Tiền thưởng lỗi phần mềm
Phạm vi tiết lộ có trách nhiệm và hướng dẫn phân loại tác động kinh tế đối với nghiên cứu bảo mật Avana.
Tổng quan
Avana Bug Bounty quy định việc tiết lộ có trách nhiệm trong các hợp đồng, hệ thống rủi ro và cơ sở hạ tầng hỗ trợ có thể ảnh hưởng đến tiền của người dùng hoặc khả năng thanh toán của giao thức. Phạm vi bao gồm các lỗ hổng hợp đồng trực tiếp và thất bại kinh tế liên quan đến LP tài sản thế chấp. Giá bị thao túng, thanh khoản không đủ hoặc trạng thái vị trí không nhất quán có thể ảnh hưởng đến khả năng vay mượn hoặc ngăn cản việc thanh lý thu hồi nợ. Mức độ nghiêm trọng dựa trên tác động kinh tế:Đánh giá xem xét khả năng khai thác và các kết quả như mất quỹ, phá sản, nợ xấu hoặc định giá tài sản đảm bảo hệ thống sai lệch. Kích thước của mã bị ảnh hưởng không phải là thước đo tổn thất tiềm ẩn.
Kiến trúc phạm vi và hệ thống
Các báo cáo được nhóm theo hệ thống con bị ảnh hưởng: cho vay cốt lõi, LP định giá, quản trị và hành chính, hoặc tích hợp ngoài chuỗi. Việc nhóm này xác định thành phần liên quan; mức độ nghiêm trọng phụ thuộc vào tác động đã được chứng minh.
Chương trình A - Cho vay cốt lõi
Bao gồm công cụ tín dụng chính nơi tính toàn vẹn kế toán, thế chấp và thực hiện thanh lý trực tiếp bảo vệ tiền của người dùng.
Bao gồm
- Luồng gửi tiền / rút tiền
- Logic vay/trả nợ
- Yếu tố sức khỏe và lãi tích lũy
- Kế toán dự trữ và ghi/đốt nợ
- Thực hiện và giới hạn cốt lõi thanh lý
Rủi ro chính
- Trộm cắp tiền của người dùng
- Dự trữ mất khả năng thanh toán
- Khoản vay không được thế chấp
- Bị chặn hoàn trả, rút tiền hoặc thanh lý
Chương trình B - LP Tài sản đảm bảo & Định giá
Bao gồm hệ thống định giá cụ thể Avana-cho tín dụng được hỗ trợ bởi LP, bao gồm cách định giá các vị thế LP, tính trọng số rủi ro và kiểm tra sức chịu đựng trong điều kiện thị trường đầy biến động.
Bao gồm
- LP token onboarding logic
- Chỉ định hệ số đảm bảo cho vị thế LP
- LP share pricing and oracle integration
- Xử lý vị thế thanh khoản tập trung
- Các trường hợp cạnh tranh trong quá trình mất cân bằng, giảm giá, thanh khoản thấp hoặc trạng thái oracle cũ
Rủi ro chính
- Định giá quá cao tài sản thế chấp LP
- Thao túng Oracle tạo điều kiện cho nợ xấu
- Thanh lý không công bằng do định giá thấp
- Đường dẫn khai thác đệ quy đối với tài sản thế chấp LP bị định giá sai
Tại sao nó quan trọng: LP Định giá sai có thể gây tác động kinh tế nghiêm trọng bằng cách tạo điều kiện cho nợ xấu, phá sản hoặc thanh lý sai, ngay cả khi không có trộm cắp trực tiếp từ một hợp đồng.
Chương trình C - Cơ sở hạ tầng quản trị, quản trị và giao thức
Bao gồm các bề mặt điều khiển đặc quyền có thể thay đổi tham số, nâng cấp hợp đồng, tạm dừng hoạt động hoặc chuyển hướng nội dung thuộc sở hữu của giao thức.
Bao gồm
- Người thực thi quản trị và thời gian
- Cơ chế quản lý vai trò và khả năng nâng cấp
- Vai trò tạm dừng / giám hộ
- Hệ thống quản trị tham số
- Hợp đồng kho bạc, người thu thập và tự động hóa đặc quyền
Rủi ro chính
- Hành động quản trị trái phép
- Nâng cấp chiếm quyền điều khiển
- tham số tham nhũng
- Tiếp quản quản trị hoặc mất ngân quỹ
Chương trình D - Offchain / Bề mặt tích hợp
Bao gồm các hệ thống hỗ trợ mà sự xâm phạm của chúng có thể ảnh hưởng đến hoạt động giao thức đáng tin cậy, tương tác của người dùng hoặc hành vi của người lưu trữ.
Bao gồm
- Các bot lập chỉ mục hoặc thanh lý được duy trì bởi Avana
- Các giả định của Keeper và rơle oracle
- SDK logic that can induce unsafe interactions
- API được lưu trữ được sử dụng trong các đường dẫn quan trọng về an toàn
- Các vấn đề về giao diện người dùng với hậu quả rủi ro trực tiếp về ví
Rủi ro chính
- Xây dựng giao dịch độc hại
- Đường dẫn chuyển tiếp oracle hoặc thanh lý bị xâm phạm
- Mất tiền của người dùng thông qua tích hợp đáng tin cậy
- Sự cố ngừng hoạt động làm đóng băng các hoạt động quan trọng
Các hệ thống con được phân loại riêng biệt nhưng tác động vẫn được tính dựa trên khả năng thanh toán, sự an toàn của quỹ người dùng, tính toàn vẹn khi thanh lý và rủi ro giao thức liên quan.
Triết lý nghiêm túc
Đánh giá mức độ nghiêm trọng xem xét một con đường khai thác đáng tin cậy và thiệt hại kinh tế mà nó có thể gây ra, thay vì chỉ dựa vào một điểm lỗ hổng chung chung.
Phê bình
Mất vốn trực tiếp hoặc gián tiếp, tạo ra nợ xấu, mất khả năng thanh toán giao thức hoặc thao túng giá trị tài sản thế chấp một cách có hệ thống.
Cao
Thiệt hại có ý nghĩa nhưng có giới hạn, chẳng hạn như hành vi thanh lý không chính xác, bỏ qua một phần các biện pháp kiểm soát rủi ro hoặc có sai sót về kế toán.
Trung bình / Thấp
Các phát hiện có tác động hạn chế, sự không nhất quán trong từng trường hợp, các vấn đề logic không nghiêm trọng hoặc các lỗ hổng không có con đường đáng tin cậy dẫn đến tổn hại kinh tế lớn.
Một phát hiện cho phép LP đánh giá quá cao hoặc nợ xấu có thể rất quan trọng ngay cả khi nó ảnh hưởng ít đến mã. Các phát hiện không có con đường đáng tin cậy dẫn đến tổn hại kinh tế đáng kể sẽ nhận được đánh giá mức độ nghiêm trọng thấp hơn.