#termmax Gerbang bendungan dapat memutus aliran banjir, tetapi tidak dapat mengubah alur sungai agar masuk ke lahan milik mereka sendiri. Dengan perbedaan ini, 4-of-6 multi-sig emergency stop TermMax jauh lebih akurat daripada klaim “multi-sig sama saja dengan perwalian/titipan”. Memutus aliran air dan menjadi penerima manfaat irigasi adalah dua jenis otorisasi yang benar-benar berbeda.
Saat kontrak TermMax dideploy, arus dana sudah “dikunci”: pemberi pinjaman menyetor USDC untuk menerima FT diskon, lalu penebusan 1:1 saat jatuh tempo; peminjam menyerahkan ETH sebagai agunan ke GT, dan saat likuidasi agunan diserahkan secara fisik kepada pemberi pinjaman yang bersangkutan. Alamat multi-sig tidak pernah muncul dalam peran penerima pembayaran—ia hanya diotorisasi untuk memicu emergency stop saat kondisi abnormal. Bisa mencegah penarikan yang mencurigakan, tetapi tidak bisa mengubah tujuan.
Menurunkan gerbang punya biaya nyata. Setelah diaktifkan, penebusan normal, penarikan dari Vault, dan penutupan posisi dengan leverage semuanya membeku. Pemulihan bergantung pada analisis keamanan, respons multi-sig, dan koordinasi lintas 10 chain. Ini bukan “uang dicuri”, melainkan “uang tidak bisa dikeluarkan untuk sementara”—risikonya ada pada liveness, bukan pada custody.
Kebutuhan rantainya juga sama kompleks: dual oracle, protokol dasar Morpho/Aave/Venus/Pendle, rebalancing Vault yang dikurasi, likuiditas untuk penyerahan fisik, pemantauan Hypernative, dan respons Immunefi. Jika salah satu mata rantai gagal, protokol bisa menjadi tidak normal.
Dalam threat modeling, jangan hanya bertanya “apakah multi-sig bisa berbuat jahat”. Ajukan tiga pertanyaan yang terpisah:
1. Apakah multi-sig bisa menerima aset pengguna secara langsung?—Tidak, alamat penerima sudah dipaketkan/ditetapkan.
2. Apakah multi-sig bisa menjeda operasi protokol?—Bisa; ini memang tujuan desain emergency stop.
3. Apakah multi-sig bisa mengubah aturan kontrak sepihak?—Tidak; kontrak inti tidak dapat di-upgrade.
“Bisa” pada kolom kedua tidak akan meluber ke kolom pertama dan ketiga; “tidak bisa” pada kolom pertama juga tidak berarti kolom kedua tanpa biaya.
Saat menilai mekanisme keamanan darurat, catat juga: jenis serangan apa yang tertahan, tindakan normal apa yang ikut terdampak, dan prasyarat apa yang dibutuhkan untuk pemulihan. Kalau ditulis terpisah, fungsi perlindungan dan biaya saat berhenti tidak akan tertutup semuanya oleh istilah “perwalian/titipan”.
@TermMax TMX #TermMax
Saat kontrak TermMax dideploy, arus dana sudah “dikunci”: pemberi pinjaman menyetor USDC untuk menerima FT diskon, lalu penebusan 1:1 saat jatuh tempo; peminjam menyerahkan ETH sebagai agunan ke GT, dan saat likuidasi agunan diserahkan secara fisik kepada pemberi pinjaman yang bersangkutan. Alamat multi-sig tidak pernah muncul dalam peran penerima pembayaran—ia hanya diotorisasi untuk memicu emergency stop saat kondisi abnormal. Bisa mencegah penarikan yang mencurigakan, tetapi tidak bisa mengubah tujuan.
Menurunkan gerbang punya biaya nyata. Setelah diaktifkan, penebusan normal, penarikan dari Vault, dan penutupan posisi dengan leverage semuanya membeku. Pemulihan bergantung pada analisis keamanan, respons multi-sig, dan koordinasi lintas 10 chain. Ini bukan “uang dicuri”, melainkan “uang tidak bisa dikeluarkan untuk sementara”—risikonya ada pada liveness, bukan pada custody.
Kebutuhan rantainya juga sama kompleks: dual oracle, protokol dasar Morpho/Aave/Venus/Pendle, rebalancing Vault yang dikurasi, likuiditas untuk penyerahan fisik, pemantauan Hypernative, dan respons Immunefi. Jika salah satu mata rantai gagal, protokol bisa menjadi tidak normal.
Dalam threat modeling, jangan hanya bertanya “apakah multi-sig bisa berbuat jahat”. Ajukan tiga pertanyaan yang terpisah:
1. Apakah multi-sig bisa menerima aset pengguna secara langsung?—Tidak, alamat penerima sudah dipaketkan/ditetapkan.
2. Apakah multi-sig bisa menjeda operasi protokol?—Bisa; ini memang tujuan desain emergency stop.
3. Apakah multi-sig bisa mengubah aturan kontrak sepihak?—Tidak; kontrak inti tidak dapat di-upgrade.
“Bisa” pada kolom kedua tidak akan meluber ke kolom pertama dan ketiga; “tidak bisa” pada kolom pertama juga tidak berarti kolom kedua tanpa biaya.
Saat menilai mekanisme keamanan darurat, catat juga: jenis serangan apa yang tertahan, tindakan normal apa yang ikut terdampak, dan prasyarat apa yang dibutuhkan untuk pemulihan. Kalau ditulis terpisah, fungsi perlindungan dan biaya saat berhenti tidak akan tertutup semuanya oleh istilah “perwalian/titipan”.
@TermMax TMX #TermMax