信頼モデル

誰が何をできるのか。マーケティング向けではない、誠実な答えです。

2026-10-02以降、プロトコルのほぼすべてのコントラクトはアップグレード可能です。StockFunのオーナーは、そのコードを即時発効で置き換えることができます。2026-10-05以降は、タックスからエアドロップのサイクルまで、プロトコルの数値もオーナーのオンチェーンの設定であり、これも即時発効です。本書が示す数値はそのデフォルト値であり、固定されたままのものとあわせて後述します。本書がモジュールに帰するルールは、いずれもそのモジュールの現在の実装のルールです。アップグレードの権限の外にあるのは、トークン、流動性のロック、そしてRobinhood Chain上のミラーボールトのデプロイヤーです。

誰にもできないこと

以下は、アップグレードできないコントラクトに基づいています。オーナーが何をアップグレードしても、何を設定しても、これらは成り立ちます。

• 新しいトークンをミントすること。供給量はコンストラクタ内で一度だけミントされ、トークンはアップグレードできません
• ホルダーの承認なしに、そのトークンを移動すること。トークンのsetterであるsetRecorderは残高を動かさず、2026-10-05以降のトークンのレスキューが動かすのは、トークン自身のアドレスに送られたものだけです
• 30日間の公開の事前告知なしに、プールの流動性を取り除くこと。ロックはアップグレードできず、その唯一の出口は後述の終了モードであり、その30日間は定数であって設定ではありません。2026-10-05以降のロックのレスキューは、ポジションにも、ロックが受取人のために保持している手数料の取り分にも届きません
• 稼働中のプールのLP手数料やティック間隔を変更すること。各プールは作成時のものを保持します。それらはプールのキーの一部であり、ロックがそのキーを保持しています

現在のコードが排除していること

現在の実装のもとでは、オーナーを含め、誰もこれらを行うことはできません。いずれも、オーナーがアップグレードできるモジュールに基づいています。

• StockFunのプールに流動性を追加すること。2026-10-01以降、それができるのは流動性のロックだけです
• 手数料用のウォレットやボールトを通じて取引をブロックすること。取引中に支払われるのはトレジャリーの取り分だけで、2026-10-05以降、それを拒否するボールトには、代わりにその額が未払い分として残ります。他の取り分は後から請求されます
• 作成後にバスケットの構成を変更すること
• 既存のボールトが読み取る価格フィードを変更すること。各フィードはオラクルの初期化時に一度だけ書き込まれ、各ボールトは自身のオラクルを保持します。フィードのハートビートは設定であり、2026-10-06以降は、価格を差し止めることしかできず、決して変更することのない、Robinhood Chain上のオラクルの2つのガードも設定です
• $STOCKFUNバイバックのトークンをバーンアドレス以外に送ること
• 誰がエアドロップを受け取るかを選ぶこと、あるいは他人の取り分を請求すること。配分は記録された保有量から比例配分で導かれ、請求するのはホルダー本人だけです

クリエイターにできること

• 自分のマーケットのすべての取引から、クリエイターの項目（デフォルトで2 %）を受け取り、それを請求すること。2026-10-05以降は、希望すれば別のアドレスへ請求できます（claimCreatorFeesTo）
• 自分のマーケットのアンチスナイプのホワイトリストを設定すること。そのアドレスは、最初の数ブロックの間、通常のタックスを支払います。デフォルトで最大20アドレスで、作成トランザクション内で確定し、公開され、その後は変更できません
• 他の誰とも同じように、自分のトークンを売買すること

クリエイターは割り当てを受け取らず、流動性を管理せず、自分のマーケットを一時停止することもできません。トレジャリーに対する権限はありません。他のホルダーと同じように株式を受け取るだけです。

