Uma família identifica o mecanismo a examinar
Termos como “hack” ou “falha” são insuficientes para compreender uma perda. Eles podem reunir acontecimentos muito diferentes. Pergunte qual mecanismo foi comprometido e como isso alcançou a posição: a resposta ajuda a localizar a família de risco pertinente.
O catálogo utiliza sete famílias: protocolo, custódia, perda de paridade, ponte, penalidade de validador, exchange e outros riscos declarados. Cyber Risk descreve uma perspectiva sobre incidentes cibernéticos que podem atravessar essas famílias; não é uma cobertura automática ou uma oitava categoria do catálogo.
A família organiza a busca. O contrato define o evento, os limites, a elegibilidade e as exclusões de uma cobertura específica. Reconhecer a categoria de um incidente é apenas parte da leitura necessária para avaliar um pedido.
Localize de que a posição dependia
Para cada posição, identifique quem ou o que permite sua guarda, movimentação e restituição. Uma mesma posição pode depender de mais de um mecanismo, por isso as famílias não precisam ser tratadas como riscos isolados.
Examine o código para o risco de protocolo; quem controla os ativos para custódia; o mecanismo que busca a referência para depeg; a conexão entre redes para ponte; as regras do validador para slashing; e as condições de guarda e saque da corretora para exchange. Eventos específicos fora desses grupos exigem descrição própria em contrato.
Esse mapa também permite reconhecer dependências comuns. Diferentes ativos ou serviços podem usar o mesmo custodiante, contrato ou infraestrutura. Um incidente nesse ponto pode alcançar várias posições; a quantidade de ativos, sozinha, não descreve a concentração.
Relacione o mapa às condições de cobertura
Organize uma lista com posição, rede, responsável pela guarda e serviços utilizados. Acrescente as famílias pertinentes e os controles existentes. O objetivo é saber de onde pode vir a perda e quais registros permitiriam compreender um incidente.
Depois, compare a exposição identificada com as coberturas publicadas. Considere custos, limites, requisitos e exclusões junto aos controles da operação. A contratação depende da disponibilidade e não substitui a gestão das dependências que continuam presentes.
