پاداش باگ
محدوده افشای مسئول و راهنمای تریاژ تأثیر اقتصادی برای تحقیقات امنیتی Avana.
نمای کلی
Avana Bug Bounty افشای مسئولانه در سراسر قراردادها، سیستم‌های ریسک و زیرساخت‌های پشتیبانی را پوشش می‌دهد که می‌تواند بر وجوه کاربر یا پرداخت بدهی پروتکل تأثیر بگذارد. دامنه شامل آسیب‌پذیری‌های قرارداد مستقیم و شکست‌های اقتصادی مرتبط با LP وثیقه است. قیمت‌های دستکاری‌شده، نقدینگی ناکافی، یا وضعیت موقعیت نامتوازن می‌تواند ظرفیت وام‌گیری را تحت تأثیر قرار دهد یا مانع بازیابی بدهی از طریق تصفیه شود. شدت بر اساس تأثیر اقتصادی است:ارزیابی، قابلیت سوءاستفاده و نتایجی مانند از دست رفتن سرمایه، ورشکستگی، بدهی بد یا قیمت‌گذاری نادرست وثیقه سیستمی را در نظر می‌گیرد. اندازه کدهای تحت تأثیر، معیاری برای میزان زیان بالقوه نیست.
دامنه و معماری سیستم
گزارش‌ها بر اساس زیرسیستم متاثر گروه‌بندی می‌شوند: وام‌دهی اصلی، ارزیابی LP، مدیریت و اداره، یا یکپارچه‌سازی‌های خارج از زنجیره. این گروه‌بندی مؤلفه درگیر را شناسایی می‌کند؛ شدت به تأثیر نشان‌داده شده بستگی دارد.
برنامه A - وام اصلی
موتور اعتبار اولیه را پوشش می دهد که در آن یکپارچگی حسابداری، وثیقه و اجرای انحلال به طور مستقیم از وجوه کاربر محافظت می کند.
شامل
- سپرده گذاری / برداشت جریان
- منطق قرض گرفتن / بازپرداخت
- عامل سلامت و بهره تعهدی
- ذخیره حسابداری و بدهی ضرابخانه / رایت
- اجرای هسته انحلال و درپوش
ریسک‌های اصلی
- سرقت وجوه کاربران
- ورشکستگی رزرو
- استقراض کم وثیقه
- بازپرداخت، برداشت یا انحلال مسدود شده است
برنامه B - LP وثیقه و ارزش گذاری
سیستم ارزش‌گذاری خاص Avana را برای اعتبار با پشتوانه LP، از جمله نحوه قیمت‌گذاری موقعیت‌های LP، وزن‌دهی به ریسک، و تست استرس تحت شرایط نوسان بازار را پوشش می‌دهد.
شامل
- LP token onboarding logic
- تخصیص فاکتور وثیقه برای موقعیت های LP
- LP share pricing and oracle integration
- رسیدگی به موقعیت نقدینگی متمرکز
- موارد لبه در هنگام عدم تعادل، depegs، نقدینگی کم، یا حالت های اوراکل کهنه
ریسک‌های اصلی
- ارزش گذاری بیش از حد وثیقه LP
- دستکاری اوراکل بدهی بد را ممکن می کند
- انحلال ناعادلانه از قیمت گذاری پایین
- مسیرهای اکسپلویت بازگشتی در برابر وثیقه LP با قیمت نادرست
چرا مهم است: LP قیمت‌گذاری نادرست می‌تواند با ایجاد بدهی بد، ورشکستگی، یا تصفیه‌های نادرست تأثیر اقتصادی حیاتی داشته باشد، حتی بدون سرقت مستقیم از یک قرارداد.
برنامه C - زیرساخت حاکمیت، مدیریت و پروتکل
سطوح کنترل ممتازی را پوشش می دهد که می توانند پارامترها را تغییر دهند، قراردادها را ارتقا دهند، عملیات را متوقف کنند، یا دارایی های متعلق به پروتکل را تغییر مسیر دهند.
شامل
- مجری حاکمیت و قفل زمانی
- مکانیسم های مدیریت نقش و ارتقاء
- مکث / نقش های نگهبان
- سیستم های مدیریت پارامتر
- قراردادهای خزانه داری، جمع آوری کننده و اتوماسیون ممتاز
ریسک‌های اصلی
- اقدام ادمین غیر مجاز
- ارتقاء ربودن
- خرابی پارامتر
- تصاحب حاکمیت یا از دست دادن خزانه
برنامه D - Offchain / سطوح یکپارچه سازی
سیستم‌های پشتیبانی را پوشش می‌دهد که به خطر افتادن آن‌ها می‌تواند بر عملیات پروتکل قابل اعتماد، تعاملات کاربر یا رفتار نگهبان تأثیر بگذارد.
شامل
- ربات های نمایه سازی یا انحلال توسط Avana نگهداری می شوند
- مفروضات نگهبان و رله های اوراکل
- SDK logic that can induce unsafe interactions
- API های میزبانی شده که در مسیرهای حیاتی ایمنی استفاده می شوند
- مشکلات فرانت اند با پیامدهای مستقیم خطر کیف پول
ریسک‌های اصلی
- ساخت تراکنش مخرب
- انحلال یا مسیرهای رله اوراکل به خطر افتاده است
- از دست دادن سرمایه کاربر از طریق ادغام های قابل اعتماد
- قطعی های عملیاتی که اقدامات حیاتی را متوقف می کند
زیرسیستم‌ها به‌طور جداگانه تریاژ می‌شوند، اما تأثیر هنوز در سطح پرداخت بدهی، ایمنی صندوق کاربر، یکپارچگی انحلال و ریسک پروتکل مربوطه امتیازدهی می‌شود.
فلسفه شدت
ارزیابی شدت، مسیر بهره‌برداری معتبر و آسیبی که می‌تواند از نظر اقتصادی ایجاد کند را در نظر می‌گیرد، نه فقط تکیه بر امتیاز آسیب‌پذیری عمومی.
بحرانی
از دست دادن مستقیم یا غیرمستقیم وجوه، ایجاد بدهی بد، ورشکستگی پروتکل، یا دستکاری سیستمی در ارزیابی وثیقه.
بالا
آسیب معنی دار اما محدود، مانند رفتار انحلال نادرست، دور زدن جزئی کنترل های ریسک، یا شکست های حسابداری محدود.
متوسط / پایین
یافته‌های با تأثیر محدود، تناقضات حاشیه‌ای، مسائل منطقی غیر بحرانی، یا آسیب‌پذیری‌ها بدون مسیری معتبر برای آسیب‌های اقتصادی عمده.
یافته‌ای که امکان LP افزایش ارزش بیش از حد یا بدهی معیوب را فراهم می‌کند می‌تواند حیاتی باشد حتی اگر تأثیر کمی بر کد داشته باشد. یافته‌هایی که مسیر معتبری به آسیب اقتصادی قابل توجه ندارند، ارزیابی شدت پایین‌تری دریافت می‌کنند.