Roles, multisig y timelocks

Tori tiene que conectar contratos on-chain con plataformas de liquidez de compensación centralizada, y esa conexión requiere claves privilegiadas. Esta página expone los roles privilegiados de los contratos de mainnet de Tori: qué puede hacer cada uno, quién lo tiene y qué queda detrás del timelock. Cada uno de los roles siguientes reside en un contrato verificado y cada titular puede consultarse on-chain, así que cada línea de esta página es algo que puedes comprobar por tu cuenta. Dos reglas de diseño recorren toda la matriz. Mínimo privilegio: ningún rol puede hacer más que la tarea concreta que le da nombre, y los roles que solo pueden reducir los poderes del protocolo son los que se asignan a las claves más rápidas. Demora en la ampliación: todo lo que amplía la superficie del protocolo, ya sea un nuevo activo de garantía, un nuevo destino de custodia o una nueva implementación, espera 24 horas a la vista de todos antes de poder ejecutarse.

​

Cómo se custodian las claves

El modelo de custodia de un rol es una decisión de riesgo deliberada, por eso la matriz lo indica para cada rol. Lo que limita los roles EOA es el contrato, no el sistema de custodia. Cada uno tiene un alcance limitado por construcción: ejecuta instrucciones que un usuario ya ha firmado o escribe en una lista, y se comprueba frente a los límites propios del protocolo en cada llamada. La matriz siguiente detalla exactamente hasta dónde llega cada uno.

​

Matriz de roles

El Minter puede enviar una orden que un usuario haya firmado, y nada más. El Controlador de Acceso puede retirarle el rol en una sola transacción sin necesidad de quórum multisig.

​

Qué controla el timelock de 24 horas

El timelock es 0xA952453E39F77108Ee37C1b92de593F1C59A6ef4 y su demora mínima es de 86.400 segundos. Tiene el rol Timelock Admin en los contratos principales, lo que significa que estas cuatro operaciones no pueden pasar desapercibidas:

• Actualizaciones de contratos. Una nueva implementación de trUSD, strUSD o Minting se pone primero en cola a la vista de todos.
• Un nuevo activo de garantía. Añadirlo está sujeto al timelock; retirarlo o desactivarlo es inmediato, porque la vía rápida debe ser la vía segura.
• Un nuevo destino de custodia. addCustodianAddress está sujeto al timelock. Es la operación que decide adónde puede ir la garantía depositada, así que es la que más conviene vigilar.
• Aumentar el límite delta de las stablecoins.

Cualquiera puede seguir la cola en Etherscan. Una operación en cola que nadie esperaba es visible durante un día completo antes de poder ejecutarse, y el rol Canceller reside en una clave que puede detenerla en una sola transacción.

​

Límites de volumen

La acuñación y el canje están limitados por bloque, por activo y a nivel global, en el propio contrato. El límite se comprueba en cada llamada y se aplica a los roles Minter y Redeemer, independientemente de la orden que se les haya entregado. Cambiar un límite es una función del Propietario, así que requiere el Safe 3 de 5; no es algo que una clave operativa pueda ampliar por sí misma.

​

Compruébalo por tu cuenta

Cada asignación de rol de esta tabla puede leerse en la cadena, y nada de ello requiere fiarse de nuestra palabra:

• Quién tiene un rol: hasRole(role, address) en el contrato
• El quórum del Safe: getThreshold() y getOwners() en el Safe
• La demora del timelock: getMinDelay() en el timelock
• Qué hay en cola ahora mismo: los eventos del timelock en Etherscan

Los umbrales MPC se guardan en el motor de políticas del proveedor de custodia, no on-chain. Estamos gestionando que el proveedor los confirme y que se verifiquen de forma independiente, y tenemos intención de publicar el resultado junto con nuestros datos de prueba de reservas.