GongFu 功夫

版本 1.0 - 主网版

取其所需。让支撑每个人的系统更加强健。

#关于本文档

本白皮书说明首个 GongFu 主网版本的储备金、参与者权利、约束、价格来源、奖励逻辑、WindDown 与主要风险。它不能代替对已部署合约的核验；交互前请通过公开部署清单和 Robinhood Chain 区块浏览器核验官方 GF 与 GongFu 地址、源代码、字节码和不可变参数。

GongFu 不是银行存款、投资协议或回报承诺。GF 价格、市场流动性、实际奖励及奖励阶段时长均无法预知。

协议优先级：安全性 > 可持续性 > 简洁性 > 功能。

#1. 两分钟了解 GongFu

GongFu 是 Robinhood Chain 上不可变的 Solidity 智能合约，持有共享 GF 储备金，并以相同规则接纳有期限的参与仓位（Position）。

用户将 GF 直接转入合约，而非团队或管理公司。合约没有私钥、所有者、管理员或隐藏提款功能；GF 仅能依已部署字节码中公开的规则离开储备金。

参与者选择期限、转入 GF 并等待到期（Maturity）。90 天和 180 天的奖励按月分批发放，本金在期限结束时返还。本金（Principal）始终是协议对 Position 所有者的精确负债。奖励既非凭空产生亦非铸造，只能从既有储备中未占用的部分分配。

核心保护是 WindDown：若可用储备无法继续奖励阶段，合约不可逆地停止新 Position 和新奖励。每人仍可手动领取自己的本金；一人的本金不会成为另一人的奖励，也不会因加入较晚而承担最后损失。

WindDown 不是开发者控制的紧急按钮，而是预先定义、任何人不能取消或改变的奖励阶段诚实终态。

#2. 协议为何存在

许多奖励协议依赖持续增发、新参与者无尽流入、可能消失的外部收益或自主裁量的储备管理。GongFu 的前提相反：储备有限，合约不承诺无限奖励、不隐藏负债，也不让短缺时的结果悬而未决。

其经济问题是：

在本金受保护、更高个人额度必须通过时间取得、且规则不能改为偏向创建者时，共享储备能否长期运行？

GongFu 不以营销证明答案，而是公开规则、代码、部署清单与研究实验室。良好的模拟结果不是未来结果保证。

#3. 核心概念

界面使用直白名称，同时保留技术术语，以便对应合约函数。

#4. 网络、代币与启动

#4.1 Robinhood Chain

GongFu 运行于构建在 Arbitrum 上、EVM 兼容的 Ethereum L2 Robinhood Chain。主网链 ID 为 4663，原生 Gas 资产是 ETH。

实际交易付款人承担全部网络 Gas。GongFu 不报销 ETH，也不从本金、奖励、贡献额、推荐余额或储备中扣费。自愿的第三方 Gas 赞助可能存在，但不是协议义务。

#4.2 GF 代币

GF 在 Robinhood Chain 上的 Pons（V2）启动平台创建，为唯一固定供应的 ERC-20：

1 000 000 000 GF

规范 GF 不具备：

• 上线后增发；
• 暂停、冻结或黑名单；
• 转账手续费；
• 重基；
• 钩子或回调；
• 升级；
• 第二种规范代币表示。

技术上，GF 是 Pons 的标准代币：一个小型、不可变、没有所有者的 ERC-20。全部供应量在创建时一次性铸造，并直接进入 Pons 的启动曲线（第 4.5 节）。代币只有转账、授权（approve）和持有人销毁自己的 GF（burn）；没有增发、暂停、更换代码或修改他人余额的功能。销毁只能减少供应量，不能增加。

GongFu 仅接受合约固定指定的 GF；启用前核验地址、精度、总供应量和运行时代码。

#4.3 永久初始储备金

启用前至少向 GongFu 转入：

500 000 000 GF

这是总供应量的一半。Pons 不给创建者单独的分配：所有代币都从曲线上出售。因此储备是买入的。启动服务地址在创建代币的同一笔交易中（launchAndBuy）买入 500 000 000 GF，早于任何其他人能够买入的时间。按撰写本文时的 Pons 参数，这大约需要 3 269 USDG，含 1% 的曲线手续费。

随后，启动服务地址立即部署 GongFu 合约，并把全部 500 000 000 GF 转入其中（fundPermanentSupport）；超出 500 000 000 GF 的买入部分也转入储备。从买入到转入之间约有几分钟。这是储备唯一依赖私钥的时刻：如果私钥恰好在此时被盗，储备可能无法进入合约。所有启动交易都在部署清单中公布，任何人都可以核验买入的 GF 已全部转入 GongFu。没有完整储备，合约无法启用（第 4.4 节）。

启动后，1 000 000 000 GF 的供应量分布如下：

后两部分由 Pons 自行预留，不在曲线上出售；团队从中得不到任何东西。

这些 GF 是共享储备的初始缓冲。转入后它不属于开发者金库、不赋予创建者返还权、不能经单独所有者或管理员函数提取，只能依不可变领取与结算规则流出。代币来源公开披露，但不在 GongFu 内部形成创建者特殊权利。

