Програма винагороди за помилки
Скоп відповідального розкриття та triage за економічним впливом для security research Avana.
Огляд
Avana Bug Bounty покриває відповідальне розкриття за контрактами, ризик-системами та підтримувальною інфраструктурою, які можуть впливати на кошти користувачів або платоспроможність протоколу. Обсяг включає прямі вразливості контрактів та економічні збої, пов'язані з LP заставою. Маніпульовані ціни, недостатня ліквідність або нестабільний стан позицій можуть вплинути на здатність запозичення або завадити стягненню боргу шляхом ліквідації. Серйозність оцінюється на основі економічного впливу:Оцінка враховує можливість експлуатації та наслідки, такі як втрата коштів, неплатоспроможність, прострочена заборгованість або системна неправильна оцінка забезпечення. Розмір ураженого коду не є мірою потенційних збитків.
Скоп і архітектура системи
Звіти групуються за ураженою підсистемою: основне кредитування, LP оцінка, управління та адміністрування або офчейн-інтеграції. Групування визначає залучену компоненту; серйозність залежить від демонстрованого впливу.
Програма A — Core Lending
Покриває основний кредитний рушій, де цілісність обліку, забезпечення та виконання ліквідації безпосередньо захищають кошти користувачів.
Включає
- Потоки депозиту / виведення
- Логіка позики / погашення
- Фактор здоров'я та нарахування відсотків
- Облік резервів і mint / burn боргу
- Базове виконання ліквідації та ліміти
Основні ризики
- Крадіжка коштів користувачів
- Неплатоспроможність резервів
- Недозабезпечене позичання
- Заблоковані погашення, виведення або ліквідації
Програма B — LP Collateral & Valuation
Покриває специфічну для Avana систему оцінки кредиту під LP, включно з ціноутворенням LP-позицій, ризик-зважуванням і стрес-тестами у волатильних ринкових умовах.
Включає
- LP token onboarding logic
- Призначення заставного фактора для LP-позицій
- LP share pricing and oracle integration
- Обробка позицій концентрованої ліквідності
- Крайні випадки за дисбалансу, depeg, низької ліквідності або застарілих станів оракула
Основні ризики
- Переоцінка LP-застави
- Маніпуляція оракулом, що веде до bad debt
- Несправедлива ліквідація через недооцінку
- Рекурсивні exploit-шляхи проти невірно оціненої LP-застави
Чому це важливо: LP Неправильне ціноутворення може мати серйозний економічний вплив, спричиняючи погані борги, неплатоспроможність або неправильні ліквідації, навіть без прямого крадіжки з контракту.
Програма C — Governance, Admin та інфраструктура протоколу
Покриває привілейовані поверхні контролю, які можуть змінювати параметри, апгрейдити контракти, призупиняти операції або перенаправляти активи, що належать протоколу.
Включає
- Governance executor і timelock
- Керування ролями та механізми upgradeability
- Ролі pause / guardian
- Системи адміністрування параметрів
- Контракти treasury, collector і привілейованої автоматизації
Основні ризики
- Несанкціонована дія адміна
- Захоплення апгрейду
- Корупція параметрів
- Захоплення governance або втрата treasury
Програма D — Offchain / інтеграційні поверхні
Покриває підтримувальні системи, компрометація яких може впливати на довірені операції протоколу, взаємодії користувачів або поведінку keepers.
Включає
- Індексація або боти ліквідації, що підтримує Avana
- Припущення keepers і реле оракула
- SDK logic that can induce unsafe interactions
- Хостовані API на safety-critical шляхах
- Проблеми фронтенду з прямими наслідками для ризику гаманця
Основні ризики
- Шкідлива конструкція транзакцій
- Скомпрометовані шляхи ліквідації або реле оракула
- Втрата коштів користувачів через довірені інтеграції
- Операційні збої, що заморожують критичні дії
Підсистеми triage окремо, але impact усе одно оцінюють за платоспроможністю, безпекою коштів користувачів, цілісністю ліквідації та пов'язаним протокольним ризиком.
Філософія severity
Оцінка серйозності враховує правдоподібний шлях експлуатації та економічну шкоду, яку він може завдати, а не покладається лише на загальну оцінку вразливості.
Критичний
Пряма або опосередкована втрата коштів, створення bad debt, неплатоспроможність протоколу або системна маніпуляція оцінкою застави.
Високий
Значуща, але обмежена шкода: некоректна поведінка ліквідації, частковий обхід ризик-контролів або локалізовані збої обліку.
Середній / Низький
Знахідки з обмеженим впливом, неузгодженості крайніх випадків, некритичні логічні проблеми або вразливості без правдоподібного шляху до великої економічної шкоди.
Висновок, який дозволяє LP переоцінку або непогашений борг, може бути критичним навіть якщо він впливає на невелику частину коду. Висновки без достовірного шляху до значної економічної шкоди отримують нижчу оцінку серйозності.