Sicherheit und Governance

Die beiden Verträge von Bernuvia auf Polygon, die Treuhand der Käufe und der Einzug der Mitgliedschaft, werden von einer 2-von-3-Multisig-Wallet verwaltet: 0x87b6E96a3f64e01a9523ea5C5FCef9008800bfAc. Nichts verlässt sie mit einer einzigen Signatur.

• Dieselbe Multisig entscheidet Streitfälle, kann die Verträge pausieren und erhält die Provision.
• Die einzige getrennte Rolle ist der Operator, der die Verkäufermitgliedschaft einzieht, und er kann nur innerhalb der vom Verkäufer signierten Obergrenze und immer an die Treasury einziehen.
• Die Inhaber jeder Rolle sind öffentlich: sie lassen sich im Explorer an denselben Adressen lesen.

Alles, was Regeln ändern oder Geld der Treasury bewegen kann, geht durch die Multisig. Mit zwei von drei Signaturen:

• Einen Streitfall entscheiden, also die Aufteilung zwischen Käufer und Verkäufer festlegen.
• Einen Streitfall verlängern, um 30 Tage, ein einziges Mal.
• Pausieren und fortsetzen der Verträge.
• Vorschlagen und Anwenden einer Änderung von Treasury oder Provision.
• Vergeben oder Entziehen jeder Rolle.

Zwei Änderungen lassen sich nicht in demselben Block anwenden, in dem sie vorgeschlagen werden:

• Die Treasury (das Ziel der Provision) und der Provisionssatz werden vorgeschlagen und warten 48 Stunden, bevor sie angewendet werden können.
• Der Vorschlag ist während der Wartezeit für alle sichtbar, verfällt nach 7 Tagen, wenn ihn niemand anwendet, und kann abgebrochen werden.
• Die Übergabe des Administrators läuft in zwei Schritten mit 3 Tagen Verzögerung, damit ein Tippfehler den Vertrag nicht in falsche Hände legt.
• Der Administrator kann sein Amt nicht niederlegen: der Vertrag darf nicht ohne Governance zurückbleiben.

Das sind keine Zusagen von uns: es sind Grenzen, die im Vertrag stehen, und du prüfst sie, indem du den verifizierten Code liest.

• Das Geld eines Kaufs woanders hinschicken. Es kann nur an den Verkäufer gehen, abzüglich der Provision, oder zurück an den Käufer.
• Das Geld abziehen. Es gibt keine Rettungsfunktion auf das Kapital, und ein Überschuss kann nur an die Treasury gehen.
• Deine Auszahlungen blockieren. Jede Partei zieht das Ihre ab, wann sie will, und eine blockierte Adresse blockiert die anderen nicht.
• Einen Streitfall für dich eröffnen oder zurückziehen. Der Streitfall gehört allein dem Käufer.
• In einem Streitfall Provision aus deinem Anteil nehmen. Die Provision kommt nie aus der Rückerstattung des Käufers und ist null, wenn die Rückerstattung vollständig ist.

Der Treuhandvertrag durchlief ein internes adversariales Audit, bevor er ins Mainnet ging, und eine zweite interne Prüfung im September 2026, da liefen die Verträge bereits produktiv. Aus dieser zweiten entstand die Version 2, die heute das Geld verwahrt.

• Juli 2026: drei adversariale Prüfungen mit unterschiedlichen Blickwinkeln (Mittel und Reentrancy; Zugriffskontrolle und Signaturen; Zustandsmaschine), statische Analyse und eine Testreihe in Hardhat.
• September 2026: zwölf unabhängige Blickwinkel in vier Runden auf die bereits ausgerollten Verträge, mit Erhaltungsinvarianten über 1.600 zufällige Operationen und 662 Testfälle.
• Vor dem Ausrollen von Version 2: drei weitere adversariale Blickwinkel auf ihren Code, mit den Machbarkeitsnachweisen als Regressionen, sodass die Testreihe rot wird, wenn jemand eine Korrektur rückgängig macht.
• Der hohe Befund vom September, dass wer einen Streitfall eröffnete eine bereits genehmigte Entscheidung aushebeln konnte, ist in Version 2 geschlossen: der Streitfall gehört allein dem Käufer, das Zurückziehen erneuert die Frist nicht, und ein erneutes Eröffnen geht nur, solange die ursprüngliche Frist noch lebt.

Wenn du eine Sicherheitslücke findest, wollen wir es vor allen anderen wissen.

1. 1Schreib uns über das Kontaktformular mit «Sicherheit» im Betreff: was du gefunden hast, wie man es reproduziert und welche Auswirkung es hat.
2. 2Wenn du ein Konto hast, erreicht die Schaltfläche Fehler melden in deinem Panel dasselbe Team und bleibt mit dir verknüpft.
3. 3Wir bestätigen den Eingang und sagen dir, wann es behoben ist.