Orbit 内部 AI 审计报告

审计摘要与适用范围

内部 AI 审计 · 公开阅读版 · 2026-09-25

本轮未确认新的高危或中危 V7 候选合约漏洞。网站发现的 2 项中危、2 项低危问题已修复，补丁发布于站点 v48。新增 29 组检查和 2 套浏览器验收通过。

本报告由内部 AI 复核与可复现测试形成，不是独立第三方审计、认证、投资建议或安全保证。“未确认漏洞”仅描述本次已检查范围，不能推导为不存在漏洞或不会发生损失。

三条复核路径

V7 池账务：计息、供应/债务份额、舍入、清算、坏账、储备守恒与全损后的代际重置。

V7 依赖边界：预言机、奖励分配和领取、原生 BNB 包装、权限及不可替换依赖。

现有网站：BSC 钱包发送、交易回执、未知发送状态恢复，以及 V5 → V6 迁移记录和继续流程。

先区分三个版本边界

对象	本报告对应状态
线上 V5/V6 合约	不可升级的既有部署，存在真实借款。第 2 页所列已知问题仍然存在。
V7 候选合约	本地/测试网候选，保留链 ID 31337/97 限制；候选整改没有修改既有部署。
网站 v48	发送、回执与迁移界面的安全补丁；它不是 V7 合约部署或 V7 迁移上线。

本报告冻结于下列源码提交。之后新增的 BSC 主网包装合约、部署参数、角色、地址、奖励配置及迁移实现，必须由单独的生产变更报告覆盖；不得直接沿用本报告宣称已审计。

97a422c254cac36ba47e8bf520539c0bae4dd5b9

当前线上 V5/V6 的已知风险

以下是已部署合约的已知行为，V7 候选中的修复不会自动生效。用户应结合自己实际使用的池地址判断风险。

已知行为	对使用者的影响
计息调用频率影响债务	相同初始状态和时长，仅改变计息频率即可改变债务。本地满利用率示例：1000 单位借款一年一次计息为 1900，分 12 次约为 2381.779599。这是规则复现，不是收益承诺。
暂停/上限可阻止补抵押	暂停时供给式补仓被拒绝，而清算仍可能发生；还款仍可执行。
无关资产喂价故障可阻塞风险计算	只持有部分资产也可能因其他喂价过期无法借款、减少抵押或清算；全额还款及无债务退出仍可执行。
全损后的无价值份额阻碍恢复	若旧持有人不销毁无价值份额，储备可能无法恢复新供应；补充风险准备金不等于恢复供应净值。
清算所得可能无法即时兑现	所得为抵押份额；储备现金不足时无法立即提现，且旧清算入口没有最小所得保护。
最后一次部分提现可遗留尘埃	特定舍入边界可烧完份额并留下 1 wei 无主资产，由下一存款继承。

迁移与退出同样受条件约束

现有 V5 → V6 路径要求无债务且旧池有足够现金。新版本也不能自动消除旧债务或创造退出流动性。旧池不能通过管理员直接转移所有用户仓位；每位用户保留自己的资产与奖励领取权。

线上奖励控制器没有未用预算回收机制。角色、预言机和代码不可替换；配置变更延时不等于合约升级。请勿把新池发布理解为旧仓位已经自动迁出。

本报告识别的线上池（BSC，chain ID 56）

V5 0xa6dfA661EF760E7F81bD6aA9b23B8933bD9027A4

V6 0xD905b5e057cd0313b519D47e81609Ccfd58Bcf89

来源：audit/current/SCOPE.md、audit/current/REMEDIATION.md、audit/current/STATUS.zh-CN.md。历史状态文档用于证明旧部署行为，不作为最新审计进度或对外联系状态的依据。

