Modelo de confianza, documentación de RTP Protocol

Lo que imponen los contratos, cada facultad de cada rol, lo que añade la capa de plataforma y dónde están los límites declarados.

Impuesto por contrato

Ningún mecanismo de actualización en ninguna de las dos vías: sin proxy, sin delegatecall actualizable, sin autodestrucción, sin inicializador al que adelantarse.
La liquidez del pool no tiene ningún mecanismo de retirada; solo el graduador puede añadirla.
Condiciones capturadas en una instantánea por lanzamiento; ningún setter alcanza a un lanzamiento existente, sus raíces ni sus listas de reserva.
Pagos por retiro tras protecciones contra reentrada; las operaciones nunca envían valor a terceros.
En Fixed-Price Launch: la tesorería es un parámetro inmutable del constructor de FundCore, FundHook y FundGraduator; solo ETH para las aportaciones, el ETH forzado nunca se cuenta; la liquidación es atómica y de gas constante, y cualquiera puede liquidar; los reembolsos no necesitan aprobación.
En Curve Launch: suministro acuñado una sola vez; RtpToken no tiene propietario, acuñación posterior, tasa de transferencia ni lista negra. La tesorería de Curve Launch solo puede cambiar tras una demora pública de 7 días.

Todas las facultades, RTP Curve Launch (v1.0.0-r4)

Función	Qué puede hacer
Propietario	Añadir, habilitar o deshabilitar niveles de lanzamiento; aprobar activos de contrapartida y fijar sus valores de curva; fijar la comisión de lanzamiento, como máximo 1 ETH. Con efecto inmediato, solo para lanzamientos nuevos. Revocar al atestador de inmediato.
Propietario, con demora	Los cambios de tesorería, atestador y control de verificación esperan 7 días en público. El propietario o la tesorería actual pueden cancelar un cambio de tesorería o de atestador; solo el propietario puede cancelar un cambio del control de verificación.
Propietario o tesorería	Cancelar una vinculación de identificador social pendiente durante su aviso de 72 horas.
Nadie	Pausar las operaciones o las reclamaciones, mover fondos abonados a otros, tocar un pool o actualizar un contrato.

La instancia de testnet desplegada. Procede de una compilación anterior (desplegada el 22 de octubre de 2026). Hasta que la próxima instancia despliegue v1.0.0-r4, su propietario puede pausar los lanzamientos nuevos y cambiar la tesorería de inmediato, un cambio de atestador espera 2 días, los saldos de identificadores sociales sin vincular pueden barrerse tras 60 días, el propietario y la tesorería son una misma dirección, y el motor de compra y quema y el lens no están desplegados.

Todas las facultades, RTP Fixed-Price Launch

Quién	Qué pueden hacer
Operador (el Safe de la plataforma)	Pausar la creación de nuevos lanzamientos a precio fijo. Tras una demora de 48 horas, y solo para lanzamientos posteriores: cambiar la comisión de éxito (como máximo 3%) y el límite del equipo (como máximo 25%). Habilitar adaptadores de fuentes de rendimiento tras una demora de 48 horas, cada uno con una capacidad fija; deshabilitar uno de inmediato, lo que solo detiene los depósitos nuevos. Proponer un nuevo atestador de referidos (7 días) o revocarlo de inmediato. Cancelar una vinculación de identidad durante su aviso público de 72 horas, como también puede hacerlo la tesorería.
Cada plataforma	Fijar sus propias condiciones de comisión y su beneficiario dentro de los topes compilados: hasta el 20% de la comisión del pool como su parte y el 20% como presupuesto de referidos, una comisión de creación de hasta 0.1 ETH y una comisión de FundZap de hasta el 1%. Los cambios solo alcanzan a lanzamientos posteriores; el beneficiario puede cambiarse en cualquier momento.
Nadie, nunca	Pausar las operaciones, las aportaciones, los reembolsos, las reclamaciones o la liquidación; mover fondos abonados a otros; tocar un pool; cambiar un lanzamiento existente; cambiar la tesorería; actualizar un contrato.

Controles de la capa de plataforma (Fixed-Price Launch en RTP.fun)

Visualización en RTP.fun. Cualquier dirección puede crear un lanzamiento, así que pueden existir on-chain lanzamientos que imitan a otros. RTP.fun solo muestra como verificados los lanzamientos que superan las comprobaciones de nombre, símbolo y logotipo; los demás se etiquetan como no verificados, y la verificación nunca se deduce de campos on-chain.

Condiciones y regiones. En RTP.fun, los usuarios y los creadores firman las condiciones aplicables con una firma de billetera que no consume gas antes de crear, aportar u operar, y la participación no se ofrece en regiones restringidas. Estos controles no cubren a un usuario que llama a los contratos directamente o usa otro front end. Los reembolsos y las reclamaciones nunca se bloquean.

