באג באנטי
היקף גילוי אחראי והנחיית טריאז' השפעה כלכלית למחקר אבטחה של Avana.
סקירה
תוכנית הבאג באנטי של Avana מכסה גילוי אחראי על פני חוזים, מערכות סיכון ותשתית תומכת שיכולים להשפיע על כספי משתמשים או פירעון הפרוטוקול. ההיקף כולל פגיעויות חוזיות ישירות וכשלים כלכליים הקשורים ל-LP ביטחונות. מחירים מנופחים, נזילות בלתי מספקת, או מצב עמדת חוסר עקביות יכולים להשפיע על יכולת ההלוואה או למנוע מכליית החזר חוב. חומרה מבוססת על השפעה כלכלית:הערכת הסיכון מתחשבת בניצול פוטנציאלי ובתוצאות כגון אובדן כספים, חדלות פירעון, חובות רעים או תמחור שגוי מערכתי של בטוחות. גודל הקוד המושפע אינו מדד לאובדן הפוטנציאלי.
היקף וארכיטקטורת מערכת
דוחות מקובצים לפי תת-המערכת המושפעת: הלוואות בסיסיות, הערכה, ממשל ומינהל, או אינטגרציות מחוץ לשרשרת. הקיבוץ מזהה את הרכיב המעורב; החומרה תלויה בהשפעה שהודגמה.
תוכנית A - הלוואות ליבתיות
מכסה את מנוע האשראי העיקרי שבו שלמות חשבונאית, בטוחות וביצוע פירוק מגנים ישירות על כספי משתמשים.
כולל
- זרימות הפקדה / משיכה
- לוגיקת הלוואה / פירעון
- מקדם בריאות וצבירת ריבית
- חשבונאות רזרבה והטבעה / שריפת חוב
- ביצוע ליבתי של פירוק ותקרות
סיכונים עיקריים
- גניבת כספי משתמשים
- חדלות פירעון רזרבה
- הלוואה תת-מבוטחת
- פירעונות, משיכות או פירוקים חסומים
תוכנית B - בטוחת LP והערכה
מכסה את מערכת ההערכה הספציפית ל-Avana לאשראי מגובה LP, כולל איך פוזיציות LP מתומחרות, משוקללות לסיכון ונבדקות תחת תנאי שוק תנודתיים.
כולל
- LP token onboarding logic
- הקצאת מקדם בטוחה לפוזיציות LP
- LP share pricing and oracle integration
- טיפול בפוזיציות נזילות מרוכזת
- מקרי קצה בזמן חוסר איזון, depeg, נזילות נמוכה או מצבי אורקל מיושנים
סיכונים עיקריים
- הערכת יתר של בטוחת LP
- מניפולציית אורקל שמאפשרת חוב רע
- פירוק לא הוגן מתת-תמחור
- מסלולי אקספלויט רקורסיביים נגד בטוחת LP שגויה-תמחור
למה זה חשוב: LP תמחור שגוי יכול להיות בעל השפעה כלכלית קריטית על ידי אפשרות לחוב רע, חדלות פירעון, או ליקויים בנזילות, אפילו ללא גניבה ישירה מהחוזה.
תוכנית C - ממשל, מנהל ותשתית פרוטוקול
מכסה משטחי שליטה מועדפים שיכולים לשנות פרמטרים, לשדרג חוזים, להשהות תפעול או להפנות מחדש נכסים בבעלות הפרוטוקול.
כולל
- מבצע ממשל ו-timelock
- ניהול תפקידים ומנגנוני שדרוגיות
- תפקידי השהיה / אפוטרופוס
- מערכות ניהול פרמטרים
- חוזי אוצר, אוסף ואוטומציה מועדפת
סיכונים עיקריים
- פעולת מנהל לא מורשית
- חטיפת שדרוג
- שחיתות פרמטרים
- השתלטות ממשל או אובדן אוצר
תוכנית D - משטחים אופצ׳יין / אינטגרציה
מכסה מערכות תומכות שפגיעה בהן יכולה להשפיע על תפעול פרוטוקול מהימן, אינטראקציות משתמש או התנהגות keepers.
כולל
- בוטי אינדוקס או פירוק שמתוחזקים על ידי Avana
- הנחות keepers וממסרי אורקל
- SDK logic that can induce unsafe interactions
- APIs מאוחסנים בשימוש במסלולים קריטיים לבטיחות
- בעיות חזית עם השלכות סיכון ארנק ישירות
סיכונים עיקריים
- בניית עסקאות זדוניות
- מסלולי פירוק או ממסר אורקל שנפרצו
- אובדן כספי משתמש דרך אינטגרציות מהימנות
- השבתות תפעוליות שקופאות פעולות קריטיות
תת-מערכות עוברות טריאז' בנפרד, אבל ההשפעה עדיין מדורגת על פני פירעון, בטיחות כספי משתמש, שלמות פירוק וסיכון פרוטוקול קשור.
פילוסופיית חומרה
הערכת החומרה מתחשבת במסלול ניצול מהימן ובנזק הכלכלי שהוא עלול לגרום, במקום להסתמך רק על ציון פגיעות כללי.
קריטי
אובדן כספים ישיר או עקיף, יצירת חוב רע, חדלות פירעון של הפרוטוקול, או מניפולציה מערכתית של הערכת בטוחה.
גבוה
נזק משמעותי אך מוגבל, כמו התנהגות פירוק שגויה, עקיפה חלקית של בקרות סיכון, או כשלים חשבונאיים מוכלים.
בינוני / נמוך
ממצאים מוגבלים בהשפעה, אי-עקביות במקרי קצה, בעיות לוגיקה לא-קריטיות, או פגיעויות בלי מסלול אמין לנזק כלכלי משמעותי.
ממצא שמאפשר הערכה מופרזת או חוב רע יכול להיות קריטי אפילו אם הוא משפיע על מעט קוד. ממצאים ללא נתיב מהימן לנזק כלכלי משמעותי יקבלו הערכת חומרה נמוכה יותר.