スマートコントラクトのセキュリティ
スマートコントラクトは監査を受けていますか？
はい。Toriのすべてのスマートコントラクトは、スマートコントラクトのセキュリティ分野をリードする2社、SherlockとNethermindによる独立した監査を受けています。Sherlockは、Web3全体で500億ドルを超える資産を保護するプロトコルの監査を手がけてきました。監査レポートを見る
日付と指摘事項を含む両レポートの全文
バグバウンティプログラムはありますか？
はい。報奨金は深刻度に応じて増え、重大な脆弱性の発見には$1,000,000を上限として支払われます。報奨金の一覧表、対象範囲、手続きの全容は監査ページに掲載しています。脆弱性はsecurity@tori.financeまでご報告ください。コントラクトはどのくらいの頻度で監査されていますか？
コントラクトは最初のデプロイ前に完全な監査を受け、大規模なアップデートの際には変更されたコンポーネントが再監査され、新機能はリリース前に監査されます。その間の期間はバグバウンティがカバーしています。コントラクトはアップグレード可能ですか？
はい。セキュリティ上の修正をリリースできるよう、コントラクトはアップグレード可能なプロキシパターンを採用しています。アップグレードが人知れず行われることはありません。アップグレードは24時間のタイムロックを通じてのみ実行され、3-of-5 Safeによってキューに登録・実行されるため、どのアップグレードも発効前に丸1日オンチェーンで確認できます。資産のセキュリティ
資産はどこで保管されていますか？
オンチェーンの資産は、特権的な操作にマルチシグの定足数を必要とする監査済みのコントラクトに置かれています。オフチェーンの準備金は、審査を経た機関投資家向けカストディアンが分別管理口座で保管しています。全体像は裏付けと準備金で説明しており、どの鍵が何を動かせるかはロールマトリクスで正確に示しています。trUSD/strUSDは保険の対象ですか？
いいえ。trUSDとstrUSDは、次のいずれの保険の対象でもありません。- いかなる政府機関（FDICなど）
- 民間の保険会社
カストディアンはどこですか？
ここには2つの別々の取り決めが関わっています。プロトコルの準備金のカストディと、機関投資家が保有するトークンのカストディです。 プロトコルのオフチェーン準備金を保管しているカストディアンは開示していません。そこで保管されている準備金の残高はAccountableによる独立したアテステーションの対象となっており、担保は24時間のタイムロックを通じてオンチェーンで登録されたカストディアドレスにしか移動できません。当社が利用するすべてのカストディアンとパートナーは、ライセンスを取得して規制を受けており、カストディにおける確かな実績を持ち、SOC 2または同等のセキュリティ基準を満たし、完全に分別された口座で資産を保管しています。 機関投資家は、Anchorage Digital、BitGo、Cactus CustodyでtrUSDとstrUSDを保有できます。3社とも両方のトークンに対応しているため、機関投資家はすでに利用しているカストディアンで保有できます。これは機関投資家が所有するトークンのカストディであり、プロトコルの準備金のカストディとは別のものです。各カストディアンの規制対象法人と、入金前に確認すべき事項は機関投資家向けカストディにまとめています。チームはプロトコルの資産にアクセスできますか？
単独でアクセスできる人はいません。すべての特権的な関数は、名前の付いたロールによって保護されています。重要な操作には3-of-5 Safeの定足数が必要で、カストディへの送金はタイムロックを経て事前登録されたアドレスにしか行えず、運用用の鍵はそれぞれ1つの役割しか果たせません。すべてのロール、保有者、関数はロールマトリクスに記載しており、そのすべてをオンチェーンで確認できます。検証と透明性
準備金はどのように検証できますか？
3つの検証方法：1
準備金証明
tori.accountable.capitalで、Accountableによる独立したライブのアテステーションを確認します
2
オンチェーンデータ
Etherscanでスマートコントラクトの残高を直接検証します（コントラクトアドレス）
3
トークンの供給量
trUSDの総供給量を、アテステーションを受けた裏付けと比較します
準備金はどのくらいの頻度で検証されていますか？
継続的に検証されています。Accountableによる準備金証明は、伝統的な金融のように月次や四半期ごとではなく、リアルタイムで更新されます。準備金証明はどこで確認できますか？
監視とインシデント対応
プロトコルはどのように監視されていますか？
