버그 바운티
Avana 보안 연구를 위한 책임 있는 공개 범위 및 경제적 영향 분류 지침.
개요
Avana 버그 바운티는 사용자 자금이나 프로토콜 지급 능력에 영향을 줄 수 있는 계약, 위험 시스템 및 지원 인프라 전반에 걸친 책임 있는 공개를 다룹니다.
Avana가 AMM 유동성 포지션을 담보로 사용하기 때문에, 범위에는 직접적인 계약 버그뿐만 아니라 유동성, 가격 또는 시장 상태가 나쁜 담보 가치나 잘못된 청산으로 이어질 수 있는 실패도 포함됩니다.
심각도는 경제적 영향을 우선:보상은 코드 변경의 크기만이 아니라, 기금 손실, 지급불능, 부실 채권, 또는 시스템 담보 가격 오류와 같은 결과와 악용 가능성을 추적합니다.
범위 및 시스템 아키텍처
범위는 하위 시스템으로 나뉘어 연구자들이 발견한 내용을 실제로 위협하는 스택의 부분에 연결할 수 있도록 합니다: 핵심 대출, LP 평가, 거버넌스 및 관리, 또는 오프체인 통합.
프로그램 A — 핵심 대출
회계 무결성, 담보화 및 청산 실행이 사용자 자금을 직접 보호하는 주요 신용 엔진을 다룹니다.
포함
- 예치 / 출금 흐름
- 대출 / 상환 로직
- 헬스 팩터 및 이자 발생
- 준비금 회계 및 부채 민트 / 번
- 청산 핵심 실행 및 캡
주요 위험
- 사용자 자금 도난
- 준비금 지급불능
- 과소담보 대출
- 상환·출금·청산 차단
프로그램 B — LP 담보 및 가치 평가
LP 지원 신용에 대한 Avana 전용 평가 시스템을 다루며, LP 포지션이 어떻게 가격이 책정되고, 위험 가중치가 부여되며, 변동성이 큰 시장 상황에서 스트레스 테스트되는지에 대해 포함합니다.
포함
- LP token onboarding logic
- LP 포지션에 대한 담보 계수 할당
- LP share pricing and oracle integration
- 집중 유동성 포지션 처리
- 불균형, 디페그, 낮은 유동성 또는 오래된 오라클 상태 동안의 엣지 케이스
주요 위험
- LP 담보의 과대평가
- 부실 채권을 가능하게 하는 오라클 조작
- 저가로 인한 불공정 청산
- 가격이 잘못 책정된 LP 담보에 대한 재귀적 익스플로잇 경로
중요한 이유: 최고 심각도 한도: LP 가격 오류는 고전적인 계약 손실 없이 부실채권, 지급불능 또는 불공정한 청산을 초래할 수 있습니다.
프로그램 C — 거버넌스, 관리, 프로토콜 인프라
매개변수를 변경하거나, 계약을 업그레이드하거나, 운영을 일시 중지하거나, 프로토콜 소유 자산을 재배치할 수 있는 특권 제어 표면을 다룹니다.
포함
- 거버넌스 실행자 및 시간 잠금
- 역할 관리 및 업그레이드 가능 메커니즘
- 일시 정지 / 보호자 역할
- 매개변수 관리자 시스템
- 재무, 징수자, 특권 자동화 계약
주요 위험
- 권한 없는 관리자 행동
- 업그레이드 하이재크
- 매개변수 손상
- 거버넌스 인수 또는 재무 손실
프로그램 D — 오프체인 / 통합 표면
신뢰할 수 있는 프로토콜 작동, 사용자 상호작용 또는 관리자의 행동에 영향을 미칠 수 있는 손상된 지원 시스템을 포함합니다.
포함
- Avana가 관리하는 인덱싱 또는 청산 봇
- 키퍼 가정 및 오라클 릴레이
- SDK logic that can induce unsafe interactions
- 안전이 중요한 경로에서 사용되는 호스팅된 API
- 직접 지갑 위험과 관련된 프론트엔드 문제
주요 위험
- 악의적인 거래 구성
- 손상된 청산 또는 오라클 중계 경로
- 신뢰할 수 있는 통합을 통한 사용자 자금 손실
- 중요한 작업을 중단시키는 운영 중단
서브시스템은 별도로 분류되지만, 영향은 여전히 지급 능력, 사용자 자금 안전, 청산 무결성 및 관련 프로토콜 위험에 걸쳐 점수가 매겨집니다.
심각도 철학
일반적인 취약점 점수는 여기서 주요 순위 방법이 아닙니다. 결과물은 신뢰할 수 있는 익스플로잇 경로와 그것이 만들어낼 수 있는 경제적 결과로 판단됩니다.
Critical
직접적 또는 간접적인 자금 손실, 부실 채권의 발생, 프로토콜 지급불능, 또는 담보 가치 평가의 시스템적 조작.
High
의미가 있지만 제한된 손상, 예를 들어 잘못된 청산 행위, 위험 통제 일부 회피, 또는 제한된 회계 실패와 같은 경우.
Medium / Low
영향이 제한적인 발견, 극단적인 사례에서의 불일치, 치명적이지 않은 논리 문제 또는 주요 경제적 피해로 이어질 신뢰 가능한 경로가 없는 취약점.
A bug that looks small in code can still be critical if it enables LP overvaluation or bad debt. A technically interesting issue can rank lower if it does not have a credible path to meaningful financial damage.