NAOS Formation合约审计和赏金计划

NAOS Finance ｜2021-07-01 6:07

NAOS Finance 聘请 Quantstamp 对其流动性协议Formation智能合约进行安全审计。

NAOS Finance 聘请 Quantstamp 对其流动性协议Formation智能合约进行安全审计。
审计代码的提交哈希取自我们的 Github 存储库：

1.初审：19f4967bc36724296c6755af2c19dab6215786a8

2.复审：c125272892094d9e7b49e1e85b59161bb300de8a

审计完成时，没有发现高风险问题，只有3个中等风险问题、5个低风险问题、7个信息风险问题和1个未确定风险。在总共16个发现的问题中，我们解决了 13 个问题并确认了 3 个问题。

我们寻找的可能问题包括（但不限于）：

● 交易顺序依赖

● 时间戳依赖

● 处理异常和调用堆栈限制

● 不安全的外部调用、整数上溢/下溢、数字舍入错误

● 重入和跨函数漏洞

● 拒绝服务/逻辑疏忽

● 权力集中，访问控制

● 业务逻辑与规范矛盾

● 代码克隆、功能重复、gas使用、任意令牌铸造

我们将讨论所有三个中等风险问题以及已确认的两个问题

#1 可以迁移到相同的adapter（QSP-1/中等风险/缓解）

问题描述：

使用 migrate() 函数调用 _updateActiveVault() 可能会多次添加相同adapter。这将导致 Formation 和adapter之间的记帐错误。虽然 migrate() 函数仅限于治理，但应该进行检查以防止错误行为。

NAOS采取的行动：

添加相关的检查语句来检查新的adapter是否与之前的adapter相同，如果是，则交易将被拒绝。

#2 未经检查的返回值（QSP-2 / 中等风险 / 已确认）

问题描述：

大多数函数会在成功时返回真值或假值。某些函数，例如 send()，比其他函数更需要检查。确保检查每个相关函数很重要。

NAOS采取的行动：

来自 yearn 的返回值不是简单的布尔（boolean）值，因此我们无法根据响应做出确切的决定。如果有异常状况发生，我们可以设置紧急模式停止充值。

#3 Oracle价格可能过时（QSP-3 / 中等风险 / 已修复）

问题描述：

采用Chainlink 已弃用的 API latestAnswer() 获取价格，价格可能已经过时。

NAOS采取的行动：

我们用 latestRoundDate() 替换了 Chainlink 已弃用的 API latestAnswer()。增加了最大可容忍延迟时间的设置，以确保oracle正常工作。

#4 特权角色和所有权（QSP-5 / 低风险 / 已确认）

问题描述：

系统的治理拥有相当大的权力。

NAOS采取的行动：

部署后，治理角色将转移到由 NAOS 核心团队成员和可信社区成员组成的 NAOS 多重签名帐户。协议的设置将遵循 NAOS 治理过程的决定。

#5 由于 flush() 存在经济攻击向量（QSP-13 / 信息风险 / 已确认）

问题描述：

由于“flush”功能将资产从 Formation 推送到连接的底层金库，这迫使资产从用户抵押的代币转换成外部金库的共享代币。

NAOS采取的行动：

我们会谨慎选择 DeFi 项目作为底层金库。此外，智能合约中的sentinel可以设置紧急模式以停止充值。

文档: https://naosfinance.gitbook.io/naos-finance/

Github: https://github.com/NAOS-Finance

报告: https://certificate.quantstamp.com/full/naos-formation

总体而言，我们认为 Formation 智能合约在技术上是稳健可靠的。尽管如此，我们仍会继续将产品的安全性放在首位。我们计划在不久的将来聘请其他审计机构来评估智能合约，并将与白帽顾问密切合作并启动赏金计划来进行“持续审计”。

请点击链接了解赏金计划的详细信息：https://immunefi.com/bounty/naos

我们对主网的发布感到兴奋，我们充分意识到随之而来的责任。我们将采取一切必要措施，为社区做正确的事！

关于Quantstamp

Quantstamp 是区块链安全领域的领导者，已经进行了200多次审计，为1000 亿美元资产保驾护航。Quantstamp服务包括保护Layer-1区块链、智能合约驱动的 NFT 和 DeFi 应用。Quantstamp 曾经为以下知名区块链项目进行过审计： Maker、Curve、Sushi、Compound、Polygon、KeepDAO、Flow、Avalanche、Cardano、NEAR、Conflux、NBA Top Shot、SuperRare等。