Uma coisa continuava me incomodando enquanto eu lia o design do Newton's VaultKit. O sistema foi construído para rejeitar ações privilegiadas sempre que algo não puder ser verificado. Se as aprovações dos operadores nunca atingirem o quórum, as verificações de política falharem, o Gateway ficar offline ou as atestações não puderem ser validadas, nada acontece. A ação do gerenciador do cofre simplesmente não é executada.
Esse é o padrão correto. A incerteza deve interromper a execução, não desbloqueá-la.
Mas nenhum sistema de segurança pode assumir que tudo ficará online para sempre. Se uma queda durar o bastante e um cofre realmente precisar de intervenção, o que acontece então?
A Newton não entrega ao proprietário uma anulação instantânea.
Em vez disso, ela introduz um bypass de emergência que precisa esperar antes de poder ser executado. De acordo com a documentação, o SDK define como padrão um atraso de uma semana e se recusa a descer abaixo de um dia. Cada etapa é visível onchain por meio de eventos emitidos.
Essa escolha de design diz muito.
O bypass existe porque travamentos permanentes podem ser tão perigosos quanto acessos não autorizados. Ao mesmo tempo, a Newton evita que poderes de emergência fiquem invisíveis ou imediatos.
Ainda assim, o bypass muda o modelo de segurança.
Normalmente, ações privilegiadas dependem de aprovações do operador, avaliação de políticas e atestações verificadas. Durante um bypass de emergência, essas verificações deixam de ser o que decide, de fato, a execução. A proteção passa a depender da autoridade do proprietário, de um período de espera e de visibilidade pública.
Essas não são as mesmas garantias.
O timelock desacelera o mau uso, mas não consegue explicar por que o bypass foi acionado. Os observadores conseguem ver que aconteceu, mas ainda precisam confiar que o uso da rota de emergência foi justificado.
Isso deixa uma pergunta interessante.
O bypass atrasado é simplesmente um mecanismo prático de recuperação para falhas raras, ou ele se torna a real suposição de confiança sempre que o processo padrão de autorização estiver indisponível?
Para mim, essa é a discussão mais importante do que saber se existe ou não uma saída de emergência.
