Hệ thống bảo mật
Kiểm toán hợp đồng thông minh
Sherlock và Nethermind đã kiểm toán giao thức một cách độc lập. Sherlock tính đến nay đã bảo vệ hơn $50 tỷ tài sản trên Web3; Nethermind là một công ty nghiên cứu và bảo mật blockchain. Các đợt kiểm toán bao quát các hợp đồng cốt lõi của giao thức, việc stake và unstake strUSD, kiểm soát truy cập, và các tích hợp với bên thứ ba. Cả hai báo cáo đều được công khai, kèm ngày thực hiện và bản PDF trên trang kiểm toán, cùng với chương trình thưởng phát hiện lỗ hổng trả tới $1.000.000 cho một phát hiện nghiêm trọng.Giám sát
Hypernative theo dõi hoạt động của giao thức liên tục và cảnh báo đội ngũ ngay khi có dấu hiệu bất ổn: một giao dịch bất thường hoặc có quy mô quá lớn, một địa chỉ tấn công đã biết, một thao tác quản trị, một thay đổi tham số, một phụ thuộc bên ngoài hoạt động sai. Các mô hình của Hypernative chấm điểm rủi ro liên tục, và phản ứng đầu tiên trước một mối đe dọa được phát hiện là tự động.Bằng chứng dự trữ
Accountable chứng thực dự trữ và số liệu tài chính một cách độc lập và liên tục. Các báo cáo chứng thực bao gồm tổng tài sản đang quản lý, tỷ lệ bao phủ nợ phải trả và tình trạng quỹ dự phòng, và được công bố tại tori.accountable.capital, nơi bất kỳ ai cũng có thể xem bất cứ lúc nào. Các số liệu do bên thứ ba chứng thực chứ không phải tự báo cáo, và được cập nhật liên tục thay vì theo chu kỳ hằng tháng hay hằng quý. Ứng dụng hiển thị song song dữ liệu bảo chứng trực tiếp tại app.tori.finance/transparency.Lưu ký
Trên chuỗi, các hợp đồng đã được kiểm toán, các thao tác quan trọng cần đủ số chữ ký multisig, và mọi thay đổi mở rộng phạm vi tác động của giao thức đều phải chờ hết timelock 24 giờ. Mỗi hàm đều nằm sau một vai trò chỉ giới hạn cho một nhiệm vụ. Dự trữ ngoài chuỗi được giữ tại các đơn vị lưu ký tổ chức và đối tác đã qua thẩm định, trong các tài khoản tách biệt, phân tán trên nhiều khu vực pháp lý. Bảo chứng và dự trữ trình bày chi tiết về phía tài sản.Dự trữ của giao thức không bị trộn lẫn với tiền dùng cho hoạt động vận hành. Toàn bộ tài sản được giữ tại các
đơn vị lưu ký đã qua thẩm định, các đối tác tổ chức, hoặc thông qua các công cụ được quản lý theo quy định.
Ai có thể tác động đến đâu
Mọi vai trò đặc quyền trên các hợp đồng mainnet đều được ghi lại trong ma trận vai trò, đến tận cấp độ hàm: mỗi vai trò có thể làm gì, ai nắm giữ và khóa được lưu ký như thế nào. Tóm lại: không vai trò nào có thể làm gì ngoài đúng một nhiệm vụ mà tên của nó chỉ ra, các bản nâng cấp và điểm đến lưu ký mới phải chờ công khai 24 giờ trước khi có thể thực thi, và mọi bên nắm giữ vai trò đều có thể được xác định trên chuỗi.Bảo mật vận hành
Quyền truy cập của đội ngũ yêu cầu xác thực đa yếu tố, các khóa ký được lưu trong mô-đun bảo mật phần cứng (HSM), mỗi người chỉ có quyền truy cập tối thiểu mà vai trò của họ cần, và quyền truy cập được rà soát theo lịch định kỳ. Khi phát hiện sự cố, quy trình được triển khai: phân loại và xác định mức độ nghiêm trọng, ngăn chặn, khắc phục, thông báo cho người dùng và phân tích sau sự cố (post-mortem). Việc ngăn chặn không phải chờ đủ số chữ ký multisig: vai trò Người kiểm soát truy cập có thể tắt chức năng mint và đổi lại chỉ trong một giao dịch.Báo cáo lỗ hổng
Hãy báo cáo các vấn đề bảo mật tới security@tori.finance. Chúng tôi hướng tới việc xác nhận đã nhận báo cáo trong vòng 24 giờ. Mức thưởng, phạm vi và hướng dẫn công bố có trên trang kiểm toán.Không hệ thống nào có thể đảm bảo an toàn tuyệt đối. Kiểm toán là đánh giá tại một thời điểm, và các phương thức
tấn công mới vẫn tiếp tục xuất hiện. Đó là lý do các lớp bảo mật ở trên chồng lên nhau. Xem Công bố rủi ro để có
bức tranh đầy đủ.
Bước tiếp theo
Báo cáo kiểm toán
Cả hai báo cáo, kèm ngày thực hiện, bản PDF và bảng mức thưởng
Vai trò và timelock
Mọi khóa đặc quyền, đến tận cấp độ hàm
Bảo chứng
Điều gì đứng sau trUSD
Công bố rủi ro
Những gì có thể trục trặc, được nêu thẳng thắn
Lưu ý về bản dịch máy: Trang này là bản dịch máy từ bản gốc tiếng Anh, chỉ được cung cấp để thuận tiện cho người đọc. Bản dịch có thể có lỗi hoặc thiếu sót và không có giá trị pháp lý. Nếu trang này khác với bản tiếng Anh, bản tiếng Anh được ưu tiên áp dụng. Hãy đọc bản gốc tiếng Anh trước khi dựa vào bất kỳ nội dung nào trên trang này.