财务 / 安全任 2	fund_journal freeze + admin_action_log
单日累计	UID 24h 提现 > 5,000 USDT	暂停自动广播，进入风控复核	OPS_RISK + OPS_FINANCE	记录窗口统计和命中证据
新用户冷却	注册 < 24h 且充值 > 5,000 USDT	提现锁定 7 天或人工放行	风险负责人	frozen amount 持久化，不只放 Redis
地址复用	同提现地址关联 >= 3 UID	提现单进入 AML / 关联账户调查	OPS_RISK	关联 UID、地址、订单写 audit evidence

充值入账状态机

旧版做得对的部分：去重、确认门槛、延迟检查和失败重试，新版要显式可见

阶段	进入条件	幂等键	失败处理	后台展示
RECEIVED	监听到 Transfer event	chain + txHash + logIndex	Kafka 写入失败进入 fallback queue	显示原始 tx、to 地址、UID 匹配状态
PENDING	确认数未达标	deposit_intake.idempotencyKey	Delay check 重扫 block receipt	显示 7/12、预计完成时间、可手动重扫
CONFIRMED	确认数达标且未重复	fund_journal.refId	原子更新 balance + 写 journal	显示入账时间、余额前后、归集批次
EXCEPTION	地址/金额/链不匹配	txHash locked	force-credit / refund / archive 都要审批	显示 reason、TG reference、处理人

充值入账

多链 USDT 充值：BSC / ETH ERC20 / TRON TRC20；最小充值 10 USDT

8 exception

充值单	UID	链	用户充值地址	金额	Tx hash / log	确认数	幂等 / 重试	入账状态
DEP-77192	100812	BSC	0x6b21...d9a4	420.00 USDT	0x84bc...1ef0 logIndex 7	12/12	unique	已入账
DEP-77191	100443	TRON	TXm2...8Pw1	6.00 USDT	a12f...90cc event 19	20/20	locked	BELOW_MIN
DEP-77190	unknown	ETH	0xcontract...19e1	88.00 USDT	0x711a...41fd logIndex 2	64/64	retry failed	WRONG_CHAIN_ADDR
DEP-77189	100511	BSC	0x91d0...f5c2	100.00 USDT	0xde92...a8b1 logIndex 0	7/12	delay check	确认中

期号资金

购票金额、奖池、平台留存、开奖成本和退款在这里闭环

期号	活动	draw.mode	售票	GMV	奖池	平台留存	开奖成本	状态
ROUND-2408-R12	1 USDT x 100 大奖场	VRF_ONLY	86 / 100	86.00	82.56	3.44	pending	售卖中
ROUND-2403-R8	10 USDT x 50 cycle	VRF_ONLY	50 / 50	500.00	425.00	20.00	0.018 BNB + 0.4 LINK	VRF 等待
ROUND-2399-R4	实物奖 · iPhone	BACKEND	72 / 100	720.00	物品库存	28.80	0	已退款
ROUND-2391-R1	大额特殊场	FULL_CHAIN	100 / 100	10,000.00	9,600.00	400.00	1.82 BNB	已结算

派奖 / 提现

USDT 奖先入平台余额；用户提现才出链。实物奖进入履约单。

6 pending

对象	UID	类型	链	金额	业务状态	链上状态	Tx hash	平台 gas
PRZ-2403-08	100019	PRIZE_TO_BALANCE	off-chain	425 USDT	已入余额	n/a	VRF req_7f3a	0
WD-58294	100812	WITHDRAW	BSC	18,000 USDT	二次确认	未广播	-	-
WD-58293	100221	WITHDRAW	BSC	9,800 USDT	已审核	nonce 卡住	0x710a...2bc1	0.013 BNB
FUL-3312	100331	PHYSICAL_PRIZE	off-chain	iPhone 15	待履约	n/a	-	0