キーパーにできること

自ら選んだタイミングで、自ら指定した金額で、自ら提案したルートにより、変換をトリガーすること。それは常にボールトのオラクル許容幅と各株式の確保分の内側で行われ、誰が何を受け取るかを選ぶことは決してありません。2026-10-01以降、株式をスキップしてもバスケットのウェイトはもう変わりません。その株式は自分の取り分を後のために保持します。2026-10-05以降、ボールトは、キーパーが指定する最低額を、実際に届いた量に対して適用します。2026-10-06以降、キーパーは、2026-09-27の決定どおり、エアドロップの時間枠ごとに1回ボールトのETHを変換します。これはキーパー自身のルールであり、ボールトがそれを強制するわけではありません。ボールトが記録するのは、そのETHが最後に変換された時刻だけです。

2026-10-05以降、ブリッジバッチを送れるのもキーパーだけであり（bridgeReady）、Robinhood Chain上でマーケットのミラーボールトを事前にデプロイできるのも、キーパーとStockFunのオーナーだけです（predeploy）。それまでは、どちらも誰にでも開かれていました。リモートハブはキーパーをバッチから知るため、最初のバッチより前は、StockFunのオーナーが最初のマーケットのボールトを事前にデプロイし、キーパーがボールトを事前にデプロイできないマーケットは、そのバッチから外されます。

エアドロップについては、2026-10-04以降、次のことができます：マーケットのサイクルを開くこと（openCycle）、ボールトの株式をエアドロップのコントラクトへ送ること（sendToAirdrop。Robinhood ChainからはLayerZeroの手数料を支払う）、保留された株式を割り当てること（assignUnassigned）。キーパーが選ぶのはタイミングだけで、量も、対象も、行き先も、受取人も選びません。金額はボールトの残高であり、行き先はプロトコルが指定するコントラクトであり、配分は保有量から導かれます。サイクルを開くことと保留された株式を割り当てることは誰にでもでき、誰が呼び出しても結果は同じです。次に時間枠が閉じる時刻（デフォルトで13:00 UTC）より後に到着した送付は、翌日の時間枠で測定されます。その日次のステップは、2026-10-05以降書かれています。キーパーを参照してください。7回目の監査ループ以降（2026-10-06）、キーパーが株式を送るのは、それが送付のコストに見合う価値になってからだけで、これが決めるのはその株式がいつ出ていくかだけです。待機するものは、後の時間枠までボールトにとどまります。同日の9回目以降は、各配信がEthereum上で受け取るガスも指定します。リモートハブは、そのガスを、StockFunのオーナーが設定する下限と上限の間に保ちます。また、Ethereum上のLayerZeroのエンドポイントで滞留した配信を、自身の鍵から再実行します。これは誰でも行えることです。どちらも、配信されるものも、その行き先も変えません。

2026-10-05以降、キーパーは毎サイクル、フックとロックが受け取りを拒否した受取人のために保持している分を支払い（payTreasury、payOwed）、LP手数料付きで作成されたプールのLP手数料を回収します（collectFees）。この3つの呼び出しは誰でも行えますが、支払い先は、コントラクトが指定する受取人だけです。

その鍵はホットキーです。キーパーが資産の行き先を選ぶことは決してありません。

StockFunのオーナーにできること

本当の意味での信頼が置かれているのはここです。StockFunのオーナーとはプロトコルオーナーのことであり、Ethereum上のファクトリーのオーナーです。Robinhood Chain上では、リモートハブがこのオーナーを反映します。

