Слои контроля
| Слой | У кого | Что может |
|---|---|---|
| Мультисиг (владелец) | Фаундеры, N из M | Обновить стратегию, менять параметры, экстренное сворачивание, управление альфа-траншем |
| Бот (оператор) | Горячий ключ бэкенда | Запускать клиринги, ребалансировать, помечать билеты готовыми — средства двигаются только по адресам из белого списка |
| Инварианты контракта | Код | Кап цены 0.3% за клиринг · 1.2% за скользящие 7 дней · строгая бухгалтерия · депозиты только с AML-подписью |
Полностью скомпрометированный бот не может отправить средства атакующему (белый список), не может переоценить фонд больше чем на 0.3% за клиринг (кап) и не может выпустить паи без соответствующего депозита USDT (бухгалтерия). Худший реалистичный ущерб — операционная задержка, которую разрешает мультисиг.
First-loss капитал: наши деньги горят первыми
Около 10% фонда — приватный младший транш, наполненный командой и ранними инвесторами. Любой убыток — скачок ставки займа, штраф за ликвидацию, плохой месяц — списывается против него до того, как будет затронута стоимость вкладчиков. Чтобы сжечь его дотла, потребовался бы примерно год ставок займа на худших исторических уровнях. Взамен этот транш забирает доходность сверх того, что выплачено вкладчикам. Согласованные интересы, зашитые в код.
Плавающая ставка — и то, что на самом деле вас защищает
Мы не обещаем ставку. Ставка плавающая: она следует за тем, что зарабатывает стратегия, и может измениться в любой клиринг — фонд, который гарантирует уровень, платит его из источника, который предпочёл бы не называть. За вами стоит не обещание, а три механизма. Жёсткие ограничители в контракте: цена пая не может измениться больше чем на 0.3% за один клиринг и больше чем на 1.2% за любые скользящие 7 дней — так что даже операторский бот в руках атакующего не сможет ни надуть NAV, ни выкачать его быстрее, а у мультисига остаются дни на реакцию, а не минуты. First-loss капитал: приватный младший транш списывается целиком раньше, чем будет затронута стоимость вкладчиков. Открытая история ставки: каждое значение, которое мы когда-либо ставили, лежит в блокчейне и нарисовано на этом сайте — включая плохие месяцы. Послужной список вместо гарантии: его труднее подделать.
Контур чистых денег
- Скрининг кошелька через AML-провайдеров до принятия любого депозита.
- Депозит проходит только с подписанным разрешением, которое проверяет контракт — нет подписи, нет депозита.
- Рабочие балансы считаются внутренним счётчиком, а не через
balanceOf: «пыль» и грязные прямые переводы невидимы для оборота и могут быть выметены только на карантинный кошелёк, но никогда — в фонд.
Что остаётся реальным риском
Честность требует списка: пересмотр цены энергии governance TRON (ровно поэтому ставка плавающая, а не обещанная), отказ протокола JustLend, баги смарт-контрактов (контракты намеренно малы — меньше 500 строк каждый — и идут на внешний аудит до мейннета) и события уровня самой сети TRON. Мы публикуем это в каждом документе, потому что риск, который можно назвать, — это риск, который можно оценить.