一切，都有文档。

• 暂停。暂停机器人合约会停掉 Keeper 的交易入场。暂停手续费路由影响更大：它会停掉一切经过它的兑换，其中包括一个机器人把仓位平回 ETH 所需要的那条卖出腿。
• 暂停永远做不到的一件事是挡住提取。stop、cancel、withdraw、refundExpired、withdrawEth 以及 Predict 的 claim 都没有带 whenNotPaused — 这是逐个函数对照已部署源码验证过的。即使一切都被暂停，你依然可以按原样把仓位取回：代币和 ETH 保持它们当时的样子，不做卖出。
• 只能对盈余调用 rescue(token, to)。它在算术上被限制在 balanceOf(this) − escrowed[token] — 也就是超出用户存入部分的那一块。如果这个盈余是零，它会以 NothingToRefund revert。
• 为新的机器人、订单和市价兑换更改手续费区间。今天的链上读数：minFeeBps = 90（0.9%）和 maxFeeBps = 200（2%）。owner 可以移动这两个值，但 setMaxFeeBps 带着 require(b <= 300)，所以 3% 是一个绝对上限，不部署一个新的路由就抬不上去。The Desk 自己收 1%，页面会拒绝任何更高的值。
• 更改推荐人分成。今天它是 3000（30%），唯一的护栏是 require(b <= 10_000) — 所以 owner 可以把将来的手续费分成设为 0%。已经累积的推荐余额仍然可以领取。把 30% 当作当前政策，而不是一个保证。
• 为将来累积的手续费改变金库去向。已经累积到旧地址上的手续费，仍然由那个地址领取。
• 转移所有权，分两步（transferOwnership → acceptOwnership，带一个零地址检查）。
• 仅限 Predict：把预言机指向别处。setOracle(address) 会更换那个决定每一轮将来比赛哪一边赢的合约。这是整个生态里最强的一项 owner 权限 — 一个把它指向自己控制的合约的 owner，就决定了谁赢，因而也决定了奖池去哪。它够不到已经结算完的一轮，也动不了账本里的下注，但它是唯一一项「只能靠信任运营者」来防护的权限。当前的预言机受 Chainlink 约束；一个替换品未必如此。
• 仅限 Predict：更改手续费，在硬编码的常量范围内（MAX_FEE_BPS = 500、MAX_REFERRAL_BPS = 5000），而且只能在游戏被暂停时。

• 动你的托管资金。从任何一个 owner 函数到用户余额之间，不存在代码路径。
• 改变提取的去向。付款发往创建时存下的 maker 地址。它没有 setter。
• 升级合约。没有代理，没有升级机制。部署出来的就是跑着的。
• 提高一个正在运行的机器人的手续费。费率在创建时就写进了这个机器人的记录里；之后改默认值也够不到它。限价单则把它的手续费写在签名里面。

Keeper 是执行机器人的链下进程。它跑在自己的密钥上（0x96D0B800…59246c），并且不拥有任何东西。它的全部权力就是「在一条已经存在的记录上调用执行函数」。这次执行到底可以做什么，全部由合约强制约束：

• 它不能亏本卖出一个网格档位 — 有利可图的档距是在链上按档检查的。
• 它不能为一个限价单挑自己的路由 — 路由以 bytes32 routeHash 的形式固定在你的签名里面，否则 execute() 会以 BadRouteHash revert。
• 它不能绕过你的最低值 — 输出是按目标地址的余额差来测量并与 minAmountOut 比较的，而不是采信池子自己声称的数字。
• 它不能把你路由到一个任意的 V4 hook 上 — key.hooks 必须是 address(0) 或者在白名单里明确列出。
• 它不能让路由对自己免费 — minFeeBps = 90，低于这个值它会以 FeeTooLow() revert。
• 它不能取得托管权。它在任何时候都不持有你的资金。

它的故障模式是不作为，不是盗窃。如果它挂了，你的机器人会在策略中途冻住：不买、不卖、不止盈，也不止损。钱是安全的；你所依赖的那个止损不安全。该怎么办 →

• $NLYRA 质押：已对照已部署的字节码确认 — 它是 StakingRewards 的 Uniswap 分支，没有 owner，没有暂停，也没有 recoverERC20。已质押的 3.22 亿不可能被管理员卷走，奖励池按 wei 精确注资。唯一的角色是 rewardsDistribution，它负责为奖励周期注资。
• 质押上唯一那条需要点名的注意事项：因为质押代币和奖励代币是同一个，notifyRewardAmount 会把合约的全部余额都算作背书。所以那个 rewardsDistribution 地址 — 一个单独的钱包 0xe30647…e04C，而且没有任何 setter 可以更换它 — 是有可能把用户本金标记成可发放的奖励的。那不是一次原子式的抽干：它会缓慢地、完全公开地展开。但它仍然是一个信任假设，你应该知道它存在。
• DEX（V2）：协议手续费开关 — 兑换量的 0.05% 进金库，从第一天起就开着。交易不能被暂停，代币不能被封禁，池子里的资金碰不到。
• DEX（V3）：池子手续费中的一部分归协议，owner 可以创建新的费率档。头寸和流动性碰不到。
• Launchpad v4：恰好一项权限 — 增加（或对将来的发行关闭）已批准的交易对。它没有任何代码路径通向一个已经存在的池子、头寸或手续费分成。

