Как работает on-chain governance в DeFi простыми словами: proposals, timelock, delegation и automation layer для treasury

Когда DeFi-протокол уже работает, у команды часто появляется иллюзия, что «самое сложное позади».

Контракты задеплоены. Ликвидность есть. Интерфейс живёт. Пользователи заходят.

Но почти любой живой протокол рано или поздно упирается в другой класс задач:

  • поменять risk parameter;
  • добавить новый collateral;
  • обновить oracle feed;
  • перераспределить treasury;
  • включить pause;
  • сменить fee model;
  • провести upgrade proxy implementation.

И вот здесь начинается on-chain governance — механизм, через который протокол принимает изменения не «в Slack и Notion», а в виде onchain-решений с реальными последствиями для денег пользователей.

Если объяснять просто, governance в DeFi — это операционная система принятия решений для смарт-контрактов.

Не презентация для инвесторов и не форум для энтузиастов, а pipeline:

  • кто может предложить изменение;
  • кто голосует;
  • как считается quorum;
  • когда решение становится исполнимым;
  • кто физически отправляет финальную транзакцию;
  • как дать рынку и integrator’ам время отреагировать.

Для бизнеса и treasury-команд governance важен не как «DAO-идеология», а как risk surface:

  • один proposal может изменить liquidation threshold;
  • другой — вывести миллионы из treasury;
  • третий — обновить implementation contract;
  • четвёртый — отключить pause guardian.

Именно поэтому вокруг governance быстро появляется прикладная инженерная работа: monitoring proposals, timelock tracking, delegation ops, multisig orchestration, alerting и policy layer до исполнения.

Ниже — разбор без лишнего жаргона: как устроен governance flow, зачем нужен timelock, где прячутся риски и какой automation layer имеет смысл строить вокруг protocol operations.

Что такое on-chain governance простыми словами

On-chain governance — это способ менять параметры и права протокола через голосование token holders или назначенных участников, после чего approved action исполняется смарт-контрактом.

Бытовая аналогия — не «демократия ради демократии», а корпоративное голосование акционеров, только результат сразу попадает в бухгалтерию и исполняется автоматически.

Типичный governance stack включает:

  • governance token — право голоса или делегирования;
  • proposal system — формат, через который подаётся изменение;
  • voting module — как считаются голоса и quorum;
  • timelock — задержка между approval и execution;
  • executor — контракт, который имеет право вызвать целевую функцию;
  • guardian / multisig / emergency role — ограниченные права на pause или veto в критичных случаях.

Важно: governance token — это не просто «ещё один токен для спекуляции». В operational sense это ключ к parameter plane протокола.

Как выглядит типичный governance lifecycle

Если убрать бренды и детали конкретных DAO, lifecycle почти всегда похож.

Шаг 1. Idea → formal proposal

Сначала появляется идея:

  • добавить новый asset в lending market;
  • изменить collateral factor;
  • обновить reward emissions;
  • перевести treasury в новую стратегию.

Потом идея превращается в formal proposal — onchain- или offchain-черновик с конкретными calldata, targets и expected effects.

На этом этапе уже важно понимать не только «о чём голосуют», но и что именно будет вызвано onchain.

Шаг 2. Voting period

Token holders или delegates голосуют за или против.

Система считает:

  • количество голосов;
  • quorum;
  • возможный veto threshold;
  • иногда voting delay до начала голосования.

Для integrator’ов, market makers и treasury-команд voting period — это окно наблюдения. Именно здесь нужен monitoring layer, а не после execution.

Шаг 3. Queue / timelock

Если proposal прошёл, он обычно не исполняется мгновенно.

Его ставят в timelock queue — очередь с задержкой.

Зачем:

  • дать рынку время отреагировать;
  • дать integrator’ам обновить risk assumptions;
  • дать команде безопасности проверить calldata ещё раз;
  • снизить риск governance capture через мгновенное исполнение.

Шаг 4. Execution

После истечения timelock кто-то должен отправить execution transaction.

Это может быть:

  • любой публичный участник;
  • bot/keeper;
  • multisig operator;
  • internal automation service.

Снова важный момент: approval ≠ execution. Между ними может пройти часы или дни, и состояние мира может измениться.

Шаг 5. Post-execution monitoring

После исполнения нужно проверить:

  • применились ли параметры;
  • не сломались ли integrator assumptions;
  • не ухудшился ли health profile пользователей;
  • не появились ли аномалии в utilization, peg или liquidity.

