Metodologia e ressalvas

Pontuação de risco

Um modelo ponderado, aditivo e vinculado a evidências. Todos os pesos são positivos e cada ponto atribuído precisa estar ligado a uma evidência; sem evidência, o ponto não é atribuído.

Um sinal cujos dados não foram coletados é excluído da pontuação e do seu máximo, e é publicado como NÃO AVALIADO em vez de ser tratado como limpo. O modelo define 200 pontos no total, mas nenhum relatório é pontuado sobre todos eles: cada um é pontuado apenas sobre os pontos que realmente conseguiu avaliar, normalizados para 100. Cada relatório informa quais sinais verificou e quais não, para que um projeto nunca pareça mais seguro porque não conseguimos olhar.

Modelo de risco versão 4. Cada relatório informa a versão aplicada.

Sinais do repositório de código

Apenas um lado desta dimensão é pontuado, e ambos os lados valem 52 pontos, de modo que o projeto é medido contra o mesmo máximo nos dois casos. Um projeto que não publica repositório recebe os 52 pontos integrais como um único sinal: nenhum dos 6 achados abaixo pode ser verificado, e um código não publicado poderia conter qualquer um deles sem ser detectado. Um projeto que publica é avaliado por esses 6 achados — um repositório limpo marca zero sobre os mesmos 52 pontos, então é a transparência que garante a pontuação menor.

Os extratores destes seis achados ainda estão sendo construídos. Até que existam, um projeto que publique repositório terá esses achados registrados como NÃO AVALIADOS em vez de pontuados.

Rótulos de risco

Limites de cobertura

Limites conhecidos do processo, não achados sobre um projeto. Cada relatório repete apenas os limites que suas evidências não resolveram.

• O estado atual do proprietário ou administrador pode estar indisponívelhigh

  O pipeline consulta owner() e o estado EIP-1967. Este limite só permanece ativo se um resultado necessário falhar ou não puder ser decodificado.

• O código verificado da implementação pode estar indisponívelhigh

  O pipeline resolve o endereço e solicita o código da implementação. Este limite permanece ativo se o código não estiver verificado ou disponível.

• A atribuição de exchanges é uma lista de nove endereçoshigh

  Tudo fora dessas nove carteiras quentes vira DESCONHECIDO, o que infla o sinal de fundos não rastreados. Não haver correspondência significa não identificado por esta lista, nunca que nenhuma exchange recebeu fundos.

• A lista de carteiras da equipe é uma suposição de configuraçãomedium

  As carteiras vêm da configuração e nunca se prova on-chain que sejam o conjunto completo controlado pela equipe. Se existirem outras, todo número derivado da lista é subestimado.

• A cobertura é apenas Ethereum mainnethigh

  Atividade entre redes, liquidações por cartão e outras cadeias são invisíveis para este processo. Os totais e qualquer percentual de fundos podem estar materialmente errados se esse volume for real.

Ressalvas

• Os relatórios descrevem risco e evidência, não conclusões jurídicas.
• As entradas observadas são transferências brutas bem-sucedidas, não receita líquida auditada.
• Os valores em dólares usam um único preço documentado, não o preço histórico de cada transação.
• Totais, saldos, agregação de destinos e sinais determinísticos são calculados a partir das evidências armazenadas. Sinais qualitativos são avaliados com base em evidências citadas e identificados como tal em cada relatório.
• Um sinal cujos dados não foram coletados é excluído da pontuação e do seu máximo, e publicado como NÃO AVALIADO em vez de tratado como limpo.
• Um destino DESCONHECIDO está sem classificação, não é prova de que seja malicioso.
• Saldo zero no contrato de venda é o estado final esperado depois que os recursos são transferidos às carteiras da equipe, e nunca é pontuado sozinho.
• Instantâneos de dados são armazenados para que cada relatório permaneça reproduzível.
• As equipes dos projetos podem enviar respostas ou correções.