CandleX porta on-chain l'asta alla fiorentina pura: la chiusura non è un orario, è un istante estratto da una funzione casuale verificabile. Nessuno sa quando cade il martello — nemmeno noi. I bot di sniping perdono il loro unico vantaggio e il prezzo torna a formarsi sul valore reale.
La candela vergine è la regola storica dell'asta fiorentina: si accende una candela, si rilancia finché brucia, l'ultima offerta pronunciata prima che si spenga vince. CandleX sostituisce la cera con una funzione crittografica, e aggiunge una cosa che a Firenze era impossibile: nemmeno il banditore vede la fiamma. L'istante in cui si è spenta si scopre solo a lotto chiuso, e le offerte arrivate dopo quell'istante decadono.
Il venditore pubblica il lotto con prezzo di riserva cifrato. Ogni partecipante supera la verifica KYC/AML e vincola il collaterale: solo chi ha capienza reale entra nella stanza.
Nessun costo per rilanciare, nessun credito da acquistare. Poiché la candela si è già spenta in un istante ignoto della finestra finale, attendere non è una strategia: un rilancio dell'ultimo minuto ha buone probabilità di non contare nulla. Chi vuole il lotto dichiara presto la propria disponibilità reale.
Il seme è impegnato prima dell'apertura e il sigillo che lo custodisce non è apribile finché l'asta non è finita: non per scelta, ma perché il database rifiuta la richiesta e registra il tentativo. A scadenza il seme viene rivelato e mappato su un secondo esatto dell'ultima ora. Solo allora si sa quando la candela si era spenta — e nemmeno la piattaforma lo sapeva prima.
Allo scoccare dell'istante il libro ordini si chiude in modo atomico, nella stessa transazione: si determina l'aggiudicatario, si incassa da lui il martello più il 15%, e si annullano i vincoli di tutti gli altri partecipanti. Nessuno resta vincolato mentre gli altri sono liberi.
Il soft close (proroga automatica) sposta il problema senza risolverlo: premia comunque la latenza e allunga le aste all'infinito. La penny auction lo aggira monetizzando il click, entrando di fatto nel perimetro del gioco d'azzardo. La fiorentina pura elimina la variabile temporale come leva strategica.
| Criterio | Asta classica (soft close) | Penny auction | Fiorentina pura · CandleX |
|---|---|---|---|
| Determinazione della chiusura | ◐ PrevedibileOrario noto, con proroga di 2–5 minuti a ogni rilancio tardivo. Il termine è deterministico e leggibile da qualunque script. | ✕ ManipolabileCountdown breve ricaricato a ogni offerta: la durata è funzione del ricavo della piattaforma, non del valore del bene. | ✓ Non conoscibileIstante determinato a posteriori: nessuno lo conosce mentre l'asta è in corso, piattaforma compresa. Distribuzione uniforme, seme impegnato prima dell'apertura. |
| Resistenza ai bot di sniping | ✕ NullaVince chi ha la co-location migliore. Il rilancio a T−200 ms resta la strategia dominante. | ✕ InvertitaI bid-bot sono spesso venduti dalla piattaforma stessa come funzione premium. | ✓ StrutturaleNon esiste un "ultimo istante" da colpire: l'attesa ha valore atteso negativo. Il vantaggio infrastrutturale si azzera. |
| Formazione del prezzo | ◐ CompressaDomanda concentrata negli ultimi secondi, prezzo finale spesso sotto la disponibilità reale degli offerenti. | ✕ DistortaIl prezzo di aggiudicazione è irrisorio; il ricavo deriva dai crediti bruciati dai perdenti. | ✓ PienaRivelazione anticipata delle valutazioni: la curva di domanda emerge già nelle prime ore. Uplift medio del 18–24% sul prezzo finale. |
| Costo per l'offerente perdente | ✓ ZeroNessun costo, ma tempo di presidio elevato nell'ultima fase. | ✕ ElevatoOgni click consuma crediti prepagati non rimborsabili: chi perde paga. | ✓ ZeroNessun credito, nessuna commissione di rilancio. Il collaterale è vincolato, mai incassato, e viene liberato alla chiusura. |
| Stress psicologico e presidio | ◐ Alto sul finaleVigilanza obbligatoria negli ultimi minuti; il proxy bidding aiuta ma non elimina l'ansia da rilancio. | ✕ Da azzardoRinforzo intermittente, countdown lampeggiante e sunk cost: dinamiche riconosciute come ludopatiche. | ✓ DistribuitoTensione diluita sull'intera durata, con offerta massima delegabile. Nessun rinforzo variabile a pagamento. |
| Offerte fantasma e insolvenze | ✕ FrequentiRilanci senza garanzia: aggiudicazioni non pagate e ricorso al secondo miglior offerente. | ◐ Non rilevantiIl modello non richiede solvibilità: il valore è già stato estratto dai crediti. | ✓ ImpossibiliPre-autorizzazione della carta o collaterale in escrow prima di ogni offerta: nessun bid senza capienza verificata. |
| Verificabilità del risultato | ◐ FiduciariaI log di chiusura restano nel database della piattaforma, non ispezionabili dall'utente. | ✕ OpacaImpossibile distinguere gli utenti reali dai bot interni della piattaforma. | ✓ PubblicaSeme, prova VRF e Merkle root del libro ordini pubblicati on-chain. Verificatore open source scaricabile. |
| Inquadramento normativo UE/IT | ✓ StandardVendita all'asta ordinaria ai sensi del Codice del consumo. | ✕ CriticoRischio di qualificazione come gioco con vincita in denaro: soggetta a scrutinio AGCM e a normativa concessoria. | ✓ ConformeNessuna alea a pagamento: rilanciare è gratuito e chi perde non subisce alcuna perdita patrimoniale. GDPR per i dati, SdI per la fatturazione elettronica. |
Uplift stimato su 1.240 aste simulate con agenti a valutazione privata distribuita log-normale — metodologia completa nel whitepaper, §4.3.
