Keamanan smart contract
Apakah smart contract telah diaudit?
Ya. Semua smart contract Tori diaudit secara independen oleh Sherlock dan Nethermind, dua firma keamanan smart contract terkemuka. Sherlock telah mengaudit protokol yang mengamankan aset senilai lebih dari $50 miliar di seluruh Web3.Lihat laporan audit
Kedua laporan secara lengkap, dengan tanggal dan temuannya
Apakah ada program bug bounty?
Ya. Imbalan disesuaikan dengan tingkat keparahan, hingga $1.000.000 untuk temuan kritis. Tabel imbalan lengkap, cakupan, dan prosesnya ada di halaman audit. Laporkan kerentanan ke security@tori.finance.Seberapa sering kontrak diaudit?
Kontrak menjalani audit penuh sebelum deployment awal, komponen yang berubah diaudit ulang pada pembaruan besar, dan fitur baru diaudit sebelum dirilis. Bug bounty mencakup segala hal di antaranya.Apakah kontrak dapat di-upgrade?
Ya, kontrak menggunakan pola proxy yang dapat di-upgrade agar perbaikan keamanan dapat dirilis. Upgrade tidak dapat terjadi diam-diam: upgrade hanya dieksekusi melalui timelock 24 jam, diantrekan dan dieksekusi oleh Safe 3-dari-5, sehingga setiap upgrade terlihat secara on-chain selama satu hari penuh sebelum berlaku.Keamanan aset
Di mana aset disimpan?
Aset on-chain tetap berada di kontrak yang telah diaudit, yang operasi berhak istimewanya memerlukan kuorum multisig. Cadangan off-chain dipegang oleh kustodian institusional yang telah diseleksi dalam rekening terpisah. Penopang dan cadangan menjelaskan gambaran lengkapnya, dan matriks peran menunjukkan secara persis kunci mana yang dapat memindahkan apa.Apakah trUSD/strUSD diasuransikan?
Tidak. trUSD dan strUSD tidak diasuransikan oleh:- Lembaga pemerintah mana pun (seperti FDIC)
- Perusahaan asuransi swasta
Siapa kustodiannya?
Ada dua pengaturan terpisah yang terlibat: kustodi atas cadangan protokol, dan kustodi atas token yang dipegang institusi. Kami tidak mengungkapkan kustodian yang memegang cadangan off-chain protokol. Saldo cadangan yang dipegang oleh mereka tercakup dalam atestasi independen Accountable, dan jaminan hanya dapat dipindahkan ke alamat kustodi yang didaftarkan secara on-chain melalui timelock 24 jam. Setiap kustodian dan mitra yang kami gunakan berlisensi dan teregulasi, memiliki rekam jejak kustodi yang mapan, memenuhi standar keamanan SOC 2 atau yang setara, dan memegang aset dalam rekening yang sepenuhnya terpisah. Institusi dapat memegang trUSD dan strUSD di Anchorage Digital, BitGo, atau Cactus Custody. Ketiganya mendukung kedua token, sehingga institusi dapat memegangnya di kustodian yang sudah mereka gunakan. Ini adalah kustodi atas token yang dimiliki institusi dan terpisah dari kustodi cadangan protokol. Kustodi institusional memaparkan entitas teregulasi setiap kustodian dan hal-hal yang perlu dikonfirmasi sebelum menyetor.Dapatkah tim mengakses aset protokol?
Tidak ada satu orang pun yang dapat melakukannya. Setiap fungsi berhak istimewa berada di balik peran yang ditetapkan secara khusus: operasi penting memerlukan kuorum Safe 3-dari-5, transfer kustodi hanya dapat dilakukan ke alamat yang telah didaftarkan sebelumnya melalui timelock, dan masing-masing kunci operasional hanya dapat melakukan tepat satu tugas. Matriks peran mencantumkan setiap peran, pemegang, dan fungsi, dan semuanya dapat dibaca secara on-chain.Verifikasi dan transparansi
Bagaimana cara memverifikasi cadangan?
Tiga cara untuk memverifikasi:1
Bukti Cadangan
Baca atestasi independen terkini dari Accountable di tori.accountable.capital
2
Data on-chain
Verifikasi saldo smart contract langsung di Etherscan (alamat kontrak)
3
Pasokan token
Bandingkan total pasokan trUSD dengan penopang yang terverifikasi
Seberapa sering cadangan diverifikasi?
Secara berkelanjutan. Bukti Cadangan dari Accountable diperbarui secara real-time, bukan bulanan atau triwulanan seperti di keuangan tradisional.Di mana saya dapat melihat Bukti Cadangan?
Pemantauan dan respons insiden
Bagaimana protokol dipantau?
Hypernative memantau protokol sepanjang waktu. Model-modelnya menandai anomali saat terjadi, mulai dari transaksi yang tidak biasa hingga alamat penyerang yang dikenal, langsung memberi peringatan kepada tim, dan terus memperbarui skor risiko protokol. Deteksi dan respons pertama berjalan otomatis.Apa yang terjadi saat insiden keamanan?