V7 候选合约整改

下面的整改仅适用于本报告列明哈希的候选源码。三份候选合约在本轮追加 AI 审计中未改变，原测试按完全相同的源码身份沿用，另执行针对性的新增边界检查。

问题方向	候选实现与验证重点
计息频率	按固定利率周期起点计算累计复利；公开计息不重置周期。年/月/不规则计息序列对齐。
救援补仓	有债务账户可使用单独、有明确额度上限的补抵押入口；测试暂停、上限、无债务拒绝和已持有抵押的喂价故障。
预言机依赖	仅计算账户实际暴露的正值抵押与债务；相关暴露故障时保守拒绝，不能以猜测价格替代。
全损与代际隔离	零净值且无债务储备可开启新一代；旧无价值份额不能捕获新存款，旧奖励停止状态保留。
清算结果	加入最小份额/资产所得、截止时间和可选原子底层资产支付；现金不足时整体回滚。
最后份额尘埃	拒绝烧掉最后全局份额但仍遗留账面资产的部分提现；使用完整退出路径。
奖励预算	新控制器保护所有已分配奖励，仅在活动结束后按规则把未分配排放退回固定金库；旧控制器不因此改变。

此前候选复核中发现并闭环的问题

C-01（中危）：注入新的陈旧喂价抵押可阻塞清算。最终供应/开启抵押检查依据实际底层索取权，而不只看份额是否为零；新增正值暴露要求有效价格。

C-02（中危）：坏账结算接收者聚合零值份额后可能形成未核价的正值抵押。最终结算检查该边界；陈旧价格导致完整回滚，并验证余额/债务不变。

保留并披露的合约限制

C-03：极长时间后的债务可能超出 uint256。已验证 150 年边界下故障储备与无关储备操作隔离，不承诺无限运行年限。C-04 / AC-01：经济事件丢弃不足一个最小原始单位的利息；低精度资产可产生明显偏差。本次范围仅为核验地址的 WBNB、USDT、BTCB、ETH、USDC 五种 18 位资产，扩展精度必须重新设计并复审。

来源：audit/v7/FINDINGS.md、audit/v7/SPECIFICATION.md、audit/ai-current/POOL-REVIEW.md。

网站整改与验证证据

编号 / 级别	已发布于 v48 的整改
WEB-01 / 中危	回执核对 BSC 链身份、所在高度的规范区块哈希和至少 3 次确认。迁移继续前重新核对已完成步骤；异常时保留记录并停止。
WEB-02 / 中危	意图和发送请求显式绑定 chain ID 56，在实际交给钱包的边界复核账户/网络。只有本地可证明未提交的阻断可释放新意图；不确定发送保留恢复记录。
WEB-03 / 低危	导出同时保留原始计划、待确认和批量记录及解析诊断；损坏或截断 JSON 不再丢失原文。
WEB-04 / 低危	明确标注 V5 → V6，显示核验的源池/目标池地址，并明确当前页面不提供 V7 迁移。

本轮新增检查：29 组 + 2 套浏览器验收

检查类型	通过数量
池账务边界	4 组
奖励、包装币和不可替换依赖边界	3 组
网站不利条件与 RPC/记录恢复	13 组
独立历史迁移兼容性	6 组
钱包错误来源与未知发送保留	3 组
浏览器市场操作与迁移流程	2 套（另计）

浏览器验收使用无头 Edge、隔离内存 Ganache 和模拟钱包，拦截公共网络请求；不是实际浏览器扩展和真实资金交易。测试过程中未发送主网交易。至少三次确认降低短重组风险，但不等于绝对最终性，仍依赖诚实、一致的 RPC 数据和正确钱包实现。

沿用且绑定相同源码的既有证据

池测试 9 个定向场景及 180 次确定性操作（120 次成功、60 次预期拒绝）；预言机 37 项；奖励 7 组，包含 80 步、3 用户、10 奖励桶的独立模型；陈旧抵押回归 7 项。另有 4 组真实 BSC 资产本地分叉检查，奖励代币为本地测试替身。静态分析保留 149 条原始告警并逐类判断，原始级别不等于确认漏洞数量。

来源：audit/ai-current/WEB-CLOSURE-REVIEW.md、outputs/ai-review/*-results.json、audit/v7/FINDINGS.md、audit/v7/STATIC-ANALYSIS.md。通过测试不能证明所有路径安全。

剩余风险与用户自主决定

尚未消除的依赖和操作风险

奖励控制器一经绑定不可替换。错误或可变的控制器可能阻塞本金操作；生产部署必须核对确切字节码、角色、资金与参数，不能只检查 pool() 返回值。

前端 integration 依赖审计记录为 0 项已知公告；本地合约开发/构建依赖仍有 29 项，其中 27 项位于 Ganache 测试依赖，另 2 项涉及 solc/tmp。这些工具链风险没有被宣称已修复，也不直接等同于链上漏洞。

