Изучая безопасность Bedrock, я задумался о разнице между аудиторским отчётом и рисками, которые остаются после аудита. Я изучал Bedrock, $BR , #Bedrock , @Bedrock _DeFi, и одна деталь не давала мне покоя: кто на самом деле контролирует контракты, если что-то пойдёт не так?
В отчёте Trustblock по безопасности, обновлённом 11 октября, указано, что PeckShield провела аудит uniBTC, датированный 1 октября 2024 года. Также в нём отмечена нерешённая проблема средней степени серьёзности, связанная с ключами администратора. Это не означает автоматически, что средства находятся под угрозой, но заставляет меня смотреть дальше слова «прошёл аудит». Аудит — это снимок проверенного кода, а не бессрочная гарантия безопасности любых привилегированных действий или будущих изменений контракта.
Trustblock
Обычно я сначала проверяю аудит и иду дальше. На этот раз я остановился и задумался о правах доступа, заложенных в систему. В документации Bedrock говорится, что смарт-контракты проекта имеют открытый исходный код, что упрощает независимую проверку, но прозрачность и контроль — не одно и то же.
Bedrock Technology
Это различие особенно важно, когда пользователи вносят активы в систему рестейкинга, а не просто взаимодействуют с обычным приложением. Мне хотелось бы точно знать, какие действия администратора всё ещё возможны, кто может их разрешить и какие меры защиты предусмотрены на случай злоупотребления этими полномочиями. Старого аудита и актуального предупреждения о риске недостаточно, чтобы оценить весь протокол, но они всё же оставляют меня с вопросом: насколько независимо ограничены возможности тех, кто может менять систему?
В отчёте Trustblock по безопасности, обновлённом 11 октября, указано, что PeckShield провела аудит uniBTC, датированный 1 октября 2024 года. Также в нём отмечена нерешённая проблема средней степени серьёзности, связанная с ключами администратора. Это не означает автоматически, что средства находятся под угрозой, но заставляет меня смотреть дальше слова «прошёл аудит». Аудит — это снимок проверенного кода, а не бессрочная гарантия безопасности любых привилегированных действий или будущих изменений контракта.
Trustblock
Обычно я сначала проверяю аудит и иду дальше. На этот раз я остановился и задумался о правах доступа, заложенных в систему. В документации Bedrock говорится, что смарт-контракты проекта имеют открытый исходный код, что упрощает независимую проверку, но прозрачность и контроль — не одно и то же.
Bedrock Technology
Это различие особенно важно, когда пользователи вносят активы в систему рестейкинга, а не просто взаимодействуют с обычным приложением. Мне хотелось бы точно знать, какие действия администратора всё ещё возможны, кто может их разрешить и какие меры защиты предусмотрены на случай злоупотребления этими полномочиями. Старого аудита и актуального предупреждения о риске недостаточно, чтобы оценить весь протокол, но они всё же оставляют меня с вопросом: насколько независимо ограничены возможности тех, кто может менять систему?