#termmax @TermMax 90000u, es ist das Geld, das ich erst dann wirklich in das Projekt gesteckt habe, nachdem ich den Auditbericht von TermMax gelesen hatte. Vor dem Eingreifen habe ich zwei Wochen lang die öffentlich zugänglichen Audit-Logs von Spearbit und Cantina durchgesehen.
Zuerst das Fazit: Beide Audits sind echt – das ist für die meisten Projekte schon ungewöhnlich gut. Auf den Websites der Audit-Organisationen und in den TermMax-Dokumenten habe ich die entsprechenden Einträge gefunden; im Bericht sind die Schwachstellen sauber nach Risikostufe aufgeschlüsselt. Hoch- und mittelkritische Punkte häufen sich in den frühen Versionen – vor allem bei der Logik zur Verwertung/Abwicklung von Sicherheiten und bei den Randbedingungen der FT-Preisberechnung. Solche Themen sind in Kredit-/Ausleihprotokollen normal; entscheidend ist hier der Reparaturstatus: Ich habe die späteren Versionen abgeglichen – die markierten Probleme haben jeweils zugehörige Fixes, und ich habe keinen Hinweis darauf gefunden, dass „nach dem Audit niemand mehr kümmert“.
Aber beim Lesen des Berichts habe ich auch drei Dinge gelernt. Erstens: Ein Audit ist ein Snapshot, kein Versicherungsschein. Der Bericht bezieht sich auf einen bestimmten Commit; die On-Chain-Verträge wurden danach mehrmals aktualisiert, und das V2-Redesign war ein großer Umbau – der nachträglich hinzugefügte Code ist möglicherweise nicht mehr im Abdeckungsbereich des Audits. Zweitens: Audits decken nicht das Protokolldesign an sich ab. Die Struktur aus FT + XT + GT, die Parameter von MLTV und die Berechtigungen des Curator sind Designentscheidungen – keine Code-Schwachstellen; Auditoren greifen da in der Regel nicht an. Drittens: Ganz praktisch – zwischen dem Auditbericht und dem tatsächlichen Schaden der Nutzer besteht kein zwingender Zusammenhang. Was das Risiko wirklich bestimmt, ist, wie schnell das Team reagiert, wenn etwas schiefgeht.
Darum sind 90000u nicht „weil das Audit bestanden wurde, wage ich es“. Sondern: „Weil das Audit bestanden wurde und es Iterations-/Korrekturen in der Historie gibt und das Team eine Reparatur-Tradition hat“, alle drei Bedingungen erfüllt sind, wage ich es. Ein Audit ist wie ein Gesundheitscheck: Es zeigt dir, dass du in der Vergangenheit gesund warst, garantiert aber nicht, dass du in Zukunft nicht krank wirst – was ich tun kann, ist, das regelmäßig neu zu prüfen.
@TermMax #termmax
Zuerst das Fazit: Beide Audits sind echt – das ist für die meisten Projekte schon ungewöhnlich gut. Auf den Websites der Audit-Organisationen und in den TermMax-Dokumenten habe ich die entsprechenden Einträge gefunden; im Bericht sind die Schwachstellen sauber nach Risikostufe aufgeschlüsselt. Hoch- und mittelkritische Punkte häufen sich in den frühen Versionen – vor allem bei der Logik zur Verwertung/Abwicklung von Sicherheiten und bei den Randbedingungen der FT-Preisberechnung. Solche Themen sind in Kredit-/Ausleihprotokollen normal; entscheidend ist hier der Reparaturstatus: Ich habe die späteren Versionen abgeglichen – die markierten Probleme haben jeweils zugehörige Fixes, und ich habe keinen Hinweis darauf gefunden, dass „nach dem Audit niemand mehr kümmert“.
Aber beim Lesen des Berichts habe ich auch drei Dinge gelernt. Erstens: Ein Audit ist ein Snapshot, kein Versicherungsschein. Der Bericht bezieht sich auf einen bestimmten Commit; die On-Chain-Verträge wurden danach mehrmals aktualisiert, und das V2-Redesign war ein großer Umbau – der nachträglich hinzugefügte Code ist möglicherweise nicht mehr im Abdeckungsbereich des Audits. Zweitens: Audits decken nicht das Protokolldesign an sich ab. Die Struktur aus FT + XT + GT, die Parameter von MLTV und die Berechtigungen des Curator sind Designentscheidungen – keine Code-Schwachstellen; Auditoren greifen da in der Regel nicht an. Drittens: Ganz praktisch – zwischen dem Auditbericht und dem tatsächlichen Schaden der Nutzer besteht kein zwingender Zusammenhang. Was das Risiko wirklich bestimmt, ist, wie schnell das Team reagiert, wenn etwas schiefgeht.
Darum sind 90000u nicht „weil das Audit bestanden wurde, wage ich es“. Sondern: „Weil das Audit bestanden wurde und es Iterations-/Korrekturen in der Historie gibt und das Team eine Reparatur-Tradition hat“, alle drei Bedingungen erfüllt sind, wage ich es. Ein Audit ist wie ein Gesundheitscheck: Es zeigt dir, dass du in der Vergangenheit gesund warst, garantiert aber nicht, dass du in Zukunft nicht krank wirst – was ich tun kann, ist, das regelmäßig neu zu prüfen.
@TermMax #termmax