Solidity 0.8.30 后续披露并修复的 7 项编译器问题，已按源码及编译设置逐项核对，未找到触发条件。工具链升级会形成新制品，仍需重新编译、核验及测试。

代币和桥接资产风险、价格偏离、喂价故障、流动性短缺、清算、坏账、网络拥堵与交易费用可能造成损失。已核验的地址和测试时点不能消除未来外部依赖变化。

不属于本次完整证明范围

普通市场的真实跨标签页钱包竞态、钱包扩展内部实现、托管基础设施与域名控制、所有潜在 MEV/经济攻击，以及冻结提交之后的 V7 主网包装、部署与迁移。复核覆盖有限场景，未执行无限时间、所有状态和所有对手行为的数学证明。

使用前请自行核对

请阅读本报告，核对正在交互的网络、池地址、合约版本、授权对象和金额；理解债务、清算、流动性及不可逆链上交易风险后，自主决定是否使用。使用者需自行承担其交易和持仓风险，包括本金损失；不能把“AI 审计”理解为保本、保收益、保险或机构背书。

阅读或下载本报告不触发钱包授权、交易或迁移，也不代表用户已经同意迁移。每笔链上操作仍应由相应钱包持有人核对并签名。风险提示不构成免除项目责任的承诺，也不限制用户依法享有的权利。

后续生产变更应另外披露

实际 V7 主网地址和代码身份、角色及风险参数、迁移窗口与退出/拒绝方式、债务和现金不足处理、旧奖励领取方式，以及生产变更后的复验结果。后续补充材料应有独立版本与哈希；本冻结报告不应被改写成对未来代码的审计结论。

来源：audit/ai-current/DEPENDENCIES-REVIEW.md、TOOLCHAIN-REVIEW.md、REPORT.zh-CN.md 及 audit/v7/RELEASE-GATES.md。

附录：冻结标识与复核来源

本次审计源码提交

97a422c254cac36ba47e8bf520539c0bae4dd5b9

候选初始冻结基线如下；本轮三份候选合约保持相同源码字节。

d34b545eabb666aecb0cc6987e137975b984898d

候选 Solidity 源文件 SHA-256

contracts/candidate/OrbitV7Pool.sol

372cb8f72af9ed1bf57deb0a65e8e0101549900f773748d4f67690a788edda5c

contracts/candidate/OrbitV7Oracle.sol

4d50921366127a5208f135c6a0875be864e5999216b029b8be7b43d02905c5c7

contracts/candidate/OrbitV7Rewards.sol

3d20df3d28a25990a2f34607b6888b38796e6843ff17b16a395ac441f94425c3

编译与分叉标识

Solidity 0.8.30；优化器 200 次；viaIR；EVM Paris；OpenZeppelin Contracts 5.4.0。原分叉证据固定在 BSC 区块 123922439；所有写操作发生于本地链 31337，未向主网发送交易。

0xf7e55d94373cd79108b57edc3a42f7ada265488465f8518d3e83f12633c84974

主要来源（仓库相对路径）

audit/ai-current/REPORT.zh-CN.md
audit/ai-current/POOL-REVIEW.md
audit/ai-current/DEPENDENCIES-REVIEW.md
audit/ai-current/WEB-MIGRATION-REVIEW.md
audit/ai-current/WEB-CLOSURE-REVIEW.md
audit/ai-current/TOOLCHAIN-REVIEW.md
audit/v7/FINDINGS.md、SPECIFICATION.md、STATIC-ANALYSIS.md
audit/current/SCOPE.md、REMEDIATION.md、STATUS.zh-CN.md
outputs/ai-review/accounting-results.json、boundaries-results.json
outputs/ai-review/web-safety-results.json、web-history-closure.json
outputs/ai-review/web-local-handoff-provenance.json、browser-results.json
outputs/v7/fork-results.json

本公开阅读版根据冻结材料编写，清除私人联络及本机目录信息；它是风险和证据摘要。源码哈希用于识别审计对象，随附 SHA-256 文件用于核对下载文件完整性；文件哈希本身不是审计认证。