Veríme v "Kód svätý"
Zhrnutie auditových správ HydraDX
Ahoj, kamoši,
Tsunami, ktoré insolvencia FTX rozprúdila po celom krypto svete, je horko-sladkým dôkazom hodnotovej ponuky DeFi. Zneužitie prostriedkov používateľov jednou z najuznávanejších CEX (centralizovaná burza) je skutočnou pripomienkou starovekého úslovia: „Not your keys, not your funds“ (vlastník majetku je ten, kto vlastní tzv. neverejný kľúč k tomuto majetku, čiže zoznam SEED fráz).
Investori a retail si v týchto dňoch lížu svoje rany, a verejné povedomie rastie. Čím ďalej, tým viac ľudí si uvedomuje, že žiadnej centralizovanej strane nie je možné plne dôverovať. Hoci DeFi nepoužíva žiadnych prostredníkov, bolo by zavádzajúce tvrdiť, že je prirodzene a úplne „trustless“ (bezhraničná dôveryhodnosť) . Skutočnou úlohou DeFi je presunúť dôveru od netransparentných tretích strán na open-source kód, ktorý je možné overiť kýmkoľvek.
Veríme v „Kód svätý“ („In code we trust“ ) je odvážne vyhlásenie, ktoré kladie nesmierne veľkú zodpovednosť na tímy, ktoré na kóde pracujú a zverejňujú ho. Ako už dobre vieme, aj tá najmenšia chyba bude vždy potrestaná a môže viesť k niekoľkomiliónovým stratám. A práve to zdôrazňuje dôležitosť auditových postupov – externé posúdenia kódu a jeho podkladovej logiky od nezávislých strán.
No a v súvislosti s tým vám chceme s radosťou oznámiť, že HydraDX sa podarilo úspešne dokončiť dve kolá auditov, ktoré vykonali lídri v tomto odvetví. V septembri 2022 zverejnil Runtime Verification svoj audit nášho HydraDX Omnipool Runtimu (celá správa). Pol roka predtým - v marci 2022, dokončil BlockScience svoj ekonomicko-matematický audit Omnipoolu (celá správa, vrátane dodatku a post-factum zmien).
Pre stručné zhrnutie rozsahu auditov a ich najdôležitejších zistení pokračujte v čítaní.
Bezpečnostný audit Runtime
Bezpečnostný audit Runtime implementácie nášho HydraDX Omnipoolu vykonala spoločnosť Runtime Verification – líder v tomto odvetví, ktorý pracoval pre takých klientov, ako napríklad NASA, Ethereum a Polkadot.
Rozsah auditu obsahuje zdrojový kód HydraDX Omnipool palety, jej matematickú logiku a register aktív. Auditované boli aj knižnice tretích strán, ktoré boli zahrnuté ako (Substrate) závislé prvky. Do rozsahu auditu neboli zahrnuté žiadne skripty nasadenia a aktualizácie, front-end a iné off-chain kódy.
Okrem skúmania robustnosti kódu a pokusu odhaliť bezpečnostné problémy sa vďaka auditu overilo, že implementácia operácií súvisiacich s Omnipoolom dodržiava matematické špecifikácie poskytnuté našim oddelením výskumu, vrátane akýchkoľvek chýb zaokrúhľovania, (ne)správnych aktualizácii zostatkov, a iných chýb.
Celú správu nájdete tu.
Zhrnutie zistení
Vo všeobecnosti môžeme povedať, že strany zúčastnené na Runtime audite boli pozitívne prekvapené stavom pripravenosti HydraDX Omnipoolu. 102-stranový audit to potvrdzuje. V skúmanej kódovej základni a príslušných závislých prvkoch sa našlo celkovo 11 potenciálnych slabín. Hoci dve z nich boli kategorizované ako vysoko závažné, musíme zároveň povedať, že ich potenciál pre spôsobenie ekonomických škôd by bol takmer zanedbateľný.