#4.4 启用

主网发布与启用仅在共同核验以下事项后进行：

• 唯一规范 GF；
• 至少 5 亿 GF 的实际储备；
• 规范市场和计价资产；
• 足够流动性及可接受的操纵成本；
• 一条有效、固定的 Uniswap V4 GF/USDG 现货路径；
• 不可变构造函数参数和部署清单。

链上进入 Active 无需许可：任何地址可调用，但仅在合约观察到精确初始储备和唯一有效路径后。规范市场、流动性与操纵成本另在主网部署清单披露并核验；不存在条件较弱的特权启用函数。

只有在 GF 从 Pons 曲线毕业到 Uniswap V4 池之后才能启用（第 4.5 节）。曲线售完之前没有池，价格路径看不到市场，无法进入 Active。毕业后任何人都可以启用合约；第一代由人工启用，不使用机器人。

启用同时设定初始参考价格（第 14 节）。它等于路径的最低有效价格，即启用门槛，而不是启用时的现货价格。因此，抬高价格以提前启用，无法立即从被抬高的价格中获利。

#4.5 启动市场

GF 市场分两个阶段。

Pons 曲线。 创建后，代币在 Pons 曲线上以 GF/USDG 交易对交易。这是一条恒定乘积曲线，带有 3 236 USDG 的虚拟（「幻影」）储备；开始时其中没有真实 USDG，价格只随买入上涨。撰写本文时的曲线参数：

• 启动服务地址的首笔买入（500 000 000 GF）使价格从约 3.2 µUSD 升至 12.9 µUSD/GF，自由市场从这个价格开始；
• 曲线在收到 8 090 USDG 后关闭；市场以约 4 900 USDG 买下其余约 2.14 亿 GF，收盘价约 39.6 µUSD（FDV ≈ $39 600）；
• 曲线上的每笔交易支付 1% 手续费；
• 创建后的最初几秒，Pons 收取更高的防狙击税；启动服务地址在创建交易中的买入不受其影响；
• 没有单地址持仓上限。

曲线未关闭时，GongFu 价格路径看不到市场，无法启用（第 4.4 节）。

Uniswap V4 池。 曲线售完后，任何人都可以触发毕业（createGraduatedPool）。Pons 以曲线收盘价创建 Uniswap V4 GF/USDG 池（池手续费 0，tickSpacing 200，Pons 钩子），并把募集的 8 090 USDG 和约 2.04 亿 GF 放入其中。GongFu 读取价格的正是这个池（第 14 节）：

• 池的流动性被永久锁定，团队和 Pons 均无法提取；
• 此后不再迁移：该池始终是 GF 的主要市场；
• 外部人员无法在曲线关闭前初始化该池——Pons 钩子会拒绝这种尝试。

启动包在发送第一笔交易前核对曲线和池的精确参数，并在部署清单中公布；如果 Pons 在启动前修改这些参数，启动将停止，不发送任何交易。

#5. 智能合约存储的内容

#5.1 协议状态

合约存储：

• Bootstrap、Active 或 WindDown 模式；
• 本金负债、已结算奖励负债、个人推荐负债总额；
• 未关闭 Position 数量；
• 奖励结算周期队列；
• 不可逆进入 WindDown 的时间戳。

#5.2 参与者状态

每个地址仅保存必要信息：

• 是否注册、已解锁最长期限和成功 Continue 历史；
• 各期限及合计的活跃美元名义金额；
• 累计推荐余额和累计捐赠名义金额；
• Exit 或 Continue 未解决而已领取本金的 Position 数量；
• Exit 是否永久关闭该地址的新 Position 资格。

参与者记录永久保留；即使将来可能记入推荐权利，也不会关闭或没收。

#5.3 Position

每个 Position 在所有者地址内有唯一序号，存储：

• 所有者、最小 GF 单位计的本金、所选期限；
• 开设时间戳和精确到期、已接受 GF/USD 快照、入场美元名义金额；
• 最大奖励和已存储推荐人；
• 本金、所有者奖励、推荐组成部分状态；
• 等待所有者选择标志和最终处理标志。

市场变化后，已有 Position 不会重新定价。

#6. 储备金核算

合约全部余额不能当作可用储备。GongFu 分离受保护负债与可用盈余。

protected liabilities = principal liability
                      + settled epoch liability
                      + personal referral liability

available surplus = contract GF balance - protected liabilities

核心不变量：

contract GF balance >= protected liabilities

本金从不是可用储备。未结算最大奖励作为未来风险跟踪，直至其周期结算才成为受保护债务。生产计算使用经检查的整数，不用浮点；舍入方向预先固定。丢失私钥不会把 GF 转给社区；未领取金额永久是受保护负债。

#7. 期限、准入与最大奖励

GongFu 仅支持五种期限：

这些是上限而非承诺回报；实际奖励可能更低，且仅能在从真实可用盈余结算后确定。

90 天和 180 天的最大奖励按月分成等额部分发放：90 天为 3 份（每份 1/3），180 天为 6 份（每份 1/6）（见 9.3 节）。费率和额度不变，本金仍锁定至期限结束。

新地址从 SevenDays 历史层级开始，拥有 20% 的已获历史容量。1 天 Position 仍可选，受自身 10% 期限上限和 0.16% 最大奖励限制；成功的 1 天 Continue 不推进历史。成功 Continue 当前可用的最长 7 天期限才解锁下一步：