• トークン、流動性のロック、ミラーボールトのデプロイヤーを除くすべてのモジュールを、即時発効で、事前告知なしにアップグレードすること。ボールトは、両方のチェーンで、1つずつ、マーケットごとにアップグレードされます
• プロトコルの数値を、即時発効で、事前告知なしに変更すること：タックス、その配分とアンチスナイプ、作成手数料、新しいマーケットの形状、変換しきい値とボールトの価格許容幅、エアドロップのサイクル、そして後述のその他の数値
• ロックの終了モードを開始し、30日後に、$STOCKFUNのプールを含むすべてのプールの流動性の全量を、任意のアドレスへ回収すること
• 各トークンが転送を報告する先の保有量レコーダーを指定すること。報告が失敗すれば、転送も失敗します。これは、1つの失敗が残りを決して止めないというルールの唯一の意図的な例外であり（アーキテクチャを参照してください）、即時のレバーが2つあります。トークンの記録を止めるsetRecorder(0)と、レコーダーのその場でのアップグレードです。2026-10-05以降、トークンは、自身のプールのものとは別のUniswapのPoolManagerに結び付けられたレコーダーを受け付けません。レコーダーはその場でアップグレードされ、それによって履歴が保たれます。稼働中のトークンで置き換えられることはありません。2026-10-05以降、代わりのレコーダーは、UniswapのPoolManagerの外にあるトークンの供給量から始まるので、取引は続き、エアドロップはそれより前に始まった時間枠を測定しません。しかし、レコーダーが動きを見ていないホルダーは、次に動くまで何も保有していなかったものとして読まれるため、その間にかかる時間枠では、そのホルダーへの支払いが少なくなり、他の誰への支払いも増えません。2026-10-05までは、新しいレコーダーはすべての売りを失敗させ、その後に開かれたサイクルのエアドロップの取り分を壊していました
• バスケットを、凍結される前に登録すること
• 一度しか設定できないアドレスを、一度だけ設定すること
• キーパーと手数料用のウォレットを設定すること。請求では、その時点で設定されているウォレットに支払われるため、変更すると、まだ請求されていないチームやバイバックの残高の行き先も変わります
• ファクトリーに記録されている公式のスワップルーターを変更すること。フックは、このルーターを通じてアンチスナイプのホワイトリストを認識します
• 今後のボールトが使う株式ルーターやオラクルのレジストリを、別のものに切り替えること。既存のボールトは自身のものを保持します
• バスケットの各株式を、そのRobinhood Chain上のトークンに対応付けること。追加のみ可能です
• 各トークンのエアドロップの除外リストを設定すること（その後に閉じる時間枠に適用、setExclusions）。Ethereum上の各株式のOFTを登録すること（registerStockOft）
• ボールトが株式を送る先のエアドロップのコントラクトを指定すること（setAirdropDistributor）。置き換えられたコントラクトでも、すべてのサイクルはそのコントラクト上で請求可能なままです。Robinhood Chain上では、エアドロップの経路、つまりコントラクトと各配信のガス（setAirdrop）、そして各株式のアダプター（setStockAdapter）を指定すること。2026-10-06以降は、各配信がEthereum上で受け取るガスのデフォルト値、下限、上限を設定すること（setAirdropReceiveGas、setAirdropComposeGas）
• 今後の送金に使うブリッジアダプターを、ただちに差し替えること（changeAdapter）。差し替え先は、まったく同じ固定値、つまり同じハブ、ファクトリー、キャッシュトークン、リモートハブ、送付先を持つアダプターでなければなりません。2026-09-29のセキュリティ監査は、リモートハブが新しいアダプターからのバッチを拒否してしまうことを明らかにしました（M-2）。2026-10-05、オーナーはこれを現状のまま維持することを決定したため、アダプターは、同じアドレスのままその場でアップグレードすることで変更されます
• 変換とブリッジを即座に一時停止すること。一時停止中のリモートハブも、各バッチが運ぶロールの変更は適用します。エアドロップのコントラクトでは、一時停止は送付、サイクルの開始、保留された株式の割り当てを止めますが、請求は決して止めません
• トレジャリー、ブリッジハブ、エアドロップのコントラクトから、あらゆる資産を、ただちに、事前告知なしに、任意のアドレスへ移動すること（emergencyTransfer）。どちらのチェーンでも、いつでも可能です。リモートハブでは、2026-10-05以降、1つのマーケットの負担とする移転も可能で、その場合、そのマーケットの帳簿は同じ呼び出しの中で清算されます（emergencyTransferFromPending、emergencyTransferRecord）
• エアドロップのコントラクトまたはリモートハブからのそのような移転の後、損失を、それを被ったサイクルまたはマーケットの負担として償却すること（writeDownCycle、writeDownUnassigned、writeOffPending、writeOffRecord、2026-10-05以降）。サイクルの負担として一部だけを償却できるのは、そのサイクルからその株式を誰も請求していない間だけで、その場合はすべてのホルダーが同じ割合を失います。一部のホルダーがすでに支払いを受けた後は、償却できるのはそのサイクルの残りの全量だけであり、それはまだ支払いを受けていないホルダーが失います。その後でそのサイクルに届いたものは、再び、サイクルのすべてのホルダーの間で比例配分されます。他のマーケットがそれを負担することはありません。損失が償却されるか、資産が誰でも呼び出せるrestoreを通じて戻ってくるまで、不足している分の支払いは待機し、それ以外の支払いは続きます。請求は他の株式を支払います。どちらのコントラクトも、数えるのは帳簿を裏付けるものであり、残高では決してありません。別のマーケットへ向かう途中の資産がその損失を負担することは決してなく、それらのコントラクトへの単なる転送は何も裏付けません
• モジュールが誤って保有しているものを取り出すこと（rescue、2026-10-05以降）：誰のものも保持しないモジュールに送られたETHやトークン。フックの紛れ込んだ資金（フックが負っているものは決して取り出せません）。ロックが保持している手数料の取り分を超えてロックが保有するもの（ポジションは決して取り出せません）。もはやどのバーンもそれを使えなくなった後のBuybackBurnerのETH。トークン自身のアドレスに送られたもの。緊急モードを参照してください
• エアドロップの株式アダプターのLayerZeroの設定を、事前告知なしに、引き出しの上限もなしに変更すること

