Papéis, multisig e timelocks

A Tori precisa fazer a ponte entre contratos on-chain e plataformas de liquidez com compensação centralizada, e essa ponte exige chaves privilegiadas. Esta página apresenta os papéis privilegiados nos contratos da Tori na mainnet: o que cada um pode fazer, quem o detém e o que passa pelo timelock. Cada papel abaixo está em um contrato verificado e todo detentor pode ser consultado on-chain, então cada linha aqui é algo que você pode conferir por conta própria. Duas regras de projeto permeiam toda a matriz. Privilégio mínimo: nenhum papel pode ir além da tarefa que lhe dá nome, e os papéis que só podem reduzir os poderes do protocolo são justamente os que ficam nas chaves mais rápidas. Atraso na expansão: tudo o que amplia a superfície do protocolo (um novo ativo de garantia, um novo destino de custódia, uma nova implementação) aguarda 24 horas publicamente antes de poder ser executado.

​

Como as chaves são mantidas

O modelo de custódia de um papel é uma decisão de risco deliberada, por isso a matriz o indica para cada papel. O que limita os papéis em EOA é o contrato, e não o arranjo de custódia. Cada um é restrito por construção: executa instruções que um usuário já assinou, ou escreve em uma lista, e é verificado em relação aos limites do próprio protocolo a cada chamada. A matriz abaixo mostra exatamente o alcance de cada um.

​

Matriz de papéis

O Minter pode enviar uma ordem assinada por um usuário, e nada mais. O Controlador de Acesso pode retirar esse papel em uma só transação, sem quórum de multisig.

​

O que passa pelo timelock de 24 horas

O timelock é 0xA952453E39F77108Ee37C1b92de593F1C59A6ef4 e seu prazo mínimo de espera é de 86.400 segundos. Ele detém o papel Timelock Admin nos contratos centrais, o que significa que estas quatro operações não podem acontecer sem que ninguém perceba:

• Upgrades de contrato. Uma nova implementação do trUSD, do strUSD ou do Minting é primeiro enfileirada publicamente.
• Um novo ativo de garantia. A inclusão passa pelo timelock; a remoção ou desativação é imediata, porque o caminho rápido deve ser o caminho seguro.
• Um novo destino de custódia. addCustodianAddress passa pelo timelock. É essa operação que define para onde a garantia depositada pode ir, por isso é a que mais merece atenção.
• Aumento do limite de delta de stablecoins.

Qualquer pessoa pode acompanhar a fila no Etherscan. Uma operação enfileirada que ninguém esperava fica visível por um dia inteiro antes de poder ser executada, e o Timelock Canceller fica em uma chave capaz de barrá-la em uma só transação.

​

Limites de volume

Mint e resgate têm limites por bloco, por ativo e globais, no nível do contrato. O limite é verificado a cada chamada e se aplica aos papéis Minter e Redeemer, seja qual for a ordem que receberam. Alterar um limite é uma função do Proprietário, portanto exige o Safe 3 de 5; não é algo que uma chave operacional possa ampliar por conta própria.

​

Confira você mesmo

Cada atribuição de papel desta tabela pode ser lida na blockchain, e nada disso precisa ser aceito na base da confiança:

• Quem detém um papel: hasRole(role, address) no contrato
• O quórum do Safe: getThreshold() e getOwners() no Safe
• O prazo de espera do timelock: getMinDelay() no timelock
• O que está na fila agora: os eventos do timelock no Etherscan

Os limiares de aprovação do MPC ficam no motor de políticas do provedor de custódia, e não on-chain. Estamos providenciando a confirmação deles pelo provedor e uma verificação independente, que pretendemos publicar junto com nossos dados de prova de reservas.