7D -> Continue -> 30D -> Continue -> 90D -> Continue -> 180D

仅到期不会解锁下一层；一次成功 180 天 Position Continue 将已获历史额度解锁至 100%。

在起始 20% 之上，已获历史额度还受历史本身规模的限制：不得超过按当前价格计算的、其完成解锁了当前层级的那个 Position 本金价值的 4 倍。参与者已处于完整层级时，按其中最大的那个 Position 计算。该度量以 GF 计，因此价格上涨不会妨碍继续相同数量的 GF。由极小 Position 构成的历史可以解锁更长期限，但不能解锁更大额度：这样的地址仍停留在起始 20%，与新地址相同。Position 数量无独立上限，活跃美元总额受限，因此拆分交易不会增加容量。

#8. 个人 MaxCap

MaxCap 限制单地址 Position 的活跃美元价值，是反巨鲸与可持续机制，不是建议仓位大小。市场基数按已接受 GF/USD 价格和固定供应计算：

GF FDV = GF/USD price * 1 000 000 000 GF
m = GF FDV / 1 000 000 USD

TotalCapUSD = max(
  500,
  100 000 * m^0.746 / (m^0.746 + 39)
)

基础总 MaxCap 从 $500 起，平滑趋近 $100,000；增长次线性，FDV 增加不产生无限个人额度。新的 Open 或 Continue 必须先有单一价格路径，合约取适用上限中最小值：

available capacity = min(
  remaining Total MaxCap,
  remaining duration ceiling,
  remaining earned-history ceiling
)

捐赠增益只可提高 30、90、180 天 Position 容量，不能绕过期限、历史或已占用容量约束。Position 占用 MaxCap 直至所有者领取本金；到期、结算和时间本身不会释放容量。名义金额仅在返还本金的同一笔成功交易中移除一次；失败领取或 Continue 不释放容量。

计算 MaxCap 时，Position 按现货价格与参考价格（第 14 节）中较高者估值，总 MaxCap 也使用该价格。因此，在自己的交易内压低价格以放入更多 GF 是行不通的。

已有 Position 不重新定价。当前路径不可用时，依赖价格的新容量不可用，已有 Position 不变。V1 没有未领取本金总额的独立全局上限，也没有六小时周期的独立集中度上限；精确本金覆盖和个人 MaxCap 仍为强制要求。

#9. Position 生命周期

#9.1 注册

参与者只注册一次。若合格推荐人队列为空，无推荐人也可成功注册，该关系推荐组成部分为零。有合格参与者时自动分配采用确定、有界的 O(1) 轮询，调用者不能挑选推荐人。只有至少一名亲自邀请用户持有价值不低于 $50 的活跃 Position 的参与者才进入队列，价值按该 Position 的锁定价格计算。低于 $50 的 Position 正常运作，但不会让邀请人进入队列，因此用成千上万个空钱包占满队列代价高昂；自动分配关系不算个人邀请。

#9.2 开设 Position

参与者选择金额和可用期限；一笔交易中合约：

1. 核验 Active 模式；
2. 核验注册、期限准入及无未解决所有者选择；
3. 获取规范 GF/USD 现货价格和参考价格；
4. 按两者中较高者计算 MaxCap 和精确美元名义金额，并按较低者记录 Position 的锁定价格；
5. 接收精确 GF 数量；
6. 创建 Position 并绑定到到期周期；
7. 以匹配核验数值增加本金负债和活跃名义金额。

用户不提供价格、价格路径、奖励率、推荐人或预计算 MaxCap；这些均从不可变状态推导。

#9.3 存续期

到期前禁用提前提取。唯一例外为不可逆 WindDown 后：无论剩余期限，本金都可领取。奖励不每日转账、不自动复投，且到期后不增长。

90 天和 180 天的月度部分。 90 天 Position 的最大奖励分为 3 等份，180 天分为 6 等份。除最后一份外，每一份都归入其所在月份的到期周期，即包含「开设 + 30 天」「+ 60 天」等时刻的周期。最后一份在 Position 自身的到期周期结算。

• 每一份与其周期内的所有 Position 一起结算，适用相同的按比例支付系数（见 9.4 节），不预先为其预留任何资金。
• 结算后，所有者可随时领取该份（claimMonthlyReward）。若周期已到期但尚未结算，同一笔交易会先完成结算。
• 7/3/2% 的推荐份额在每一份支付时分别计算。任何人都可以提前把它们转入推荐人余额（rollupMonthlyReferrals），无需等待所有者。
• 本金锁定至期限结束。本金优先领取、Exit 和 Continue 照常运作，涉及本金和最后一份。
• 除法余数（GF 最小单位的零头）计入最后一份，因此各份之和恰好等于最大奖励。

