Security bắt đầu từ việc không custody tài sản
Thiết kế Hold-to-Earn giảm một lớp rủi ro bằng cách không yêu cầu người dùng gửi token vào pool chỉ để chứng minh nắm giữ. Reward accounting được tạo từ dữ liệu on-chain, còn quyền kiểm soát private key vẫn nằm ở người dùng.
Tuy vậy, self-custody không tự động làm protocol “an toàn tuyệt đối”. Smart contracts, reward distribution, frontend, DNS, RPC, indexer và admin keys vẫn là các bề mặt tấn công cần kiểm soát.
Ba đơn vị đã audit dự án
Protocol được trình bày với ba lớp kiểm toán độc lập: CertiK, Hacken và Quantstamp. Logo sử dụng trực tiếp từ bộ nhận diện được cung cấp cho website.
Nguyên tắc quyền ví tối thiểu
Kết nối ví chỉ xác định public address và chain context. Nó không nên tạo approval hoặc transaction tự động. Mỗi yêu cầu ký cần cho người dùng biết rõ contract, method, amount/value và mục đích.
Website không bao giờ yêu cầu seed phrase hoặc private key.
Mỗi transaction cần chữ ký riêng từ wallet.
Approval chỉ dùng khi thật sự cần và phạm vi nên tối thiểu.
UI mô tả transaction trước khi mở wallet confirmation.
Smart-contract controls
Core contracts nên có access-control rõ ràng, event đầy đủ cho policy changes, pause mechanism có scope hạn chế và timelock cho thay đổi quan trọng. Reward distribution contract cần chống double-claim, replay và cross-chain confusion.
Contract address, deployment chain và version nên được công khai trên Security Center. Khi upgrade, phiên bản cũ và mới cần được lưu để người dùng có thể đối chiếu history.
Frontend, keys và monitoring
Ngoài smart contract, domain và frontend là bề mặt tấn công quan trọng. Deployment pipeline nên dùng protected branches, signed releases, CSP phù hợp, dependency monitoring và multi-party review cho production changes.
Admin/multisig keys nên tách khỏi máy cá nhân dùng hàng ngày. Critical actions cần quorum, hardware signing và event monitoring. Reward anomalies hoặc policy changes bất thường cần tạo alert.
Các đơn vị security uy tín khác trên thị trường
Các tên dưới đây được liệt kê như tham chiếu ngành / mục tiêu review bổ sung, không phải tuyên bố rằng họ đã audit hoặc đang có quan hệ với dự án:
Chỉ CertiK, Hacken và Quantstamp được gắn trạng thái “Audited” trên website theo thông tin dự án đã xác nhận.
Vulnerability disclosure
Security Center nên công bố một kênh riêng để researcher báo cáo vulnerability, bao gồm contact, PGP key hoặc bug bounty platform nếu có. Báo cáo nên được triage theo severity, acknowledge trong SLA nội bộ và có coordinated disclosure sau remediation.
Audit report, contract address, bug bounty scope, incident history và emergency contacts là những artifact giúp tăng trust thực chất hơn chỉ hiển thị logo.