Bug Bounty
Phạm vi tiết lộ có trách nhiệm và hướng dẫn phân loại tác động kinh tế đối với nghiên cứu bảo mật Avana.
Tổng quan
Avana Bug Bounty quy định việc tiết lộ có trách nhiệm trong các hợp đồng, hệ thống rủi ro và cơ sở hạ tầng hỗ trợ có thể ảnh hưởng đến tiền của người dùng hoặc khả năng thanh toán của giao thức.
Vì Avana sử dụng các vị thế thanh khoản AMM làm tài sản thế chấp nên phạm vi bao gồm cả lỗi và lỗi hợp đồng trực tiếp trong đó tính thanh khoản, giá cả hoặc trạng thái thị trường có thể biến thành giá trị tài sản thế chấp xấu hoặc thanh lý bị phá vỡ.
Mức độ nghiêm trọng là kinh tế đầu tiên:phần thưởng theo dõi khả năng khai thác và các kết quả như mất vốn, mất khả năng thanh toán, nợ khó đòi hoặc định giá sai tài sản thế chấp có hệ thống, không chỉ mức độ thay đổi mã.
Kiến trúc phạm vi và hệ thống
Phạm vi được chia thành các hệ thống con để các nhà nghiên cứu có thể ánh xạ phát hiện tới phần mà nó thực sự đe dọa: cho vay cốt lõi, định giá LP, quản trị và quản trị viên hoặc tích hợp ngoại tuyến.
Chương trình A - Cho vay cốt lõi
Bao gồm công cụ tín dụng chính nơi tính toàn vẹn kế toán, thế chấp và thực hiện thanh lý trực tiếp bảo vệ tiền của người dùng.
Bao gồm
- Luồng gửi tiền / rút tiền
- Logic vay/trả nợ
- Yếu tố sức khỏe và lãi tích lũy
- Kế toán dự trữ và ghi/đốt nợ
- Thực hiện và giới hạn cốt lõi thanh lý
Rủi ro chính
- Trộm cắp tiền của người dùng
- Dự trữ mất khả năng thanh toán
- Khoản vay không được thế chấp
- Bị chặn hoàn trả, rút tiền hoặc thanh lý
Chương trình B - LP Tài sản đảm bảo & Định giá
Bao gồm hệ thống định giá cụ thể Avana-cho tín dụng được hỗ trợ bởi LP, bao gồm cách định giá các vị thế LP, tính trọng số rủi ro và kiểm tra sức chịu đựng trong điều kiện thị trường đầy biến động.
Bao gồm
- LP token onboarding logic
- Chỉ định hệ số đảm bảo cho vị thế LP
- LP share pricing and oracle integration
- Xử lý vị thế thanh khoản tập trung
- Các trường hợp cạnh tranh trong quá trình mất cân bằng, giảm giá, thanh khoản thấp hoặc trạng thái oracle cũ
Rủi ro chính
- Định giá quá cao tài sản thế chấp LP
- Thao túng Oracle tạo điều kiện cho nợ xấu
- Thanh lý không công bằng do định giá thấp
- Đường dẫn khai thác đệ quy đối với tài sản thế chấp LP bị định giá sai
Tại sao nó quan trọng: Mức trần nghiêm trọng cao nhất: LP định giá sai có thể tạo ra nợ xấu, mất khả năng thanh toán hoặc thanh lý không công bằng mà không cần phải hủy bỏ hợp đồng thông thường.
Chương trình C - Cơ sở hạ tầng quản trị, quản trị và giao thức
Bao gồm các bề mặt điều khiển đặc quyền có thể thay đổi tham số, nâng cấp hợp đồng, tạm dừng hoạt động hoặc chuyển hướng nội dung thuộc sở hữu của giao thức.
Bao gồm
- Người thực thi quản trị và thời gian
- Cơ chế quản lý vai trò và khả năng nâng cấp
- Vai trò tạm dừng / giám hộ
- Hệ thống quản trị tham số
- Hợp đồng kho bạc, người thu thập và tự động hóa đặc quyền
Rủi ro chính
- Hành động quản trị trái phép
- Nâng cấp chiếm quyền điều khiển
- tham số tham nhũng
- Tiếp quản quản trị hoặc mất ngân quỹ
Chương trình D - Offchain / Bề mặt tích hợp
Bao gồm các hệ thống hỗ trợ mà sự xâm phạm của chúng có thể ảnh hưởng đến hoạt động giao thức đáng tin cậy, tương tác của người dùng hoặc hành vi của người lưu trữ.
Bao gồm
- Các bot lập chỉ mục hoặc thanh lý được duy trì bởi Avana
- Các giả định của Keeper và rơle oracle
- SDK logic that can induce unsafe interactions
- API được lưu trữ được sử dụng trong các đường dẫn quan trọng về an toàn
- Các vấn đề về giao diện người dùng với hậu quả rủi ro trực tiếp về ví
Rủi ro chính
- Xây dựng giao dịch độc hại
- Đường dẫn chuyển tiếp oracle hoặc thanh lý bị xâm phạm
- Mất tiền của người dùng thông qua tích hợp đáng tin cậy
- Sự cố ngừng hoạt động làm đóng băng các hoạt động quan trọng
Các hệ thống con được phân loại riêng biệt nhưng tác động vẫn được tính dựa trên khả năng thanh toán, sự an toàn của quỹ người dùng, tính toàn vẹn khi thanh lý và rủi ro giao thức liên quan.
Triết lý nghiêm túc
Điểm dễ bị tổn thương chung không phải là phương pháp xếp hạng chính ở đây. Các phát hiện được đánh giá bằng các con đường khai thác đáng tin cậy và bằng kết quả kinh tế mà chúng có thể tạo ra.
Phê bình
Mất vốn trực tiếp hoặc gián tiếp, tạo ra nợ xấu, mất khả năng thanh toán giao thức hoặc thao túng giá trị tài sản thế chấp một cách có hệ thống.
Cao
Thiệt hại có ý nghĩa nhưng có giới hạn, chẳng hạn như hành vi thanh lý không chính xác, bỏ qua một phần các biện pháp kiểm soát rủi ro hoặc có sai sót về kế toán.
Trung bình / Thấp
Các phát hiện có tác động hạn chế, sự không nhất quán trong từng trường hợp, các vấn đề logic không nghiêm trọng hoặc các lỗ hổng không có con đường đáng tin cậy dẫn đến tổn hại kinh tế lớn.
A bug that looks small in code can still be critical if it enables LP overvaluation or bad debt. A technically interesting issue can rank lower if it does not have a credible path to meaningful financial damage.