1 天、7 天和 30 天 Position 不变：全部奖励在其到期周期结算。

#9.4 奖励结算

Position 仅为奖励结算归入全局六小时到期周期；每个仍保留精确到期时间，不延至周期末。周期严格从最早到最新结算，每步处理一个周期，合约不遍历无界用户列表。无需单独的运营方：每笔新存入、每次 Continue 和每次带奖励的退出都会先自行结算已到期的周期（每笔交易最多 32 个；退出只结算到自己的周期），再执行自身操作。WindDown 之后，参与者的领取会自行取消队列中排在其周期之前的周期。若系统长时间无人使用，任何人都可以一次调用结算累积的周期（settleMatureHeads），WindDown 后也可同样取消（cancelWindDownHeads）。若该结算本身触发 WindDown，或到期周期多于一笔交易可结算的数量，已完成的结算会保留，而该操作不执行、不转移资金：只需重复存入或 Continue。WindDown 之后，退出会直接按 WindDown 规则支付。若参与者自身周期之前排有超过 256 个周期，WindDown 后的领取会保留已完成的取消，同样只需重复。若存入已结算到期周期后价格不可用，结算会保留，而存入不执行。

90 天或 180 天 Position 的月度部分是其所在月份周期中的又一条记录；结算时与在该周期到期的 Position 没有区别。

Position 的最大奖励在开设时不预留。奖励只在其周期结算时、从当时可用的盈余中确定。周期按到期顺序结算，而非开设顺序。因此，长期 Position 可能排在更晚开设但更早到期的短期 Position 之后，后者先从同一储备获得支付。

同周期 Position 采用共同按比例支付系数。若最大奖励合计 100,000 GF、可用仅 60,000 GF，每个获得上限的 60%；领取先后没有优势。

#9.5 本金优先领取

精确到期后，即使奖励周期未结算，所有者也可领取本金。该交易：

• 精确返还本金；
• 仅释放一次 Position 名义金额；
• 不支付奖励；
• 不扣贡献额；
• 保留未来所有者和推荐权利；
• 不替用户选择 Exit 或 Continue。

后续选择解决前，地址不能开设无关新 Position。结算后所有者经 Exit 或 Continue 完成该精确 Position；若先进入 WindDown，则适用终局领取，不能继续参与。

#10. 结算后的两种选择

#10.1 Exit - 全部退出

Exit 返还：

• 尚未领取的全部本金；
• 全部实际已结算所有者奖励（90 天和 180 天为最后一份；月度部分单独领取，无需 Exit）；
• 不收取贡献额。

若已经本金优先领取收到本金，Exit 仅支付已结算奖励，不会再次释放 MaxCap。Exit 后地址永久不能进行新 Open 或 Continue；其他已有 Position 仍可领取，资金不没收。新地址重新从 7 天历史层级开始；可选 1 天 Position 不推进历史。

#10.2 Continue - 继续参与

Continue 在一笔原子交易中完成旧 Position 并创建新 Position。合约：

1. 确定未领取本金与已结算所有者奖励（90 天和 180 天为最后一份）；
2. 计算当前 MaxCap 和可用期限；
3. 确定实际新 Position 金额；
4. 从旧 Position 的已结算所有者奖励计算贡献额（90 天和 180 天仅从最后一份计算）；
5. 将推荐权利移入推荐人个人余额；
6. 创建新 Position；
7. 向所有者支付余数。

原 GF 数量若不符合当前美元 MaxCap，合约只存入允许金额并返还余数。Continue 无最低金额；若未创建新 Position，贡献额为零。若本金已领取，新 Position GF 必须由所有者实际转入，旧本金不能被虚拟二次使用。

贡献额取决于总价值倍数：合约比较按已记录锁定价格计算的本金价值，与 Continue 时按现货价格和参考价格中较高者计算的 principal + settled owner reward 价值。因此，在自己的交易内压低价格以落入更低费率是行不通的。

贡献额仅适用于 Continue，且仅来自已赚取奖励：费率作用于旧 Position 的全部已结算所有者奖励，即使新 Position 投入的 GF 更少。对 90 天和 180 天而言，这是最后一份的奖励：已领取的月度部分不受影响，倍数也按最后一份计算。任何倍数下本金都不被扣留。

#11. WindDown：本金不会被困住

WindDown 是可用储备无法支持新奖励时保护所有者权利的不可逆状态。结算最早到期周期时，合约先保留本金和所有既有已结算权利的覆盖；若可用储备无法覆盖新周期全部最大奖励，盈余按比例分配，GongFu 进入 WindDown。

WindDown 后：

new Open = disabled
Continue = disabled
new rewards = disabled
contribution = disabled
all principal = owner pull-claimable

无论原期限是否结束，每个 Position 本金均可由所有者领取。既有已结算奖励仍是受保护负债，包括 90 天和 180 天 Position 的月度部分：周期在 WindDown 前（含触发它的周期）已结算的部分可随时领取，未结算周期中的部分随这些周期一起取消；未结算周期进入最终无奖励状态，其本金保持完整。

合约不批量分配，每位所有者手动领取 Position。因此不存在先到者拿走最后用户本金的竞争：全部本金已与盈余分开核算。捐赠、创建者、价格路径、界面或任何后续交易均不能取消 WindDown；它不改旧规则，也不创造特权退出。

按 GongFu 规则，本金不用作奖励、贡献额或捐赠，并始终保留经所有者授权的领取路径。和任何链上机制一样，交易执行仍取决于网络可用性、私钥保管和不存在未知代码缺陷。

