#termmax @TermMax 90000u, c’est l’argent que je me suis autorisé à mettre après avoir lu le rapport d’audit de TermMax. Avant de passer à l’action, j’ai passé deux semaines à relire les registres d’audit publics de Spearbit et Cantina.
D’abord la conclusion : les deux audits sont authentiques, ce qui est meilleur que la plupart des projets. J’ai trouvé les enregistrements correspondants à la fois sur les sites officiels des organismes d’audit et dans la documentation de TermMax. Dans le rapport, les niveaux de gravité des failles sont clairement indiqués : les problèmes à haut et moyen risque sont concentrés sur les versions antérieures, notamment la logique de liquidation des collatéraux et les conditions aux limites du calcul du prix du FT. Ce type de problème est courant dans les protocoles de prêt ; l’élément clé, c’est l’état de correction : en vérifiant les versions ultérieures, j’ai constaté que les points signalés ont tous des traces de correctifs, et je n’ai pas trouvé de signe du style « audité puis plus personne n’a suivi ».
Mais la lecture du rapport m’a aussi fait comprendre trois choses. Premièrement, l’audit est une photo, pas une assurance : le rapport couvre un commit précis ; les contrats on-chain ont ensuite été mis à jour plusieurs fois, et la refonte en V2 constitue une grosse modification, de sorte que le code ajouté après coup n’est pas forcément inclus dans le périmètre couvert par le rapport. Deuxièmement, l’audit ne couvre pas la conception même du protocole : la structure FT + XT + GT, les paramètres de MLTV, les droits du Curator — ce sont des choix de design, pas des failles de code, et les auditeurs ne s’en occupent généralement pas. Troisièmement, le plus concret : il n’y a pas de lien automatique entre le rapport d’audit et la perte réelle des utilisateurs ; ce qui détermine réellement le risque, c’est la vitesse de réaction de l’équipe en cas de problème.
Ainsi, les 90000u ne viennent pas du fait « que l’audit a été validé donc j’ose mettre ». C’est parce que les trois conditions sont réunies : audit validé + traces d’itérations + historique de corrections de la part de l’équipe. L’audit est comme un bilan de santé : il prouve que tu étais en bonne santé dans le passé, mais ne garantit pas que tu ne tomberas pas malade à l’avenir — ce que je peux faire, c’est une re-vérification régulière.
@TermMax #termmax
D’abord la conclusion : les deux audits sont authentiques, ce qui est meilleur que la plupart des projets. J’ai trouvé les enregistrements correspondants à la fois sur les sites officiels des organismes d’audit et dans la documentation de TermMax. Dans le rapport, les niveaux de gravité des failles sont clairement indiqués : les problèmes à haut et moyen risque sont concentrés sur les versions antérieures, notamment la logique de liquidation des collatéraux et les conditions aux limites du calcul du prix du FT. Ce type de problème est courant dans les protocoles de prêt ; l’élément clé, c’est l’état de correction : en vérifiant les versions ultérieures, j’ai constaté que les points signalés ont tous des traces de correctifs, et je n’ai pas trouvé de signe du style « audité puis plus personne n’a suivi ».
Mais la lecture du rapport m’a aussi fait comprendre trois choses. Premièrement, l’audit est une photo, pas une assurance : le rapport couvre un commit précis ; les contrats on-chain ont ensuite été mis à jour plusieurs fois, et la refonte en V2 constitue une grosse modification, de sorte que le code ajouté après coup n’est pas forcément inclus dans le périmètre couvert par le rapport. Deuxièmement, l’audit ne couvre pas la conception même du protocole : la structure FT + XT + GT, les paramètres de MLTV, les droits du Curator — ce sont des choix de design, pas des failles de code, et les auditeurs ne s’en occupent généralement pas. Troisièmement, le plus concret : il n’y a pas de lien automatique entre le rapport d’audit et la perte réelle des utilisateurs ; ce qui détermine réellement le risque, c’est la vitesse de réaction de l’équipe en cas de problème.
Ainsi, les 90000u ne viennent pas du fait « que l’audit a été validé donc j’ose mettre ». C’est parce que les trois conditions sont réunies : audit validé + traces d’itérations + historique de corrections de la part de l’équipe. L’audit est comme un bilan de santé : il prouve que tu étais en bonne santé dans le passé, mais ne garantit pas que tu ne tomberas pas malade à l’avenir — ce que je peux faire, c’est une re-vérification régulière.
@TermMax #termmax