其中两项由链上读取确认：质押合约的 rewardsDistribution 是 0xe30647…e04C，而 Holder Rewards 发行工厂的 keeper 是运营用的那把热钱包私钥。

有几个合约是对在别处已有多年生产历史的代码的重新部署：

• $NLYRA 质押合约是 Synthetix StakingRewards — 和 Uniswap 在 2020 年做 UNI 流动性挖矿时用的是同一套设计。
• V2 DEX 是 Uniswap V2（Factory + Router），带上每个 V2 分支都必须重新计算的那一个哈希常量。
• V3 那一侧是从官方 npm 产物部署的 Uniswap V3（v3-core 1.0.1 + v3-periphery 1.4.4）。
• Shield 的电路来自 0xbow Privacy Pools 项目（Apache-2.0）。

对上游项目的审计不是对我们这次部署的审计。它说明这个设计被充分研究过；它对部署参数、接线方式，以及我们自己围绕它写的代码，什么也没说。

0xbow Privacy Pools 的电路是真的经过审计的 — 在上游，由它们作者的审计方做的。我们围着它写的 PrivacyPoolComplex 包装层没有经过审计，而我们的 Shield 入口合约是一个可升级代理。这个区分正是重点所在。

• 智能合约风险。除质押 v2 之外，都是未经审计的代码 — 而且审计只能降低风险，不能消除风险。不要存入你输不起的钱。
• Keeper 风险（仅限机器人）。如果 Keeper 停了，你的机器人会冻住：不会止盈，也不会止损。你的钱是安全的；你的风险管理不是。
• 托管风险（机器人、ladder、martingale、Predict）。资金放在一个合约里，不在你的钱包里。那个合约里的一个 bug，就是一个能碰到你余额的 bug。
• 市场风险。自托管是一个关于「能拿到」的保证，不是关于价格的保证。一个一路买到底的网格，退还给你的正是那样东西：一个亏损的仓位。
• 恶意代币风险。转账税、黑名单和增发开关都住在代币合约里，而那个我们控制不了。SAFE 这个判定是一个过滤器，不是一个承诺。
• 无常损失。为一个波动的交易对提供流动性，表现可能不如单纯持有。
• 密钥风险，你的。maker 地址是永久的。丢了钱包，就丢了机器人 — 没有恢复路径，我们也造不出来一个。
• 密钥风险，我们的。合约所有权放在单独的热钱包私钥上。这些密钥能做什么被合约限住了；但它们前面依然没有多签。
• $NLYRA 的集中度风险。创建者钱包持有大约总量的 4.7%（约 4700 万 NLYRA），随时可以卖出。这是一个你可以盯着看的公开余额。
• Predict 预言机风险。owner 可以为将来的轮次把 Predict 的预言机指向别处。见 §3 · 管理员权限。
• 钓鱼。唯一的官方站点是 nlyra.xyz。我们绝不会主动私信你，绝不会问你要助记词，也绝不会让你去「验证」你的钱包。应用只会向你提议交易 — 读清楚你签的是什么。

• 检查网站请你签的授权。站点请求的每一个授权，都是对一个固定合约的一个确切金额 — 前端里任何地方都没有无限授权，而且页面会拒绝任何不是它预期的那个托管合约的 spender。在你的钱包弹窗里读一下金额，确认它和你输入的一致。
• 打开上面任意一个地址 → Blockscout → Contract 标签页 → 读已验证的源码。
• 在一个机器人合约上，打开 Read Contract，用你自己的机器人 id 查一下 maker 地址，然后到 Write Contract 调用那个提取函数 — 这就是全部的救援路径，不涉及任何网站。
• 把我们自己的任意一个合约粘进扫描器。我们和所有人一样，接受同一台判定机器的评判。

你几乎肯定是在 Safari 或 Chrome 里。钱包 App 的私钥在手机的普通浏览器里够不到，所以页面根本没有可以连接的对象。

请在你钱包 App 自带的浏览器里打开 nlyra.xyz — 每个主流钱包都有一个（MetaMask → Browser，Trust → DApps，Coinbase Wallet → 指南针图标）— 然后从那里连接。

如果你要走自助提取那条路，Blockscout 的写入表单也是同理：那个链接也要在钱包 App 里打开。

本站只支持注入式钱包 — MetaMask、Rabby，或者钱包 App 自带的浏览器。没有 WalletConnect，也没有邮箱登录。装一个，或者在你的钱包 App 里打开本站。

