Todos los hallazgos de ambas auditorías se corrigieron en el código o se reconocieron formalmente con una
justificación documentada.
Quién realizó las auditorías
Sherlock es una plataforma de seguridad de contratos inteligentes que ha protegido históricamente más de $50 mil millones en activos de protocolos Web3. Nethermind es una firma de investigación e ingeniería blockchain cuyo equipo de seguridad combina el análisis manual con herramientas automatizadas y califica el riesgo según los principios de OWASP. Las auditorías abarcaron los contratos principales del protocolo, el token trUSD, el staking y unstaking de strUSD, el control de acceso y la integración con el oráculo.Programa de bug bounty
El programa está activo de forma permanente y paga según la gravedad:
Dentro del alcance: todos los contratos inteligentes desplegados, vulnerabilidades de integración, vectores de ataque económico y
problemas de control de acceso. Fuera del alcance: problemas ya conocidos, protocolos de terceros, problemas del frontend y de la interfaz
(un programa aparte) y ataques teóricos sin prueba de concepto.
Cómo informar de una vulnerabilidad
Escribe a security@tori.finance. Un informe útil incluye una descripción clara del problema, los pasos para reproducirlo, una prueba de concepto cuando proceda y tu valoración del impacto. Una propuesta de solución es bienvenida, pero no obligatoria. Qué ocurre a continuación:Después de la auditoría
Una auditoría es una instantánea, así que la revisión no se detiene con el despliegue. Las actualizaciones importantes conllevan una nueva auditoría de los componentes modificados, las nuevas funcionalidades se auditan antes de su lanzamiento y Hypernative monitoriza los contratos desplegados en producción. Los problemas que surgen se corrigen con rapidez y se comunican abiertamente.Limitaciones
Verifícalo por tu cuenta
Los PDF de las auditorías anteriores los alojan los propios auditores, no nosotros. El código fuente de los contratos está verificado en Etherscan, con todas las direcciones en la página de contratos, y publicado tal como se desplegó en github.com/Tori-Finance/tori-contracts. El programa de bug bounty está activo; escribe a security@tori.finance.Próximos pasos
Resumen de seguridad
El sistema completo: auditorías, monitorización, verificación y custodia
Roles y timelocks
Quién tiene cada clave y qué controla el timelock
Contratos
Direcciones verificadas en mainnet
Código fuente
Los contratos desplegados en GitHub
Riesgos
La información completa sobre riesgos
Traducción automática: esta página es una traducción automática del original en inglés y se ofrece únicamente por comodidad. Puede contener errores u omisiones y no tiene efectos jurídicos. Si esta página y la versión en inglés difieren, prevalece la versión en inglés. Lee el original en inglés antes de basarte en cualquier contenido de esta página.