Aave Labs przedstawia warstwowy plan bezpieczeństwa dla V4 po programie audytu o wartości 1,5 mln dolarów

Aave Labs opublikował szczegółowy plan zabezpieczeń dla kolejnej wersji największego protokołu lendingowego DeFi, przedstawiając roczny proces audytu i weryfikacji dla Aave V4 oraz zobowiązując się do kontynuowania tych praktyk w przyszłych projektach rozwojowych.

W poście forumowym dotyczącym zarządzania, opublikowanym w tym tygodniu, firma opisała wysiłki związane z V4 jako „ramy bezpieczeństwa jako priorytetu”, w których zabezpieczenia smart contractów były wdrażane już na najwcześniejszych etapach architektury, zamiast traktowania jako ostatni etap audytu przed uruchomieniem.

Program łączył formalną weryfikację, ręczne audyty, testy invariancji, fuzzing oraz publiczny konkurs bezpieczeństwa, sumując się łącznie do około 345 dni przeglądu przez zespoły wewnętrzne, zewnętrznych audytorów oraz niezależnych badaczy.

Prace były finansowane z budżetu bezpieczeństwa w wysokości 1,5 miliona dolarów zatwierdzonego przez Aave DAO, według udostępnionych szczegółów.

Kluczowe zobowiązania

Aave Labs poinformował, że doświadczenia doprowadziły do przyjęcia pięciu długoterminowych zobowiązań dotyczących bezpieczeństwa dla przyszłego rozwoju protokołu.

Wdrażanie formalnej weryfikacji od początku cyklu rozwojowego, utrzymywanie wielowarstwowych metod bezpieczeństwa łączących różne techniki audytu, prowadzenie ciągłej weryfikacji równolegle z rozwojem, uruchamianie nieustającego programu bug bounty oraz dalszy rozwój narzędzi do skanowania smart contractów wspomaganych przez AI – to wszystko zostało wymienione jako kluczowe zobowiązania na przyszłość.

Szczególnie formalna weryfikacja odegrała kluczową rolę w procesie V4, podkreśla Labs. Firma Certora, zajmująca się weryfikacją, współpracowała z deweloperami Aave już od najwcześniejszych etapów projektowania, pomagając kształtować architekturę i identyfikować podatności zanim kod trafił do oficjalnych rund audytu.

Poza formalną weryfikacją, protokół przeszedł także kilka rund ręcznych audytów z udziałem firm takich jak ChainSecurity, Trail of Bits i Blackthorn, a także niezależnych badaczy bezpieczeństwa. Osobny zestaw testów invariancji został opracowany z wykorzystaniem narzędzi fuzzingowych do testowania zachowania kluczowych komponentów, takich jak księgowość płynności, logika likwidacji i modele oprocentowania.

Baza kodowa protokołu była również poddawana sześciotygodniowemu publicznemu konkursowi bezpieczeństwa organizowanemu na Sherlock w okresie od grudnia 2025 do stycznia 2026. Ponad 900 zweryfikowanych uczestników zgłosiło ponad 950 odkryć podczas konkursu, choć program nie odnotował żadnych krytycznych ani poważnych podatności.

Aave Labs podkreślił, że sama baza kodowa V4 została celowo zaprojektowana jako mniejsza i bardziej modułowa niż jej poprzednik, za sprawą przeprojektowania protokołu według modelu hub-and-spoke, co pozwala na bardziej ukierunkowane audyty i uproszczoną kontrolę bezpieczeństwa.

Model bezpieczeństwa V4 uwzględniał także opinie od dostawców usług ryzyka oraz integratorów budujących aplikacje na bazie tego protokołu lendingowego. Ich wkład poszerzył model zagrożeń o interakcje nie tylko bezpośrednich użytkowników, ale też założenia bezpieczeństwa zintegrowanych systemów, które polegają na płynności Aave.

Konflikt w Aave DAO

Raport Aave Labs dotyczący bezpieczeństwa pojawia się w okresie wewnętrznych turbulencji dla ekosystemu Aave. W ostatnich miesiącach spory związane z zarządzaniem nasiliły się wokół przydziałów budżetu, kierunku protokołu i roli kluczowych współtwórców.

Na początku tego roku, BGD Labs — długoletni techniczny uczestnik odpowiedzialny za znaczną część infrastruktury protokołu — ogłosił plan zaprzestania pracy nad Aave po około czterech latach zaangażowania.

Ostatnio, założyciel ACI, Marc Zeller poinformował, że Aave Chan Initiative, kolejny ważny uczestnik zarządzania, zamierza wycofać się z protokołu w lipcu, w związku z narastającymi napięciami wśród współtwórców.

Te wydarzenia nastąpiły po burzliwej debacie nad propozycją „Aave will win”, która zawierała zmiany w przychodach i szerokie plany dotyczące nadchodzącej aktualizacji V4. Propozycja uzyskała 52,6% poparcia w głosowaniu kontrolnym, podkreślając podziały w DAO dotyczące przyszłego kierunku protokołu.

Aave jest największym onchainowym protokołem lendingowym i jednym z czołowych generujących miesięczne opłaty w DeFi, według dashboardu danych The Block.