Tím HydraDX sa pozrel na všetky tieto zraniteľné miesta a vrhol sa na opravu (čo bolo potvrdené aj zo strany Runtime Verification) tých, ktoré boli spôsobené kódom napísaným zo strany HydraDX. Je však dôležité poznamenať, že niektoré zraniteľné miesta nesúviseli s kódom v „našich“ úložiskách, ale týkali sa skôr závislých prvkov tretích strán zavedených Substratom (napr. tu). Aktuálne, vo verzii Polkadot 0.9.29., zostalo už len niekoľko zraniteľných miest v Substrate závislých prvkoch, ktoré zatiaľ neboli opravené.
Ekonomický a matematický audit
Audit Omnipool špecifikácie uskutočnila organizácia BlockScience – vedúca web3 natívna firma venujúca sa analyzovaniu komplexných systémov pre takých hráčov, akými sú napríklad Graph Protocol a Protocol Labs (Filecoin).
Cieľom tohto auditu bolo poskytnúť prehľad o AMM špecifikácii pri súčasnej špeciálnej pozornosti venovanej matematickým a ekonomickým konceptom, na ktorých je založený Omnipool, spolu s dopadom týchto mechanizmov na poskytovanie likvidity a obchodovaciu činnosť.
Celú správu aj s našim dodatkom nájdete tu.
Zhrnutie zistení
Analýza ukázala, že mechanizmy Omnipoolu pre pridávanie a odstraňovanie likvidity a uskutočňovanie obchodných operácií medzi aktívami (vrátane hub-token LRNA) fungujú podľa plánu a poskytujú požadované vlastnosti na posúdenie metriky výkonu a účinnosti pri nestálych stratách a sklzoch.
Po identifikovaní problémov, ktoré odhalil bezpečnostný audit, a po dokončení auditu v marci 2022, vykonal náš tím niekoľko malých úprav na Omnipool špecifikácii. Prvá zmena sa týkala použitia spotovej ceny na výpočet TVL cap, a druhá súvisela s poplatkovým mechanizmom, ktorý sa používa na stabilizovanie ceny LRNA. Tieto zmeny BlockScience nehodnotila a neposudzovala. Pre viac podrobností si prečítajte náš dodatok k auditovej správe (strana 46 a ďalej).
Záverečné myšlienky
Sme presvedčení, že audity sú nenahraditeľnou súčasťou stratégie zabezpečenia akéhokoľvek chainu. Z toho dôvodu tím HydraDX plne zastáva návrh, aby boli audity prístupnejšie pre všetky parachainy v ekosystéme Polkadot, a to prostredníctvom organizovania „nadtímového“ financovania a spolupráce s audítormi s cieľom spustenia systémov na Substrate.
Druhou obrannou líniou v rámci bezpečnostnej stratégie HydraDX je náš motivačný program odmeňovania odhalenia chýb. Spolupracujeme s Immunefi – ďalším lídrom v oblasti zabezpečenia blockchainu, za pomoci ktorého chceme vybudovať komplexný systém, ktorý odmení odhalenie chýb a potenciálnych zneužití na základe ich závažnosti.
Treťou a poslednou obrannou líniou je cielené pozastavovanie funkcií. Ak ani audit, ani program odmeňovania odhalenia chýb nezabráni možnému zneužitiu, Technická komisia HydraDX má možnosť rýchlo zasiahnuť a dočasne pozastaviť určité transakcie na chaine, ktoré súvisia s niektorými alebo všetkými aktívami v Omnipoole. V súčasnosti sa snažíme nájsť zmierňujúce prvky, ako napríklad spoľahlivé Oracle programy, dynamické poplatky, spravovanie toku transakcií, alebo iné bezpečnostné poistky.
V nasledujúcich dňoch vám prinesieme dôležité aktualizácie súvisiace s finálnymi krokmi, ktoré musí náš kmeň urobiť pre uľahčenie stále viac sa blížiaceho spustenia HydraDX Omnipoolu.
Ale dovtedy,
„Stay SAFU“ (zostaňte v bezpečí) ... a hydratovaní.