Governance не заканчивается на execution tx. Он заканчивается, когда ops-команда уверена, что система живёт в новом режиме безопасно.

Зачем нужен timelock

Timelock — один из самых недооценённых элементов всей governance-архитектуры.

Если governance token даёт право принять решение, timelock даёт время на осмысление последствий.

Что timelock защищает

  • integrator’ов, которые завязаны на параметры протокола;
  • market makers и LP, которым нужно перестроить позиции;
  • treasury-команды, которые могут успеть вывести exposure;
  • security monitoring, который может заметить вредоносный proposal;
  • пользователей, которые успеют выйти, если изменение им не подходит.

Что timelock не решает

Timelock не делает governance «безопасным по определению».

Он не защищает от:

  • плохого, но легитимного экономического решения;
  • медленного governance capture;
  • слабого monitoring во время delay window;
  • emergency-сценариев, где delay слишком длинный;
  • upgrade, который формально корректен, но содержит скрытый риск.

Поэтому timelock — это не замена risk controls, а буфер, внутри которого risk controls должны работать.

Кто участвует в governance-механике

Даже у «простого DAO» ролей больше, чем кажется.

1. Token holders

Владельцы governance token.

Они могут:

  • голосовать напрямую;
  • делегировать голос;
  • участвовать в forum/offchain discussion;
  • иногда инициировать proposal, если хватит threshold.

2. Delegates

Участники, которым делегировали voting power.

На практике именно delegates часто реально двигают governance:

  • они следят за proposals;
  • публикуют rationale;
  • голосуют от имени множества holders;
  • иногда координируют parameter changes.

Для automation layer delegates — отдельный объект мониторинга: кто проголосовал, с какой power, по каким proposals.

3. Proposal authors

Те, кто формулирует изменение.

Риск здесь не только в злом умысле, но и в ошибке:

  • неверная calldata;
  • неверный target contract;
  • неучтённый side effect;
  • parameter change, который ломает downstream integrations.

4. Timelock executor

Тот, кто физически исполняет queued action.

Иногда это permissionless step, иногда — controlled operator.

5. Guardian / security council / multisig

Ограниченная роль для emergency cases:

  • pause;
  • cancel malicious proposal;
  • veto в narrow scope;
  • fast-track critical fix.

Это компромисс между decentralization и operability. И именно здесь часто возникает tension между «доверием к community» и «нужен ли ops safety valve».

Чем governance отличается от multisig

Многие путают DAO governance и multisig treasury control. Это связанные, но разные слои.

Multisig

  • небольшая группа signers;
  • быстрее принимает решения;
  • проще для treasury transfers и emergency ops;
  • централизация выше;
  • audit trail завязан на конкретных людей.

On-chain governance

  • решение проходит через voting pipeline;
  • масштабируется на большое число stakeholders;
  • медленнее;
  • лучше подходит для parameter changes и protocol-level decisions;
  • сложнее мониторить и объяснять пользователям.

На практике зрелые протоколы часто используют гибрид:

  • governance решает parameter plane;
  • multisig держит treasury ops и emergency controls;
  • timelock стоит между approval и execution;
  • automation layer следит за обоими контурами.

Где governance становится operational risk

Governance часто обсуждают как политику. Для инженера и treasury ops это прежде всего change management для денег.

1. Parameter risk

Примеры:

  • повышение LTV;
  • снижение liquidation penalty;
  • добавление слабого collateral;
  • изменение interest rate curve;
  • включение нового market без достаточной ликвидности.

Один proposal может не «сломать контракт», но резко изменить risk profile всей системы.

2. Treasury risk

Proposal может:

  • перевести treasury в рискованную стратегию;
  • продать governance token;
  • профинансировать market maker;
  • выдать grant без достаточного control.

Здесь governance пересекается с treasury automation и portfolio policy.

3. Upgrade risk

Самый чувствительный класс изменений.

Upgrade может:

  • заменить implementation;
  • добавить новую admin-функцию;
  • изменить access control;
  • открыть новый external call surface.

Для monitoring layer upgrade proposals должны быть high severity by default, даже если автор известен и текст proposal выглядит аккуратно.

4. Oracle and integration risk

Governance может:

  • сменить price feed;
  • добавить fallback oracle;
  • изменить heartbeat/staleness assumptions;
  • включить asset с плохой ликвидностью.

