Ir para o conteúdo
Financial Context Wiki

Timelocks: transações e ações de governança adiadas

Um timelock obriga uma transação ou ação de contrato a esperar por um bloco, timestamp ou intervalo. Entenda quem impõe o atraso, o que ocorre no vencimento e quais caminhos podem contorná-lo.

Atualizado

Apenas para fins educacionais; não constitui aconselhamento de investimento. Investimentos podem resultar em perdas.

Resposta direta

Um timelock é uma regra imposta por uma blockchain ou contrato inteligente que impede uma transação, gasto ou ação administrativa de se tornar válida ou executável até que uma altura de bloco, timestamp ou intervalo transcorrido seja atingido. Ele altera quando uma ação pode ocorrer; não decide se a ação está correta.

O termo abrange mecanismos diferentes. Um timelock no nível da transação pode tornar uma moeda indisponível para gasto ou manter uma transação não final até que uma condição da rede seja satisfeita. Um timelock de governança coloca uma chamada de contrato já autorizada na fila e exige um atraso mínimo antes do envio por um executor. Seus relógios, transições de estado e modos de falha são distintos.

O valor de segurança vem do atraso obrigatório. Na governança, ele pode dar tempo para monitores e usuários inspecionarem o payload na fila, emitirem alertas, cancelarem ou pausarem por uma via autorizada, ou saírem se houver uma rota real de saída. A vantagem desaparece diante de qualquer via privilegiada capaz de alterar o mesmo sistema sem passar pelo timelock.

Como funciona

  1. O mecanismo define um relógio. O limite pode usar altura de bloco, timestamp derivado da rede ou tempo medido desde um evento on-chain anterior. Esses são valores do protocolo, não promessas de horário civil exato.
  2. A ação bloqueada é vinculada a uma condição. Um timelock absoluto indica uma altura ou momento futuro. Um relativo mede um intervalo desde um evento, como a confirmação da saída que será gasta. Um controlador de governança registra uma operação agendada e o momento em que ficará pronta.
  3. A camada relevante impõe a espera. Regras de consenso podem rejeitar uma transação ou gasto de script prematuro. Um contrato inteligente pode rejeitar uma chamada antecipada. Uma contagem regressiva em um site não é timelock, pois a interface pode ser contornada.
  4. O vencimento altera a elegibilidade, não a intenção. Quando a condição é satisfeita, a ação pode se tornar válida ou pronta, mas não é necessariamente transmitida ou executada de forma automática. Alguém ainda precisa enviá-la, e as demais verificações de autorização e validade continuam valendo.
  5. A cobertura depende da autoridade. Na governança, o timelock deve deter a propriedade ou os papéis necessários do contrato-alvo, e toda via privilegiada equivalente também deve sofrer atraso. Permissões de proponente, cancelador, executor e administrador determinam quem pode agendar, impedir, executar ou reconfigurar operações.

O Bitcoin ilustra a distinção transacional. A BIP 65 especifica CHECKLOCKTIMEVERIFY, que pode impedir o gasto de uma saída até uma condição absoluta de altura ou tempo. A BIP 68 dá aos números de sequência de entradas elegíveis um significado de timelock relativo imposto pelo consenso, medido desde a idade da saída gasta. Essas regras não são a fila de um contrato de governança.

O TimelockController da OpenZeppelin ilustra o atraso de governança. Um proponente agenda uma operação identificada com atraso no mínimo igual ao mínimo. Após o temporizador expirar, ela passa de espera para pronta; depois um executor precisa executá-la. Cancelamento e gestão de papéis seguem as regras do contrato, e a alteração do atraso mínimo também deve passar pelo timelock.

Exemplos

Atualização de protocolo na fila

Uma DAO aprova uma atualização, e seu governador agenda no timelock o endereço-alvo, valor, dados da chamada, dependência e salt exatos. Durante o atraso, ferramentas de monitoramento podem comparar o payload com a proposta e simular seus efeitos. Quando a operação fica pronta, um executor autorizado a envia.

A proteção só existe se o timelock controlar a autoridade de atualização. Se outro proprietário, administrador de proxy, conselho de segurança ou módulo puder instalar imediatamente a mesma atualização, essa via de contorno deve ser avaliada à parte. O atraso também só é útil se o monitoramento for oportuno e o saque ou a migração puder terminar antes da execução.

Rota de transação adiada

Um script pode oferecer uma rota de gasto antes de um prazo e uma rota de reembolso depois. A rede impõe a condição ao validar o gasto. Atingir o limite não move os fundos: a parte habilitada precisa construir e transmitir uma transação válida, e a confirmação continua dependendo das taxas e da inclusão em bloco.

Riscos e lista de revisão

  • Autoridade de contorno: outro proprietário, papel, módulo, chave de atualização ou via de emergência pode realizar a ação protegida sem esperar.
  • Relógio ou limite errado: altura, tempo da rede e tempo transcorrido não são intercambiáveis; um erro de uma unidade pode liberar o gasto antes ou depois do esperado.
  • Atraso insuficiente: a espera pode ser menor que o tempo necessário para detectar, analisar, comunicar e responder a uma ação.
  • Sem saída prática: saques pausados, atrasos de pontes, iliquidez, desvinculação ou congestionamento podem impedir ações durante a janela nominal.
  • Papel comprometido ou impasse: proponente ou administrador malicioso pode enfileirar chamadas nocivas; executores perdidos ou cancelamento amplo demais podem bloquear operações legítimas.
  • Payload divergente: um título legível não prova que alvo, valor, dados, dependência e salt agendados implementam o que foi aprovado.
  • Diferenças de implementação: expiração, cancelamento, lotes, dependências, execução aberta e mudanças de atraso variam por contrato e versão.
  • Erro de bloqueio: timestamp, altura, sequência, ramo de script ou chave incorreta pode deixar ativos inacessíveis por mais tempo que o previsto.

Equívocos comuns

Um timelock executa automaticamente ao vencer?

Em geral, não. O vencimento normalmente apenas habilita a ação. A transação ainda precisa ser transmitida, ou um executor precisa chamar o contrato de governança.

Um timelock torna a governança segura?

Não. Ele cria tempo de reação, mas não valida o payload, protege chaves privilegiadas, garante cancelamento nem assegura a saída dos usuários. Autoridade paralela sem atraso pode anular o controle.

Todo timelock usa o horário civil?

Não. Alguns usam altura de bloco, outros timestamps da rede e outros uma idade relativa. Intervalos esperados de bloco e timestamps não são cronogramas exatos.

Timelocks de transação e governança são intercambiáveis?

Não. Ambos adiam elegibilidade, mas regras de transação do consenso, condições de script e filas de governança protegem ações diferentes e exigem revisão por suas próprias especificações.

Tópicos relacionados

Fontes

Navegação

Pesquisar na wiki...