#termmax 以前研究 DeFi，我有个特别固定的动作。
打开一个协议，先不看 APY，也不看 TVL，直接去翻权限。
有一次看到一个项目写着“高度去中心化”，结果往下一看，关键参数几乎都能被管理员直接修改。我当时第一反应就是关掉页面。
因为说到底，钱放进智能合约，不代表风险就自动消失了。
真正让我最近重新思考这个问题的，是 TermMax 的 Timelock 设计。
它没有简单地说“管理员不能改”，而是给敏感参数的修改加了一段等待时间。
按照官方机制，参数修改要经过 Submit → Wait → Accept，先提交，再等待，最后才能执行；而且等待期间 Guardian 还可以撤销。默认等待时间为 1 天，最长可以配置到 30 天。更有意思的是，降低风险的操作可以更快执行，增加风险的修改则需要经过完整等待期。
因为现实里的金融机构也是一样。
真正危险的不是“有人有钥匙”，而是拿到钥匙以后能不能马上开门。
如果一个参数突然发生重大变化，市场至少需要知道发生了什么、判断影响、调整仓位，甚至退出。
所以 Timelock 看起来只是一个技术组件，本质上其实是在给市场买时间。
当然，它不是保险，也不能消灭智能合约风险。
但我越来越觉得，一个成熟的 DeFi 协议，不能只告诉用户：
“谁可以改规则。”
还应该告诉用户：
“规则改变之前，你有多少时间知道。”
前者是权限管理。
后者才是真正的风险管理。
@TermMax #TermMax
打开一个协议，先不看 APY，也不看 TVL，直接去翻权限。
有一次看到一个项目写着“高度去中心化”，结果往下一看，关键参数几乎都能被管理员直接修改。我当时第一反应就是关掉页面。
因为说到底，钱放进智能合约，不代表风险就自动消失了。
真正让我最近重新思考这个问题的，是 TermMax 的 Timelock 设计。
它没有简单地说“管理员不能改”，而是给敏感参数的修改加了一段等待时间。
按照官方机制，参数修改要经过 Submit → Wait → Accept，先提交，再等待，最后才能执行；而且等待期间 Guardian 还可以撤销。默认等待时间为 1 天，最长可以配置到 30 天。更有意思的是，降低风险的操作可以更快执行，增加风险的修改则需要经过完整等待期。
因为现实里的金融机构也是一样。
真正危险的不是“有人有钥匙”，而是拿到钥匙以后能不能马上开门。
如果一个参数突然发生重大变化，市场至少需要知道发生了什么、判断影响、调整仓位，甚至退出。
所以 Timelock 看起来只是一个技术组件，本质上其实是在给市场买时间。
当然，它不是保险，也不能消灭智能合约风险。
但我越来越觉得，一个成熟的 DeFi 协议，不能只告诉用户：
“谁可以改规则。”
还应该告诉用户：
“规则改变之前，你有多少时间知道。”
前者是权限管理。
后者才是真正的风险管理。
@TermMax #TermMax