Proses respons insiden kami:1
Deteksi
Pemantauan otomatis dirancang untuk mengidentifikasi masalah dengan segera
2
Penilaian
Triase cepat untuk memahami tingkat keparahan dan potensi dampak
3
Penahanan
Langkah segera untuk membatasi kerusakan (dapat mencakup penghentian sementara operasi)
4
Komunikasi
Pembaruan melalui kanal resmi
5
Remediasi
Perbaiki masalah yang mendasarinya
6
Post-mortem
Analisis dan langkah pencegahan
Dapatkah protokol dihentikan sementara?
Ya. Mint dan penebusan dapat dihentikan dalam satu transaksi oleh peran Penjaga Gerbang, yang memang ada agar penahanan tidak pernah harus menunggu kuorum multisig. Detailnya ada di matriks peran.Melindungi diri Anda
Bagaimana agar tetap aman?
Verifikasi URL
Hanya gunakan app.tori.finance. Simpan sebagai bookmark untuk menghindari situs phishing.
Verifikasi kontrak
Periksa alamat di halaman Kontrak kami sebelum berinteraksi.
Amankan dompet Anda
Jangan pernah membagikan kunci privat atau seed phrase kepada siapa pun. Dalam keadaan apa pun.
Tetap waspada
Bersikaplah skeptis terhadap DM, airdrop, dan pesan “dukungan”.
Penipuan umum apa yang perlu diwaspadai?
Apa yang tidak akan pernah dilakukan tim Tori?
Tim Tori tidak akan pernah:- Meminta seed phrase atau kunci privat Anda
- Mengirim DM kepada Anda lebih dulu di media sosial
- Meminta Anda mengirim token untuk “memverifikasi” dompet Anda
- Menawarkan promo eksklusif melalui DM
- Meminta Anda mengunduh perangkat lunak di luar aplikasi resmi
Fitur keamanan apa yang sebaiknya saya gunakan?
Melaporkan masalah
Bagaimana cara melaporkan kerentanan keamanan?
Email: security@tori.finance Harap sertakan:- Deskripsi kerentanan yang jelas
- Langkah-langkah untuk mereproduksi
- Proof of concept (jika relevan)
- Penilaian potensi dampak
Pengungkapan yang bertanggung jawab: Mohon jangan mengungkapkan kerentanan secara publik sebelum kerentanan tersebut ditangani. Kami menargetkan
konfirmasi penerimaan laporan dalam 24 jam.
Bagaimana cara melaporkan penipuan atau upaya phishing?
Kirim email ke security@tori.finance dengan menyertakan:- Tangkapan layar penipuan tersebut
- URL yang terlibat
- Detail relevan lainnya
Saya menduga dompet saya telah diretas
Jika Anda mencurigai adanya aktivitas tanpa izin:- Berhenti - Jangan melakukan transaksi apa pun lagi
- Pindahkan aset - Transfer token yang tersisa ke dompet baru yang aman
- Laporkan - Buat tiket di Discord kami untuk mendapatkan dukungan
- Dokumentasikan - Simpan hash transaksi dan tangkapan layar
Pendekatan keamanan
Bagaimana pendekatan Tori terhadap keamanan?
Tidak ada satu perlindungan pun yang diandalkan sendirian. Audit menemukan masalah sebelum deployment, bounty membayar peneliti untuk terus mencari setelahnya, Hypernative memantau lingkungan produksi secara real-time, multisig dan timelock membatasi setiap kunci berhak istimewa, dan dana cadangan menjadi penyangga dalam kondisi yang merugikan. Ikhtisar keamanan menjelaskan setiap lapisan.Apa saja keterbatasannya?
Tidak ada sistem yang dapat menjamin keamanan yang sempurna. Kami transparan mengenai hal ini:- Audit adalah penilaian pada satu titik waktu
- Vektor serangan baru dapat muncul
- DeFi pada dasarnya bersifat eksperimental
Pertanyaan lain?
Untuk pertanyaan terkait keamanan: security@tori.finance Untuk dukungan umum: Bergabunglah dengan Discord kamiIkhtisar keamanan
Setiap lapisan stack, di satu tempat
Laporan audit
Tanggal, PDF, dan tabel bounty
Pengungkapan risiko
Baca ini sebelum menyetor
Kontrak
Verifikasi setiap alamat di Etherscan
Kode sumber
Kontrak yang telah di-deploy di GitHub
Catatan terjemahan mesin: Halaman ini merupakan terjemahan mesin dari naskah asli berbahasa Inggris dan disediakan semata-mata untuk kemudahan. Terjemahan ini dapat mengandung kesalahan atau kekurangan dan tidak memiliki kekuatan hukum. Jika halaman ini berbeda dengan versi bahasa Inggris, versi bahasa Inggris yang berlaku. Bacalah naskah asli berbahasa Inggris sebelum mengandalkan isi halaman ini.