アップグレードは、これらの権限の中で最も広いものです。上の2つ目のリストのすべてのルールに、一度に及びます。プロトコルの設定、終了モード、緊急移転、株式アダプターのLayerZeroの設定とあわせて、アップグレードは、StockFunがトラストレスではないことを意味し、StockFunもそうであるとは主張していません。トレジャリーはプロトコルによって守られており、オーナーが管理するリカバリー手段を伴います。

設定

2026-10-05以降、プロトコルの数値は、両方のチェーンで、StockFunのオーナーのオンチェーンの設定です。各設定は、それを行うトランザクションの中で、事前告知なしに発効し、イベントを発行し、ありえない値を拒否します。100 %を超える率、タックスより大きい配分、プールが保持できないローンチの形状などです。以下の値はデフォルト値であり、本書が示している値です。

• すべてのプールに、次のスワップから。タックスやアンチスナイプの変更は、アンチスナイプのブロック内にあるプールも含め、すべてのプールで次のスワップから適用されます。逓減は、プールのローンチブロックを起点に、その時点で有効な設定で計算されます。アンチスナイプが通常のタックスより低い率を課すことは決してありません。ホワイトリストの上限は、マーケットの作成時に適用されます
• 形状は新しいマーケットだけに。新しい供給量、新しいバンド、新しいティック間隔、新しいLP手数料は、その後に作成されるマーケットに適用されます。各プールは作成時のLP手数料とティック間隔を保持し、Lensはそれらをマーケットごとに示します。$STOCKFUNのプールは、ローンチ時に有効なものを使います
• ボールトにはその都度。すべてのボールトは、変換のたびに変換しきい値と価格許容幅を読み取り、ロックは回収のたびにLP手数料の取り分を読み取ります
• 開かれたサイクルは自身の時間枠を保持します。エアドロップの新しいスケジュールは、まだ開かれていない時間枠に適用され、それらを区切り直します。保留された株式がこれから確認する時間枠も含まれます

固定されたままのもの：

• 終了モードの30日間の事前告知（END_DELAY）。アップグレードできない流動性のロックの定数です
• 緊急移転が即時であること。遅延期間はなく、どの設定によっても加えることはできません
• 単位とエンコーディング：ベーシスポイント、保有量の記録とエアドロップの時間枠の単位としての1時間、バーンアドレス、メッセージの形式
• 接続先：価格フィード、Ethereum上で株式ルーターが購入に使うプール、USDG OFT、ブリッジのLayerZeroのエンドポイント、リモートハブ、Curveのプール。これらはデプロイ時に固定されるか、一度だけ書き込まれます。変更するには別のコントラクトを指す必要があり、それにはアップグレードが必要です