售票 GMV2,145 tickets

3,482.00

BUY_TICKET 已入账

奖池与派奖matched

3,343.45

USDT 奖 + 实物估值

平台毛留存4.0%

139.28

按期号规则计提

返佣 / 补偿40 items

73.75

agent + referral + manual

链上成本gas + LINK

184.62

提现 / 归集 / VRF / 合约

公司净收益negative

-119.09

毛留存 - 返佣 - 链上成本

公司收益对账公式

Money Ops 口径：从业务账推导收益，再与钱包和成本账核对

2 exceptions

科目	来源系统	今日 USDT	确认条件	差异处理
售票收入 BUY_TICKET	wallet-service ledger	+3,482.00	posted	按订单 traceId 追溯
奖池派奖成本 PRIZE_CREDIT + PHYSICAL_EST	game-service + fulfillment	-3,343.45	settled	未履约实物按估值暂挂
平台毛留存 round rake	revenue_statement	+139.28	calc ok	与期号配置版本核对
代理 / 推荐返佣 commission + referral	agent-service	-73.75	posted	未结算进入 payable
链上运营成本 gas + LINK + deploy	chain-service receipt	-184.62	2 pending classify	必须归属到提现 / 归集 / 开奖 / 合约
公司净收益	revenue_statement	-119.09	below target	运营后台展示业务原因，资金后台锁账

收益入账边界

公司收益不是随便从热钱包拿钱，而是日终清算后调拨

1. 先锁业务账ledger cutoff

确认 BUY、PRIZE、REFUND、COMMISSION 全部 posted，冻结当天收益快照。

2. 再归类链上成本gas classify

VRF retry、提现 replace、归集 gas 必须归属到业务动作，不能只记成“链上杂费”。

3. 锁定公司收益账revenue account

净收益进入 Company Revenue Account；正收益可申请调拨到运营多签或温储备，负收益只记报表，不从用户资金补。

4. 差异进入运营后台OPS queue

运营看到期号、商品、渠道维度原因；资金后台保留最终记账证据。

按期号收益拆解

运营后台也需要同一张表，但展示更多业务字段

期号	商品	链 / 模式	售票	奖池成本	平台毛留存	链上成本	净收益	状态
ROUND-2408-R12	iPhone 15	BSC / VRF	1,200.00	-1,152.00	+48.00	-7.84	+40.16	closed
ROUND-2403-R8	USDT 425	BSC / VRF	460.00	-425.00	+18.40	-11.92	+6.48	VRF retry
ROUND-2391-R1	FULL_CHAIN	BSC / FULL	880.00	-844.80	+35.20	-52.15	-16.95	成本超阈值

钱包分层

8 个运营钱包角色：每一层都有用途、权限边界、余额目标和对账口径

8 wallet roles

钱包层	用途	链	签名方案	余额	目标范围	状态	最近动作
User Deposit Addresses HD 用户充值地址	收充值，待归集	BSC / ETH / TRON	per UID keyId · KMS	31,244 USDT	auto sweep	监听正常	DEP-77192
Sweep Wallet 归集中转钱包	充值地址归集、批量 consolidation	BSC / ETH / TRON	KMS batch policy	18,420 USDT	0 after sweep	9/12 confirming	SWP-8821
Hot Wallet 日常流动性钱包	小额提现、充值归集承接	BSC / ETH / TRON	KMS + 策略限额	268,920 USDT	1.5x 日提现	正常	WD-58291 broadcasted
Payout Wallet 出款专用钱包	用户提现广播，隔离 nonce 与风控	BSC / ETH / TRON	KMS + 额度 + 审核	42,180 USDT	0.5-1d payout	nonce stuck	WD-58293
Gas Wallet native fee + LINK	提现 gas、归集 gas、VRF LINK、部署 gas	BSC / ETH / TRON	KMS hot + 双人审批	6.2 LINK / 0.081 ETH	7d runway	LINK 低	VRF req_7f3a
Ops Multisig Wallet 运营多签钱包	大额提现、热钱包补给、异常补偿	EVM: Safe / TRON: 权限账户	2-of-3 ops policy	362,000 USDT	7-14d runway	5 待签	TRF-1190 2/3
Warm Reserve Wallet 温储备 / 周转钱包	热钱包补给、周储备调拨	Multi-chain	ops multisig controlled	580,000 USDT	15-30d runway	正常	HOT-TOPUP-044
Cold Reserve Wallet 冷储备钱包	长期储备、PoR 公示地址	Multi-chain	2-of-3 cold-v1	1,210,000 USDT	80% reserve	只读	COLD-TRF-118

