Quantus Weekly: Публичный баг-баунти

Со среды запускаем публичный баг-баунти на @immunefi. Он открывается 12 августа и идёт до 24 августа.

Последние недели мы укрепляли систему к публичному аудиту. Провели ещё много V12 security review по цепи, ужесточили работу с памятью и опубликовали security policy с приватным раскрытием для репозиториев цепи, Poseidon и ZK-схем.

С самого начала testnet Quantus использует ML-DSA-87 (самую крупную постквантовую схему подписи NIST).

ML-DSA-65, похоже, станет лимитом размера ключа, который выдержат большинство hardware wallet, и вероятным отраслевым стандартом для постквантовых блокчейнов.

Поэтому теперь цепь работает и с ML-DSA-87, и с ML-DSA-65, а пользовательские приложения, скорее всего, будут по умолчанию на 65.

Вот что ещё мы сделали на прошлой неделе:

Github Activity (15+ merged pull requests):

Github Stats

Core Tech & ZK

Анонсировали Immunefi audit competition по цепи, в эфире с 12 по 24 августа.

Усиление безопасности: recovery pallet, scheduler, frame-system, а также пути settlement и metering у wormhole.
Выкатили runtime upgrade, добавляющий ML-DSA-65 как вторую схему подписи транзакций рядом с ML-DSA-87, с CLI-флагом для выбора.
Ужесточили работу с памятью по всему криптографическому стеку. Библиотека Dilithium теперь обнуляет секреты на куче, на стеке и на границе публичного API. Poseidon стирает состояние sponge после хеширования.
Опубликовали security policy с приватным раскрытием уязвимостей для репозиториев цепи, Poseidon и ZK-схем.
Подняли размер public batch по умолчанию с 4 до 53 private batches, чтобы каждое агрегированное доказательство несло куда больше транзакций.
Удалили неиспользуемый assets pallet из runtime и почистили зависимости.

Network & Infra

Сделали Senoti, наш сервис уведомлений, высокодоступным и перенесли на него старый сервис.
Распараллелили Senoti core wallet event consumer, чтобы он не троттлил под нагрузкой.
Прогнали stress-тесты Senoti и Subsquid.
Проаудитили публично доступные эндпоинты.
Переименовали «planck» в нейтральные «token units» в схеме индексера и в документации.
Добавили колонку in/out к транзакциям в explorer и поправили баг стиля на лендинге.

Web & Mobile App Updates

Выпустили продакшен-дизайны для флоу регистрации и подписи Keystone hardware wallet, заменив экраны для разработчиков.
Вмержили 14 pull request из mobile security review.
Централизовали генерацию мнемоники в SDK, чтобы один безопасный генератор случайных чисел обслуживал всё приложение.
Ускорили декодирование анимированного QR примерно в семь раз в нашей UR-библиотеке и сделали размер фрагмента настраиваемым — переводы с телефона на телефон используют меньше, более плотных кадров.
Выкатили три фазы SEO-фиксов для сайта, обновили скриншоты страницы кошелька и секцию подкаста, добавили ссылку на блог в навигацию.
Обновили migration.fail рабочим проверщиком адресов, адаптивной полировкой и более понятной таблицей спецификаций.