Pular para o conteúdo principal
Todos os contratos da Tori passaram por revisão independente antes do deploy. Os dois relatórios são públicos: Cada achado das duas auditorias foi corrigido no código ou formalmente reconhecido, com uma justificativa documentada.

​
Quem auditou

A Sherlock é uma plataforma de segurança de smart contracts que, historicamente, já protegeu mais de $50 bilhões em ativos em protocolos Web3. A Nethermind é uma empresa de pesquisa e engenharia em blockchain cuja prática de segurança combina análise manual com ferramentas automatizadas e classifica riscos segundo os princípios da OWASP. As auditorias abrangeram os contratos centrais do protocolo, o token trUSD, o stake e o unstake de strUSD, o controle de acesso e a integração com oráculos.

​
Bug bounty

O programa funciona continuamente e paga conforme a gravidade: Dentro do escopo: todos os smart contracts implantados, vulnerabilidades de integração, vetores de ataque econômico e problemas de controle de acesso. Fora do escopo: problemas já conhecidos, protocolos de terceiros, problemas de frontend e de interface (que têm um programa à parte) e ataques teóricos sem prova de conceito.

​
Como reportar uma vulnerabilidade

Envie um e-mail para security@tori.finance. Um relato útil traz uma descrição clara do problema, os passos para reproduzi-lo, uma prova de conceito, quando aplicável, e a sua avaliação do impacto. Uma sugestão de correção é bem-vinda, mas não obrigatória. O que acontece em seguida:
Não divulgue publicamente uma vulnerabilidade antes que ela tenha sido tratada, não a explore além do necessário para demonstrar o problema e não acesse dados de outros usuários. Não tomamos medidas judiciais contra pesquisadores de boa-fé e, se quiserem, damos crédito a quem reportou depois que as correções forem lançadas.

​
Depois da auditoria

Uma auditoria é um retrato de um momento, por isso a revisão não termina no deploy. Atualizações importantes levam a uma nova auditoria dos componentes alterados, novas funcionalidades são auditadas antes do lançamento, e a Hypernative monitora os contratos implantados em produção. Problemas que surgem são corrigidos prontamente e comunicados abertamente.

​
Limitações

É importante entender:
  • Auditorias reduzem o risco, mas não o eliminam
  • Novas vulnerabilidades podem ser descobertas após as auditorias
  • Ataques econômicos podem passar despercebidos em auditorias de código
  • Dependências de terceiros têm seus próprios riscos
Leia nossa Divulgação de riscos completa.

​
Verifique você mesmo

Os PDFs de auditoria acima estão hospedados pelos auditores, não por nós. O código-fonte dos contratos é verificado no Etherscan, com todos os endereços listados na página de contratos, e publicado em github.com/Tori-Finance/tori-contracts tal como foi implantado. O bug bounty está ativo; escreva para security@tori.finance.

​
Próximos passos

Visão geral de segurança

A estrutura completa: auditorias, monitoramento, verificação, custódia

Papéis e timelocks

Quem detém cada chave e o que passa pelo timelock

Contratos

Endereços verificados na mainnet

Código-fonte

Os contratos implantados no GitHub

Riscos

A divulgação de riscos completa
Tradução automática: esta página é uma tradução automática do original em inglês, fornecida apenas por conveniência. Ela pode conter erros ou omissões e não tem efeito jurídico. Se houver divergência entre esta página e a versão em inglês, prevalece a versão em inglês. Leia o original em inglês antes de se basear em qualquer informação desta página.