버그 바운티
Avana 보안 연구를 위한 책임 있는 공개 범위 및 경제적 영향 분류 지침.
개요
Avana 버그 바운티는 사용자 자금이나 프로토콜 지급 능력에 영향을 줄 수 있는 계약, 위험 시스템 및 지원 인프라 전반에 걸친 책임 있는 공개를 다룹니다. 범위에는 직접 계약 취약성과 LP 담보를 포함한 경제적 실패가 포함됩니다. 조작된 가격, 불충분한 유동성 또는 불일치하는 포지션 상태는 차입 능력에 영향을 주거나 청산이 채무를 회수하지 못하게 할 수 있습니다. 심각도는 경제적 영향에 따라 결정됩니다:평가는 착취 가능성과 자금 손실, 지급불능, 부실채권 또는 시스템 담보 가격 오산과 같은 결과를 고려합니다. 영향을 받은 코드의 크기는 잠재적 손실의 척도가 아닙니다.
범위 및 시스템 아키텍처
보고서는 영향을 받은 하위 시스템별로 그룹화됩니다: 핵심 대출, LP 평가, 거버넌스 및 관리, 또는 오프체인 통합. 그룹화는 관련 구성 요소를 식별하며, 심각도는 입증된 영향에 따라 달라집니다.
프로그램 A — 핵심 대출
회계 무결성, 담보화 및 청산 실행이 사용자 자금을 직접 보호하는 주요 신용 엔진을 다룹니다.
포함
- 예치 / 출금 흐름
- 대출 / 상환 로직
- 헬스 팩터 및 이자 발생
- 준비금 회계 및 부채 민트 / 번
- 청산 핵심 실행 및 캡
주요 위험
- 사용자 자금 도난
- 준비금 지급불능
- 과소담보 대출
- 상환·출금·청산 차단
프로그램 B — LP 담보 및 가치 평가
LP 지원 신용에 대한 Avana 전용 평가 시스템을 다루며, LP 포지션이 어떻게 가격이 책정되고, 위험 가중치가 부여되며, 변동성이 큰 시장 상황에서 스트레스 테스트되는지에 대해 포함합니다.
포함
- LP token onboarding logic
- LP 포지션에 대한 담보 계수 할당
- LP share pricing and oracle integration
- 집중 유동성 포지션 처리
- 불균형, 디페그, 낮은 유동성 또는 오래된 오라클 상태 동안의 엣지 케이스
주요 위험
- LP 담보의 과대평가
- 부실 채권을 가능하게 하는 오라클 조작
- 저가로 인한 불공정 청산
- 가격이 잘못 책정된 LP 담보에 대한 재귀적 익스플로잇 경로
중요한 이유: LP 가격 오인은 계약에서 직접적인 도난이 없더라도 부실 채권, 지급 불능, 또는 잘못된 청산을 초래함으로써 심각한 경제적 영향을 미칠 수 있다.
프로그램 C — 거버넌스, 관리, 프로토콜 인프라
매개변수를 변경하거나, 계약을 업그레이드하거나, 운영을 일시 중지하거나, 프로토콜 소유 자산을 재배치할 수 있는 특권 제어 표면을 다룹니다.
포함
- 거버넌스 실행자 및 시간 잠금
- 역할 관리 및 업그레이드 가능 메커니즘
- 일시 정지 / 보호자 역할
- 매개변수 관리자 시스템
- 재무, 징수자, 특권 자동화 계약
주요 위험
- 권한 없는 관리자 행동
- 업그레이드 하이재크
- 매개변수 손상
- 거버넌스 인수 또는 재무 손실
프로그램 D — 오프체인 / 통합 표면
신뢰할 수 있는 프로토콜 작동, 사용자 상호작용 또는 관리자의 행동에 영향을 미칠 수 있는 손상된 지원 시스템을 포함합니다.
포함
- Avana가 관리하는 인덱싱 또는 청산 봇
- 키퍼 가정 및 오라클 릴레이
- SDK logic that can induce unsafe interactions
- 안전이 중요한 경로에서 사용되는 호스팅된 API
- 직접 지갑 위험과 관련된 프론트엔드 문제
주요 위험
- 악의적인 거래 구성
- 손상된 청산 또는 오라클 중계 경로
- 신뢰할 수 있는 통합을 통한 사용자 자금 손실
- 중요한 작업을 중단시키는 운영 중단
서브시스템은 별도로 분류되지만, 영향은 여전히 지급 능력, 사용자 자금 안전, 청산 무결성 및 관련 프로토콜 위험에 걸쳐 점수가 매겨집니다.
심각도 철학
심각도 평가는 일반적인 취약점 점수에만 의존하지 않고 신뢰할 수 있는 공격 경로와 그것이 초래할 수 있는 경제적 피해를 고려합니다.
심각
직접적 또는 간접적인 자금 손실, 부실 채권의 발생, 프로토콜 지급불능, 또는 담보 가치 평가의 시스템적 조작.
높음
의미가 있지만 제한된 손상, 예를 들어 잘못된 청산 행위, 위험 통제 일부 회피, 또는 제한된 회계 실패와 같은 경우.
중간 / 낮음
영향이 제한적인 발견, 극단적인 사례에서의 불일치, 치명적이지 않은 논리 문제 또는 주요 경제적 피해로 이어질 신뢰 가능한 경로가 없는 취약점.
LP 과대평가 또는 부실채권을 가능하게 하는 발견은 코드에 거의 영향을 미치지 않더라도 중요할 수 있습니다. 상당한 경제적 피해로 이어질 수 있는 신뢰할 만한 경로가 없는 발견은 낮은 심각도 평가를 받습니다.