WindDown 结束的是这一代 GongFu 的奖励阶段，而不是整个实验。之后会发生什么，见第 19 节「世代」。

#12. 推荐系统

V1 最多三级推荐：

推荐合计永不超过 12%，且绝不从本金计算。Exit 或 Continue 时，Position 的每个剩余推荐组成部分获得最终状态；正数从到期周期负债移入已存储推荐人的累计个人余额。GF 不离开合约、无需推荐人签名，受保护负债总额不变。

任何地址都可以在不等待所有者的情况下转移已结算 Position 的推荐权利，无论在 Active 还是 WindDown 之后。因此推荐人不依赖被邀请人是否回来领取自己的款项；所有者的支付不受影响。

推荐人随后以一笔手动交易领取全部累计余额。余额无到期、不可没收或转为捐赠，且不取决于推荐人继续参与。丢失私钥会使余额继续受保护，但在权利正确转移后不使原 Position 保持开放。

在下一代中，邀请关系会被保留（第 19.8 节）。

#13. 捐赠与手续费回购

#13.1 捐赠

捐赠是不可逆储备支持，不产生本金、奖励、推荐权利、治理权或取回 GF 的权利。合约接受任意正数 GF；它增加盈余但不提高奖励率。

30、90、180 天 Position 的捐赠历史可提供有限 MaxCap 增益：

D = cumulative donated USD notional

donationBoostUSD = 15 000 * D / (D + 250 000)

累计捐赠美元名义金额 $250,000 时增益 $7,500，$1,000,000 时为 $12,000。理论上限 $15,000，因此在其他约束前最高合计基础额度是 $115,000。容量增益是次要好处，不是捐赠目的；即使舍入给出零新增美元额度，任何正数仍可捐赠。价格不可用时也接受捐赠，但可能无新增容量额度。

捐赠的美元额度按现货价格与参考价格中较低者计算，因此在交易内被抬高的价格不会提高增益。

WindDown 之后不再接受捐赠：新 Position 已不可能，转入的 GF 只会被永久锁定。

#13.2 以创建者手续费回购进储备

Pons 把 GF 交易手续费的一部分支付给代币创建者（第 4.5 节）。这部分的比例由 Pons 决定；它以 USDG 计提，存放在 Pons 的手续费托管合约中，直到接收方领取。GF 创建者份额的接收方不是团队，而是一个独立的不可变合约 GongFuFeeCollector（手续费收集器）。它在代币创建之前部署，并在创建交易中被指定为接收方，因此从第一笔交易起就收到手续费。

收集器没有所有者，也没有向任何人支付 USDG 的函数。它只能：

• 从 Pons 托管中领取累积的 USDG（claimFees）；
• 当本代处于 Active 时，用这些 USDG 在 Uniswap V4 池中买入 GF，并把买到的 GF 直接转入 GongFu 合约（buybackToReserve）。只有买到的数量不少于按参考价格（第 14 节）计算的数量减去 3%（滑点）时，交易才会成功，否则回滚。每次回购的规模由调用者选择，因此大额可以分批进行；
• 把误转到收集器上的 GF 转入储备（sweepGfToReserve）；
• WindDown 之后，把 USDG 转给下一代的世代桥（第 19.7 节）。

所有函数任何人都可以调用。只有当前接收方能在 Pons 中更换手续费接收方，而收集器没有这样的函数。

启用前计提的手续费以 USDG 形式累积在收集器上，启用后用于回购。参考价格从启用门槛开始，每小时最多追赶市场 25%，因此在它接近现货价之前，最初的回购可能会回滚；任何人都可以调用 observeReferencePrice 推动它。

回购是 GF 的直接转账，而不是捐赠调用。它与捐赠一样增加盈余，但不产生捐赠记录，也不给任何人带来额度提升。回购量取决于交易活跃度，不是有保证的偿付来源：本金和领取均不依赖于它。

Pons 保留了一条接管路径：Pons 协议的所有者可以自行指定另一个创建者手续费接收方（根据 Pons 文档，有 3 天延迟）。这是 GongFu 无法控制的信任边界（第 18.10 节）。接管只会让储备失去未来的回购，不会影响储备、本金或领取。

Pons 曲线和池之外的其他市场、交易所或启动平台的手续费在 GongFu 核心之外，不视为偿付来源。

#14. 价格来源与市场价值

GF/USD 价格用于 MaxCap 及 Continue 价值倍数计算，不决定本金，也不是受保护领取必需。V1 使用一条不可变 Uniswap V4 GF/USDG 现货路径，绑定固定 PoolManager 和精确 PoolKey；poolId 从该 PoolKey 推导，绝不由调用者提供。路径读取 slot0 和活跃流动性，拒绝格式错误、未初始化、越界、低流动性或中间解锁状态，并以失败关闭；没有备用路径和 60% 模式。该路径固定指向 Pons 在毕业时创建的 GF/USDG 池（第 4.5 节）；在此之前池尚未初始化，路径以失败关闭，无法启用。

路径不可用时只阻止新 Open 和 Continue；本金、Exit、已结算奖励、推荐余额、结算、WindDown 与其他受保护领取均无需价格。正数捐赠仍接受，但容量额度可为零。现货价本身不是 TWAP 或独立预言机；交易、闪电流动性、钩子和同区块 MEV 可移动它。因此合约在其旁边保存一个无法在单笔交易内移动的参考价格：

