#termmax Las compuertas de una presa pueden cortar una crecida, pero no desviar el río hacia sus propios campos. Esta distinción permite entender con mucha más precisión el emergency stop con multisig 4-of-6 de TermMax que decir «tener una multisig equivale a custodia»: cortar el flujo de agua y convertirse en beneficiario del riego son dos permisos completamente distintos.
Al desplegarse los contratos de TermMax, los flujos de fondos quedan fijados: los prestamistas depositan USDC a cambio de FT con descuento y los canjean a razón de 1:1 al vencimiento; los prestatarios aportan ETH como garantía para obtener GT, y en caso de liquidación la garantía se entrega físicamente al prestamista correspondiente. La dirección multisig nunca figura entre los roles receptores: solo está autorizada a activar el emergency stop en caso de anomalías. Puede impedir retiros sospechosos, pero no cambiar el destino de los fondos.
Cerrar las compuertas tiene un costo real. Una vez activado el mecanismo, se congelan los canjes normales, los retiros de Vault y el cierre de posiciones apalancadas. La reanudación depende de la evaluación de seguridad, la respuesta de la multisig y la coordinación entre 10 cadenas. No es «robaron el dinero», sino «por el momento no se puede retirar el dinero»: el riesgo afecta a la liveness, no a la custodia.
Las dependencias también son complejas: dos oráculos, los protocolos subyacentes Morpho/Aave/Venus/Pendle, el rebalanceo de Vaults por parte de los curadores, la liquidez para la entrega física, la supervisión de Hypernative y la respuesta de Immunefi. Si falla cualquiera de estos eslabones, el protocolo puede sufrir anomalías.
Al modelar las amenazas, no preguntes solo «¿puede la multisig actuar maliciosamente?». Hazte tres preguntas independientes:
1. ¿Puede la multisig recibir directamente los activos de los usuarios? —No, las direcciones receptoras están fijadas.
2. ¿Puede la multisig pausar el funcionamiento del protocolo? —Sí, ese es precisamente el propósito del emergency stop.
3. ¿Puede la multisig modificar unilateralmente las reglas del contrato? —No, los contratos principales no se pueden actualizar.
El «sí» de la segunda columna no se extiende a la primera ni a la tercera; y el «no» de la primera no significa que la segunda no tenga un costo.
Para evaluar los mecanismos de seguridad de emergencia, registra a la vez qué tipos de ataques detuvieron, qué operaciones normales se vieron afectadas y qué condiciones hacen falta para reanudar el servicio. Si se describen por separado, ni la función protectora ni el costo de la interrupción quedarán ocultos bajo la palabra «custodia».
@TermMax TMX #TermMax
Al desplegarse los contratos de TermMax, los flujos de fondos quedan fijados: los prestamistas depositan USDC a cambio de FT con descuento y los canjean a razón de 1:1 al vencimiento; los prestatarios aportan ETH como garantía para obtener GT, y en caso de liquidación la garantía se entrega físicamente al prestamista correspondiente. La dirección multisig nunca figura entre los roles receptores: solo está autorizada a activar el emergency stop en caso de anomalías. Puede impedir retiros sospechosos, pero no cambiar el destino de los fondos.
Cerrar las compuertas tiene un costo real. Una vez activado el mecanismo, se congelan los canjes normales, los retiros de Vault y el cierre de posiciones apalancadas. La reanudación depende de la evaluación de seguridad, la respuesta de la multisig y la coordinación entre 10 cadenas. No es «robaron el dinero», sino «por el momento no se puede retirar el dinero»: el riesgo afecta a la liveness, no a la custodia.
Las dependencias también son complejas: dos oráculos, los protocolos subyacentes Morpho/Aave/Venus/Pendle, el rebalanceo de Vaults por parte de los curadores, la liquidez para la entrega física, la supervisión de Hypernative y la respuesta de Immunefi. Si falla cualquiera de estos eslabones, el protocolo puede sufrir anomalías.
Al modelar las amenazas, no preguntes solo «¿puede la multisig actuar maliciosamente?». Hazte tres preguntas independientes:
1. ¿Puede la multisig recibir directamente los activos de los usuarios? —No, las direcciones receptoras están fijadas.
2. ¿Puede la multisig pausar el funcionamiento del protocolo? —Sí, ese es precisamente el propósito del emergency stop.
3. ¿Puede la multisig modificar unilateralmente las reglas del contrato? —No, los contratos principales no se pueden actualizar.
El «sí» de la segunda columna no se extiende a la primera ni a la tercera; y el «no» de la primera no significa que la segunda no tenga un costo.
Para evaluar los mecanismos de seguridad de emergencia, registra a la vez qué tipos de ataques detuvieron, qué operaciones normales se vieron afectadas y qué condiciones hacen falta para reanudar el servicio. Si se describen por separado, ni la función protectora ni el costo de la interrupción quedarán ocultos bajo la palabra «custodia».
@TermMax TMX #TermMax