#termmax 大坝闸门能截断洪水，却不能把河道改到自己田里。用这个区别看 TermMax 的 4-of-6 多签 emergency stop，比"有多签等于托管"精确得多：截断水流与成为灌溉受益人，是两种完全不同的权限。
TermMax 合约部署时资金流向已写死：贷款人存 USDC 换折价 FT，到期 1:1 赎回；借款人抵押 ETH 进 GT，清算时抵押品物理交割给对应贷款人。多签地址从未出现在收款方角色里——它只被授权在异常时触发 emergency stop。能阻止可疑提款，却不能改目的地。
放下闸门有真实代价。激活后，正常赎回、Vault 提款、杠杆平仓全部冻结。恢复取决于安全研判、多签响应和跨 10 条链协调。这不是"钱被偷了"，是"钱暂时取不出来"——风险属于 liveness，而非 custody。
依赖链同样复杂：双预言机、底层 Morpho/Aave/Venus/Pendle 协议、策展人 Vault 再平衡、物理交割流动性、Hypernative 监控和 Immunefi 响应。任何环节掉链子，协议都可能异常。
威胁建模不要只问"多签能不能作恶"，要问三个独立问题：
1. 多签能不能直接接收用户资产？——不能，收款地址已固化。
2. 多签能不能暂停协议运行？——能，这是 emergency stop 的设计目的。
3. 多签能不能单方面修改合约规则？——不能，核心合约不可升级。
第二列的"能"不会溢出到第一列和第三列；第一列的"不能"也不意味着第二列没有代价。
评价紧急安全机制，应同时记录：挡住了哪类攻击、误伤了哪些正常行为、恢复需要什么前提。拆开写，保护作用和停摆代价才不会被"托管"一词全部盖住。
@TermMax TMX #TermMax
TermMax 合约部署时资金流向已写死：贷款人存 USDC 换折价 FT，到期 1:1 赎回；借款人抵押 ETH 进 GT，清算时抵押品物理交割给对应贷款人。多签地址从未出现在收款方角色里——它只被授权在异常时触发 emergency stop。能阻止可疑提款，却不能改目的地。
放下闸门有真实代价。激活后，正常赎回、Vault 提款、杠杆平仓全部冻结。恢复取决于安全研判、多签响应和跨 10 条链协调。这不是"钱被偷了"，是"钱暂时取不出来"——风险属于 liveness，而非 custody。
依赖链同样复杂：双预言机、底层 Morpho/Aave/Venus/Pendle 协议、策展人 Vault 再平衡、物理交割流动性、Hypernative 监控和 Immunefi 响应。任何环节掉链子，协议都可能异常。
威胁建模不要只问"多签能不能作恶"，要问三个独立问题：
1. 多签能不能直接接收用户资产？——不能，收款地址已固化。
2. 多签能不能暂停协议运行？——能，这是 emergency stop 的设计目的。
3. 多签能不能单方面修改合约规则？——不能，核心合约不可升级。
第二列的"能"不会溢出到第一列和第三列；第一列的"不能"也不意味着第二列没有代价。
评价紧急安全机制，应同时记录：挡住了哪类攻击、误伤了哪些正常行为、恢复需要什么前提。拆开写，保护作用和停摆代价才不会被"托管"一词全部盖住。
@TermMax TMX #TermMax