• 参考价格只朝更早交易所观察到的现货价移动，每小时最多变动自身的 25%；
• 每次观察先被限制在参考价格 ±25% 的区间内，因此一笔被操纵的交易最多使其移动 25%，无论之后经过多久；
• 参考价格从路径的最低有效价格（启用门槛）开始，并由此上升。

每个依赖价格的数值都取对调用者较不利的那个价格：

因此，在自己的交易内移动现货价不会让移动者获益。在冷清时期反复操纵可以逐渐拖动参考价格，但每次尝试都要支付手续费，并受区间限制。市场真实快速变动时，参考价格会滞后数小时；此时新 Position 记录的锁定价格可能低于市价，之后 Continue 的贡献额会略高。路径的边界和流动性下限保持不变。用户不能选择 PoolManager、代币、池、价格或路径。

#15. 智能合约安全

#15.1 没有隐藏控制

生产合约不包含：

• 所有者或管理员；
• 代理或升级；
• 暂停；
• 救援或通用提款；
• delegatecall；
• selfdestruct；
• 隐藏价格路径或受益人指定。

部署后，启动服务地址只能执行两项操作：启动时一次性把手续费收集器绑定到本合约（第 13.2 节）；以及仅在 WindDown 之后、仅一次，为手续费指定下一代的世代桥（第 19.7 节）。它无法改动 GF、USDG 或任何规则。

不可变性保护规则不受开发者影响，也使缺陷无法修复。因此交互前必须核验已发布源代码、字节码和构造函数清单。GongFu 启动时不聘请付费审计公司：已验证的源代码在合约地址公开，社区、安全研究者以及任何人自己的工具（包括 AI 代理）都可以进行审查。

#15.2 授权与代币

• 本金和所有者奖励操作仅由 Position 所有者授权。
• 合约使用 msg.sender 而非 tx.origin，因此合约钱包可用。
• 每个 Position 有永不复用的唯一所有者/序号对。
• 进出 GF 按精确余额变化核验。
• 转账收费、短额转账、格式错误返回数据和意外回调都会使整笔交易回滚。
• 检查-生效-交互与一个重入保护覆盖每条代币移动路径。
• 零核算金额的处置不触发不必要 ERC-20 转账。

#15.3 生命周期不变量

• 本金负债仅与精确本金支付同时减少。
• MaxCap 名义金额仅在同一成功交易中释放一次。
• 重复领取、Exit、Continue 或推荐归集会被拒绝。
• 待处理所有者选择仅随该精确 Position 标志改变。
• 推荐负债只能从到期周期移至个人余额，或经完整推荐领取流出。
• 整数余尘在周期一次性最终处理前仍受保护。
• WindDown 不可逆。
• 操作不遍历无界用户或 Position：工作限于一个 Position、一个周期和最多三个推荐组成部分。

#15.4 公开主网核验

部署清单绑定：

• 链 ID 4663；
• GongFu 地址与运行时代码哈希；
• GF 地址、精度、总供应和运行时代码哈希；
• 规范市场地址；
• 固定 Uniswap V4 PoolManager、USDG、推导的 poolId、PoolKey、价格边界和最小活跃流动性参数；
• 源代码哈希与可复现字节码哈希；
• 浏览器源代码验证，以及陆续发布的独立审查报告链接。

界面不能替代该核验，也不能以自己的数值替换合约推导状态。

#16. 情景实验室与建模边界

公开 GongFu 实验室是研究压力工具而非营销预测，探索有限储备在不同流入速度、获利卖出、参与下降和组合冲击下的表现。

模型的强制不变量：

• 固定 GF 供应守恒；
• 本金优先核算；
• 除 WindDown 外，到期前无强制退出；
• 贡献额仅来自奖励；
• 外部卖出改变市场但不为 GongFu 注资；
• 所有购买与 Continue 使用永久参与者画像；
• 不可逆 WindDown；
• 不将结果解读为 FDV 或回报预测。

模拟器不是生产价格来源，也不定义规范市场；结果未编码入合约。

#17. 不可变 V1 参数

任何奖励百分比都不保证。不可变性意味着启用后规则不能被悄然替换。

#18. 风险与信任边界

#18.1 市场风险

GF 价格可大幅下跌，流动性可消失，卖出可产生严重滑点。返还相同 GF 数量不保证美元价值保留。

#18.2 现货价格风险

有效 V4 slot0 价格仍可能反映被操纵的薄流动性市场。它不是 TWAP 或独立预言机。参考价格（第 14 节）消除了在单笔交易内移动价格的收益，但不能防范持久的市场变化；在无人操作期间，它可能被反复付费操纵逐渐拖动。边界和流动性下限降低但不消除风险。

#18.3 L2 风险

交易可用性依赖 Robinhood 排序器、RPC、Ethereum 数据可用性与最终性。暂时故障或审查可能延迟领取，但 GongFu 规则保留所有者权利。

#18.4 不可变代码风险

不可变合约的未知缺陷不能通过升级修复。启动时没有付费的专业审计。社区、研究者或 AI 工具的独立审查可以降低风险，但不能完全消除风险。

#18.5 私钥风险

合约不能恢复钱包。丢失私钥使本金或推荐余额在核算上仍受保护，但所有者无法签名。

#18.6 Gas 与可用性

用户自付交易费用。到期周期的结算已内置于存入、Continue 和带奖励的退出，WindDown 后的取消已内置于领取，因此推动队列不需要单独的机器人。若参与者的周期之前累积了超过 32 个未结算周期，需先由一次单独调用结算，任何人都可以发起，包括网站。恰好承担累积积压结算的那笔交易比平常更贵。高 Gas 或网络繁忙可能延迟操作，但不会把本金变成盈余。