アップグレード

2026-10-02以降、下記のコントラクトを除き、すべてのモジュールはUUPSによってアップグレードされるプロキシです。その構成については、アーキテクチャを参照してください。

• 即時。アップグレードは、それを行うトランザクションの中で発効します。設定や緊急移転と同様に、タイムロックも事前告知もありません
• 検証つき。アップグレードできるのはプロトコルオーナーだけです。新しい実装は同じアップグレード権限の管理元に従わなければならず、フックと保有量レコーダーの新しい実装は、同じPoolManagerを維持しなければなりません
• マーケットごと。各ボールトはそれぞれ独自のプロキシです。ファクトリーで指定された新しいボールトの実装は、その後に作成されるマーケットに適用され、既存のボールトは1つずつアップグレードされます
• ストレージは追加のみで、並べ替えなし。各モジュールのストレージレイアウトは記録されており、アップグレードのたびに、その前にスクリプトがそれを確認します。2026-10-05以降は、すべての構造体のあらゆる深さで確認します

以下はアップグレードできません。

• トークン（マーケットのトークンと$STOCKFUN）：供給量が一度だけミントされる単純なERC-20で、ミント、バーン、一時停止、ブラックリストのいずれもありません。唯一のsetterであるsetRecorderとレスキューは、プロトコルオーナーのものです
• 流動性のロック。そのコードこそが、流動性をプールにとどめているものです。流動性にとっての唯一の出口は終了モードであり、ロックのレスキューは、ポジションにも、ロックが保持している取り分にも届きません
• ミラーボールトのデプロイヤー（Robinhood Chain上）：すべてのミラーボールトのアドレスは、このデプロイヤーのアドレスから導出されます

状態を持たないEthereum上の2つのデプロイヤーは、アップグレードされるのではなく、ファクトリーを通じて置き換えられます。

終了モード

流動性のロックの唯一の出口であり、プロジェクトが終了する場合に備えて2026-10-02に追加されました。StockFunのオーナーがend()を呼び出します。その時点から新しいマーケットはローンチできなくなりますが、すべてのプールは取引を続けます。30日後、オーナーは、すべてのプールの流動性の全量を、任意のアドレスへ回収できます。終了が予定されている間、オーナーはいつでもキャンセルできます。すでに回収されたプールは空のままです。この30日間が、ホルダーへの事前告知です。詳細は2つのポジションによるローンチを参照してください。

外部依存

これらの依存先はいずれも隠されておらず、どれも、ボールトの資産をどこかのアドレスへ移すことはできません。

受容済みのリスク

• アップグレード、設定の変更、緊急移転はただちに発効する：30日前に告知される終了モードとは異なり、ホルダーはこれらについて事前告知を受けない
• すべてのトークンの転送は保有量レコーダーに依存する：報告が失敗すると、転送も失敗する。これは、1つの失敗が残りを決して止めないというルールの唯一の意図的な例外である。失敗してもよい報告にすると、ホルダーは記録を飛ばして、自分のエアドロップの取り分を増やせてしまう。そのレバーは即時で、トークンでのsetRecorder(0)か、レコーダーのその場でのアップグレードである
• 受取人が拒否した取り分は、残りを止める代わりに、フック、ロック、リモートハブ、またはエアドロップのコントラクト上で、その受取人を待つ。また、どのマーケットの負担ともされない緊急移転は、清算されるまで、その資産の支払いを待機させる
• トレジャリーは蓄積されない：すべてが分配され、誰も取引しなければエアドロップはゼロになりうる
• エアドロップはEthereum上でラップされた株式として支払われる：その価値は、Robinhood Chain上でロックされた株式とLayerZeroの設定にのみ依存し、発行体が株式トークンを凍結すれば、ロックされた株式も動かせなくなる
• マーケットが1つ目の流動性バンドを使い切らない可能性がある
• 往復のコストは、デフォルトの5 %のタックスで、価格が動く前の時点で9.75 %
• 本書の執筆時点では、クロスチェーンのレールは実環境で稼働したことがなかった