Four-eyes escrow: twee platform owners voor de stortingsstap

De stortingsstap is waar geld voor het eerst echt wordt. De koper schrijft over; iemand markeert de overschrijving als ontvangen; vanaf dat moment kan de verkoper verzenden. Is die “iemand” één persoon alleen, dan kan één vergissing of één kwaadwillige de vlag “storting nog niet aangekomen” op ontvangen zetten en goederen zonder betaling het magazijn uit laten gaan. De four-eyes-controle sluit die deur.

Twee platform owners, twee rollen

Platformmedewerkers registreren de ontvangst van een storting via /admin/escrow/pending. Zij vergelijken zelf het bankafschrift met het escrowbedrag, de valuta en de referentie. Eén platform owner voert de banktransactiereferentie in en stelt de bevestiging voor; de escrow blijft pending. Een tweede platform owner controleert dezelfde opdracht en keurt haar goed. Pas dan wordt de storting als held geregistreerd. ReVend leest bij deze actie geen bankafschrift in en vergelijkt het ontvangen bedrag niet automatisch.

Waarom twee paar ogen

Omdat financeteams het verwachten, auditors ernaar zoeken, en de failure mode zonder deze controle precies het soort is dat ontdekt wordt nadat een koper zijn goederen al heeft gekregen op een storting die nooit betaald werd. De controle vertraagt het gewone geval niet — twee owners werken een wachtrij in minuten weg — maar ze zorgt wel dat het zeldzame geval niet alleen kan gebeuren.

De auditrij

Voorstel en goedkeuring bewaren hun afzonderlijke medewerkers en tijdstippen. De bankreferentie blijft in het voorstel en het escrowdossier. Dossierevents en de verplichte activiteitenregistratie maken de beslissing herleidbaar; het activiteitenlog kopieert de rauwe bankreferentie niet. Goedkeuring, statuswijziging en verplichte audit worden samen opgeslagen.

De guard tegen dezelfde persoon

Een proposer kan zijn eigen approver niet zijn. De server weigert de tweede stap vanaf hetzelfde account met een fout die om een tweede owner vraagt, wat het scherm ook toonde. Kleine teams krijgen hier geen uitzondering: het tweede paar ogen is per definitie een platform owner van ReVend, dus een tenant heeft nooit twee van wat dan ook nodig.

Dezelfde regel voor annuleren

Een openstaande storting van tafel halen raakt het geld ook, dus dat volgt hetzelfde tweestapspatroon met een verplichte reden: één owner stelt de annulering voor, een andere keurt goed, en pas dan wordt de escrow geannuleerd. Er bestaan twee break-glass-acties voor wanneer de normale flow niet afgerond raakt: een override op een openstaande goedkeuring, vastgelegd in een eigen auditkolom zodat ze zich nooit voordoet als een gewone goedkeuring, en een geforceerde annulering voor een openstaande storting die ouder is dan 7 dagen — allebei met een reden die deel wordt van het spoor. Los van wie er ook klikt, wordt een storting die na 7 dagen nog openstaat door een dagelijkse job geannuleerd, en een veilingkoper vangt daar een strike voor.

Wat het niet dekt

De vierogenregel geldt voor gewone stortingsbevestiging en annulering. Vrijgave volgt uit koperacceptatie, een geschilbeslissing of de gecontroleerde uitzondering voor een platform owner. Elke actie heeft eigen bevoegdheids- en auditcontroles. Een softwarestatus bewijst geen uitgevoerde bankoverschrijving.