#18.7 女巫与地址身份

MaxCap、捐赠历史和进阶绑定地址而非个人。一人可用多个钱包，但每个地址独立从 7 天历史层级开始；可选 1 天 Position 不推进历史。每个地址均受自身 MaxCap 约束。用极小 Position 预热大量地址可以为它们解锁更长期限，但起始 20% 之上的额度只随实际继续的金额增长（第 7 节）。这是一种限制，而非女巫防御：同一人的多个地址仍各自获得起始额度。推荐同理：一个人可以邀请自己的钱包，并获得其奖励的最多 12%。

#18.8 法律与税务风险

数字资产所有权与税务规则因司法辖区不同。每位参与者应独立评估适用要求。

#18.9 下一代风险

启动下一代（第 19 节）是 WindDown 之后的独立事件，而不是本合约的功能。它可能因技术、市场或外部原因而推迟或无法实现。这不会改变当前一代的任何义务：本金、已结算奖励和推荐余额仍受保护，并可按本文档规则领取。下一代中的优先权不是对 GF 价格下跌的补偿，也不保证收益。

#18.10 Pons 启动平台风险

GF 市场由第三方启动平台 Pons 创建，GongFu 无法控制其代码：

• Pons 协议的所有者可以指定另一个创建者手续费接收方（根据 Pons 文档，有 3 天延迟）。届时以手续费回购进储备将停止；储备、本金和领取不受影响；
• 撰写本文时，Pons V2 合约没有公开的审计报告。Pons 曲线、钩子或池中的错误可能影响 GF 市场，并通过价格路径影响新 Open 和 Continue 的可用性；
• Pons 可以限制允许启动的地址。启动包会在第一笔交易前检查；如果启动被关闭，启动不会开始；
• 从买入储备到将其转入 GongFu 之间约有几分钟，在此期间 500 000 000 GF 位于启动服务地址上（第 4.3 节）。

#19. 世代：WindDown 之后会发生什么

#19.1 原则

每一代 GongFu 都是有限的。其储备不靠增发补充，启用后规则也不会改变。当一代的奖励阶段通过 WindDown 结束时，实验由下一代延续：一个拥有新代币和新储备的新协议。

当前一代不会被延长或改写。其合约按不可变规则继续运行，直到每位参与者领回自己的 GF。下一代不能没收、转移或「转换」当前一代的资金。

#19.2 对任何下一代的固定承诺

无论下一版本如何，都必须满足以下条件：

• 没有所有者、管理员、升级、暂停或隐藏提取；
• 参与者本金与储备分开核算，绝不会成为其他参与者的奖励；
• WindDown 仍是奖励阶段不可逆的诚实终点；
• 新代币供应量固定，且至少 50% 的供应量在创建代币的交易中买入，并在同一次启动中转入新一代合约；团队不保留这部分中的任何代币；
• 新代币供应量中的固定份额（世代桥篮子，第 19.4 节）按预先公布的公式分配给当前一代参与者；
• 只有在当前一代进入 WindDown 后才能启动，该条件依据合约数据核验；
• 下一代及世代桥的源代码在启动前公开、在区块浏览器中验证并经过独立审计。

#19.3 两种启动路径

基础路径。 下一代使用与当前一代相同的已审计 GongFu 代码，配以新代币和新的市场参数，并加上世代桥。此路径无需新的决策，也不依赖协议创建者。基础路径启动包（代币与市场参数及部署顺序）在当前一代启用前即已确定：其加密哈希在部署清单中公布，启动包本身最迟在启动时公开。任何人都可以将公开的启动包与已公布的哈希核对。

改进路径。 若在 WindDown 时已有经过审计的改进版本，则以其替代基础版本启动。改进可涉及奖励与额度参数、期限、续期机制和市场深度，并以当前一代运行的公开链上数据为依据。改进版本必须满足第 19.2 节的全部条件。若尚未就绪，则启动基础路径。

#19.4 世代桥：当前参与者的优先权

世代桥是下一代中一个独立、小型且不可变的合约。在新代币启动过程中，它获得一个固定篮子：新代币供应量的 5%。

该篮子分配给因 WindDown 而未获得全部最高奖励的当前一代参与者。世代桥自行读取当前合约的数据；名单和金额都不是人工编制的。

每个 Position 的权重 = Position 的 GF 本金 × GF 实际锁定的天数（至到期或 WindDown，以先到者为准）× 最高奖励中未支付的比例。

未支付比例为：

• 若 Position 所在周期被 WindDown 取消，为 100%；
• 若周期按比例系数结算，为被削减的部分；
• 若 Position 已获得全部最高奖励，或其最高奖励为零（金额过小、无法获得任何奖励），为零。

对 90 天和 180 天 Position，未获份额同时覆盖所有月度部分：每一份按其自身最大值和其周期未支付的比例计入。例如三份中第一份全额支付、第二份支付一半、第三份被取消，则未获份额为 50%。

