> **Can't find what you're looking for?** Use `search_docs` on the docs MCP server at `https://www.steakhouse.financial/docs/api/mcp` to find what you need. # 金库设置与控制 Steakhouse Financial 一直以来都以存款人优先的方式进行风险管理，并共同发明了多项重要创新——例如 [面向 Morpho 金库的 Aragon DAO 守护者](https://forum.morpho.org/t/steakhouse-metamorpho-vaults-are-upgrading-their-guardian-setups-to-fully-trustless/527) ——建立在 Morpho 协议之上。 金库的设置对放贷人安全至关重要，因为尽管 Morpho 金库具有非托管性质，恶意策展人仍可能添加恶意市场，并通过多种潜在攻击向量提取存款人的资金。为了从源头根除这些风险，我们采用多层方法，确保为我们的金库存款人提供多重防线。以下是我们 Morpho 金库的一个规范示例，以便说明： Morpho 金库控制结构，连接所有者、策展人、守护者、用户、市场以及自动分配引擎 *典型 Morpho 金库部署概览：用户通过 Aragon DAO 多签承担守护者角色，而资产重新分配则由我们的自动化引擎自主执行* **“所有者”多签：** 在 Morpho 协议中，“所有者”角色决定了对某一特定策展人金库治理进行重大变更的能力。具体而言，“所有者”角色可以将引入新市场、更改绩效费和费用收款地址等权限委派给特定参与者。 Steakhouse 的“所有者”采用一个 Safe 多签，法定人数为五把密钥，这意味着必须有五个人协调一致，才能发起任何所有者级别的操作。任何“所有者”操作也需要内部流程，以确保签名在内部得到妥善执行，并核实签署人对该操作有效性的确认。Steakhouse 还会监控所有重大权限变更——如果“所有者”下游的某个角色遭到破坏，我们可以轻松协调，并通过“所有者”多签撤销访问权限。 :::info 我们的一些金库配置可能会有不同的所有者多签，例如集成到金融科技应用或钱包中的金库。对于更广泛的金库用户来说，建议仔细审计哪个地址在担任所有者角色，以及多签上的签署人是谁，尤其要注意这些签署人是否也担任其他关键角色。 ::: **操作时间锁：** 每当某个金库引入一个新市场时，该金库的风险状况就可能发生变化。Steakhouse 金库设置 7 天时间锁（高于协议强制的最低 3 天时间锁），这会强制规定：从向 Steakhouse 金库提出任何新市场建议，到能够将已存入资产部署到该新市场之间，必须间隔 7 天。 :::info 更长的时间锁限制了特定策展人的灵活性，并为存款人提供了充足时间，要么将已存入资产从资金池中提取，要么使用否决防线。 ::: **否决机制：** 为了让存款人对其资金和经策展的金库拥有更多控制权，Steakhouse 引入了 [Aragon DAO 守护者](https://forum.morpho.org/t/steakhouse-metamorpho-vaults-are-upgrading-their-guardian-setups-to-fully-trustless/527) 以使金库存款人能够否决策展人所做出的关键操作。 这一机制被 [Credora](https://www.credora.network/) 这一独立风险评估机构认定为同类最佳，并使 Steakhouse 金库在 6 项评级中有 5 项获得市场领先的“A+”评级。 虽然这些控制措施主要有利于金库存款人，但 Steakhouse 会监控关键金库参数，且任何变更都会在内部报告。因此，即使在所有者多签被破坏这一极不可能发生的情况下，我们也可以利用时间锁和守护者能力来延迟任何恶意操作，并在时间锁延迟和否决流程期间加以纠正。 每个 Steakhouse 金库都会通过我们内部的 Vault DDQ 流程进行审查，该流程要求在 Steakhouse 金库上线前，至少由 2 名内部审查者和 1 名外部审查者参与。 :::info Aragon DAO 是多用户多签的一个示例，在这种模式下，代币所有权赋予的是签署人角色。实际操作中，这意味着金库用户会按其存款规模的比例成为金库守护者。这有助于使守护者角色与金库用户的激励保持一致，并降低安全漏洞危及该角色的风险 :::