L'ultimo ARFC di Aave (Aave Request for Comments) chiede al DAO di chiudere il programma di bug bounty che copre Aave V3 su Aptos e di porre fine al ruolo di Cantina come fornitore del programma. Aave è un protocollo di lending decentralizzato — tra i più grandi di DeFi per valore totale bloccato — in cui gli utenti forniscono asset e prendono in prestito contro di essi; gli ARFC sono il suo formato di proposta basato su forum e le modifiche sostanziali avanzano generalmente attraverso la discussione della community e un voto on-chain prima di entrare in vigore. La richiesta arriva mentre il DAO sta discutendo separatamente il futuro del proprio mercato di lending su Aptos, in discussioni che riguardano sia il mercato stesso sia i servizi che lo supportano.

Un bug bounty remunera ricercatori indipendenti per segnalazioni valide di vulnerabilità. La pratica è di lunga data nella sicurezza del software ed è ampiamente utilizzata nei progetti crypto, offrendo un canale continuo per la segnalazione di problemi di sicurezza dopo che un prodotto è entrato in funzione.

Due richieste di governance, ambiti diversi

La discussione su Aptos coinvolge due proposte distinte di Aave.

La proposta di mercato: un ARFC di luglio sui mercati a bassa adozione raccomanda di limitare il nuovo utilizzo di Aave V3 su Aptos mentre le posizioni attuali vengono ridotte nel tempo.

La proposta sul bounty: il più recente ARFC chiede se Aave debba continuare a finanziare un bug bounty esclusivo per Aptos tramite Cantina.

La proposta di mercato riguarda depositi, prestiti e liquidità disponibile. La proposta sul bounty riguarda i premi per i ricercatori che segnalano problemi di sicurezza. Entrambe le richieste sono in attesa di approvazione della governance e la configurazione del protocollo rimane invariata a meno che una successiva azione di governance non attui una delle due misure.

Perché Aptos aveva un bounty dedicato

Aave si è lanciata su Aptos con una versione separata di V3. Aptos è una blockchain layer-1 che utilizza il linguaggio di programmazione Move, mentre gli smart contract di Ethereum utilizzano comunemente Solidity.

Secondo l'annuncio di lancio di Aave, il deployment basato su Move ha superato audit, una competizione di sicurezza su mainnet di Cantina e un bounty fino a 500.000 GHO, lo stablecoin di Aave.

Ogni misura ha uno scopo diverso: gli audit esaminano il codice prima o in occasione di un lancio; le competizioni di sicurezza danno ai ricercatori un periodo definito per testare un progetto; e i bug bounty premiano le segnalazioni valide finché il programma resta aperto.

Cantina, una piattaforma di sicurezza che gestisce audit, competizioni e bounty per progetti Web3, ha pubblicato un perimetro per Aptos che copre i moduli Move, i componenti frontend, le API e la configurazione di deployment, il che significa che il programma copriva l'intera configurazione del prodotto Aptos. Aave ha descritto questo accordo nella sua proposta di ristrutturazione del programma di bounty del 2026, che ha assegnato Aave V3 su Aptos a Cantina mentre gli altri prodotti di Aave utilizzavano fornitori diversi.

L'attività di mercato su Aptos era già diminuita

La proposta di mercato di luglio descriveva un forte calo dell'attività su Aptos. Al momento della pubblicazione, stimava circa 1,7 milioni di dollari in asset forniti e circa 719.000 dollari di debito. La liquidità disponibile era scesa da circa 18 milioni di dollari a 1 milione di dollari nei sei mesi precedenti, mentre i ricavi trimestrali erano inferiori a 1.000 dollari. Queste cifre riflettono le condizioni di mercato riportate a luglio.

La proposta raccomandava di congelare le riserve di Aptos e di impostare i limiti di supply e borrow a uno. L'approvazione bloccherebbe nuovi depositi e prestiti significativi mentre gli attuali fornitori e mutuatari riducono le proprie posizioni.

Il documento lascia non divulgati i costi del programma di bounty, impedendo un calcolo diretto tra tale spesa e il calo del mercato. Il livello più basso di attività fornisce comunque lo sfondo per la revisione da parte di Aave di un programma di sicurezza dedicato ad Aptos.

Cosa significano le proposte per utenti e ricercatori

Per gli utenti di Aave

La proposta sul bounty riguarda il programma di premi per i ricercatori esterni. I parametri di lending, l'accesso ai prelievi e le condizioni di prestito rimangono legati alla configurazione attiva del protocollo e a eventuali modifiche di mercato approvate separatamente.

Gli utenti con una posizione su Aptos dovrebbero seguire la proposta di mercato e le successive decisioni della governance. Tali misure determinerebbero la tempistica e i limiti per l'attività su Aave V3.

Per i ricercatori di sicurezza

L'idoneità segue i termini attivi pubblicati da Aave e Cantina. L'ARFC chiede di chiudere il programma, mentre il perimetro pubblicato e gli eventuali termini di chiusura approvati determinano quali segnalazioni sono idonee a un premio.

La chiusura del bounty chiuderebbe questo canale pubblico di segnalazione e premiazione per Aave V3 su Aptos.

I due piani per Aptos ora procedono insieme

Aave Labs ha registrato il rilascio di Aave V3 su Aptos nel suo aggiornamento di sviluppo di giugno 2025. Il lancio ha introdotto il primo deployment di Aave al di fuori delle reti compatibili con Ethereum e ha richiesto una propria base di codice e una propria configurazione di sicurezza.

L'approvazione di entrambe le proposte ridurrebbe le operazioni di Aave su Aptos. Il mercato ammetterebbe meno nuova attività di lending e il bounty pubblico dedicato tramite Cantina si chiuderebbe. Le decisioni riguardano il deployment di Aave su Aptos, i suoi livelli di attività e il lavoro operativo necessario per mantenerlo. I prossimi passi da seguire sono la discussione sul forum per ciascun ARFC e gli eventuali voti successivi, insieme alla tenuta della ripartizione dei fornitori stabilita dalla ristrutturazione del 2026 per gli altri prodotti di Aave.