#termmax @TermMax
Saat saya melihat keamanan TermMax, saya kurang tertarik pada jumlah audit dibandingkan pada apa yang diungkap oleh jejak audit tentang bagaimana sistem berperilaku saat mendapat tekanan.
Perbedaan itu penting.
Tinjauan Fase 1, 2, dan 3 ABDK, bersama dengan pekerjaan terkait V2 dan TMX belakangan, menunjukkan basis kode yang telah mendapat tantangan berulang. Bagian yang menarik bukanlah keberadaan laporan. Melainkan jenis masalah yang terus muncul seputar reentrancy, logika redemption, pembaruan cadangan, pencatatan saldo, perhitungan bad-debt, serta jalur kontrol aset.
Saya pernah melihat ini di DeFi. Bug yang terlihat jelas diperbaiki, lalu bug lain muncul di batas antara dua kontrak yang tampak aman jika berdiri sendiri.
Di situlah saya memfokuskan TermMax.
Penilaian Cantina melaporkan banyak temuan, termasuk isu ber-severity tinggi, dan status yang dipublikasikan menunjukkan temuan-temuan tersebut sebagai telah diperbaiki. Itu bukti yang berguna tentang adanya proses remedi yang aktif, tetapi saya tidak menganggap “semua temuan terselesaikan” setara dengan “arsitekturnya secara formal aman.”
Pertanyaan yang lebih besar adalah invariants.
Untuk protokol yang dibangun di atas token yang tetap, exchange tokens, order curves, vault, dan leverage, saya ingin tahu apakah properti seperti konservasi akuntansi, solvabilitas, dan penyelesaian FT/XT yang benar benar-benar ditegakkan secara mekanis di setiap transisi status yang bermakna—bukan sekadar ditutupi oleh pengujian.
Program Immunefi publik adalah bagian lain dari gambaran tersebut. Bounty yang aktif memberi peneliti insentif untuk menyerang sistem yang sudah dideploy, dan itu berharga. Namun cakupan bounty masih bersifat reaktif.
Jadi kesimpulan saya sederhana: TermMax tampaknya telah menjalani iterasi keamanan yang serius. Yang belum sepenuhnya meyakinkan saya adalah jarak antara “bug yang diketahui sudah diperbaiki” dan “invarian ekonomi yang penting terbukti terjaga secara pasti.”
Kesenjangan itulah yang akan terus saya gali.
Saat saya melihat keamanan TermMax, saya kurang tertarik pada jumlah audit dibandingkan pada apa yang diungkap oleh jejak audit tentang bagaimana sistem berperilaku saat mendapat tekanan.
Perbedaan itu penting.
Tinjauan Fase 1, 2, dan 3 ABDK, bersama dengan pekerjaan terkait V2 dan TMX belakangan, menunjukkan basis kode yang telah mendapat tantangan berulang. Bagian yang menarik bukanlah keberadaan laporan. Melainkan jenis masalah yang terus muncul seputar reentrancy, logika redemption, pembaruan cadangan, pencatatan saldo, perhitungan bad-debt, serta jalur kontrol aset.
Saya pernah melihat ini di DeFi. Bug yang terlihat jelas diperbaiki, lalu bug lain muncul di batas antara dua kontrak yang tampak aman jika berdiri sendiri.
Di situlah saya memfokuskan TermMax.
Penilaian Cantina melaporkan banyak temuan, termasuk isu ber-severity tinggi, dan status yang dipublikasikan menunjukkan temuan-temuan tersebut sebagai telah diperbaiki. Itu bukti yang berguna tentang adanya proses remedi yang aktif, tetapi saya tidak menganggap “semua temuan terselesaikan” setara dengan “arsitekturnya secara formal aman.”
Pertanyaan yang lebih besar adalah invariants.
Untuk protokol yang dibangun di atas token yang tetap, exchange tokens, order curves, vault, dan leverage, saya ingin tahu apakah properti seperti konservasi akuntansi, solvabilitas, dan penyelesaian FT/XT yang benar benar-benar ditegakkan secara mekanis di setiap transisi status yang bermakna—bukan sekadar ditutupi oleh pengujian.
Program Immunefi publik adalah bagian lain dari gambaran tersebut. Bounty yang aktif memberi peneliti insentif untuk menyerang sistem yang sudah dideploy, dan itu berharga. Namun cakupan bounty masih bersifat reaktif.
Jadi kesimpulan saya sederhana: TermMax tampaknya telah menjalani iterasi keamanan yang serius. Yang belum sepenuhnya meyakinkan saya adalah jarak antara “bug yang diketahui sudah diperbaiki” dan “invarian ekonomi yang penting terbukti terjaga secara pasti.”
Kesenjangan itulah yang akan terus saya gali.