Bug Bounty
Cakupan pengungkapan yang bertanggung jawab dan panduan triase dampak ekonomi untuk penelitian keamanan Avana.
Ikhtisar
Avana Bug Bounty mencakup pengungkapan yang bertanggung jawab di seluruh kontrak, sistem risiko, dan infrastruktur pendukung yang dapat memengaruhi dana pengguna atau solvabilitas protokol.
Karena Avana menggunakan posisi likuiditas AMM sebagai jaminan, cakupannya mencakup bug kontrak langsung dan kegagalan di mana likuiditas, harga, atau keadaan pasar dapat diubah menjadi nilai jaminan yang buruk atau likuidasi yang gagal.
Keparahan adalah yang utama dalam bidang ekonomi:imbalan melacak eksploitasi dan hasil seperti kehilangan dana, kebangkrutan, kredit macet, atau kesalahan penetapan harga agunan yang sistemik, tidak hanya seberapa besar perubahan kode tersebut.
Ruang Lingkup & Arsitektur Sistem
Cakupan dibagi menjadi beberapa subsistem sehingga peneliti dapat memetakan temuan ke bagian tumpukan yang benar-benar terancam: pinjaman inti, penilaian LP, tata kelola dan admin, atau integrasi offchain.
Program A - Pinjaman Inti
Mencakup mesin kredit utama di mana integritas akuntansi, jaminan, dan pelaksanaan likuidasi secara langsung melindungi dana pengguna.
Termasuk
- Arus penyetoran/penarikan
- Logika pinjam/bayar kembali
- Faktor kesehatan dan akrual bunga
- Akuntansi cadangan dan hutang mint/bakar
- Eksekusi dan batasan inti likuidasi
Risiko primer
- Pencurian dana pengguna
- Cadangan kebangkrutan
- Pinjaman tanpa jaminan
- Pembayaran, penarikan, atau likuidasi yang diblokir
Program B - LP Jaminan & Penilaian
Mencakup sistem penilaian khusus Avana untuk kredit yang didukung LP, termasuk bagaimana posisi LP dinilai, ditimbang risiko, dan diuji ketahanannya dalam kondisi pasar yang bergejolak.
Termasuk
- LP token onboarding logic
- Penetapan faktor jaminan untuk posisi LP
- LP share pricing and oracle integration
- Penanganan posisi likuiditas terkonsentrasi
- Kasus tepian selama ketidakseimbangan, depeg, likuiditas rendah, atau status oracle basi
Risiko primer
- Penilaian berlebihan atas agunan LP
- Manipulasi Oracle memungkinkan kredit macet
- Likuidasi yang tidak adil akibat underpricing
- Jalur eksploitasi rekursif terhadap jaminan LP yang salah harga
Mengapa ini penting: Plafon tingkat keparahan tertinggi: LP kesalahan penetapan harga dapat menyebabkan kredit macet, kebangkrutan, atau likuidasi yang tidak adil tanpa pengurasan kontrak klasik.
Program C - Infrastruktur Tata Kelola, Admin, dan Protokol
Mencakup permukaan kontrol istimewa yang dapat mengubah parameter, meningkatkan kontrak, menjeda operasi, atau mengalihkan aset milik protokol.
Termasuk
- Pelaksana tata kelola dan timelock
- Mekanisme manajemen peran dan peningkatan kemampuan
- Peran jeda/wali
- Sistem admin parameter
- Kontrak perbendaharaan, kolektor, dan otomatisasi istimewa
Risiko primer
- Tindakan admin tidak sah
- Tingkatkan pembajakan
- Korupsi parameter
- Pengambilalihan pemerintahan atau kerugian perbendaharaan
Program D - Permukaan Offchain / Integrasi
Mencakup sistem pendukung yang komprominya dapat memengaruhi operasi protokol tepercaya, interaksi pengguna, atau perilaku penjaga.
Termasuk
- Bot pengindeksan atau likuidasi dikelola oleh Avana
- Asumsi penjaga dan relay oracle
- SDK logic that can induce unsafe interactions
- API yang dihosting digunakan di jalur yang kritis terhadap keselamatan
- Masalah frontend dengan konsekuensi langsung terhadap risiko dompet
Risiko primer
- Konstruksi transaksi berbahaya
- Jalur likuidasi atau relai oracle yang disusupi
- Hilangnya dana pengguna melalui integrasi tepercaya
- Pemadaman operasional yang membekukan tindakan penting
Subsistem diprioritaskan secara terpisah, namun dampaknya masih dinilai berdasarkan solvabilitas, keamanan dana pengguna, integritas likuidasi, dan risiko protokol terkait.
Filsafat Keparahan
Skor kerentanan umum bukanlah metode pemeringkatan utama di sini. Temuan dinilai berdasarkan jalur eksploitasi yang kredibel dan berdasarkan hasil ekonomi yang dapat dihasilkan.
Kritis
Hilangnya dana secara langsung atau tidak langsung, timbulnya kredit macet, kebangkrutan protokol, atau manipulasi penilaian agunan secara sistemik.
Tinggi
Kerusakan yang berarti namun terbatas, seperti perilaku likuidasi yang salah, pengabaian sebagian pengendalian risiko, atau kegagalan akuntansi yang terkandung.
Sedang / Rendah
Temuan dengan dampak terbatas, inkonsistensi kasus, masalah logika yang tidak kritis, atau kerentanan tanpa jalur yang kredibel yang menyebabkan kerugian ekonomi besar.
A bug that looks small in code can still be critical if it enables LP overvaluation or bad debt. A technically interesting issue can rank lower if it does not have a credible path to meaningful financial damage.