보안

자금 보호 방법에 대한 투명한 공개

보안 감사 현황

V30 종합 보안 감사 완료

최신 감사: 2026년 2월 16일 — Solidity 파일 22개, 약 6,500줄 리뷰

0
심각
0
높음
0
중간
8
낮음 (수용됨)
448+
테스트 통과
30
감사 반복 횟수
16
배포된 컨트랙트

🏗️ 아키텍처 보안

MaxFi의 아키텍처는 단순히 가드를 추가하는 것이 아니라, 설계 자체로 DeFi 공격의 전체 분류를 제거합니다.

제로 스왑 설계

리밸런싱 중 토큰 스왑이 없습니다. 이는 DeFi에서 가장 비용이 큰 취약점 분류인 MEV 추출, 샌드위치 공격, 슬리피지를 제거합니다 (2024년에만 $12억 이상).

사용자별 NFT 포지션

각 사용자가 자신의 집중 유동성 NFT를 소유합니다. 공유 풀이 없고, 조작할 환율이 없습니다. ERC-4626 볼트 공격(인플레이션, 기부, 반올림)의 전체 분류를 제거합니다.

TWAP 하드 리버트

프로토콜은 조작 가능한 현물 가격으로 절대 폴백하지 않습니다. 2024년 $5,200만 이상의 오라클 조작 손실을 일으킨 프로토콜과 달리, MaxFi는 TWAP 실패 시 리버트합니다.

🧪 테스트 방법론

스마트 컨트랙트는 신뢰성과 보안을 보장하기 위해 엄격한 다층 테스트를 거칩니다.

448+

유닛 & 포크 테스트

모든 컨트랙트 함수와 엣지 케이스에 대한 종합적인 테스트 커버리지

10

불변성 테스트

모든 작업 순서에서 핵심 보안 속성이 유지되는지 검증하는 속성 기반 테스트

40K+

무작위 호출

불변성 테스트가 엣지 케이스를 찾기 위해 약 40,000회의 무작위 함수 호출 실행

검증된 불변성

성과 수수료가 최대 50%를 초과하지 않음
추천 수수료가 프로토콜 수수료를 초과하지 않음
포지션 범위 폭이 한도 내에 유지
리밸런싱 지연이 0-7일 한도 내에 유지
수수료 활성화 시 트레저리 설정됨
틱 범위가 항상 유효
포지션 소유권이 일관되게 유지
수수료율 변경이 ±500 bps / 6시간 쿨다운 준수
예치 타임스탬프가 유효
내부 회계가 예상 상태와 일치

🛡️ 공격 저항성

2024-2026년 알려진 DeFi 공격 벡터에 대해 검증됨 ($20억 이상 손실 분석).

재진입 공격: 모든 진입점에 nonReentrant + 읽기 전용 재진입 플래그
오라클 조작: 하드 리버트가 있는 TWAP — 현물 가격으로 절대 폴백하지 않음
플래시론 공격: 1분 최소 보유 시간 + TWAP 오라클 (단일 블록에서 조작 불가)
MEV / 샌드위치: 제로 스왑 아키텍처 — 스왑이 없으므로 샌드위치할 대상 없음
최초 예치자 인플레이션: 사용자별 NFT 포지션 — 인플레이션할 공유 볼트 없음
기부 공격: 조작할 ERC-4626 환율 없음
접근 제어: 모든 관리 함수에 Ownable2Step + onlyVault + onlyAuthorized
프록시 스토리지 충돌: EIP-1967 + OpenZeppelin TransparentUpgradeableProxy + __gap[39]

🔍 보안 감사에 대하여

스마트 컨트랙트는 OWASP Smart Contract Top 10 (2026), EEA EthTrust Security Levels V3 (88개 요구사항), SWC Registry (SWC-100 ~ SWC-136), 2024-2026년 $20억 이상 손실을 기록한 15개 이상의 주요 DeFi 익스플로잇 분석 등 업계 표준 방법론을 사용한 30회 감사 반복을 거쳤습니다.