Это напрямую связано с oracle, lending и liquidation automation.

5. Governance capture

Если voting power слишком концентрирован:

  • один actor может протащить изменение;
  • delegates могут координироваться непрозрачно;
  • market может не успеть отреагировать даже при timelock;
  • token lending на время голосования может временно исказить outcome.

Что такое delegation и почему это важно для automation

Delegation — это передача voting power другому адресу без передачи ownership токена.

Пользователь по сути говорит:

«Я не хочу голосовать сам, но пусть этот delegate голосует за меня».

Зачем delegation нужен рынку

  • большинство holders не участвуют в каждом vote;
  • active delegates концентрируют экспертизу;
  • governance становится operable при большом числе token holders.

Где delegation создаёт ops-задачи

  • tracking delegate votes;
  • monitoring sudden delegation shifts before critical proposals;
  • alerting, если крупный delegate проголосовал неожиданно;
  • analytics по delegate participation и alignment;
  • internal delegation policy для treasury-owned tokens.

Для fund, protocol team или DAO treasury часто нужен отдельный контур:

  • кому делегированы owned tokens;
  • по какой policy delegate должен голосовать;
  • как фиксируется rationale;
  • как эскалируется спорный vote.

Из чего состоит governance automation layer

Если смотреть прикладно, зрелая governance ops system обычно состоит из шести частей.

1. Proposal ingestion

Система должна забирать:

  • новые proposals;
  • calldata;
  • target contracts;
  • voting start/end;
  • timelock ETA;
  • proposal type classification.

Источники:

  • onchain events;
  • subgraph/indexer;
  • governance forum API;
  • Snapshot/offchain votes, если они есть параллельно.

2. Impact analysis

Нужно автоматически или полуавтоматически понимать, что изменится.

Примеры:

  • новый collateral factor для WETH;
  • treasury transfer на 2M USDC;
  • implementation upgrade proxy admin;
  • pause guardian replacement.

Хороший impact layer не просто показывает calldata hex, а переводит proposal в operational language.

3. Policy engine

Примеры policy rules:

  • upgrade proposals require manual review;
  • treasury transfers above X require second approver;
  • collateral additions require liquidity score above threshold;
  • any oracle feed change triggers high-severity alert;
  • execution bot may not auto-execute without ops ack.

4. Timelock tracker

Отдельный модуль, который следит:

  • что queued;
  • когда наступит executable timestamp;
  • кто уже пытался исполнить;
  • не отменён ли proposal;
  • не изменилось ли surrounding market state.

5. Alerting and escalation

Alerts должны идти не только на «proposal passed», но и на:

  • proposal created;
  • voting trend anomaly;
  • large delegate vote;
  • timelock queued;
  • timelock ready in 24h / 1h;
  • execution confirmed;
  • post-execution health degradation.

6. Audit trail

Нужен единый log:

  • кто видел proposal;
  • кто approved internal response;
  • какие alerts ушли;
  • какие actions были предприняты до и после execution;
  • какие positions/treasury exposures были изменены proactively.

Что можно автоматизировать на практике

Governance automation — это не «бот, который голосует за всех». Скорее control plane вокруг изменений протокола.

1. Proposal monitoring dashboard

Минимально полезный продукт:

  • active proposals;
  • voting status;
  • timelock countdown;
  • decoded calldata;
  • severity score;
  • affected modules: lending, oracle, treasury, upgrade.

2. Treasury response playbooks

Если proposal может повлиять на owned assets:

  • заранее определить exposure;
  • simulate post-change portfolio risk;
  • подготовить hedge/unwind plan;
  • поставить alert до execution window.

3. Delegate ops for owned tokens

Если treasury или fund владеет governance tokens:

  • policy, как голосовать;
  • internal approval workflow;
  • public rationale publishing;
  • record keeping for compliance and LP reporting.

4. Execution helper

После timelock кто-то всё равно должен нажать execute.

Automation может:

  • напомнить ops;
  • проверить, что calldata не изменилась;
  • отправить tx через service account, если policy разрешает;
  • зафиксировать execution receipt и post-state diff.

5. Integration health checks after parameter changes

После governance execution система может автоматически проверить:

  • health factor distribution shift;
  • utilization spike;
  • oracle staleness;
  • LP withdrawal behavior;
  • peg deviation;
  • increase in liquidation candidates.

