#termmax Les vannes du barrage peuvent couper les eaux en cas de crue, mais ne peuvent pas détourner la rivière vers les champs de quelqu’un d’autre. En faisant cette distinction, on comprend bien que le TermMax 4-sur-6 multi-signatures pour l’« emergency stop » est beaucoup plus précis que l’idée : « autant de signatures qu’il y a, donc égal à de la mise sous tutelle » ; couper le flux d’eau et devenir un bénéficiaire de l’irrigation, ce sont deux permissions entièrement différentes.
Lors du déploiement du contrat TermMax, le flux des fonds est déjà figé : les prêteurs déposent des USDC en échange de FT à escompte, puis rachètent à 1:1 à l’échéance ; les emprunteurs mettent en garantie de l’ETH dans GT, et lors de la liquidation, le collatéral est livré physiquement au prêteur correspondant. L’adresse multi-signatures n’apparaît jamais dans le rôle de destinataire : elle n’est autorisée qu’à être déclenchée en cas d’anomalie, via emergency stop. Elle peut empêcher des retraits suspects, mais ne peut pas modifier la destination.
Abaisser les vannes a un coût réel. Une fois activée, les remboursements normaux, les retraits depuis le Vault, et la fermeture de positions par levier sont tous gelés. La reprise dépend d’une analyse de sécurité, de la réponse multi-signatures et de la coordination sur 10 chaînes. Ce n’est pas « de l’argent a été volé », c’est « de l’argent ne peut pas être retiré pour le moment » : le risque concerne la vivacité (liveness), pas la garde (custody).
La dépendance aux chaînes est tout aussi complexe : double oracle, protocoles de base Morpho/Aave/Venus/Pendle, re-équilibrage du Vault du curateur, liquidité du flux de livraison physique, surveillance Hypernative et réponse Immunefi. Si n’importe quel maillon lâche, le protocole peut devenir anormal.
Ne faites pas de modélisation de menaces uniquement en vous demandant : « le multi-signature peut-il faire du mal ? » ; posez trois questions indépendantes :
1. Le multi-signature peut-il recevoir directement les actifs des utilisateurs ? — Non, l’adresse de paiement est figée.
2. Le multi-signature peut-il suspendre le fonctionnement du protocole ? — Oui, c’est précisément l’objectif du design « emergency stop ».
3. Le multi-signature peut-il modifier unilatéralement les règles du contrat ? — Non, le contrat central n’est pas upgradeable.
Le « oui » de la deuxième colonne ne déborde pas vers la première et la troisième ; le « non » de la première colonne ne veut pas dire que la deuxième colonne n’a aucun coût.
Pour évaluer un mécanisme de sécurité d’urgence, consignez à la fois : quelles catégories d’attaques il bloque, quels comportements normaux il empêche par erreur, et quelles conditions sont nécessaires pour la restauration. En détaillant, l’effet protecteur et le coût de la mise à l’arrêt ne seront pas entièrement effacés par le seul terme « mise sous tutelle ».
@TermMax TMX #TermMax
Lors du déploiement du contrat TermMax, le flux des fonds est déjà figé : les prêteurs déposent des USDC en échange de FT à escompte, puis rachètent à 1:1 à l’échéance ; les emprunteurs mettent en garantie de l’ETH dans GT, et lors de la liquidation, le collatéral est livré physiquement au prêteur correspondant. L’adresse multi-signatures n’apparaît jamais dans le rôle de destinataire : elle n’est autorisée qu’à être déclenchée en cas d’anomalie, via emergency stop. Elle peut empêcher des retraits suspects, mais ne peut pas modifier la destination.
Abaisser les vannes a un coût réel. Une fois activée, les remboursements normaux, les retraits depuis le Vault, et la fermeture de positions par levier sont tous gelés. La reprise dépend d’une analyse de sécurité, de la réponse multi-signatures et de la coordination sur 10 chaînes. Ce n’est pas « de l’argent a été volé », c’est « de l’argent ne peut pas être retiré pour le moment » : le risque concerne la vivacité (liveness), pas la garde (custody).
La dépendance aux chaînes est tout aussi complexe : double oracle, protocoles de base Morpho/Aave/Venus/Pendle, re-équilibrage du Vault du curateur, liquidité du flux de livraison physique, surveillance Hypernative et réponse Immunefi. Si n’importe quel maillon lâche, le protocole peut devenir anormal.
Ne faites pas de modélisation de menaces uniquement en vous demandant : « le multi-signature peut-il faire du mal ? » ; posez trois questions indépendantes :
1. Le multi-signature peut-il recevoir directement les actifs des utilisateurs ? — Non, l’adresse de paiement est figée.
2. Le multi-signature peut-il suspendre le fonctionnement du protocole ? — Oui, c’est précisément l’objectif du design « emergency stop ».
3. Le multi-signature peut-il modifier unilatéralement les règles du contrat ? — Non, le contrat central n’est pas upgradeable.
Le « oui » de la deuxième colonne ne déborde pas vers la première et la troisième ; le « non » de la première colonne ne veut pas dire que la deuxième colonne n’a aucun coût.
Pour évaluer un mécanisme de sécurité d’urgence, consignez à la fois : quelles catégories d’attaques il bloque, quels comportements normaux il empêche par erreur, et quelles conditions sont nécessaires pour la restauration. En détaillant, l’effet protecteur et le coût de la mise à l’arrêt ne seront pas entièrement effacés par le seul terme « mise sous tutelle ».
@TermMax TMX #TermMax