Peran, multisig, dan timelock

Tori harus menjembatani kontrak on-chain dan venue likuiditas yang dikliring secara terpusat, dan jembatan itu membutuhkan kunci berhak istimewa. Halaman ini memaparkan peran-peran berhak istimewa pada kontrak mainnet Tori: apa yang dapat dilakukan setiap peran, siapa yang memegangnya, dan apa yang berada di balik timelock. Setiap peran di bawah ini berada pada kontrak yang terverifikasi dan setiap pemegangnya dapat dibaca secara on-chain, sehingga setiap baris di sini dapat Anda periksa sendiri. Dua aturan desain berlaku di seluruh matriks. Hak akses minimum: tidak ada peran yang dapat melakukan apa pun di luar satu tugas yang sesuai dengan namanya, dan peran-peran yang hanya dapat mengurangi kewenangan protokol justru dipegang oleh kunci tercepat. Penundaan untuk perluasan: segala hal yang memperluas cakupan protokol, seperti aset jaminan baru, tujuan kustodi baru, atau implementasi baru, harus menunggu 24 jam secara publik sebelum dapat dieksekusi.

​

Cara kunci dipegang

Model kustodi suatu peran merupakan keputusan risiko yang disengaja, sehingga matriks mencantumkannya untuk setiap peran. Yang membatasi peran EOA adalah kontraknya, bukan pengaturan kustodinya. Cakupan masing-masing sempit sejak rancangannya: peran tersebut mengeksekusi instruksi yang sudah ditandatangani pengguna, atau menulis ke sebuah daftar, dan diperiksa terhadap batas milik protokol sendiri pada setiap panggilan. Matriks di bawah ini memaparkan secara persis apa yang dapat dijangkau masing-masing peran.

​

Matriks peran

Minter dapat mengajukan order yang ditandatangani pengguna, dan hanya itu. Penjaga Gerbang dapat mencabut peran tersebut dalam satu transaksi tanpa kuorum multisig.

​

Apa saja yang harus melewati timelock 24 jam

Timelock-nya adalah 0xA952453E39F77108Ee37C1b92de593F1C59A6ef4 dan masa tunda minimumnya 86.400 detik. Timelock ini memegang peran Timelock Admin pada kontrak inti, yang berarti keempat operasi berikut tidak dapat terjadi diam-diam:

• Upgrade kontrak. Implementasi baru untuk trUSD, strUSD, atau Minting diantrekan secara publik terlebih dahulu.
• Aset jaminan baru. Penambahannya dikenai timelock; penghapusan atau penonaktifannya berlaku seketika, karena arah yang cepat seharusnya adalah arah yang aman.
• Tujuan kustodi baru. addCustodianAddress dikenai timelock. Inilah operasi yang menentukan ke mana jaminan yang disetor dapat dipindahkan, sehingga operasi inilah yang paling layak diawasi.
• Menaikkan batas delta stablecoin.

Siapa pun dapat memantau antrean di Etherscan. Operasi yang diantrekan tanpa diduga siapa pun akan terlihat selama satu hari penuh sebelum dapat dieksekusi, dan canceller berada pada kunci yang dapat menghentikannya dalam satu transaksi.

​

Batas laju

Mint dan penebusan dibatasi per blok, per aset, dan secara global, di tingkat kontrak. Batas ini diperiksa pada setiap panggilan dan berlaku bagi peran Minter dan Redeemer, apa pun order yang diserahkan kepada mereka. Mengubah batas merupakan fungsi Pemilik, sehingga memerlukan Safe 3-dari-5; ini bukan sesuatu yang dapat diperlebar sendiri oleh kunci operasional.

​

Periksa sendiri

Setiap penetapan peran dalam tabel ini dapat dibaca dari chain, dan tidak ada satu pun yang perlu diterima atas dasar kepercayaan:

• Siapa yang memegang suatu peran: hasRole(role, address) pada kontrak
• Kuorum Safe: getThreshold() dan getOwners() pada Safe
• Masa tunda timelock: getMinDelay() pada timelock
• Apa yang sedang diantrekan saat ini: event timelock di Etherscan

Ambang batas MPC disimpan di mesin kebijakan penyedia kustodi, bukan on-chain. Kami sedang memintakan konfirmasi dari penyedia dan atestasi independen atas ambang batas tersebut, dan kami bermaksud memublikasikannya bersama data bukti cadangan kami.