TxFlow, al que llaman el «Hyperliquid de Pinduoduo», tiene unos 39,29 millones de dólares en USDC bloqueados en su puente cross-chain de Arbitrum, y solo 4 claves de validadores pueden firmar para liberar los fondos.
Revisé los contratos on-chain: basta con reunir más de 2/3 de las firmas para iniciar un retiro; después solo hay un período de disputa de 200 segundos. Si nadie pulsa el botón de pausa durante ese tiempo, el retiro se autoriza. La auditoría que @OpenZeppelin hizo para @TxFlow_L1 también indica que más de 2/3 de las firmas de las billeteras calientes «pueden proponer cualquier retiro».
Para ser justos, el puente de Hyperliquid también tiene 4 validadores y un período de disputa de 200 segundos. La diferencia está en la cadena que hay detrás del puente: Hyperliquid tiene 27 validadores activos y cualquiera puede ejecutar un nodo para verificarla; quienes lo cuestionan afirman que TxFlow solo tiene 5 validadores, todos operados por el equipo, y que el feed de precios depende de una sola clave.
Un miembro del equipo respondió esta tarde y solo explicó que el puente y la API se inspiraron en Hyperliquid, mientras que el motor de emparejamiento se desarrolló internamente. No mencionó a los validadores ni al oráculo.
Quienes hacen farming de puntos en TxFlow y depositan USDC dependen por completo de que alguien pulse el botón de pausa durante esos 200 segundos para impedir un retiro anómalo.
Revisé los contratos on-chain: basta con reunir más de 2/3 de las firmas para iniciar un retiro; después solo hay un período de disputa de 200 segundos. Si nadie pulsa el botón de pausa durante ese tiempo, el retiro se autoriza. La auditoría que @OpenZeppelin hizo para @TxFlow_L1 también indica que más de 2/3 de las firmas de las billeteras calientes «pueden proponer cualquier retiro».
Para ser justos, el puente de Hyperliquid también tiene 4 validadores y un período de disputa de 200 segundos. La diferencia está en la cadena que hay detrás del puente: Hyperliquid tiene 27 validadores activos y cualquiera puede ejecutar un nodo para verificarla; quienes lo cuestionan afirman que TxFlow solo tiene 5 validadores, todos operados por el equipo, y que el feed de precios depende de una sola clave.
Un miembro del equipo respondió esta tarde y solo explicó que el puente y la API se inspiraron en Hyperliquid, mientras que el motor de emparejamiento se desarrolló internamente. No mencionó a los validadores ni al oráculo.
Quienes hacen farming de puntos en TxFlow y depositan USDC dependen por completo de que alguien pulse el botón de pausa durante esos 200 segundos para impedir un retiro anómalo.
