Награда за баг
Скоуп ответственного раскрытия и triage по экономическому воздействию для security research Avana.
Обзор
Avana Bug Bounty покрывает ответственное раскрытие по контрактам, риск-системам и поддерживающей инфраструктуре, которые могут влиять на средства пользователей или платёжеспособность протокола. Область охватывает прямые уязвимости контрактов и экономические сбои, связанные с LP залогом. Манипулируемые цены, недостаточная ликвидность или несогласованное состояние позиций могут влиять на способность заимствования или препятствовать восстановлению долга через ликвидацию. Тяжесть определяется экономическим воздействием:Оценка учитывает возможность эксплуатации и последствия, такие как потеря средств, неплатежеспособность, безнадежная задолженность или системная неправильная оценка залога. Размер затронутого кода не является мерой потенциального убытка.
Скоуп и архитектура системы
Отчеты сгруппированы по затронутым подсистемам: основное кредитование, LP оценка, управление и администрирование или офчейн-интеграции. Группировка определяет вовлеченный компонент; степень серьезности зависит от продемонстрированного воздействия.
Программа A — Core Lending
Покрывает основной кредитный движок, где целостность учёта, обеспечение и исполнение ликвидации напрямую защищают средства пользователей.
Включает
- Потоки депозита / вывода
- Логика займа / погашения
- Фактор здоровья и начисление процентов
- Учёт резервов и mint / burn долга
- Базовое исполнение ликвидации и лимиты
Основные риски
- Кража средств пользователей
- Несостоятельность резервов
- Недообеспеченное заимствование
- Заблокированные погашения, выводы или ликвидации
Программа B — LP Collateral & Valuation
Покрывает специфичную для Avana систему оценки кредита под LP, включая ценообразование LP-позиций, риск-взвешивание и стресс-тесты в волатильных рыночных условиях.
Включает
- LP token onboarding logic
- Назначение залогового фактора для LP-позиций
- LP share pricing and oracle integration
- Обработка позиций концентрированной ликвидности
- Крайние случаи при дисбалансе, depeg, низкой ликвидности или устаревших состояниях оракула
Основные риски
- Переоценка LP-залога
- Манипуляция оракулом, ведущая к bad debt
- Несправедливая ликвидация из‑за недооценки
- Рекурсивные exploit-пути против неверно оценённого LP-залога
Почему это важно: LP неправильное ценообразование может оказывать критическое экономическое влияние, позволяя возникнуть безнадежной задолженности, неплатежеспособности или неправильным ликвидациям, даже без прямого кражи с контракта.
Программа C — Governance, Admin и инфраструктура протокола
Покрывает привилегированные поверхности контроля, которые могут менять параметры, апгрейдить контракты, приостанавливать операции или перенаправлять активы, принадлежащие протоколу.
Включает
- Governance executor и timelock
- Управление ролями и механизмы upgradeability
- Роли pause / guardian
- Системы администрирования параметров
- Контракты treasury, collector и привилегированной автоматизации
Основные риски
- Несанкционированное действие админа
- Захват апгрейда
- Коррупция параметров
- Захват governance или потеря treasury
Программа D — Offchain / интеграционные поверхности
Покрывает поддерживающие системы, компрометация которых может влиять на доверенные операции протокола, взаимодействия пользователей или поведение keepers.
Включает
- Индексация или боты ликвидации, поддерживаемые Avana
- Допущения keepers и реле оракула
- SDK logic that can induce unsafe interactions
- Хостируемые API на safety-critical путях
- Проблемы фронтенда с прямыми последствиями для риска кошелька
Основные риски
- Вредоносная конструкция транзакций
- Скомпрометированные пути ликвидации или реле оракула
- Потеря средств пользователей через доверенные интеграции
- Операционные сбои, замораживающие критические действия
Подсистемы triage отдельно, но impact всё равно оценивается по платёжеспособности, безопасности средств пользователей, целостности ликвидации и связанному протокольному риску.
Философия severity
Оценка серьёзности учитывает правдоподобный путь эксплуатации и экономический ущерб, который он может причинить, а не полагается только на общий балл уязвимости.
Критический
Прямая или косвенная потеря средств, создание bad debt, несостоятельность протокола или системная манипуляция оценкой залога.
Высокий
Значимый, но ограниченный ущерб: некорректное поведение ликвидации, частичный обход риск-контролей или локализованные сбои учёта.
Средний / Низкий
Находки с ограниченным воздействием, несогласованности крайних случаев, некритичные логические проблемы или уязвимости без правдоподобного пути к крупному экономическому вреду.
Вывод, который позволяет LP переоценку или безнадежный долг, может быть критическим, даже если он затрагивает мало кода. Выводы без достоверного пути к значительному экономическому ущербу получают более низкую оценку серьезности.