באג באנטי
היקף גילוי אחראי והנחיית טריאז' השפעה כלכלית למחקר אבטחה של Avana.
סקירה
תוכנית הבאג באנטי של Avana מכסה גילוי אחראי על פני חוזים, מערכות סיכון ותשתית תומכת שיכולים להשפיע על כספי משתמשים או פירעון הפרוטוקול.
מכיוון ש-Avana משתמשת בפוזיציות נזילות AMM כבטוחה, ההיקף כולל גם באגי חוזה ישירים וגם כשלים שבהם נזילות, תמחור או מצב שוק יכולים להפוך לערך בטוחה רע או לפירוקים שבורים.
החומרה כלכלית קודם:התגמולים עוקבים אחרי ניתנות לניצול ותוצאות כמו אובדן כספים, חדלות פירעון, חוב רע או תמחור שגוי מערכתי של בטוחה, לא רק כמה גדול נראה שינוי הקוד.
היקף וארכיטקטורת מערכת
ההיקף מחולק לתת-מערכות כדי שחוקרים יוכלו למפות ממצא לחלק במחסנית שהוא באמת מאיים עליו: הלוואות ליבתיות, הערכת LP, ממשל ומנהל, או אינטגרציות אופצ׳יין.
תוכנית A - הלוואות ליבתיות
מכסה את מנוע האשראי העיקרי שבו שלמות חשבונאית, בטוחות וביצוע פירוק מגנים ישירות על כספי משתמשים.
כולל
- זרימות הפקדה / משיכה
- לוגיקת הלוואה / פירעון
- מקדם בריאות וצבירת ריבית
- חשבונאות רזרבה והטבעה / שריפת חוב
- ביצוע ליבתי של פירוק ותקרות
סיכונים עיקריים
- גניבת כספי משתמשים
- חדלות פירעון רזרבה
- הלוואה תת-מבוטחת
- פירעונות, משיכות או פירוקים חסומים
תוכנית B - בטוחת LP והערכה
מכסה את מערכת ההערכה הספציפית ל-Avana לאשראי מגובה LP, כולל איך פוזיציות LP מתומחרות, משוקללות לסיכון ונבדקות תחת תנאי שוק תנודתיים.
כולל
- LP token onboarding logic
- הקצאת מקדם בטוחה לפוזיציות LP
- LP share pricing and oracle integration
- טיפול בפוזיציות נזילות מרוכזת
- מקרי קצה בזמן חוסר איזון, depeg, נזילות נמוכה או מצבי אורקל מיושנים
סיכונים עיקריים
- הערכת יתר של בטוחת LP
- מניפולציית אורקל שמאפשרת חוב רע
- פירוק לא הוגן מתת-תמחור
- מסלולי אקספלויט רקורסיביים נגד בטוחת LP שגויה-תמחור
למה זה חשוב: תקרת חומרה גבוהה ביותר: תמחור שגוי של LP יכול ליצור חוב רע, חדלות פירעון או פירוקים לא הוגנים בלי ניקוז חוזה קלאסי.
תוכנית C - ממשל, מנהל ותשתית פרוטוקול
מכסה משטחי שליטה מועדפים שיכולים לשנות פרמטרים, לשדרג חוזים, להשהות תפעול או להפנות מחדש נכסים בבעלות הפרוטוקול.
כולל
- מבצע ממשל ו-timelock
- ניהול תפקידים ומנגנוני שדרוגיות
- תפקידי השהיה / אפוטרופוס
- מערכות ניהול פרמטרים
- חוזי אוצר, אוסף ואוטומציה מועדפת
סיכונים עיקריים
- פעולת מנהל לא מורשית
- חטיפת שדרוג
- שחיתות פרמטרים
- השתלטות ממשל או אובדן אוצר
תוכנית D - משטחים אופצ׳יין / אינטגרציה
מכסה מערכות תומכות שפגיעה בהן יכולה להשפיע על תפעול פרוטוקול מהימן, אינטראקציות משתמש או התנהגות keepers.
כולל
- בוטי אינדוקס או פירוק שמתוחזקים על ידי Avana
- הנחות keepers וממסרי אורקל
- SDK logic that can induce unsafe interactions
- APIs מאוחסנים בשימוש במסלולים קריטיים לבטיחות
- בעיות חזית עם השלכות סיכון ארנק ישירות
סיכונים עיקריים
- בניית עסקאות זדוניות
- מסלולי פירוק או ממסר אורקל שנפרצו
- אובדן כספי משתמש דרך אינטגרציות מהימנות
- השבתות תפעוליות שקופאות פעולות קריטיות
תת-מערכות עוברות טריאז' בנפרד, אבל ההשפעה עדיין מדורגת על פני פירעון, בטיחות כספי משתמש, שלמות פירוק וסיכון פרוטוקול קשור.
פילוסופיית חומרה
ציוני פגיעות גנריים אינם שיטת הדירוג העיקרית כאן. ממצאים נשפטים לפי מסלולי אקספלויט אמינים ולפי התוצאה הכלכלית שהם יכולים ליצור.
קריטי
אובדן כספים ישיר או עקיף, יצירת חוב רע, חדלות פירעון של הפרוטוקול, או מניפולציה מערכתית של הערכת בטוחה.
גבוה
נזק משמעותי אך מוגבל, כמו התנהגות פירוק שגויה, עקיפה חלקית של בקרות סיכון, או כשלים חשבונאיים מוכלים.
בינוני / נמוך
ממצאים מוגבלים בהשפעה, אי-עקביות במקרי קצה, בעיות לוגיקה לא-קריטיות, או פגיעויות בלי מסלול אמין לנזק כלכלי משמעותי.
A bug that looks small in code can still be critical if it enables LP overvaluation or bad debt. A technically interesting issue can rank lower if it does not have a credible path to meaningful financial damage.