pangolin-pay 加密货币交易引擎

2026-07-09 · 阅读版 · 执行真相源 docs/superpowers/plans/2026-07-09-crypto-tx-engine.md · #34 的第一块(可独立执行 + 真实小额验证)

#34 的第一块、可独立执行、能用真实小额 USDT 端到端验证的基础件。只做加密货币"交易"核心——派生地址、侦测到账、归集(sweep)——不含独角数卡对接、不含发码。成果=独立 Go 服务 pangolin-pay,提供"建单→收款地址→侦测到账→标记已付"+ 离线归集工具。跑通后任何门面都能挂上来。

安全铁律:热服务只持 xpub(watch-only 派生)+ TronGrid key + 金库收款地址,绝不持私钥;私钥/助记词冷存,归集在离线端签名。关键常量(核对无误再写死):USDT-TRC20 合约 TR7NHqjeKQxGTCi8q8ZY4pL8otSzgjLj6t(6 位小数)· 派生 m/44'/195'/0'/0/i · TronGrid api.trongrid.io。

Phase A — 钱包与密钥(全程离线)

A.1 离线生成两套助记词(断网,Ian Coleman/bip_utils,TRX/24词/English):钱包 A 运营收款、钱包 B 冷备金库。
A.2 导出钱包 A account xpub(m/44'/195'/0');取钱包 B 地址0 当归集目标。
A.3 冷存助记词 A/B(分开)+ Bitwarden;只把 xpub_A + sweep_addr_B 放进配置。
A.4 交叉核对:Go 派生出的地址 0..4 必须与 Ian Coleman 逐个一致(防收款地址对不上)。

Phase B — 服务骨架 + HD 派生

B.1 建 Go 服务 pangolin-pay(独立)。配置:xpub_A / sweep_addr_B / TronGrid key / 确认数 / 超时。自带 SQLite。
B.2 HD 派生:go-bip39 + hdkeychain 从 xpub_A watch-only 派生 .../0/i 公钥 → TRON 地址(Keccak 后20字节 + 0x41 + Base58Check)。单测对齐 Ian Coleman。
B.3 数据模型:pay_orders(order_no, sku, expect_amount, addr_index, address, status, tx_id, confirmations, created_at, expires_at) + addr_cursor(next_index)(地址不复用)。

Phase C — 收款(建单 + 侦测到账)

C.1 POST /order → cursor++ 派生新地址 → 写单(expect_amount 唯一尾数、expires +15min)→ 返回 {order_no, address, expect_amount, expires_at}。
C.2 GET /order/{order_no} → status(pending/paid/expired)。
C.3 TronGrid watcher 轮询:/v1/accounts/{addr}/transactions/trc20?only_confirmed=true&contract_address=<USDT>,匹配 to+金额(6位小数)+确认 → paid、记 tx_id。
C.4 幂等(同 tx 只认一次)+ 超时 expired(地址不复用)+ 崩溃恢复。
C.5 限流退避 + 重试;mock TronGrid 测试:匹配/确认/超时/幂等/恢复。

Phase D — 归集(sweep,离线签名)

D.1 watcher(xpub)列出有余额地址清单。
D.2 gas:gas 钱包给待归集地址打少量 TRX(或能量租赁)。
D.3 离线机导入钱包 A 助记词 → 派生 address_i 私钥 → 构造 TRC20 transfer(sweep_addr_B, balance) → 离线签名。
D.4 广播:签好的交易经 TronGrid /wallet/broadcasttransaction 上链(私钥不出门)。
D.5 半自动脚本 + 归集 runbook;阈值/定时触发;热地址不囤大额。

Phase E — 端到端验证(真实小额)

E.1 真单:POST /order → 转 1 USDT(TRC20)→ watcher 确认 → status=paid。
E.2 归集:D 流程 → USDT 到钱包 B 冷地址。
E.3 安全核对:热服务无私钥、密钥不入 git、地址不复用。

不在本轮

独角数卡门面对接 + epay 支付口(下一块:接门面)。
/internal/codes/mint JIT 发码 + 兑换闭环(发货侧,#34 后续)。
HD 自动 sweep(先人工)、多币种、watcher 高可用。

相关:#34 收款闭环全景 · 渠道选型 · 知识:brain notes/dev/crypto-hd-wallet-basics.html