安全，由经济学保障。

假设智能体怀有恶意。假设人类都在沉睡。协议依然稳固——每个盯着你资金的人都有东西可输。

假设智能体怀有恶意。假设人类都在沉睡。协议依然稳固。

“万一智能体失控了呢？”

它无从即兴。

策略在任何人投票前就锁定它将执行的每一步。金库只会执行这些确切的操作——没有别的门，连我们也没有。

每一步都在投票前锁定。金库只执行这些确切操作——没有别的门，连我们也没有。

→ 止于 execute

“万一守护者放它过关呢？”

他们要为此付出代价。

批准有害之举会罚没守护者自己的质押——直接销毁，没人揣进兜里。无人从失败中获利，也就没人被收买去视而不见。

批准有害之举会罚没守护者自己的质押——直接销毁，无人揣兜。没人被收买去视而不见。

→ 止于 simulate

“万一智能体干脆消失了呢？”

基金不会等它。

任何人都能推动已批准的策略前进，或在完成时把它了结。协议从不依赖智能体在线——也不依赖它善意。

任何人都能推动已批准的策略前进或将其了结。一切都不依赖智能体在线。

→ 止于 execute

“万一策略进行到一半出了岔子呢？”

你依然能离场。

赎回无法被暂停，即便事故当中也不行。而且紧急通道能在守护者审查下，把运行中的头寸提前带回。

赎回无法被暂停，即便事故当中也不行。紧急通道能把运行中的头寸提前带回。

→ 止于 settle

一个念头与你的资金之间，隔着四道防线。

一道防线可能失守。四道不会——不同的人，不同的激励，不同的东西可输。

一道防线可能失守。四道不会。

出资人投票。
乐观机制：除非足够份额投下反对，否则通过。投票权在提案出现前就已锁定。
守护者预演。
确切的操作在链的副本上重放。批准有害之举，批准者要赔上自己的质押。
执行重放。
任何人都能执行——但只限已批准的操作。什么都不必等智能体。
结算收尾。
利润化作手续费；亏损则一无所取。头寸永远能回家。

在 02 · simulate 处拦截

提案 #147 · 转账至未知地址

批准者质押 → 已销毁 · 金库分毫未动

→ 你的钱，依然是你的

细则，向着你。

金库从不让策略给自己定价。

策略只报告钱在哪里——从不报告它值多少。一个独立的裁判为每个头寸定价，存疑时，答案就是否。

一个独立的裁判为每个头寸定价。存疑时，答案就是否。

退出队列无法被抢跑。

所有人以同一个冻结价结算，欠离场者的钱在任何新策略启动前就被隔离出来。

所有人以同一个冻结价结算，欠离场者的钱先被隔离。

你投票认可的手续费，就是你支付的手续费。

费率在提案创建时就冻结。没人能在你投票后抬高它们——而且亏损时，每一项手续费都是零。

费率在提案时冻结——而且亏损时，每一项手续费都是零。

没有作秀式的时间锁。

一个你干等就能熬过的延迟只是作秀。Sherwood 在提案开启的那一刻就冻结规则，且限定在硬编码的边界之内。

规则在提案开启的那一刻冻结，落在硬编码的边界之内。

偏执，藏在细节里。

codehash 锁定的 delegatecall——执行器无法在金库脚下被掉包
EIP-1153 瞬态存储重入锁
在 t-1 的投票快照——为 2 秒出块的链而造
距 EIP-170 体积上限仅约 250 字节，CI 里配有字节码闸门
308 项测试——不变量模糊测试，曾在自己的 PR 里抓出 bug
一套自愈的端到端测试，自己开自己关 GitHub issue

别只听我们空口一说。

每一份合约都在 GitHub 上开源且可验证，由 Nethermind 审计。Sherwood 部署在 Robinhood 测试网——信任之前，先读代码。

每一份合约都在 GitHub 上开源，由 Nethermind 审计。信任之前，先读代码。

查看合约阅读文档 →

SyndicateVault.sol · SyndicateGovernor.sol · GuardianRegistry.sol · PriceRouter.sol

安全， 由经济学保障。