Hadiah Bug
Cakupan pengungkapan yang bertanggung jawab dan panduan triase dampak ekonomi untuk penelitian keamanan Avana.
Ikhtisar
Avana Bug Bounty mencakup pengungkapan yang bertanggung jawab di seluruh kontrak, sistem risiko, dan infrastruktur pendukung yang dapat memengaruhi dana pengguna atau solvabilitas protokol. Cakupan mencakup kerentanan kontrak langsung dan kegagalan ekonomi yang melibatkan LP jaminan. Harga yang dimanipulasi, likuiditas yang tidak cukup, atau kondisi posisi yang tidak konsisten dapat memengaruhi kapasitas peminjaman atau mencegah likuidasi untuk memulihkan utang. Keparahan didasarkan pada dampak ekonomi:Penilaian mempertimbangkan keterpercayaan dan hasil seperti kerugian dana, kebangkrutan, piutang macet, atau kesalahan harga jaminan sistemik. Ukuran kode yang terpengaruh bukanlah ukuran potensi kerugian.
Ruang Lingkup & Arsitektur Sistem
Laporan dikelompokkan berdasarkan subsistem yang terdampak: peminjaman inti, LP penilaian, tata kelola dan administrasi, atau integrasi offchain. Pengelompokan ini mengidentifikasi komponen yang terlibat; tingkat keparahan tergantung pada dampak yang ditunjukkan.
Program A - Pinjaman Inti
Mencakup mesin kredit utama di mana integritas akuntansi, jaminan, dan pelaksanaan likuidasi secara langsung melindungi dana pengguna.
Termasuk
- Arus penyetoran/penarikan
- Logika pinjam/bayar kembali
- Faktor kesehatan dan akrual bunga
- Akuntansi cadangan dan hutang mint/bakar
- Eksekusi dan batasan inti likuidasi
Risiko primer
- Pencurian dana pengguna
- Cadangan kebangkrutan
- Pinjaman tanpa jaminan
- Pembayaran, penarikan, atau likuidasi yang diblokir
Program B - LP Jaminan & Penilaian
Mencakup sistem penilaian khusus Avana untuk kredit yang didukung LP, termasuk bagaimana posisi LP dinilai, ditimbang risiko, dan diuji ketahanannya dalam kondisi pasar yang bergejolak.
Termasuk
- LP token onboarding logic
- Penetapan faktor jaminan untuk posisi LP
- LP share pricing and oracle integration
- Penanganan posisi likuiditas terkonsentrasi
- Kasus tepian selama ketidakseimbangan, depeg, likuiditas rendah, atau status oracle basi
Risiko primer
- Penilaian berlebihan atas agunan LP
- Manipulasi Oracle memungkinkan kredit macet
- Likuidasi yang tidak adil akibat underpricing
- Jalur eksploitasi rekursif terhadap jaminan LP yang salah harga
Mengapa ini penting: LP Kesalahan penetapan harga dapat memiliki dampak ekonomi yang kritis dengan memungkinkan utang macet, kebangkrutan, atau likuidasi yang salah, bahkan tanpa pencurian langsung dari kontrak.
Program C - Infrastruktur Tata Kelola, Admin, dan Protokol
Mencakup permukaan kontrol istimewa yang dapat mengubah parameter, meningkatkan kontrak, menjeda operasi, atau mengalihkan aset milik protokol.
Termasuk
- Pelaksana tata kelola dan timelock
- Mekanisme manajemen peran dan peningkatan kemampuan
- Peran jeda/wali
- Sistem admin parameter
- Kontrak perbendaharaan, kolektor, dan otomatisasi istimewa
Risiko primer
- Tindakan admin tidak sah
- Tingkatkan pembajakan
- Korupsi parameter
- Pengambilalihan pemerintahan atau kerugian perbendaharaan
Program D - Permukaan Offchain / Integrasi
Mencakup sistem pendukung yang komprominya dapat memengaruhi operasi protokol tepercaya, interaksi pengguna, atau perilaku penjaga.
Termasuk
- Bot pengindeksan atau likuidasi dikelola oleh Avana
- Asumsi penjaga dan relay oracle
- SDK logic that can induce unsafe interactions
- API yang dihosting digunakan di jalur yang kritis terhadap keselamatan
- Masalah frontend dengan konsekuensi langsung terhadap risiko dompet
Risiko primer
- Konstruksi transaksi berbahaya
- Jalur likuidasi atau relai oracle yang disusupi
- Hilangnya dana pengguna melalui integrasi tepercaya
- Pemadaman operasional yang membekukan tindakan penting
Subsistem diprioritaskan secara terpisah, namun dampaknya masih dinilai berdasarkan solvabilitas, keamanan dana pengguna, integritas likuidasi, dan risiko protokol terkait.
Filsafat Keparahan
Penilaian tingkat keparahan mempertimbangkan jalur eksploit yang kredibel dan kerugian ekonomi yang dapat ditimbulkannya, daripada hanya mengandalkan skor kerentanan generik.
Kritis
Hilangnya dana secara langsung atau tidak langsung, timbulnya kredit macet, kebangkrutan protokol, atau manipulasi penilaian agunan secara sistemik.
Tinggi
Kerusakan yang berarti namun terbatas, seperti perilaku likuidasi yang salah, pengabaian sebagian pengendalian risiko, atau kegagalan akuntansi yang terkandung.
Sedang / Rendah
Temuan dengan dampak terbatas, inkonsistensi kasus, masalah logika yang tidak kritis, atau kerentanan tanpa jalur yang kredibel yang menyebabkan kerugian ekonomi besar.
Temuan yang memungkinkan LP penilaian berlebihan atau piutang macet dapat menjadi kritis bahkan jika memengaruhi sedikit kode. Temuan tanpa jalur yang dapat dipercaya menuju kerugian ekonomi yang signifikan menerima penilaian tingkat keparahan yang lebih rendah.