Hypernativeがプロトコルを24時間体制で監視しています。そのモデルは、通常と異なるトランザクションから既知の攻撃者のアドレスまで、異常をリアルタイムで検出してただちにチームに警告し、プロトコルのリスクスコアを常時更新しています。検知と初動対応は自動化されています。セキュリティインシデントが発生した場合はどうなりますか？
当社のインシデント対応プロセスは次のとおりです。1
検知
自動監視は、問題をただちに特定できるよう設計されています
2
評価
深刻度と潜在的な影響を把握するための迅速なトリアージ
3
封じ込め
被害を抑えるための即時の措置（運用の一時停止を含む場合があります）
4
連絡
公式チャネルを通じた最新情報の発信
5
修復
根本的な問題の修正
6
事後検証
分析と再発防止策
プロトコルを一時停止できますか？
はい。ゲートキーパーロールは、1回のトランザクションでミントと償還を停止できます。このロールは、封じ込めがマルチシグの定足数を待たずに済むようにするために存在します。詳細はロールマトリクスをご覧ください。ご自身を守るために
安全に利用するにはどうすればよいですか？
URLを確認する
app.tori.financeのみを使用してください。フィッシングサイトを避けるため、ブックマークしておいてください。
コントラクトを確認する
操作する前に、コントラクトのページでアドレスを確認してください。
ウォレットを保護する
秘密鍵やシードフレーズは、決して誰とも共有しないでください。どのような場合でもです。
警戒を怠らない
DM、エアドロップ、「サポート」を名乗るメッセージには疑ってかかってください。
注意すべき代表的な詐欺は何ですか？
Toriのチームが決して行わないことは何ですか？
Toriのチームは、次のことを決して行いません。- シードフレーズや秘密鍵を尋ねること
- ソーシャルメディアでこちらから先にDMを送ること
- ウォレットを「認証」するためにトークンを送るよう求めること
- DMで限定オファーを持ちかけること
- 公式アプリ以外のソフトウェアをダウンロードするよう求めること
どのようなセキュリティ機能を使うべきですか？
問題の報告
セキュリティ上の脆弱性はどのように報告すればよいですか？
メール：security@tori.finance 以下を含めてください：- 脆弱性の明確な説明
- 再現手順
- 概念実証（該当する場合）
- 想定される影響の評価
責任ある開示：脆弱性への対応が完了する前に公表しないでください。報告から24時間以内に受領をお知らせすることを目指しています。
詐欺やフィッシングの試みはどのように報告すればよいですか？
以下を添えて、security@tori.financeまでメールでお送りください。- 詐欺のスクリーンショット
- 関連するURL
- その他の関連情報
ウォレットが侵害されたかもしれない
不正な操作が疑われる場合は、次の対応を取ってください。- 停止する：これ以上トランザクションを行わないでください
- 資産を移す：残っているトークンを、新しい安全なウォレットに移してください
- 報告する：Discordでチケットを作成し、サポートを受けてください
- 記録する：トランザクションハッシュとスクリーンショットを保存してください
セキュリティへのアプローチ
Toriはセキュリティにどのように取り組んでいますか？
どの保護策も、それ単独で十分だとは見なしていません。監査はデプロイ前に問題を発見し、バグバウンティはデプロイ後も研究者が調査を続けるよう報奨金を支払い、Hypernativeは本番環境をリアルタイムで監視し、マルチシグとタイムロックはすべての特権鍵を制約し、リザーブファンドは不利な状況に対するバッファーとなります。各レイヤーについてはセキュリティの概要で説明しています。どのような限界がありますか？
どのようなシステムも、完璧なセキュリティを保証することはできません。当社はこの点を包み隠さずお伝えしています。- 監査はある時点での評価です
- 新たな攻撃手法が現れる可能性があります
- DeFiは本質的に実験的なものです
その他のご質問
セキュリティに関するお問い合わせ：security@tori.finance 一般的なサポート：Discordにご参加くださいセキュリティの概要
スタックのすべてのレイヤーを1か所に
監査レポート
日付、PDF、報奨金の一覧表
リスク開示
入金する前にお読みください
コントラクト
すべてのアドレスをEtherscanで検証
ソースコード
GitHub上のデプロイ済みコントラクト
機械翻訳について：このページは英語の原文を機械翻訳したもので、便宜のためにのみ提供しています。誤りや欠落を含む可能性があり、法的効力はありません。このページと英語版の内容が異なる場合は、英語版が優先します。このページの内容に依拠する前に、英語の原文をご確認ください。