Reglas de las listas de airdrop. Las listas proceden del creador y las firma el creador. La revisión solo puede eliminar direcciones, nunca añadirlas. La elegibilidad no puede depender de comprar, mantener o promocionar, y las instantáneas preceden a los anuncios.

Límites del diseño

Las reglas on-chain no pueden identificar varias billeteras controladas por una misma persona. Un equipo que use billeteras secundarias en tramos públicos se aborda con controles de la capa de plataforma y se documenta en el modelo de amenazas.
Los controles de la capa de plataforma, como la firma de condiciones, se aplican en RTP.fun; no cubren a un usuario que llama a los contratos directamente o usa otro front end.
El comportamiento del secuenciador en cada red está fuera del control de los contratos. El diseño asume el orden más desfavorable, y si una liquidación se estanca, el resultado es un reembolso íntegro.

Supuestos de confianza, RTP Curve Launch

Tema	Qué se cumple y qué no
Tasa de apertura	Eleva el costo de comprar en los segundos de apertura. Un comprador que la pague puede comprar igualmente en el bloque del lanzamiento.
Un mismo actor, varios roles	Las reglas on-chain no pueden distinguir dos direcciones de una misma persona. El mismo actor puede ser creador, plataforma y referidor, y la economía de la autonegociación se divulga en lugar de impedirse.
Comprobación del referidor en el pool	El hook ve el router, así que las operaciones del pool comparan al referidor con el origen de la transacción.
Niveles verificados	Leen un registro de atestaciones externo. Un cambio en ese registro afecta a los nuevos lanzamientos verificados y a las transferencias de claves de creador, no a los saldos existentes.
Vinculaciones de identificadores sociales	Dependen de la clave del atestador y de que alguien vigile el aviso de 72 horas; el propietario o la tesorería pueden cancelar una vinculación en ese plazo y el propietario puede revocar al atestador.
Migración diferida	Si el traspaso falla en la operación de graduación, las operaciones siguen en el pool interno del núcleo hasta que cualquiera lo complete.
Compra y quema	Con límite de frecuencia y banda de precio; es posible que no se ejecute cuando el mercado se mueve, y no es un soporte de precio.
Orden del secuenciador	Fuera del control de los contratos en todas las redes; el diseño asume el orden más desfavorable.
Instancia desplegada	La instancia de testnet es una compilación anterior con los controles descritos más arriba.
Riesgo de software	Los contratos inteligentes pueden contener defectos no descubiertos. Revisión de seguridad en curso: hay rondas de revisión interna en marcha y se está organizando una auditoría externa. El despliegue en mainnet sigue a las rondas de revisión y a una ejecución completa de verificación; es posible que la auditoría externa no haya concluido para entonces, y sus resultados se publican cuando concluya.

Supuestos de confianza, RTP Fixed-Price Launch

Tema	Qué se cumple y qué no
Varias billeteras de una misma persona	Las reglas on-chain no pueden identificarlas. Un miembro del equipo puede usar otra billetera en un tramo público; los front ends deben indicarlo.
Límites por tramo	Los límites por dirección se cuentan en cada tramo y no entre tramos.
La parte del equipo en una venta parcial	El límite del tramo del equipo más la reserva se mide frente a una venta completa; en una venta parcial, su parte de lo vendido es mayor.
Un mismo actor, varios roles	El mismo actor puede ser creador, plataforma y referidor y tomar toda la comisión del pool salvo la parte del protocolo. Eso está permitido; la parte del protocolo se mantiene.
Beneficiario de la plataforma	Una plataforma puede cambiar su beneficiario en cualquier momento; las cifras de comisión se congelan por lanzamiento, el beneficiario no.
Vinculaciones de identidad	Dependen de la clave del atestador y de que alguien vigile el aviso de 72 horas; el operador puede cancelar una vinculación en ese plazo y revocar al atestador.
Fuentes de rendimiento	Una fuente puede perder valor o rechazar un rescate; ese riesgo corresponde solo al creador que haya optado por ello.
Pools creados por otros	Los tokens reclamados pueden depositarse en otro pool antes de la apertura oficial. El precio y el calendario del pool oficial no se ven afectados.
Orden del secuenciador	Fuera del control de los contratos en todas las redes; una liquidación estancada termina en un reembolso íntegro.
Riesgo de software	Los contratos inteligentes pueden contener defectos no descubiertos. Revisión de seguridad en curso: hay rondas de revisión interna en marcha y se está organizando una auditoría externa. El despliegue en mainnet sigue a las rondas de revisión y a una ejecución completa de verificación; es posible que la auditoría externa no haya concluido para entonces, y sus resultados se publican cuando concluya.