Coloquei juntas a página de segurança, o repositório de auditoria e as descrições de permissões de @TermMax e percebi que “auditado” é apenas a camada mais externa. O que realmente determina como o sistema reage quando dá errado é quais contratos podem ser alterados, quem consegue pausar e como as permissões essenciais são controladas em conjunto. #TermMax
No repositório público, atualmente estão listados os relatórios faseados da ABDK, o relatório da TMX e o relatório da competição Cantina. A Immunefi também tem recompensas de bugs ainda em andamento. Os documentos também mencionam monitoramento on-chain por 24 horas e um mecanismo de auto-pausa. Essas informações mostram que o projeto implementou defesas em várias camadas, mas elas resolvem a detecção de problemas e a redução do tempo de resposta; não significa que os contratos a partir daí jamais teriam problemas.
Desmontando a camada de permissões: o TermMax delega as ações críticas de administração para uma multisig 4-de-6; há isolamento entre mercados; e os parâmetros do Vault contam com timelock e Guardian fazendo contrapeso. Ao mesmo tempo, a equipe oficial também deixou claro que preserva capacidade de parada de emergência e que alguns componentes seguem um arranjo atualizável. Em outras palavras, este sistema não garante segurança por “ninguém poder administrar totalmente”, e sim por isolamento, atraso, autorização conjunta de várias pessoas e ações de contingência para limitar risco de ponto único.
Sobre isolamento entre mercados, vou anotar isso separadamente. Uma implantação independente de um determinado mercado não significa que a perda certamente não ocorrerá; o que ela expressa é que a fronteira de falhas tenta não se espalhar para outros mercados. Muitas vezes, a segurança não é eliminar o risco, mas reduzir o alcance que um erro único pode afetar.
Eu, na verdade, acho isso mais interessante do que uma frase como “código é lei”. Porque, quando DeFi enfrenta uma anormalidade de verdade, sempre há duas perguntas concretas que precisam ser respondidas: as permissões são rápidas o suficiente, e a fronteira é estreita o suficiente. Se for lento demais, talvez não dê tempo de estancar os prejuízos; se for amplo demais, isso transforma a própria governança em uma fonte de risco.
Então, depois vou continuar acompanhando se membros da multisig mudam, qual é o escopo dos componentes atualizáveis, os eventos de pausa e os registros de correção após a auditoria. O relatório de auditoria prova que alguém de fato procurou problemas; o histórico de permissões é o que me diz como o sistema lida com problemas na prática.
No repositório público, atualmente estão listados os relatórios faseados da ABDK, o relatório da TMX e o relatório da competição Cantina. A Immunefi também tem recompensas de bugs ainda em andamento. Os documentos também mencionam monitoramento on-chain por 24 horas e um mecanismo de auto-pausa. Essas informações mostram que o projeto implementou defesas em várias camadas, mas elas resolvem a detecção de problemas e a redução do tempo de resposta; não significa que os contratos a partir daí jamais teriam problemas.
Desmontando a camada de permissões: o TermMax delega as ações críticas de administração para uma multisig 4-de-6; há isolamento entre mercados; e os parâmetros do Vault contam com timelock e Guardian fazendo contrapeso. Ao mesmo tempo, a equipe oficial também deixou claro que preserva capacidade de parada de emergência e que alguns componentes seguem um arranjo atualizável. Em outras palavras, este sistema não garante segurança por “ninguém poder administrar totalmente”, e sim por isolamento, atraso, autorização conjunta de várias pessoas e ações de contingência para limitar risco de ponto único.
Sobre isolamento entre mercados, vou anotar isso separadamente. Uma implantação independente de um determinado mercado não significa que a perda certamente não ocorrerá; o que ela expressa é que a fronteira de falhas tenta não se espalhar para outros mercados. Muitas vezes, a segurança não é eliminar o risco, mas reduzir o alcance que um erro único pode afetar.
Eu, na verdade, acho isso mais interessante do que uma frase como “código é lei”. Porque, quando DeFi enfrenta uma anormalidade de verdade, sempre há duas perguntas concretas que precisam ser respondidas: as permissões são rápidas o suficiente, e a fronteira é estreita o suficiente. Se for lento demais, talvez não dê tempo de estancar os prejuízos; se for amplo demais, isso transforma a própria governança em uma fonte de risco.
Então, depois vou continuar acompanhando se membros da multisig mudam, qual é o escopo dos componentes atualizáveis, os eventos de pausa e os registros de correção após a auditoria. O relatório de auditoria prova que alguém de fato procurou problemas; o histórico de permissões é o que me diz como o sistema lida com problemas na prática.