Keamanan dan tata kelola

Dua kontrak Bernuvia di Polygon, yaitu escrow pembelian dan penagihan keanggotaan, dikelola oleh dompet multisig 2 dari 3: 0x87b6E96a3f64e01a9523ea5C5FCef9008800bfAc. Tidak ada yang keluar dari sana hanya dengan satu tanda tangan.

• Multisig yang sama memutuskan sengketa, dapat menjeda kontrak, dan menerima komisi.
• Satu-satunya peran terpisah adalah operator yang menagih keanggotaan penjual, dan ia hanya bisa menagih dalam batas yang ditandatangani penjual dan selalu ke kas.
• Pemegang setiap peran bersifat publik: bisa dibaca di explorer, pada alamat yang sama.

Semua yang bisa mengubah aturan atau memindahkan uang kas melewati multisig. Dengan dua tanda tangan dari tiga:

• Memutuskan sengketa, yaitu menetapkan pembagian antara pembeli dan penjual.
• Memperpanjang sengketa 30 hari, satu kali saja.
• Menjeda dan melanjutkan kontrak.
• Mengusulkan dan menerapkan perubahan kas atau komisi.
• Memberi atau mencabut peran apa pun.

Dua perubahan tidak bisa diterapkan pada blok yang sama saat diusulkan:

• Kas (tujuan komisi) dan persentase komisi diusulkan lalu menunggu 48 jam sebelum bisa diterapkan.
• Usulan itu terlihat oleh siapa pun selama menunggu, kedaluwarsa setelah 7 hari jika tidak ada yang menerapkannya, dan bisa dibatalkan.
• Serah terima administrator berjalan dua langkah, dengan tunda 3 hari, supaya salah ketik tidak menaruh kontrak di tangan yang keliru.
• Administrator tidak bisa mengundurkan diri dari jabatannya: kontrak tidak boleh ditinggalkan tanpa tata kelola.

Ini bukan janji kami: ini batas yang tertulis di dalam kontrak, dan bisa kamu periksa dengan membaca kode terverifikasinya.

• Mengirim uang sebuah pembelian ke tempat lain. Uang itu hanya bisa ke penjual, dikurangi komisi, atau kembali ke pembeli.
• Menyapu bersih uangnya. Tidak ada fungsi penyelamatan atas pokok dana, dan kelebihan dana hanya bisa ke kas.
• Mengganjal pembayaranmu. Setiap pihak menarik miliknya kapan saja, dan satu alamat yang terblokir tidak memblokir yang lain.
• Membuka atau menarik sengketa untukmu. Sengketa hanya milik pembeli.
• Mengambil komisi dari bagianmu dalam sengketa. Komisi tidak pernah keluar dari pengembalian dana pembeli, dan nol jika pengembaliannya penuh.

Kontrak escrow melewati audit internal adversarial sebelum naik ke jaringan utama, dan tinjauan internal kedua pada September 2026, saat kontraknya sudah berjalan di produksi. Dari tinjauan kedua itu lahir versi 2, yang hari ini menyimpan uangnya.

• Juli 2026: tiga tinjauan adversarial dengan sudut pandang berbeda (dana dan reentrancy; kontrol akses dan tanda tangan; mesin status), analisis statis dan satu rangkaian pengujian di Hardhat.
• September 2026: dua belas sudut pandang independen dalam empat putaran atas kontrak yang sudah diterapkan, dengan invarian kekekalan diperiksa pada 1.600 operasi acak dan 662 kasus uji.
• Sebelum menerapkan versi 2: tiga sudut pandang adversarial lagi atas kodenya, dengan bukti konsep diubah menjadi regresi, sehingga jika ada yang membatalkan sebuah perbaikan, rangkaian pengujiannya menjadi merah.
• Temuan tinggi dari September, yaitu bahwa pihak yang membuka sengketa bisa membatalkan putusan yang sudah disetujui, sudah ditutup di versi 2: sengketa hanya milik pembeli, menariknya tidak memperbarui tenggat, dan membukanya kembali hanya berlaku selama tenggat aslinya masih hidup.

Kalau kamu menemukan celah keamanan, kami ingin tahu lebih dulu dari siapa pun.

1. 1Tulis ke kami lewat formulir kontak dengan «Keamanan» pada subjek: apa yang kamu temukan, cara mereproduksinya dan apa dampaknya.
2. 2Kalau kamu punya akun, tombol Laporkan masalah di panelmu sampai ke tim yang sama dan tetap terkait denganmu.
3. 3Kami mengonfirmasi penerimaan dan memberi tahu kapan sudah diperbaiki.