Käyttöön otettua sopimusta ei voi paikata rauhallisena iltapäivänä. Sen koodi on julkinen, sen varat ovat yhden transaktion päässä, ja virhettä hyödyntää se, joka lukee sen ensimmäisenä. Auditoinnin on tapahduttava ennen käyttöönottoa, ja sen tekijöiden on luettava jokainen rivi.
Kaksi auditoijaa katselmoi koodin toisistaan riippumatta ja vertaa sitten tuloksia. Automaattinen analyysi ja fuzzaus tukevat heitä, mutta merkitykselliset havainnot syntyvät siitä, että ymmärretään, mitä protokolla lupaa, ja etsitään tila, jossa lupaus rikkoutuu. Sopimukset ovat yksi osa riskiä: avaimet, päivitysoikeudet ja lohkoketjun ulkopuoliset komponentit katselmoidaan niiden kanssa.
01Laajuus
Mitä testaamme
Pääsynhallinta, omistajuus ja etuoikeutetut funktiot
Reentrancy, tarkistamattomat ulkoiset kutsut ja takaisinkutsujen käyttäytyminen
Aritmetiikka, pyöristys, tarkkuuden menetys ja yksiköiden käsittely
Taloudellinen logiikka: hintaoraakkelit, salamalainat (flash loan), hintaliukuma, likvidaatio, tuottojen laskenta
Ei, eikä kukaan voi rehellisesti antaa sellaista takuuta. Auditointi on aikarajattu katselmointi tietystä commitista. Se vähentää riskiä merkittävästi ja dokumentoi, mitä tutkittiin. Raportti sanoo tämän selvin sanoin.
Mitä kieliä ja lohkoketjuja käsittelette?
Työn ydin on Solidity ja Vyper EVM-ketjuissa. Muiden kielten ja virtuaalikoneiden osalta vahvistamme laajuuden määrittelyssä, onko meillä oikeat asiantuntijat, ja kieltäydymme, jos ei ole.
Voiko koodi muuttua auditoinnin aikana?
Auditointi on sidottu jäädytettyyn commitiin. Auditoinnin aikana tehdyt muutokset katselmoidaan erillisenä laajuutena, muuten raportti kuvaisi koodia, jota ei enää ole.
Julkaisetteko raportin?
Vain jos pyydät sitä. Julkaistussa raportissa ovat kaikki havainnot lopullisine tiloineen; emme laadi lyhennettyjä versioita, joista ongelmia on jätetty pois.