多签策略

把“谁能动运营钱包、什么金额需要几个人、EVM/TRON 怎么签”直接放到资金运营台

场景	触发条件	签名方案	审批人	SLA	当前待办	执行边界
小额提现普通用户提现	< 1,000 USDT 且风控通过	KMS hot	OPS_FINANCE 审核 1 人	15m	3	sign-service 签名，后台不直接签
大额提现降低单人出金风险	>= 1,000 USDT 或命中风控	2-of-3 ops approval	运营负责人 / 财务 / 安全任 2	4h	2	批准后进入 sign-service；禁止重复放款
Hot -> Warm 热钱包超阈值	hot > 1.5x 日提现量	2-of-3 ops multisig	运营负责人 / 财务 / 安全任 2	24h	1	EVM 走 Safe；TRON 走权限账户或 MPC
Warm -> Cold 周储备归集	weekly reserve 或 warm 超阈值	2-of-3 cold	创始人 / CTO / 财务任 2	48h	1	后台只跟踪，不触发私钥操作
策略变更阈值、签名人、链支持	任何 wallet policy 修改	3-of-3 admin approval	运营负责人 + 财务 + 安全	72h	1	写 audit，影响下一笔，不回改历史

EVM 推荐路径

BSC / ETH 运营多签优先接 Safe

mature

后台创建多签交易草稿admin-service

记录业务单据、金额、目标地址、reason、traceId。

Safe 收集 2/3 签名ops signers

运营负责人、财务、安全任意 2 人签名；后台只读同步状态。

执行后回写 receiptchain-service

txHash、gasUsed、effectiveGasPrice 进入成本和对账。

TRON 处理方式

TRON 没有同等成熟 Safe，先按风险分级

design choice

v1.0 可用：权限账户 + 白名单TRC20

限制出款合约、目标地址白名单、每日额度；后台双人审批后由 sign-service 广播。

资金上量后：MPC / 第三方托管upgrade

当 TRON 日出金超过阈值，评估 MPC 或托管商，不建议临时自研密码学方案。

冷钱包仍然人工多签流程cold

运营后台只跟踪审批和公告，不直接控制冷钱包私钥。

归集 / 调拨

用户充值地址 -> hot 自动化；hot -> warm 和 warm -> cold 进入多签审批

批次	方向	链	来源	目标	金额	审批 / 签名	Gas 成本	Tx hash	状态
SWP-8821	Deposit -> Hot	BSC	148 deposit addr	Hot BSC	18,420 USDT	KMS auto policy	0.036 BNB	0x3f82...7bd2	9/12 confirming
SWP-8820	Deposit -> Hot	TRON	92 deposit addr	Hot TRON	9,744 USDT	KMS auto policy	312 TRX	7f32...e991	完成
TRF-1190	Hot -> Ops Multisig	BSC	Hot BSC	Safe Ops BSC	80,000 USDT	2/3 executed	0.012 BNB	0x21ab...e731	完成
COLD-TRF-118	Ops Multisig -> Cold	ETH	Safe Ops ETH	Cold ETH	150,000 USDT	2/3 signed · waiting execute	0.028 ETH	0x8ab0...192c	待执行

Gas / LINK 成本

成本要按产品动作分摊：充值归集、VRF 开奖、提现、FULL_CHAIN 特殊场、合约部署

时间	成本类型	产品动作	业务对象	链	Tx / request	gasUsed	native 成本	LINK	归属	状态
10:42:18	WITHDRAW_GAS	提现广播	WD-58291	ETH	0x91ef...a843	64,228	0.00245 ETH	-	wallet-service	broadcasted
10:29:40	SWEEP_GAS	充值地址归集	SWP-8821	BSC	0x3f82...7bd2	412,902	0.036 BNB	-	chain-service	confirming
10:02:49	VRF_COST	VRF 开奖请求	ROUND-2403-R8	BSC	req_7f3a...6a52	184,210	0.015 BNB	0.40 LINK	game-service	waiting callback
09:58:06	CONTRACT_CALL	FULL_CHAIN 结算	ROUND-2391-R1	BSC	0xa41d...772b	228,114	0.018 BNB	-	game-service	confirmed
08:16:22	DEPLOY	PrizeVault 部署	PrizeVault@1.0.7	BSC	0xe29a...c018	2,184,900	0.196 BNB	-	contract-release	confirmed

