> ## Documentation Index > Fetch the complete documentation index at: https://docs.tori.finance/llms.txt > Use this file to discover all available pages before exploring further. > ## Agent Instructions > Pages whose paths begin with /zh-Hans/, /ja/, /ko/, /vi/, /id/, /hi/, /pt-BR/ or /es/ are machine translations of the English pages, provided for convenience only. They may contain errors or omissions and have no legal effect, and where one differs from the English page, the English page prevails. For anything that will be relied on, read and cite the English page at the same path without the language prefix. # Auditorias > Os smart contracts da Tori foram auditados pela Sherlock e pela Nethermind. Leia os dois relatórios públicos e veja o escopo, as recompensas e os prazos-alvo de resposta do bug bounty. Todos os contratos da Tori passaram por revisão independente antes do deploy. Os dois relatórios são públicos: | Auditoria | Escopo | Data | Relatório | | - | - | - | - | | Revisão de segurança da Nethermind | Protocolo completo | 24 a 26 de março de 2026 | [PDF](https://github.com/NethermindEth/PublicAuditReports/blob/main/NM_0854_Tori.pdf) | | Auditoria colaborativa da Sherlock | Protocolo completo | 15 a 22 de janeiro de 2026 | [PDF](https://github.com/sherlock-protocol/sherlock-reports/blob/main/audits/2026.02.10%20-%20Final%20-%20Tori%20Finance%20Collaborative%20Audit%20Report%201770734349.pdf) | Cada achado das duas auditorias foi corrigido no código ou formalmente reconhecido, com uma justificativa documentada. ## Quem auditou A [Sherlock](https://www.sherlock.xyz/) é uma plataforma de segurança de smart contracts que, historicamente, já protegeu mais de **\$50 bilhões** em ativos em protocolos Web3. A [Nethermind](https://www.nethermind.io/) é uma empresa de pesquisa e engenharia em blockchain cuja prática de segurança combina análise manual com ferramentas automatizadas e classifica riscos segundo os princípios da OWASP. As auditorias abrangeram os contratos centrais do protocolo, o token trUSD, o stake e o unstake de strUSD, o controle de acesso e a integração com oráculos. ## Bug bounty O programa funciona continuamente e paga conforme a gravidade: | Gravidade | Recompensa | | - | - | | Crítica | Até \$1.000.000 | | Alta | \$10.000 - \$50.000 | | Média | \$1.000 - \$10.000 | | Baixa | Até \$1.000 | Dentro do escopo: todos os smart contracts implantados, vulnerabilidades de integração, vetores de ataque econômico e problemas de controle de acesso. Fora do escopo: problemas já conhecidos, protocolos de terceiros, problemas de frontend e de interface (que têm um programa à parte) e ataques teóricos sem prova de conceito. ## Como reportar uma vulnerabilidade Envie um e-mail para [security@tori.finance](mailto:security@tori.finance). Um relato útil traz uma descrição clara do problema, os passos para reproduzi-lo, uma prova de conceito, quando aplicável, e a sua avaliação do impacto. Uma sugestão de correção é bem-vinda, mas não obrigatória. O que acontece em seguida: | Fase | Prazo-alvo | | - | - | | Confirmação de recebimento | Em até 24 horas | | Avaliação inicial | Em até 72 horas | | Plano de correção | Em até 1 semana | | Implantação da correção | Varia conforme a gravidade | | Divulgação pública | Depois que a correção estiver no ar | > [!WARNING] > > Não divulgue publicamente uma vulnerabilidade antes que ela tenha sido tratada, não a explore além do > necessário para demonstrar o problema e não acesse dados de outros usuários. Não tomamos medidas judiciais > contra pesquisadores de boa-fé e, se quiserem, damos crédito a quem reportou depois que as correções forem lançadas. ## Depois da auditoria Uma auditoria é um retrato de um momento, por isso a revisão não termina no deploy. Atualizações importantes levam a uma nova auditoria dos componentes alterados, novas funcionalidades são auditadas antes do lançamento, e a Hypernative [monitora os contratos implantados](/pt-BR/security/overview.md) em produção. Problemas que surgem são corrigidos prontamente e comunicados abertamente. ## Limitações > [!WARNING] > > **É importante entender:** > > * Auditorias reduzem o risco, mas não o eliminam > * Novas vulnerabilidades podem ser descobertas após as auditorias > * Ataques econômicos podem passar despercebidos em auditorias de código > * Dependências de terceiros têm seus próprios riscos > > Leia nossa [Divulgação de riscos](/pt-BR/resources/risks.md) completa. ## Verifique você mesmo Os PDFs de auditoria acima estão hospedados pelos auditores, não por nós. O código-fonte dos contratos é verificado no Etherscan, com todos os endereços listados na [página de contratos](/pt-BR/resources/contracts.md), e publicado em [github.com/Tori-Finance/tori-contracts](https://github.com/Tori-Finance/tori-contracts) tal como foi implantado. O bug bounty está ativo; escreva para [security@tori.finance](mailto:security@tori.finance). ## Próximos passos > **[Visão geral de segurança](/pt-BR/security/overview.md)** > > A estrutura completa: auditorias, monitoramento, verificação, custódia > **[Papéis e timelocks](/pt-BR/security/roles.md)** > > Quem detém cada chave e o que passa pelo timelock > **[Contratos](/pt-BR/resources/contracts.md)** > > Endereços verificados na mainnet > **[Código-fonte](https://github.com/Tori-Finance/tori-contracts)** > > Os contratos implantados no GitHub > **[Riscos](/pt-BR/resources/risks.md)** > > A divulgação de riscos completa > [!NOTE] > > **Tradução automática:** esta página é uma tradução automática do original em inglês, fornecida apenas por conveniência. Ela pode conter erros ou omissões e não tem efeito jurídico. Se houver divergência entre esta página e a versão em inglês, prevalece a versão em inglês. Leia o [original em inglês](/security/audits.md) antes de se basear em qualquer informação desta página. This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.