Bug bounty
Responsible-disclosure-scope en triage-guidance op economische impact voor Avana security research.
Overzicht
De Avana Bug Bounty dekt responsible disclosure over contracts, risicosystemen en ondersteunende infrastructuur die gebruikersfondsen of protocolsolvabiliteit kan raken. Het bereik omvat directe contractkwetsbaarheden en economische mislukkingen die verband houden met LP onderpand. Gemanipuleerde prijzen, onvoldoende liquiditeit of inconsistente positiestatus kunnen de leen capaciteit beïnvloeden of voorkomen dat liquidatie de schuld terugwint. De ernst is gebaseerd op de economische impact:Beoordeling houdt rekening met uitbuitbaarheid en uitkomsten zoals verlies van fondsen, insolventie, dubieuze debiteuren of systematische verkeerde waardering van onderpand. De omvang van de getroffen code is geen maatstaf voor het potentiële verlies.
Scope & systeemarchitectuur
Rapporten zijn gegroepeerd op het getroffen subsysteem: kernleningen, LP waardering, governance en administratie, of offchain-integraties. De groepering geeft het betrokken onderdeel aan; de ernst hangt af van de aangetoonde impact.
Programma A - Core Lending
Dekt de primaire kredietengine waar boekhoudintegriteit, collateralization en liquidatie-uitvoering gebruikersfondsen direct beschermen.
Inclusief
- Stort- / opnameflows
- Leen- / terugbetaallogica
- Gezondheidsfactor en rente-accrual
- Reserveboekhouding en debt mint / burn
- Kernuitvoering van liquidatie en caps
Primaire risico's
- Diefstal van gebruikersfondsen
- Reserve-insolventie
- Ondergedekt lenen
- Geblokkeerde terugbetalingen, opnames of liquidaties
Programma B - LP Collateral & Valuation
Dekt het Avana-specifieke waarderingssysteem voor LP-gedekt krediet, inclusief hoe LP-posities worden geprijsd, risico-gewogen en gestresstest onder volatiele marktomstandigheden.
Inclusief
- LP token onboarding logic
- Toewijzing van collateral factors voor LP-posities
- LP share pricing and oracle integration
- Afhandeling van concentrated-liquidity-posities
- Edge cases bij imbalance, depegs, lage liquiditeit of stale oracle-states
Primaire risico's
- Overwaardering van LP-collateral
- Oracle-manipulatie die bad debt mogelijk maakt
- Oneerlijke liquidatie door underpricing
- Recursieve exploitpaden tegen verkeerd geprijsd LP-collateral
Waarom het ertoe doet: LP verkeerde prijsvorming kan een kritiek economisch effect hebben door het mogelijk maken van slechte schulden, insolventie of onjuiste liquidaties, zelfs zonder direct diefstal van een contract.
Programma C - Governance, Admin en Protocol Infrastructure
Dekt privileged control-oppervlakken die parameters kunnen wijzigen, contracts upgraden, operaties pauzeren of protocol-owned assets omleiden.
Inclusief
- Governance executor en timelock
- Rolbeheer en upgradeability-mechanismen
- Pause- / guardian-rollen
- Parameter-adminsystemen
- Treasury-, collector- en privileged automation-contracts
Primaire risico's
- Ongeautoriseerde adminactie
- Upgrade-hijack
- Parametercorruptie
- Governance-overname of treasuryverlies
Programma D - Offchain / Integration Surfaces
Dekt ondersteunende systemen waarvan compromittering vertrouwde protocoloperaties, gebruikersinteracties of keepergedrag kan beïnvloeden.
Inclusief
- Indexing- of liquidatiebots onderhouden door Avana
- Keeper-aannames en oracle-relays
- SDK logic that can induce unsafe interactions
- Gehoste API's in safety-critical paden
- Frontendissues met directe wallet-risicogevolgen
Primaire risico's
- Kwaadaardige transactieconstructie
- Gecompromitteerde liquidatie- of oracle-relaypaden
- Verlies van gebruikersfondsen via vertrouwde integraties
- Operationele outages die kritieke acties bevriezen
Subsystemen worden apart getriageerd, maar impact wordt nog steeds gescoord over solvabiliteit, veiligheid van gebruikersfondsen, liquidatie-integriteit en gerelateerd protocolrisico.
Ernstfilosofie
De ernstbeoordeling houdt rekening met een geloofwaardig exploitatiepad en de economische schade die het kan veroorzaken, in plaats van alleen te vertrouwen op een algemene kwetsbaarheidsscore.
Kritiek
Direct of indirect fondsenverlies, creatie van bad debt, protocolinsolventie of systemische manipulatie van onderpandwaardering.
Hoog
Betekenisvolle maar begrensde schade, zoals incorrect liquidatiegedrag, gedeeltelijke bypass van risicocontroles of begrensde boekhoudfouten.
Gemiddeld / Laag
Findings met beperkte impact, edge-case-inconsistenties, niet-kritieke logicaproblemen of kwetsbaarheden zonder geloofwaardig pad naar grote economische schade.
Een bevinding die LP overwaardering of slechte schuld mogelijk maakt, kan kritisch zijn, zelfs als het weinig code beïnvloedt. Bevindingen zonder een geloofwaardig pad naar aanzienlijke economische schade krijgen een lagere ernstbeoordeling.