Hata Ödülü
Avana güvenlik araştırması için sorumlu bildirim kapsamı ve ekonomik etki triyaj rehberi.
Genel Bakış
Avana Bug Bounty, kullanıcı fonlarını veya protokol ödeme gücünü etkileyebilecek sözleşmeler, risk sistemleri ve destekleyici altyapı genelinde sorumlu bildirimi kapsar. Kapsam, LP teminat içeren doğrudan sözleşme güvenlik açıkları ve ekonomik başarısızlıkları içerir. Manipüle edilmiş fiyatlar, yetersiz likidite veya tutarsız pozisyon durumu, borçlanma kapasitesini etkileyebilir veya tasfiye ile borcun tahsil edilmesini engelleyebilir. Şiddet, ekonomik etkiye dayalıdır:Değerlendirme, istismar edilebilirliği ve fon kaybı, iflas, kötü borç veya sistemik teminat yanlış fiyatlaması gibi sonuçları dikkate alır. Etkilenen kodun boyutu, potansiyel kaybın bir ölçüsü değildir.
Kapsam ve sistem mimarisi
Raporlar, etkilenen alt sistemlere göre gruplanmıştır: çekirdek kredi, LP değerleme, yönetişim ve yönetim veya zincir dışı entegrasyonlar. Gruplama, ilgili bileşeni belirler; şiddet, gösterilen etkiye bağlıdır.
Program A - Çekirdek kredi
Muhasebe bütünlüğü, teminatlandırma ve tasfiye yürütmesinin kullanıcı fonlarını doğrudan koruduğu birincil kredi motorunu kapsar.
Şunları içerir
- Yatırma / çekme akışları
- Borç alma / geri ödeme mantığı
- Sağlık faktörü ve faiz birikimi
- Rezerv muhasebesi ve borç mint / burn
- Tasfiye çekirdek yürütmesi ve limitler
Birincil riskler
- Kullanıcı fonlarının çalınması
- Rezerv ödeme güçsüzlüğü
- Yetersiz teminatlı borç alma
- Engellenen geri ödemeler, çekimler veya tasfiyeler
Program B - LP teminatı ve değerleme
LP destekli kredi için Avana'ya özgü değerleme sistemini kapsar: LP pozisyonlarının volatil piyasa koşullarında nasıl fiyatlandığı, riske göre ağırlıklandığı ve stres testine alındığı.
Şunları içerir
- LP token onboarding logic
- LP pozisyonları için teminat faktörü ataması
- LP share pricing and oracle integration
- Yoğunlaştırılmış likidite pozisyon işleme
- Dengesizlik, depeg, düşük likidite veya bayat oracle durumlarında kenar durumları
Birincil riskler
- LP teminatının aşırı değerlenmesi
- Kötü borç üreten oracle manipülasyonu
- Düşük fiyatlama nedeniyle adaletsiz tasfiye
- Yanlış fiyatlanmış LP teminatına karşı özyinelemeli exploit yolları
Neden önemli: LP yanlış fiyatlandırma, kötü borç, iflas veya yanlış tasfiyelere yol açarak ciddi ekonomik etkiye sahip olabilir, hatta bir sözleşmeden doğrudan hırsızlık olmasa bile.
Program C - Yönetişim, admin ve protokol altyapısı
Parametreleri değiştirebilen, sözleşmeleri yükseltebilen, işlemleri duraklatabilen veya protokole ait varlıkları yönlendirebilen ayrıcalıklı kontrol yüzeylerini kapsar.
Şunları içerir
- Yönetişim executor ve timelock
- Rol yönetimi ve yükseltilebilirlik mekanizmaları
- Pause / guardian rolleri
- Parametre admin sistemleri
- Hazine, collector ve ayrıcalıklı otomasyon sözleşmeleri
Birincil riskler
- Yetkisiz admin eylemi
- Yükseltme ele geçirme
- Parametre bozulması
- Yönetişim ele geçirme veya hazine kaybı
Program D - Zincir dışı / entegrasyon yüzeyleri
Güvenilen protokol işlemlerini, kullanıcı etkileşimlerini veya keeper davranışını etkileyebilecek destekleyici sistemleri kapsar.
Şunları içerir
- Avana tarafından bakımı yapılan indeksleme veya tasfiye botları
- Keeper varsayımları ve oracle relay'leri
- SDK logic that can induce unsafe interactions
- Güvenlik kritik yollarda kullanılan barındırılan API'ler
- Doğrudan cüzdan riski doğuran frontend sorunları
Birincil riskler
- Kötü niyetli işlem oluşturma
- Ele geçirilmiş tasfiye veya oracle relay yolları
- Güvenilen entegrasyonlar üzerinden kullanıcı fon kaybı
- Kritik eylemleri donduran operasyonel kesintiler
Alt sistemler ayrı triyaj edilir ama etki hâlâ ödeme gücü, kullanıcı fon güvenliği, tasfiye bütünlüğü ve ilgili protokol riski üzerinden puanlanır.
Şiddet felsefesi
Ciddiyet değerlendirmesi, yalnızca genel bir güvenlik açığı puanına dayanmak yerine, güvenilir bir sömürü yolu ve bunun neden olabileceği ekonomik zararı dikkate alır.
Kritik
Doğrudan veya dolaylı fon kaybı, kötü borç oluşturma, protokol ödeme güçsüzlüğü veya teminat değerlemesinin sistemik manipülasyonu.
Yüksek
Yanlış tasfiye davranışı, risk kontrollerinin kısmi atlatılması veya sınırlı muhasebe arızaları gibi anlamlı ama sınırlı zarar.
Orta / Düşük
Sınırlı etkili bulgular, kenar durum tutarsızlıkları, kritik olmayan mantık sorunları veya majör ekonomik zarara inandırıcı yolu olmayan güvenlik açıkları.
LP aşırı değerlemeyi veya kötü borcu mümkün kılan bir bulgu, az kodu etkilese bile kritik olabilir. Önemli bir ekonomik zarara yol açma olasılığı olmayan bulgular daha düşük bir şiddet değerlendirmesi alır.