Bug bounty
Responsible-disclosure-scope en triage-guidance op economische impact voor Avana security research.
Overzicht
De Avana Bug Bounty dekt responsible disclosure over contracts, risicosystemen en ondersteunende infrastructuur die gebruikersfondsen of protocolsolvabiliteit kan raken.
Omdat Avana AMM-liquiditeitsposities als onderpand gebruikt, omvat de scope zowel directe contractbugs als failures waarbij liquiditeit, pricing of marktstate tot slechte onderpandwaarde of gebroken liquidaties kan leiden.
Severity is eerst economisch:rewards volgen exploitability en uitkomsten zoals fondsenverlies, insolventie, bad debt of systemische collateral-mispricing — niet alleen hoe groot de codewijziging eruitziet.
Scope & systeemarchitectuur
Scope is opgesplitst in subsystemen zodat researchers een finding kunnen mappen op het deel van de stack dat die echt bedreigt: core lending, LP-waardering, governance en admin, of offchain-integraties.
Programma A - Core Lending
Dekt de primaire kredietengine waar boekhoudintegriteit, collateralization en liquidatie-uitvoering gebruikersfondsen direct beschermen.
Inclusief
- Stort- / opnameflows
- Leen- / terugbetaallogica
- Gezondheidsfactor en rente-accrual
- Reserveboekhouding en debt mint / burn
- Kernuitvoering van liquidatie en caps
Primaire risico's
- Diefstal van gebruikersfondsen
- Reserve-insolventie
- Ondergedekt lenen
- Geblokkeerde terugbetalingen, opnames of liquidaties
Programma B - LP Collateral & Valuation
Dekt het Avana-specifieke waarderingssysteem voor LP-gedekt krediet, inclusief hoe LP-posities worden geprijsd, risico-gewogen en gestresstest onder volatiele marktomstandigheden.
Inclusief
- LP token onboarding logic
- Toewijzing van collateral factors voor LP-posities
- LP share pricing and oracle integration
- Afhandeling van concentrated-liquidity-posities
- Edge cases bij imbalance, depegs, lage liquiditeit of stale oracle-states
Primaire risico's
- Overwaardering van LP-collateral
- Oracle-manipulatie die bad debt mogelijk maakt
- Oneerlijke liquidatie door underpricing
- Recursieve exploitpaden tegen verkeerd geprijsd LP-collateral
Waarom het ertoe doet: Hoogste severity-plafond: LP-mispricing kan bad debt, insolventie of oneerlijke liquidaties creëren zonder klassieke contractdrain.
Programma C - Governance, Admin en Protocol Infrastructure
Dekt privileged control-oppervlakken die parameters kunnen wijzigen, contracts upgraden, operaties pauzeren of protocol-owned assets omleiden.
Inclusief
- Governance executor en timelock
- Rolbeheer en upgradeability-mechanismen
- Pause- / guardian-rollen
- Parameter-adminsystemen
- Treasury-, collector- en privileged automation-contracts
Primaire risico's
- Ongeautoriseerde adminactie
- Upgrade-hijack
- Parametercorruptie
- Governance-overname of treasuryverlies
Programma D - Offchain / Integration Surfaces
Dekt ondersteunende systemen waarvan compromittering vertrouwde protocoloperaties, gebruikersinteracties of keepergedrag kan beïnvloeden.
Inclusief
- Indexing- of liquidatiebots onderhouden door Avana
- Keeper-aannames en oracle-relays
- SDK logic that can induce unsafe interactions
- Gehoste API's in safety-critical paden
- Frontendissues met directe wallet-risicogevolgen
Primaire risico's
- Kwaadaardige transactieconstructie
- Gecompromitteerde liquidatie- of oracle-relaypaden
- Verlies van gebruikersfondsen via vertrouwde integraties
- Operationele outages die kritieke acties bevriezen
Subsystemen worden apart getriageerd, maar impact wordt nog steeds gescoord over solvabiliteit, veiligheid van gebruikersfondsen, liquidatie-integriteit en gerelateerd protocolrisico.
Ernstfilosofie
Generieke vulnerability scores zijn hier niet de hoofd-rankingmethode. Findings worden beoordeeld op geloofwaardige exploitpaden en op de economische uitkomst die ze kunnen creëren.
Kritiek
Direct of indirect fondsenverlies, creatie van bad debt, protocolinsolventie of systemische manipulatie van onderpandwaardering.
Hoog
Betekenisvolle maar begrensde schade, zoals incorrect liquidatiegedrag, gedeeltelijke bypass van risicocontroles of begrensde boekhoudfouten.
Gemiddeld / Laag
Findings met beperkte impact, edge-case-inconsistenties, niet-kritieke logicaproblemen of kwetsbaarheden zonder geloofwaardig pad naar grote economische schade.
A bug that looks small in code can still be critical if it enables LP overvaluation or bad debt. A technically interesting issue can rank lower if it does not have a credible path to meaningful financial damage.