ロール、マルチシグ、タイムロック

Toriは、オンチェーンのコントラクトと中央清算型の流動性の場との間をつなぐ必要があり、そのためには特権鍵が欠かせません。このページでは、Toriのメインネットのコントラクトにおける特権ロールについて、各ロールに何ができるか、誰が保有しているか、タイムロックの対象は何かを説明します。以下のすべてのロールは検証済みのコントラクト上に存在し、すべての保有者はオンチェーンで確認できます。そのため、ここに記載している内容はすべてご自身で確かめることができます。 マトリクス全体には、2つの設計ルールが貫かれています。最小権限：どのロールも、その名前が示す1つの役割を超える操作はできません。そして、プロトコルの権限を縮小することしかできないロールこそが、最も迅速に動かせる鍵で保有されています。拡大には遅延を：新しい担保資産、新しいカストディ先、新しい実装など、プロトコルの対象範囲を広げる変更は、実行可能になるまで24時間、公開された状態で待機します。

​

鍵の保有方法

ロールの鍵をどのように管理するかは、意図的なリスク判断です。そのため、マトリクスではロールごとに管理方式を明記しています。 EOAのロールを制約しているのは、鍵の管理方式ではなくコントラクトです。各ロールは構造上、権限が狭く限定されています。ユーザーがすでに署名した指示を実行するか、リストに書き込むだけであり、呼び出しのたびにプロトコル自身の上限と照合されます。各ロールが何に及ぶかは、以下のマトリクスで正確に示しています。

​

ロールマトリクス

ミンターにできるのは、ユーザーが署名した注文を提出することだけです。ゲートキーパーは、マルチシグの定足数なしに、1回のトランザクションでそのロールを剥奪できます。

​

24時間のタイムロックの対象

タイムロックのアドレスは0xA952453E39F77108Ee37C1b92de593F1C59A6ef4で、最小遅延時間は86,400秒です。タイムロックはコアコントラクトのタイムロック管理者ロールを保有しているため、次の4つの操作が人知れず行われることはありません。

• コントラクトのアップグレード。trUSD、strUSD、Mintingの新しい実装は、まず公開の場でキューに登録されます。
• 新しい担保資産。追加はタイムロックの対象ですが、削除や無効化は即時に行われます。迅速に実行できる方向こそが、安全な方向であるべきだからです。
• 新しいカストディ先。addCustodianAddressはタイムロックの対象です。入金された担保の行き先を決めるオペレーションであるため、最も注視すべきものです。
• ステーブルコインのデルタ上限の引き上げ。

キューはEtherscanで誰でも確認できます。予期せぬオペレーションがキューに登録された場合でも、実行可能になるまで丸1日公開されており、タイムロックキャンセラーの鍵があれば1回のトランザクションでそれを止めることができます。

​

レート制限

ミントと償還には、コントラクトのレベルで、ブロックごと、資産ごと、そして全体の上限が設けられています。この上限は呼び出しのたびにチェックされ、どのような注文を渡されたかにかかわらず、ミンターとリディーマーのロールに適用されます。上限の変更はオーナーの関数であるため、3-of-5 Safeの承認が必要です。運用用の鍵が自ら上限を引き上げることはできません。

​

ご自身で確認する

この表にあるロールの割り当てはすべてチェーン上で確認でき、いずれも当社の説明を鵜呑みにする必要はありません。

• ロールの保有者：コントラクトのhasRole(role, address)
• Safeの定足数：SafeのgetThreshold()とgetOwners()
• タイムロックの遅延時間：タイムロックのgetMinDelay()
• 現在キューにあるもの：Etherscan上のタイムロックのイベント

MPCのしきい値は、オンチェーンではなくカストディプロバイダーのポリシーエンジンで管理されています。現在、プロバイダーによる確認と独立したアテステーションを進めており、準備金証明のデータとあわせて公開する予定です。