O protocolo é organizado em contratos com responsabilidades separadas. A consequência prática é que quem está comprometido define o que precisa ser tratado.

Os papéis

• Factory — registro central. Define quem controla os demais. Em estado pré-recovery, é uma EOA. crítico
• Manager — orquestra operações de liquidez. Herda autoridade do Factory.
• Custódia — onde o lastro em stablecoin mora. custódia íntegra
• Contrato-alvo — contrato com a falha explorada. alvo do incidente
• Periféricos — recebem taxas / definem estratégias auxiliares. Não centrais para o recovery.
• LP Token — token de liquidez afetado.

Cadeia de autoridade

Factory → Manager → Contrato-alvo / Periféricos / LP. O Factory tem o poder de transferir ownership de qualquer um deles. Enquanto o Factory for de uma EOA, descentralização do resto é decorativa.

O caminho seguro

1. EOA transfere ownership do Factory para um multisig de transição.
2. DAO vota e o multisig executa a transferência para o Timelock.
3. Timelock passa a ser o único caminho para mudar qualquer parâmetro.
4. Guardião (multisig separado) ganha poder de pause sem voto.

A diferença é mecânica: depois disso, ninguém — incluindo o time original — pode escrever no Factory sem passar por timelock, e ninguém pode pausar sem ser o guardião.