Риски TxFlow и открытые вопросы

Аудит — не гарантия внедрения всех исправлений

Документация TxFlow подтверждает аудит bridge-контракта OpenZeppelin, но отдельно предупреждает: «Resolved» в отчёте не означает исправление текущего Mainnet bytecode. Мост не upgradeable; изменение кода требует нового контракта и миграции активов.

В частности, по официальному разделу Audits исправление M-01 не отражено в действующем коде: повторное обновление validator set способно препятствовать финализации смены набора. Команда описывает operational containment и cold-quorum recovery и считает это известным ограничением. Это заявление команды, не выполненная нашим сайтом независимая проверка работоспособности восстановления. Миграция остаётся существенным вопросом.

Другие уровни риска

Сеть и валидаторы. Вывод и восстановление зависят от правил и кворума сети. Слова «собственный L1» не устанавливают степень независимости операторов, контроль ключей и гарантированную доступность.

Oracle и risk engine. Mark, oracle, margin tiers, liquidation и ADL определяют, что произойдёт с позицией. Отсутствие on-chain контракта на каждый компонент не равно отсутствию риска реализации. Публичное описание replayability не заменяет самостоятельное воспроизведение состояния.

Рынок. Глубина может исчезнуть; расхождение цен и funding меняются. На двух площадках нет общей маржи, атомарного открытия и гарантированного закрытия.

Хранение и переводы. Неподдерживаемая сеть/токен, потеря доступа, bridge delay и отклонение USDC от USD могут привести к потере средств. Сайт не выдаёт депозитных адресов и не страхует переводы.

Правовые ограничения. Доступность официального сайта не означает, что сервис разрешён в вашей юрисдикции. Перед использованием прочитайте Terms of Use и ограничения самой биржи.

Вопросы, ответы на которые стоит отслеживать

Кто юридически отвечает за сервис и в какой юрисдикции? Как распределён контроль валидаторов и cold-ключей? Каков проверенный сценарий аварийного восстановления? Когда мигрируют мост и как пользователям подтвердить новую версию? Как независимо воспроизвести oracle, liquidation и ADL? Где публичная общая история funding settlements?

Наличие вопроса не доказывает мошенничество; отсутствие ответа не даёт основания считать риск устранённым. Мы публикуем независимые материалы, но можем получать партнёрское вознаграждение — этот конфликт интересов нужно учитывать.

Источники

Audits и ограничения Mainnet · OpenZeppelin audit · Risk Engine · Terms of Use