Un'asta è credibile solo se l'utente può controllarla senza fidarsi di chi la organizza. Ogni componente critico di CandleX produce una prova pubblica: capienza, tempo e casualità sono dimostrabili a posteriori da chiunque.
Prima del primo rilancio verifichiamo la capienza. Due modi, entrambi a carta: registrazione con mandato di addebito — non blocca nulla — oppure pre-autorizzazione SCA, che riserva l'importo sul tuo plafond senza movimentarlo. In nessuno dei due casi qualcosa viene addebitato durante l'asta, e chi non si aggiudica il lotto non paga nulla. È la fine delle offerte fantasma.
Il tempo dell'asta non è quello del tuo browser. Ogni offerta riceve un timestamp autoritativo dal cluster di matching, sincronizzato via NTP con stratum 1 (INRIM Torino e PTB) e disciplinato da PTP nel datacenter. Il client mostra un orologio derivato con offset stimato; in caso di deriva superiore alla soglia, il nodo si esclude automaticamente dal quorum di chiusura.
Prima dell'apertura pubblichiamo H(seed ‖ nonce). Alla chiusura pubblichiamo seme, nonce e prova VRF: chiunque può ricalcolare l'hash, validare la firma sulla curva P-256 e ricostruire l'istante estratto. Se anche un solo byte fosse stato scelto dopo l'apertura, la verifica fallirebbe pubblicamente.
# 1. Impegno pubblicato prima dell'apertura (blocco 21.402.118)
commit = "9f2b41c7e0d5a3b8...c1e7" // SHA-256(seed ‖ nonce)
# 2. Rivelazione pubblicata dopo il martello (blocco 21.404.902)
seed = "4a7c9e11b3f6...82da"
nonce = 7734190228
proof = "03be5f...9ac2" // ECVRF-P256-SHA256
# 3. Ricostruzione dell'istante di chiusura
window = [1780412400, 1780416000] // ultimi 3600 s, epoch UTC
offset = int(vrf_output, 16) % 3600 // → 2148
closure = window[0] + offset // → 1780414548
# 4. Esito
verify(commit, seed, nonce) → true
ecvrf_verify(pk, seed, proof) → true
closure_on_chain → 1780414548 ✓ corrispondente
merkle_root(order_book) → "e81c...44f0" ✓ corrispondenteAsta compressa in 90 secondi, con finestra di chiusura casuale negli ultimi 30. L'asta corre fino in fondo: solo alla scadenza si scopre in quale secondo la candela si era spenta, e i rilanci arrivati dopo decadono. Aspettatelo: nella maggior parte delle aste qualche offerta decade e il martello risulta sotto l'ultimo prezzo mostrato. È il funzionamento corretto, non un errore. Nessun collegamento a wallet reali, nessun addebito: importi e controparti sono simulati lato client con la stessa logica di estrazione dell'ambiente di produzione.
SERIE MILANO · EDIZIONE 1/1 · RISERVA € 12.000
Incremento minimo 2% sull'offerta corrente. Ogni rilancio è gratuito: il collaterale viene vincolato, non speso.
H(seed ‖ nonce) su blockchain nel blocco che precede l'apertura del lotto: da quel momento il valore è immutabile e pubblicamente osservabile. Alla chiusura pubblichiamo seme, nonce e prova ECVRF. Chiunque può ricalcolare l'hash e confrontarlo con l'impegno originario: se avessimo cambiato anche un solo bit per far chiudere l'asta in un momento a noi comodo, la verifica fallirebbe davanti a tutti e in modo permanente. Il verificatore è uno script open source di circa 200 righe, eseguibile in locale senza passare dalle nostre API.Se ti aggiudichi il lotto addebitiamo l'offerta più il 15% di premio d'acquisto, e nient'altro: su un martello a 340 € l'addebito è di 391,00 €. Se avevi riservato 500 €, i restanti 109,00 € non vengono toccati.
Sui tempi di sblocco dell'eccedenza siamo precisi perché non dipendono da noi. La nostra parte finisce quando comunichiamo alla tua banca l'importo definitivo, e lo facciamo entro pochi secondi dal martello. Da lì in avanti è l'emittente a dover liberare il resto senza indebito ritardo (art. 15-bis D.lgs. 11/2010, che recepisce l'art. 75 PSD2). Quanto ci mette dipende da lui: di norma pochi giorni, in alcuni casi fino a 30. Non ti diamo una data che non possiamo garantire. Se dopo una settimana l'importo risulta ancora impegnato, dalla pagina dell'asta trovi il riferimento dell'operazione: è quello che serve alla tua banca per sbloccarlo.
Se non ti aggiudichi il lotto il vincolo viene annullato nella stessa transazione del martello, insieme a quello di tutti gli altri partecipanti.
Stiamo aprendo 500 posti per la beta di Milano. L'onboarding richiede la verifica dell'identità e la connessione di un metodo di collaterale; l'accesso alla sandbox è immediato.