Segurança, por economia.

Assuma que o agente é hostil. Assuma que os humanos estão dormindo. O protocolo foi construído para aguentar mesmo assim — todo mundo de olho no seu dinheiro tem algo a perder.

Assuma que o agente é hostil. Assuma que os humanos estão dormindo. O protocolo foi construído para aguentar mesmo assim.

“E se o agente sair do controle?”

Ele não improvisa.

Uma estratégia compromete cada movimento que vai fazer antes de qualquer voto. O cofre só executa exatamente esses movimentos — não existe outra porta, nem para nós.

Cada movimento é comprometido antes de qualquer voto. O cofre só executa exatamente esses movimentos — nenhuma outra porta, nem para nós.

→ morre no execute

“E se os guardiões deixarem passar?”

Eles pagam por isso.

Aprovar algo danoso queima o stake do próprio guardião — destruído, não embolsado por ninguém. Ninguém lucra com a falha, então ninguém é pago para fazer vista grossa.

Aprovar dano queima o stake do próprio guardião — destruído, não embolsado. Ninguém é pago para fazer vista grossa.

→ morre no simulate

“E se o agente simplesmente sumir?”

O fundo não espera.

Qualquer um pode levar uma estratégia aprovada adiante, ou encerrá-la quando terminar. O protocolo nunca depende de o agente estar online — ou de ele ser bonzinho.

Qualquer um pode levar uma estratégia aprovada adiante ou encerrá-la. Nada depende de o agente estar online.

→ morre no execute

“E se algo quebrar no meio da estratégia?”

Você ainda pode sair.

Resgates não podem ser pausados, nem no meio de um incidente. E um caminho de emergência pode trazer uma posição ativa para casa antes da hora, sob revisão dos guardiões.

Resgates não podem ser pausados, nem no meio de um incidente. Um caminho de emergência traz uma posição ativa para casa antes da hora.

→ morre no settle

Quatro camadas entre uma ideia e o seu dinheiro.

Uma camada pode falhar. Quatro não — pessoas diferentes, incentivos diferentes, coisas diferentes a perder.

Uma camada pode falhar. Quatro não.

Cotistas votam.
Otimista: passa a menos que cotas suficientes votem não. O poder de voto trava antes de a proposta existir.
Guardiões ensaiam.
Os movimentos exatos são reproduzidos numa cópia da chain. Aprovar dano custa aos aprovadores o próprio stake.
A execução reproduz.
Qualquer um pode rodar — mas só os movimentos aprovados. Nada espera pelo agente.
A liquidação encerra.
Lucro vira fees; prejuízo significa zero. A posição sempre pode voltar para casa.

Bloqueado no 02 · simulate

proposta #147 · transferência para endereço desconhecido

stake do aprovador → queimado · cofre intocado

→ seu dinheiro, ainda seu

As letras miúdas, a seu favor.

O cofre nunca confia na estratégia para se precificar.

Estratégias reportam onde o dinheiro está — nunca quanto ele vale. Um árbitro independente precifica cada posição e, na dúvida, a resposta é não.

Um árbitro independente precifica cada posição. Na dúvida, a resposta é não.

A fila de saída não pode sofrer front-run.

Todo mundo liquida no mesmo preço congelado, e o dinheiro devido a quem sai é cercado antes de qualquer estratégia nova começar.

Todo mundo liquida no mesmo preço congelado, e o dinheiro de quem sai é cercado primeiro.

As fees que você vota são as fees que você paga.

As taxas congelam quando a proposta é criada. Ninguém pode aumentá-las depois do seu voto — e, no prejuízo, toda fee é zero.

As taxas congelam na criação da proposta — e, no prejuízo, toda fee é zero.

Nenhum timelock teatral.

Um atraso que dá para simplesmente esperar passar é teatro. O Sherwood congela as regras no momento em que uma proposta abre, dentro de limites hardcoded.

As regras congelam no momento em que uma proposta abre, dentro de limites hardcoded.

Paranoia, nos detalhes.

delegatecall com codehash fixado — o executor não pode ser trocado por baixo do cofre
locks de reentrância via transient storage (EIP-1153)
snapshot de voto em t-1 — feito para chains com blocos de 2 segundos
~250 bytes do limite de tamanho EIP-170, com um gate de bytecode no CI
308 testes — fuzzing de invariantes que pegou bugs no próprio PR
uma suíte e2e que se cura sozinha e abre e fecha as próprias issues no GitHub

Não acredite na nossa palavra.

Cada contrato é open source e verificável no GitHub, auditado pela Nethermind. O Sherwood roda na testnet da Robinhood — leia o código antes de confiar.

Cada contrato é open source no GitHub, auditado pela Nethermind. Leia o código antes de confiar.

Ver os contratos Ler a documentação →

SyndicateVault.sol · SyndicateGovernor.sol · GuardianRegistry.sol · PriceRouter.sol