Sicurezza e governance

I due contratti di Bernuvia su Polygon, la custodia degli acquisti e l'incasso dell'abbonamento, sono amministrati da un wallet multifirma 2 su 3: 0x87b6E96a3f64e01a9523ea5C5FCef9008800bfAc. Nulla esce da lì con una firma sola.

• Lo stesso multifirma risolve le controversie, può mettere in pausa i contratti e riceve la commissione.
• L'unico ruolo separato è l'operatore che incassa l'abbonamento del venditore, e può incassare solo entro il tetto firmato dal venditore e sempre verso la tesoreria.
• I titolari di ogni ruolo sono pubblici: si leggono nell'explorer, agli stessi indirizzi.

Tutto ciò che può cambiare le regole o muovere il denaro della tesoreria passa dal multifirma. Con due firme su tre:

• Risolvere una controversia, cioè fissare la ripartizione tra acquirente e venditore.
• Prorogare una controversia di 30 giorni, una sola volta.
• Mettere in pausa e riattivare i contratti.
• Proporre e applicare un cambio di tesoreria o di commissione.
• Concedere o revocare qualsiasi ruolo.

Due modifiche non si possono applicare nello stesso blocco in cui vengono proposte:

• La tesoreria (la destinazione della commissione) e la percentuale di commissione si propongono e aspettano 48 ore prima di poter essere applicate.
• La proposta è visibile a chiunque mentre attende, scade dopo 7 giorni se nessuno la applica e può essere annullata.
• Il passaggio dell'amministratore avviene in due fasi, con 3 giorni di attesa, così un errore di battitura non lascia il contratto in mani sbagliate.
• L'amministratore non può rinunciare alla carica: il contratto non può restare senza governo.

Non sono impegni nostri: sono limiti scritti nel contratto, e si verificano leggendo il codice verificato.

• Mandare il denaro di un acquisto altrove. Può andare solo al venditore, tolta la commissione, o tornare all'acquirente.
• Spazzare via il denaro. Non esiste alcuna funzione di recupero sul capitale, e l'eccedenza può andare solo in tesoreria.
• Bloccare i tuoi incassi. Ognuno preleva ciò che è suo quando vuole, e un indirizzo bloccato non blocca gli altri.
• Aprire o ritirare una controversia al posto tuo. La controversia è solo dell'acquirente.
• Prendere commissione dalla tua parte in una controversia. La commissione non esce mai dal rimborso dell'acquirente, ed è zero se il rimborso è totale.

Il contratto di custodia ha passato un audit interno adversarial prima di andare sulla rete principale, e una seconda revisione interna a settembre 2026, con i contratti già in produzione. Da quella seconda è nata la versione 2, quella che oggi custodisce il denaro.

• Luglio 2026: tre revisioni adversarial con lenti diverse (fondi e reentrancy; controllo degli accessi e firme; macchina a stati), analisi statica e una batteria di test in Hardhat.
• Settembre 2026: dodici lenti indipendenti in quattro round sui contratti già distribuiti, con invarianti di conservazione verificate su 1.600 operazioni casuali e 662 casi di test.
• Prima di distribuire la versione 2: altre tre lenti adversarial sul suo codice, con le prove di concetto convertite in regressioni, così se qualcuno disfa una correzione la batteria diventa rossa.
• Il rilievo alto di settembre, cioè che chi apriva una controversia potesse annullare una risoluzione già approvata, è chiuso nella versione 2: la controversia è solo dell'acquirente, ritirarla non rinnova il termine e riaprirla vale solo finché il termine originale resta vivo.

Se trovi un problema di sicurezza, vogliamo saperlo prima di chiunque altro.

1. 1Scrivici dal modulo di contatto con «Sicurezza» nell'oggetto: cosa hai trovato, come riprodurlo e che impatto ha.
2. 2Se hai un account, il pulsante Segnala un problema del tuo pannello arriva allo stesso team e resta legato a te.
3. 3Confermiamo la ricezione e ti diciamo quando è sistemato.