按实际锁定时间计算，使「在结束前一天入场」领取奖励变得毫无意义：新开的 Position 几乎没有权重。权重以 GF 而非美元计算：开设时的价格不影响权重，因此入场时抬高价格无法换取更大份额。把一笔金额拆分到多个地址也不会增加权重，权重与 GF 数量成正比。

世代桥仅在当前一代进入 WindDown、下一代已启用、且篮子已到达世代桥地址之后才能启用。

分配分两个阶段进行：

1. 30 天登记窗口，自世代桥启用起算。参与者提交自己的 Position；世代桥依据当前合约数据逐一核验。每个 Position 只能登记一次。
2. 分配。 窗口结束后，篮子按权重比例分配。不存在竞争：登记顺序不影响份额。

只有已在下一代中注册的地址才能领取其份额。这是给继续参与者的优先权，而不是离场补偿。份额须在登记窗口关闭后 180 天内领取。期限届满后篮子中的剩余部分（未领取的份额和取整余数）不会归还团队：任何人都可以触发将其转入下一代储备。若窗口期内没有任何 Position 登记，篮子在窗口关闭后立即转入储备。

#19.5 谁来启动下一代

启动由当前一代部署清单中指定的服务地址执行。其作用纯属技术性：按已公布的启动包创建代币并部署合约。它不保留任何代币，也不控制储备：在创建代币的交易中，它买入 55% 的供应量（50% 用于储备，5% 用于世代桥篮子），并在同一次启动中转入合约地址。买入使用服务地址自己的 USDG。任何偏离启动包的行为，只要将部署与已公布的哈希核对即可发现。启动后，同一地址会一次性把下一代世代桥绑定到当前合约（第 19.7 节）。

#19.6 「世代」不承诺什么

• 当前一代的 GF 不会转换为下一代代币；
• 优先权不补偿 GF 价格变化，也不是收益；
• 世代桥篮子中的份额大小无法预知：取决于已登记 Position 的数量和权重；
• 下一代同样是有限的，并遵循相同原则。

#19.7 WindDown 后的手续费转给下一代

WindDown 之后，把 GF 回购进本代储备已不再为任何人的奖励提供资金。但 GF 市场仍在运行，交易仍在为手续费收集器（第 13.2 节）带来 USDG。因此 WindDown 之后，收集器停止买入 GF，而是把 USDG 转给下一代：

1. 停止回购。 本代一旦进入 WindDown，就不能再回购 GF 进入其储备（buybackToReserve）。USDG 累积在收集器上。
2. 绑定。 启动服务地址（第 19.5 节）仅在 WindDown 之后、仅一次指定下一代的世代桥。合约会检查该世代桥是否把当前一代作为其上一代，以及其下一代是否已经启动。服务地址没有任何其他权力：它不能取走 GF 或 USDG，也不能修改规则或绑定。
3. 转发。 任何人都可以调用收集器的 forwardToNextGeneration：收集器持有的全部 USDG 转入绑定到本代合约的世代桥。收集器不能选择其他地址。
4. 回购进储备。 任何人都可以调用世代桥的 buybackNextGenerationToken。世代桥在下一代的市场上买入其代币，并直接转入该代储备，成为自由流动性。只有买到的数量不少于按下一代参考价格计算的数量减去 3%（滑点）时，交易才会成功，否则回滚。每次回购的规模由调用者选择，因此大额可以分批进行。下一代的参考价格由其自身的交易和捐赠更新；如果没有，任何人都可以调用 observeReferencePrice——这与任何捐赠所做的价格观察相同，受同样的限制（第 14 节）。

下一代使用相同的代码和自己的收集器，因此在它自己的 WindDown 之后，它的手续费也会以同样方式继续传递。

这一资金流没有保证。其规模取决于 WindDown 之后的 GF 交易量。绑定之前，USDG 在本代收集器中累积，除了已绑定的世代桥之外不能转往任何地方；如果下一代没有启动，它将留在那里。

#19.8 推荐关系延续到下一代

下一代是一个拥有独立注册的新合约，但邀请关系不会丢失。如果某人在下一代注册时没有指定邀请人，合约会读取该地址在上一代中的邀请人。如果该邀请人已在新一代注册，他就成为邀请人，等同于亲自邀请；如果尚未注册，则适用常规队列（第 12 节）。手动指定的邀请人始终优先于继承的邀请人。

读取上一代合约设有 gas 上限：任何失败都只意味着没有继承关系，注册照常进行。上一代的推荐余额不会转移：它们在其合约中领取。

#20. 资料来源

1. Robinhood Chain：概览
2. Robinhood Chain：网络连接
3. Robinhood Chain：智能合约部署
4. Uniswap v4 core：PoolId 推导
5. Uniswap v4 core：池状态读取
6. PROJECT_CHECKPOINT_v1.json 和 GongFu 根目录协议文档。

#结语

GongFu 不隐瞒有限储备，也不以无限增发掩饰它。它将本金与盈余分开，并预先定义奖励阶段的诚实终点。核心很简单：不可变规则、透明核算，以及 WindDown 中本金不会成为他人退出代价的机制。当一代诚实结束时，下一代将按照预先公布的规则开始。