#termmax @TermMax
عندما أنظر إلى أمان TermMax، لا يهمني عدد عمليات التدقيق بقدر ما يهمني ما تكشفه سلسلة التدقيق عن كيفية سلوك النظام تحت الضغط.
هذا الفارق مهم.
مراجعات ABDK للمرحلة 1 و2 و3، إلى جانب الأعمال اللاحقة المرتبطة بـ V2 وTMX، تُظهر قاعدة كود تم تحديها مرارًا وتكرارًا. الجزء اللافت ليس وجود التقارير. بل نوع المشكلات التي كانت تستمر في الظهور حول إعادة الدخول (reentrancy)، ومنطق الاسترداد (redemption)، وتحديثات الاحتياطي، ومحاسبة الأرصدة، وحسابات الديون المعدومة، ومسارات التحكم في الأصول.
لقد رأيت هذا من قبل في التمويل اللامركزي (DeFi). يتم إصلاح الخلل الواضح، ثم يظهر خلل آخر على حدود عقدين كانا يبدوان آمنين عند عزلهما.
وهذا هو المكان الذي أركّز فيه مع TermMax.
تقرير Cantina قدّم عدة ملاحظات، بما في ذلك قضايا ذات خطورة عالية، والحالة المنشورة تُظهر أن هذه الملاحظات قد تم إصلاحها. هذا دليل مفيد على وجود عملية معالجة نشطة، لكنني لا أتعامل مع عبارة “تم حل جميع الملاحظات” على أنها مكافئة لعبارة “إن المعمارية آمنة رسميًا.”
السؤال الأكبر هو الثوابت (invariants).
وبالنسبة لبروتوكول مبني حول توكنات ثابتة وتوكنات تبادل ومنحنيات أوامر ومحافظ (vaults) ورافعة (leverage)، أريد أن أعرف ما إذا كانت خصائص مثل حفظ المحاسبة والملاءة والتسوية الصحيحة لـ FT/XT مفروضة بشكل آلي عبر كل انتقال حالة ذي معنى، وليس فقط ما يغطيه الاختبار.
برنامج Immunefi العام هو جزء آخر من الصورة. تقدم مكافأة حية يمنح الباحثين حافزًا للهجوم على النظام المُنفّذ، وهذا أمر ذو قيمة. لكن تغطية المكافآت تظل ردّية.
لذلك تكون حصيلتي بسيطة: يبدو أن TermMax قد مرّ بتكرارات جدّية في جانب الأمن. ما لست مقتنعًا به بالكامل بعد هو الفجوة بين “تم إصلاح الأخطاء المعروفة” و“تم إثبات أن الثوابت الاقتصادية المهمة محفوظة بشكل قابل للتدقيق.”
هذه الفجوة هي المكان الذي سأستمر في تعميق البحث فيه.
عندما أنظر إلى أمان TermMax، لا يهمني عدد عمليات التدقيق بقدر ما يهمني ما تكشفه سلسلة التدقيق عن كيفية سلوك النظام تحت الضغط.
هذا الفارق مهم.
مراجعات ABDK للمرحلة 1 و2 و3، إلى جانب الأعمال اللاحقة المرتبطة بـ V2 وTMX، تُظهر قاعدة كود تم تحديها مرارًا وتكرارًا. الجزء اللافت ليس وجود التقارير. بل نوع المشكلات التي كانت تستمر في الظهور حول إعادة الدخول (reentrancy)، ومنطق الاسترداد (redemption)، وتحديثات الاحتياطي، ومحاسبة الأرصدة، وحسابات الديون المعدومة، ومسارات التحكم في الأصول.
لقد رأيت هذا من قبل في التمويل اللامركزي (DeFi). يتم إصلاح الخلل الواضح، ثم يظهر خلل آخر على حدود عقدين كانا يبدوان آمنين عند عزلهما.
وهذا هو المكان الذي أركّز فيه مع TermMax.
تقرير Cantina قدّم عدة ملاحظات، بما في ذلك قضايا ذات خطورة عالية، والحالة المنشورة تُظهر أن هذه الملاحظات قد تم إصلاحها. هذا دليل مفيد على وجود عملية معالجة نشطة، لكنني لا أتعامل مع عبارة “تم حل جميع الملاحظات” على أنها مكافئة لعبارة “إن المعمارية آمنة رسميًا.”
السؤال الأكبر هو الثوابت (invariants).
وبالنسبة لبروتوكول مبني حول توكنات ثابتة وتوكنات تبادل ومنحنيات أوامر ومحافظ (vaults) ورافعة (leverage)، أريد أن أعرف ما إذا كانت خصائص مثل حفظ المحاسبة والملاءة والتسوية الصحيحة لـ FT/XT مفروضة بشكل آلي عبر كل انتقال حالة ذي معنى، وليس فقط ما يغطيه الاختبار.
برنامج Immunefi العام هو جزء آخر من الصورة. تقدم مكافأة حية يمنح الباحثين حافزًا للهجوم على النظام المُنفّذ، وهذا أمر ذو قيمة. لكن تغطية المكافآت تظل ردّية.
لذلك تكون حصيلتي بسيطة: يبدو أن TermMax قد مرّ بتكرارات جدّية في جانب الأمن. ما لست مقتنعًا به بالكامل بعد هو الفجوة بين “تم إصلاح الأخطاء المعروفة” و“تم إثبات أن الثوابت الاقتصادية المهمة محفوظة بشكل قابل للتدقيق.”
هذه الفجوة هي المكان الذي سأستمر في تعميق البحث فيه.