Это уже настоящий post-governance ops layer, а не просто «уведомление в Telegram».

Как собрать MVP governance control plane

Не нужно строить «универсальную DAO-платформу». Лучше взять один узкий сценарий.

Хорошая MVP-формулировка

Monitoring service для одного lending protocol, который декодирует proposals, классифицирует risk, отслеживает timelock и алертит treasury-команду до execution.

Или:

Delegate ops dashboard для fund/treasury, который управляет voting policy, rationale и audit trail по governance tokens under management.

Компоненты MVP

1. Indexer

Собирает:

  • proposal created;
  • vote cast;
  • proposal queued;
  • proposal executed;
  • proposal canceled.

2. Decoder / classifier

Переводит calldata в human-readable impact:

  • parameter change;
  • treasury transfer;
  • upgrade;
  • role change;
  • market listing.

3. Severity model

Простая эвристика уже полезна:

  • upgrade → critical;
  • oracle change → high;
  • collateral factor change → high;
  • emissions tweak → medium;
  • forum-only discussion → info.

4. Alert router

Куда слать:

  • Telegram/Slack;
  • email for compliance;
  • PagerDuty for critical upgrades;
  • internal dashboard inbox.

5. Timelock countdown service

Показывает:

  • time to executable;
  • responsible operator;
  • required pre-execution checklist;
  • whether auto-execution allowed.

Практичный стек:

  • Go или TypeScript для ingestion и API;
  • PostgreSQL для proposals, votes, alerts, audit log;
  • Redis для countdown jobs and deduplication;
  • indexer via subgraph, ethers/viem, or custom RPC worker.

Где здесь продуктовая ценность

Governance automation полезен не только DAO-энтузиастам.

Для protocol teams

  • меньше шанс пропустить critical proposal;
  • быстрее реакция до timelock expiry;
  • единый ops view по parameter plane.

Для treasury and fund teams

  • понятная policy around owned governance tokens;
  • заранее подготовленные response playbooks;
  • audit trail для внутреннего control.

For integrators and risk platforms

  • API по upcoming parameter changes;
  • impact scoring for downstream systems;
  • monitoring delegate behavior and upgrade risk.

То есть продавать стоит не «мы делаем DAO», а:

  • governance change visibility;
  • timelock-aware risk response;
  • treasury-safe voting ops;
  • post-execution protocol health monitoring.

Частые ошибки

1. Следить только за executed changes

К этому моменту часто уже поздно что-то менять.

Monitoring должен начинаться на этапе proposal creation or early voting.

2. Показывать calldata без impact translation

Ops-команде не нужен hex. Нужен ответ:

  • что изменится;
  • для кого;
  • насколько это критично;
  • какие действия возможны до execution.

3. Смешивать forum discussion и onchain action

Offchain sentiment и onchain vote — разные сущности.

Automation layer должен чётко различать:

  • social discussion;
  • offchain signal;
  • onchain proposal;
  • queued timelock action;
  • final execution.

4. Игнорировать delegate dynamics

Proposal может выглядеть спорным, но если несколько крупных delegates уже проголосовали за, outcome может быть фактически решён за часы.

5. Не готовить post-execution checks

Даже хороший proposal может дать плохой live effect из-за market conditions.

После execution нужен health check, а не только celebratory tweet.

Главное, что стоит запомнить

On-chain governance — это не абстрактная DAO-тема, а механизм изменения живого финансового протокола.

Если упростить до сути:

  • proposal описывает, что должно измениться;
  • voting решает, будет ли это одобрено;
  • timelock даёт буфер до исполнения;
  • executor переводит решение в onchain state;
  • ops-команда должна мониторить весь pipeline, а не только финальный tx.

Именно поэтому governance особенно хорошо ложится на зрелый DeFi automation stack:

  • lending parameter monitoring;
  • oracle change alerts;
  • treasury playbooks;
  • upgrade review workflows;
  • delegate ops for owned tokens.

Пока протокол маленький, governance можно смотреть «по ссылке раз в неделю». Когда появляются treasury, integrators, client capital и чувствительные parameter dependencies, governance быстро превращается из community ritual в один из центральных элементов operational architecture.

Если вам нужен подобный control plane — от proposal monitoring и timelock alerts до delegate ops и post-execution health checks — можно обсудить архитектуру под ваш протокол или treasury: свяжитесь со мной.