Juurutatud lepingut ei saa parandada rahulikul pärastlõunal. Selle kood on avalik, selles hoitav raha on ühe tehingu kaugusel ja vea kasutab ära see, kes selle esimesena läbi loeb. Audit peab toimuma enne juurutamist ja seda peavad tegema inimesed, kes loevad läbi iga rea.
Kaks audiitorit vaatavad koodi üle teineteisest sõltumatult ja võrdlevad seejärel tulemusi. Automaatne analüüs ja fuzz-testimine toetavad neid, kuid olulised leiud tulevad sellest, et mõistetakse, mida protokoll lubab, ja otsitakse olekut, milles see lubadus murdub. Lepingud on vaid üks osa riskist: koos nendega vaadatakse üle võtmed, uuendamisõigused ja plokiahelavälised komponendid.
01Ulatus
Mida me testime
Juurdepääsukontroll, omandiõigus ja privilegeeritud funktsioonid
Taassisenemine, kontrollimata välised kutsed ja tagasikutsete käitumine
Aritmeetika, ümardamine, täpsuse kadu ja ühikute käsitlemine
Ei, ja keegi ei saa sellist garantiid ausalt anda. Audit on kindla commiti ajaliselt piiratud ülevaatus. See vähendab riski oluliselt ja dokumenteerib, mida uuriti. Aruanne ütleb seda lihtsate sõnadega.
Milliste keelte ja plokiahelatega te töötate?
Töö tuum on Solidity ja Vyper EVM-i plokiahelates. Muude keelte ja virtuaalmasinate puhul kinnitame ulatuse kokkuleppimisel, kas meil on sobivad spetsialistid, ja kui ei ole, siis loobume.
Kas kood võib auditi ajal muutuda?
Audit on seotud külmutatud commitiga. Auditi ajal tehtud muudatused vaadatakse üle eraldi ulatusena, muidu kirjeldaks aruanne koodi, mida enam ei ole.
Kas avaldate aruande?
Ainult siis, kui te seda palute. Avaldatud aruanne sisaldab kõiki leide koos nende lõpliku olekuga; me ei väljasta lühendatud versioone, millest on probleeme välja jäetud.