방법론은 Trail of Bits, OpenZeppelin, Cyfrin, Spearbit 감사 프레임워크를 기반으로 합니다. 22개 Solidity 파일(약 6,500줄) 전체가 여러 반복에 걸쳐 라인별로 리뷰되었으며, 식별된 모든 문제가 점진적으로 수정되었습니다.

투명성 안내: 이 감사는 전통적인 제3자 감사 회사가 아닌 AI 보안 분석 도구를 사용하여 수행되었습니다. 방법론은 철저하고 포괄적이지만, 프로토콜이 성장함에 따라 유명 보안 회사의 감사를 의뢰할 계획입니다. 항상 직접 조사하시고 잃어도 되는 금액만 예치하세요.

구현된 보안 기능

제로 스왑 설계

리밸런싱 중 토큰 스왑 없음 — MEV, 샌드위치 공격, 슬리피지 제거

사용자별 NFT 포지션

각 사용자가 자신의 LP NFT 소유 — 공유 볼트 없음, 인플레이션 공격 없음

TWAP 오라클 (하드 리버트)

현물 가격 폴백 없는 5분 TWAP — 오라클 조작 방지

ReentrancyGuard

모든 상태 변경 함수가 재진입 공격에 대해 보호됨

Ownable2Step

모든 컨트랙트에서 실수로 인한 잠금을 방지하는 2단계 소유권 이전

수수료율 제한

수수료는 6시간당 ±5%만 변경 가능 — 최대치 도달까지 최소 42시간

24시간 타임락

트레저리 및 스테이킹 매니저 변경에 24시간 타임락 필요

일시 정지

사고 대응을 위한 긴급 정지 기능

SafeERC20

모든 ERC20 작업에 안전한 토큰 전송 패턴

플래시론 보호

1분 최소 보유 시간으로 플래시론 익스플로잇 방지

포지션 한도

가스 그리핑을 방지하는 설정 가능한 한도 (사용자당 500, 총 100K)

읽기 전용 재진입 보호

보상 어댑터의 출금 플래그가 뷰 함수 익스플로잇 방지

감사 보고서

배포된 컨트랙트 (Base 메인넷)

16개 컨트랙트 전체가 BaseScan에서 검증됨 — solc 0.8.33, 결정적 via_ir 빌드로 컴파일

컨트랙트주소
MaxFi 볼트 (프록시)0x7d27cdfb...fd2afd55
MaxFi 볼트 구현체0x359f90ee...06822d28
ProxyAdmin0x7885d796...25f486cb
AdminSatellite0xebae1f42...8e53ee36
StakingManager0x4994743d...81020638
FeeTransferHelper0xccbfba20...f02cced2
ReferralTracker0xe0cf9756...03ec8aad
ViewHelper0x28649062...d3ce18bd
KeepersHelper0x6cbfdf01...9f90b114
TreasurySplitter0xef9b9e02...957d9d98
UniswapV3Adapter0xca4cf963...b4debabd
AerodromePositionAdapter0x0aedeed5...559794d1
AerodromeRewardAdapter0xbb8ea00a...a264375a
PancakeSwapPositionAdapter0xad35ec92...edbf0a71
PancakeSwapRewardAdapter0x346cb3db...0ab08912

🐛 보안 문제 신고

취약점을 발견하셨나요? 저희는 보안을 중요하게 여기며 책임있는 공개를 감사히 여깁니다. 다음 채널을 통해 연락해 주세요:

향후 보안 계획

  • 인정받는 보안 회사의 감사 의뢰 (Trail of Bits, OpenZeppelin 등)
  • 보상이 있는 공식 버그 바운티 프로그램 출시
  • 프로토콜 업그레이드에 멀티시그 요구사항 추가

중요: 보안 조치에도 불구하고, 모든 DeFi 프로토콜에는 내재적 위험이 있습니다. 스마트 컨트랙트 버그, 경제적 익스플로잇, 예상치 못한 취약점으로 인해 자금 손실이 발생할 수 있습니다. 잃어도 되는 금액 이상으로 절대 예치하지 마세요. MaxFi 사용 전에 전체 위험 공시를 읽어주세요.

Security Audit | MaxFi - Smart Contract Security