Perpwave не просит мастер-ключ и в сервисе нет withdraw, transfer или credential-admin методов. Но техническая capability отдельного credential зависит от площадки: один venue даёт узкий scope, другой — более широкий signer.
До production admission система требует capability-check, account identity и isolation. Если права нельзя доказать или сузить, используется отдельный capped-аккаунт, а UNKNOWN блокирует запуск. Trust Receipt фиксирует проверенную evidence, а не заменяет её обещанием.
ⓘCredentials хранятся на сервере оператора зашифрованными (Fernet, права 0600). Компрометация credential или площадки остаётся риском; blast radius ограничивается отдельным аккаунтом и лимитом капитала.