Uma família identifica o mecanismo a examinar
Termos como “hack” ou “falha” não chegam para compreender uma perda. Podem reunir acontecimentos muito diferentes. Pergunte qual foi o mecanismo comprometido e como isso alcançou a posição: a resposta ajuda a localizar a família de risco pertinente.
O catálogo utiliza sete famílias: protocolo, custódia, perda de paridade, ponte, penalidade de validador, exchange e outros riscos declarados. Cyber Risk descreve uma perspetiva sobre incidentes cibernéticos que podem atravessar essas famílias; não é uma cobertura automática nem uma oitava categoria do catálogo.
A família organiza a pesquisa. O contrato define o evento, os limites, a elegibilidade e as exclusões de uma cobertura específica. Reconhecer a categoria de um incidente é apenas parte da leitura necessária para avaliar um pedido.
Localize aquilo de que a posição dependia
Para cada posição, identifique quem ou o que permite a sua guarda, a sua movimentação e a sua restituição. Uma mesma posição pode depender de mais de um mecanismo, pelo que as famílias não têm de ser tratadas como riscos isolados.
Examine o código para o risco de protocolo; quem controla os ativos, para a custódia; o mecanismo que procura a referência, para o depeg; a ligação entre redes, para a ponte; as regras do validador, para o slashing; e as condições de guarda e de levantamento da corretora, para a exchange. Os eventos específicos fora destes grupos exigem descrição própria no contrato.
Este mapa também permite reconhecer dependências comuns. Ativos ou serviços diferentes podem utilizar o mesmo custodiante, contrato ou infraestrutura. Um incidente nesse ponto pode alcançar várias posições; a quantidade de ativos, por si, não descreve a concentração.
Relacione o mapa com as condições de cobertura
Organize uma lista com a posição, a rede, o responsável pela guarda e os serviços utilizados. Acrescente as famílias pertinentes e os controlos existentes. O objetivo é saber de onde pode vir a perda e que registos permitiriam compreender um incidente.
Depois, compare a exposição identificada com as coberturas publicadas. Considere os custos, os limites, os requisitos e as exclusões juntamente com os controlos da operação. A contratação depende da disponibilidade e não substitui a gestão das dependências que continuam presentes.
