漏洞賞金
Avana 安全研究的負責任揭露範圍及經濟影響分流指引。
概覽
Avana 漏洞懸賞涵蓋跨合約、風險系統及支援基礎設施的負責任揭露，這些可能影響用戶資金或協議償付能力。 範圍包括涉及LP抵押品的直接合約漏洞和經濟失敗。 價格被操縱、流動性不足或頭寸狀態不一致可能會影響借貸能力或阻止清算收回債務。 嚴重程度基於經濟影響：評估考慮可利用性和結果，例如資金損失、破產、壞帳或系統性抵押品錯誤定價。 受影響代碼的大小並不能衡量潛在損失。
範圍與系統架構
報告按受影響的子系統分組：核心貸款、LP估值、治理和管理或鏈下整合。 分組標識了所涉及的組件；嚴重程度取決於已證實的影響。
計畫 A — 核心借貸
涵蓋主要的信貸引擎，其中會計完整性、抵押品化和清算執行直接保護用戶資金。
包括
- 存入 / 提取流程
- 借款 / 還款邏輯
- 健康因子與利息累積
- 準備金會計與債務鑄造 / 銷毀
- 清算核心執行與上限
主要風險
- 使用者資金被盜
- 準備金資不抵債
- 抵押不足借款
- 還款、提取或清算受阻
計畫 B — LP 抵押品與估值
涵蓋針對 Avana 的特定估值系統，用於 LP 支持的信貸，包括 LP 持倉的定價方式、風險權重以及在市場波動條件下的壓力測試。
包括
- LP token onboarding logic
- LP 部位的抵押因子分配
- LP share pricing and oracle integration
- 集中流動性頭寸處理
- 在不平衡、去釘、低流動性或過時預言機狀態下的邊緣情況
主要風險
- LP 擔保品被高估
- 啟用壞帳的預言機操作
- 因低估價格而造成的不公平清算
- 針對錯誤定價的 LP 抵押品的遞歸利用路徑
為何重要: LP 錯誤定價可能會導致壞帳、破產或不正確的清算，從而產生嚴重的經濟影響，即使沒有直接竊取合約。
計畫 C — 治理、管理與協議基礎建設
涵蓋可以更改參數、升級合約、暫停操作或重定向協議擁有資產的特權控制面。
包括
- 治理執行者與時間鎖
- 角色管理和可升級機制
- 暫停 / 監護人角色
- 參數管理系統
- 國庫、徵收員及特權自動化合約
主要風險
- 未經授權的管理操作
- 升級劫持
- 參數損壞
- 治理接管或國庫損失
計畫 D — 鏈下 / 整合面
涵蓋支持系統，其被入侵可能影響受信任的協議操作、用戶互動或保管者行為。
包括
- 由 Avana 維護的索引或清算機器人
- 守護者假設與神諭中繼
- SDK logic that can induce unsafe interactions
- 在安全關鍵路徑中使用的宿主 API
- 前端問題直接帶來錢包風險後果
主要風險
- 惡意交易構建
- 受損的清算或預言機中繼路徑
- 用戶透過受信任的整合而造成的資金損失
- 凍結關鍵操作的運作中斷
子系統會被分別進行分級，但影響仍會在償付能力、用戶資金安全、清算完整性以及相關協議風險方面進行評分。
嚴重性理念
嚴重性評估考慮可信賴的利用路徑及其可能造成的經濟損害，而不是僅依賴通用漏洞評分。
嚴重
直接或間接的資金損失、不良債務的產生、協議破產，或系統性操縱抵押品估值。
高
有意義但有限的損害，例如不正確的清算行為、部分規避風險控制或可控的會計失誤。
中 / 低
有限影響的發現、邊緣案例的不一致、非關鍵的邏輯問題，或沒有可信路徑導致重大經濟損害的漏洞。
導致LP高估或壞帳的發現可能是至關重要的，即使它影響的程式碼很少。 沒有可靠路徑導致重大經濟損害的調查結果將受到較低的嚴重性評估。