对账

五方核对：用户余额账、活动奖池账、公司收益账、钱包链上流水、receipt / event 日志

差异单	日期	维度	业务账	链上账	钱包变化	差异	定位	负责人
REC-4409	2026-05-26	ETH withdrawal	4,200.00	4,200.00	4,204.11	4.11 gas	gas 分摊未入账	finance_ops
REC-4408	2026-05-26	BSC sweep	18,420.00	18,420.00	18,419.99	0.01	token decimals rounding	finance_ops
REC-4407	2026-05-25	VRF LINK	0.40 LINK	0.42 LINK	0.42 LINK	0.02 LINK	callback retry	chain_ops
REC-4406	2026-05-25	round pool	425.00	n/a	n/a	0.00	off-chain prize settled	finance_ops

公司收益闭环

收益口径必须同时被业务运营和资金运营认可

检查项	金额 USDT	来源	状态	处理人
平台毛留存	+139.28	round revenue_statement	已核对	finance_ops
返佣 / 补偿	-73.75	agent ledger + manual adjustment	已核对	ops_finance
链上成本	-184.62	receipt gas + LINK	2 待归类	chain_ops
公司净收益	-119.09	daily revenue_statement	待锁账	finance_owner

运营后台同步

运营看业务原因，资金看记账证据

shared data

同源表

revenue_statement_daily / reconcile_run / chain_cost_item

运营后台

按期号、商品、渠道、代理、活动配置解释收益变化。

资金后台

锁定科目、钱包余额、链上 receipt、差异单和审计证据。

禁止

运营后台不能单独改收益；只能创建调整申请，资金后台复核后入账。

业务追溯

从用户动作追到 ledger、期号、签名请求、链上交易和审计日志

用户

UID 100221

动作

提现 9,800 USDT

余额流水

L-909119

提现单

WD-58293

出款钱包

BSC-PAYOUT-01

txHash

0x710a...2bc1

traceId

trc_9fb421a7

用户发起提现10:27:02

wallet-service 校验余额、提现地址白名单、24h cooldown，创建 PENDING_AUDIT。

运营审核通过10:31:10

余额冻结，写 ledger L-909119；大额 step-up 已通过，审计记录 actor=ops_mac。

sign-service 签名10:31:13

requestId=SIG-912238，只接收 keyId + payload hash，不接业务参数。

链上广播卡住10:49:02

BSC nonce=88214 超过 SLA，后续 3 笔出款排队，建议 replace-by-fee。

待处理now

发起替换交易后，系统会保留原 tx、替换 tx、审批人、原因和最终 receipt。

Proof of Reserves 储备证明

v1.0 生成月度公告草稿：公开钱包资产 vs 用户余额负债

项目	金额 USDT	来源	更新时间	状态	说明
用户余额负债	412,680.00	wallet-service ledger	2026-05-26 10:45	已锁快照	全部用户可提现余额 + 冻结提现金额
Hot wallet 资产	268,920.44	chain-service balance scan	2026-05-26 10:45	已确认	日常出入金资金
Warm wallet 资产	362,000.00	公开地址余额	2026-05-26 10:45	已确认	周转缓冲
Cold wallet 资产	1,210,000.00	公开地址余额	2026-05-26 10:45	只读	长期储备
覆盖率	446.1%	assets / liabilities	2026-05-26 10:45	充足	公告展示建议使用简化口径：平台资产大于用户余额负债

审计日志

所有资金动作记录 actor、role、reason、reference、traceId、step-up 状态

时间	操作者	角色	动作	对象	before -> after	step-up	原因 / reference	IP / UA	traceId
10:49:51	ops_mac	OPS_FINANCE	request_replace_tx	WD-58293	BROADCAST_STUCK -> REPLACE_REQUESTED	TOTP passed	nonce stuck, payout queue blocked	203.0.113.18 / Chrome	trc_9fb421a7
10:41:29	game-service	SYSTEM	buy_ticket_posted	ROUND-2408-R12	93.40 -> 81.40	n/a	ticket purchase from platform balance	system	trc_22a01ee1
10:18:09	chain_bot	SYSTEM	link_threshold_alert	BSC-VRF-SUB	7d runway -> 28h runway	n/a	LINK below 3d runway	system	trc_91c018b2
10:08:44	ops_mac	OPS_FINANCE	approve_withdraw	WD-58293	PENDING_AUDIT -> APPROVED	TOTP passed	TG reference #9821	203.0.113.18 / Chrome	trc_9fb421a7