#termmax @TermMax 90000u, это деньги, которые я решился внести после того, как дочитал аудиторский отчет по TermMax. Перед тем как нажать на действие, я потратил две недели и просмотрел публичные аудиторские записи Spearbit и Cantina.
Сначала вывод: оба аудита — настоящие, и это уже сильнее, чем у большинства проектов. Я нашел соответствующие записи и на сайтах аудиторских компаний, и в документации TermMax. В отчете четко прописана градация уязвимостей: высоко- и среднерисковые проблемы в основном относятся к ранним версиям. Там были, в частности, логика ликвидации залогов и граничные условия в расчетах цены FT — в кредитных протоколах подобное довольно типично. Главное — исправления: я сверил последующие версии — помеченные проблемы имеют соответствующие записи о фиксе, следов того, что «провели аудит, а дальше никто не занимается», я не обнаружил.
Но в процессе чтения отчета я понял еще три вещи. Во‑первых, аудит — это снимок, а не страховка: отчет охватывает определенный commit, а после этого он несколько раз обновлялся на цепочке. Рефакторинг в V2 — это уже крупная переработка, и добавленный позже код может не попадать в рамки отчета. Во‑вторых, аудит не покрывает саму конструкцию протокола: структура FT + XT + GT, параметры MLTV, права Curator — это архитектурные решения, а не «дыры» в коде; аудиторы обычно их не «чинят» и не оценивают как баги. В‑третьих, самое практичное: между аудиторским отчетом и реальными потерями пользователей нет неизбежной связи. Решает то, как команда реагирует, когда что-то пошло не так, и как быстро она исправляет.
Поэтому 90000u — это не «потому что аудит прошли, значит можно класть». Это «потому что аудит прошли + есть итерационные записи + у команды есть история исправлений» — все три условия совпали, и только тогда я решился. Аудит — как справка о медосмотре: он доказывает, что раньше было здоровье, но не гарантирует, что вы не заболеете в будущем. То, что я могу сделать, — регулярно перепроверять.
@TermMax #termmax
Сначала вывод: оба аудита — настоящие, и это уже сильнее, чем у большинства проектов. Я нашел соответствующие записи и на сайтах аудиторских компаний, и в документации TermMax. В отчете четко прописана градация уязвимостей: высоко- и среднерисковые проблемы в основном относятся к ранним версиям. Там были, в частности, логика ликвидации залогов и граничные условия в расчетах цены FT — в кредитных протоколах подобное довольно типично. Главное — исправления: я сверил последующие версии — помеченные проблемы имеют соответствующие записи о фиксе, следов того, что «провели аудит, а дальше никто не занимается», я не обнаружил.
Но в процессе чтения отчета я понял еще три вещи. Во‑первых, аудит — это снимок, а не страховка: отчет охватывает определенный commit, а после этого он несколько раз обновлялся на цепочке. Рефакторинг в V2 — это уже крупная переработка, и добавленный позже код может не попадать в рамки отчета. Во‑вторых, аудит не покрывает саму конструкцию протокола: структура FT + XT + GT, параметры MLTV, права Curator — это архитектурные решения, а не «дыры» в коде; аудиторы обычно их не «чинят» и не оценивают как баги. В‑третьих, самое практичное: между аудиторским отчетом и реальными потерями пользователей нет неизбежной связи. Решает то, как команда реагирует, когда что-то пошло не так, и как быстро она исправляет.
Поэтому 90000u — это не «потому что аудит прошли, значит можно класть». Это «потому что аудит прошли + есть итерационные записи + у команды есть история исправлений» — все три условия совпали, и только тогда я решился. Аудит — как справка о медосмотре: он доказывает, что раньше было здоровье, но не гарантирует, что вы не заболеете в будущем. То, что я могу сделать, — регулярно перепроверять.
@TermMax #termmax