通常是钱包被锁了，或者站点权限被撤销了。先解锁钱包，然后在钱包的已连接站点列表里移除 nlyra.xyz，再从头连接一次。在 MetaMask 里，把账户的交易缓存硬重置一下（设置 → 高级 → 清除活动标签页数据）也能清掉一个卡住的 nonce。

你的钱包在另一条网络上。本站会提出帮你切换，如果你没有这条网络，也会提出帮你添加。如果你的钱包拒绝自动切换，就按 §1 · 把网络加进来里的确切设置手动添加 — 链 ID 是 4663。

每一笔交易在构造之前都会重新核对所在的链，所以不可能不小心签出一笔在错误网络上的交易。

你的 ETH 在另一条链上。以太坊、Arbitrum 或 Base 上的 ETH 不是 Robinhood Chain 上的 ETH — 它必须先跨链到这条链上。§1 · 搞到 gas 里列了三条进来的路。

这是新用户被卡住的头号原因。在你怀疑别的东西坏掉之前，先看一眼钱包里的网络名称。

试试直接用这条链的公共 RPC：https://rpc.mainnet.chain.robinhood.com。如果你的钱包里给链 4663 存了一个自定义的或者过时的 RPC，把这条网络删掉，再用官方设置重新加一遍。如果 Blockscout 看起来也是旧的，那就是链本身出了一阵状况 — 你在那种状态下签的东西不会丢，只是不会被确认。

没有。一笔 revert 的交易什么也不会做 — 就跟它从来没发生过一样，只不过你付掉了 gas（大约 $0.007）。

常见原因是从你按下按钮到区块落地之间，价格越过了你的滑点。再试一次，或者把滑点上调一档。在一个走得很快的代币上，3% 常常不够。

这条链的出块大约 100 毫秒，所以真正意义上的 pending 很罕见，通常意味着 nonce 出现了缺口：同一个钱包更早的一笔交易卡在它前面。打开钱包的活动列表，找到最旧的那笔待处理项，要么给它加速，要么取消它 — 排在它后面的所有东西都在等它。

把哈希粘进 Blockscout 看真相。浏览器上的记录才是记录；站点的界面只是它的一个视图。

一道安全检查发现服务器构造出来的交易和你屏幕上显示的东西对不上，而且是在你的钱包被打开之前发现的。什么都没有被签名，也什么都没有被花掉。

它核对目标合约、链、代币、金额、最小输出、手续费和推荐人 — 对照的是原始 calldata，而不是服务器对它的描述。重新报价，然后再试一次。如果它反复出现，那说明真的有什么不对劲，你不应该硬闯过去 — 请改为上报它。

新的报价和给你看过的那个差了超过 3%，所以这笔交易在到达你的钱包之前就被拦下了，面板会用真实的数字重画一遍。我们绝不会让你去签一笔在你做完决定之后条件已经变了的交易。

有三种可能的原因，按可能性排序：价格冲击（你自己的单子推动了池子 — 报价行从 1% 起就会显示它）、hook 池（有些 V4 池在每一笔兑换上额外收 1–2%；它是被测量出来的，而且已经算在报价里了），或者代币本身带转账税。完整拆解 →

机器人是由 Keeper 这个链下进程执行的。当它挂掉时，机器人主页会显示一个 keeper offline 标记。在那种状态下：不买、不卖、不止盈，也不止损。

无论如何，你的钱都是安全的，也可以取出来 — 提取不需要 Keeper、不需要服务器，也不需要网站。但你所依赖的那道保护此刻不在。如果你原本指望着一个止损，请把资金取出来，改为手动管理这个仓位。

止损是由 Keeper 执行的，不是合约自己触发的。如果 Keeper 挂了，就什么也不会触发。这是平台上每一个自动离场机制诚实的局限所在。

价格已经离开了你设定的区间。在区间上方，一切都被卖掉了，机器人现在拿着 ETH。在区间下方，一切都被买入了，你现在是亏损地持有着这个代币。这两种状态本身都不会让你的钱消失 — 你随时可以停掉机器人，把任意一边取回来。你失去的是机会。Infinity Grid 没有上边界，所以当你对顶部没有看法时，它是更好的选择。

这套配置赚不到钱。一个网格在买卖两条腿上各付 1% 手续费，再加两次池子手续费，所以档位之间的净间距如果小于大约 2.5%，就必定亏损。这条拒绝信息会给出你自己的确切数字，以及你这个区间所允许的最大网格数。把区间拉宽、少用几个网格，或者挑一个更便宜的池子。合约会独立地强制执行同一条下限，所以它不是任何人可以豁免的一个设置。

被强制执行的是你签名时的最小输出，而不是你输入的那个价格。如果流动性变薄了，池子可以打出你的价格，却无法在你的规模上付出你的最小输出。其他可能：订单过期了、下单之后你的余额或 Permit2 授权发生了变化，或者 Keeper 挂了。一条 FAILED 记录会带上原因。