#termmax As comportas de uma barragem podem conter uma inundação, mas não podem desviar o curso do rio para irrigar o próprio campo. Essa distinção é muito mais precisa para entender o emergency stop com assinatura múltipla 4 de 6 da TermMax do que dizer que “ter uma assinatura múltipla equivale a custódia”: conter o fluxo de água e tornar-se beneficiário da irrigação são poderes completamente diferentes.
O fluxo de fundos já está definido quando os contratos da TermMax são implantados: os credores depositam USDC em troca de FT com desconto e resgatam na proporção de 1:1 no vencimento; os tomadores dão ETH como garantia em GT, e, em caso de liquidação, a garantia é entregue fisicamente ao credor correspondente. O endereço da assinatura múltipla nunca aparece como destinatário — ele só está autorizado a acionar o emergency stop em situações excepcionais. Pode impedir um saque suspeito, mas não pode mudar o destino dos fundos.
Fechar as comportas tem um custo real. Depois de ativado, o resgate normal, os saques da Vault e o fechamento de posições alavancadas ficam todos congelados. A retomada depende da avaliação de segurança, da resposta dos signatários e da coordenação entre 10 blockchains. Não é “o dinheiro foi roubado”, mas sim “não é possível retirar o dinheiro temporariamente” — o risco é de disponibilidade (liveness), não de custódia.
As dependências da cadeia também são complexas: dois oráculos, os protocolos subjacentes Morpho/Aave/Venus/Pendle, o rebalanceamento das Vaults pelos curadores, a liquidez para a entrega física, o monitoramento da Hypernative e a resposta da Immunefi. Se qualquer etapa falhar, o protocolo pode apresentar problemas.
Na modelagem de ameaças, não pergunte apenas “a assinatura múltipla pode agir de forma maliciosa?”. Faça três perguntas independentes:
1. A assinatura múltipla pode receber diretamente os ativos dos usuários? — Não, os endereços de destino já estão definidos.
2. A assinatura múltipla pode pausar o funcionamento do protocolo? — Sim, esse é o objetivo do emergency stop.
3. A assinatura múltipla pode alterar unilateralmente as regras dos contratos? — Não, os contratos principais não podem ser atualizados.
O “sim” da segunda pergunta não se estende à primeira nem à terceira; o “não” da primeira também não significa que a segunda não tenha custos.
Ao avaliar mecanismos de segurança de emergência, registre também: que tipo de ataque foi impedido, quais operações normais foram afetadas e quais condições são necessárias para a retomada. Separar esses pontos evita que os benefícios da proteção e o custo da paralisação sejam todos encobertos pela palavra “custódia”.
@TermMax TMX #TermMax
O fluxo de fundos já está definido quando os contratos da TermMax são implantados: os credores depositam USDC em troca de FT com desconto e resgatam na proporção de 1:1 no vencimento; os tomadores dão ETH como garantia em GT, e, em caso de liquidação, a garantia é entregue fisicamente ao credor correspondente. O endereço da assinatura múltipla nunca aparece como destinatário — ele só está autorizado a acionar o emergency stop em situações excepcionais. Pode impedir um saque suspeito, mas não pode mudar o destino dos fundos.
Fechar as comportas tem um custo real. Depois de ativado, o resgate normal, os saques da Vault e o fechamento de posições alavancadas ficam todos congelados. A retomada depende da avaliação de segurança, da resposta dos signatários e da coordenação entre 10 blockchains. Não é “o dinheiro foi roubado”, mas sim “não é possível retirar o dinheiro temporariamente” — o risco é de disponibilidade (liveness), não de custódia.
As dependências da cadeia também são complexas: dois oráculos, os protocolos subjacentes Morpho/Aave/Venus/Pendle, o rebalanceamento das Vaults pelos curadores, a liquidez para a entrega física, o monitoramento da Hypernative e a resposta da Immunefi. Se qualquer etapa falhar, o protocolo pode apresentar problemas.
Na modelagem de ameaças, não pergunte apenas “a assinatura múltipla pode agir de forma maliciosa?”. Faça três perguntas independentes:
1. A assinatura múltipla pode receber diretamente os ativos dos usuários? — Não, os endereços de destino já estão definidos.
2. A assinatura múltipla pode pausar o funcionamento do protocolo? — Sim, esse é o objetivo do emergency stop.
3. A assinatura múltipla pode alterar unilateralmente as regras dos contratos? — Não, os contratos principais não podem ser atualizados.
O “sim” da segunda pergunta não se estende à primeira nem à terceira; o “não” da primeira também não significa que a segunda não tenha custos.
Ao avaliar mecanismos de segurança de emergência, registre também: que tipo de ataque foi impedido, quais operações normais foram afetadas e quais condições são necessárias para a retomada. Separar esses pontos evita que os benefícios da proteção e o custo da paralisação sejam todos encobertos pela palavra “custódia”.
@TermMax TMX #TermMax