Audit riga per riga di smart contract e della logica del protocollo prima del deploy: revisione manuale, test delle invarianti e revisione delle correzioni.
Un contratto già pubblicato sulla blockchain non si corregge in un pomeriggio tranquillo. Il suo codice è pubblico, i suoi fondi sono a una transazione di distanza, e un difetto viene sfruttato da chi lo legge per primo. L’audit deve avvenire prima del deploy e deve essere svolto da persone che leggono ogni riga.
Due auditor esaminano il codice in modo indipendente e poi confrontano i risultati. Analisi automatizzata e fuzzing li supportano, ma i rilievi che contano nascono dal capire che cosa promette il protocollo e dal cercare lo stato in cui la promessa si rompe. I contratti sono una parte del rischio: chiavi, diritti di aggiornamento e componenti off-chain vengono esaminati insieme a essi.
01Perimetro
Che cosa testiamo
Controllo degli accessi, proprietà e funzioni privilegiate
Reentrancy, chiamate esterne non verificate e comportamento delle callback
Aritmetica, arrotondamenti, perdita di precisione e gestione delle unità
Logica economica: oracoli di prezzo, flash loan, slippage, liquidazione, contabilizzazione delle ricompense
Aggiornabilità: proxy, layout dello storage, inizializzatori
Firme: replay, malleabilità, flussi permit, separazione dei domini
Messaggistica cross-chain e bridge
Denial of service (DoS): limiti di gas, cicli senza limite, griefing
Script di deploy, chiavi amministrative e configurazione multi-firma
02Approccio
Come si svolge il lavoro
01
Specifica
Stabiliamo che cosa il protocollo deve garantire. Se non esiste una specifica, mettiamo per iscritto le invarianti e le concordiamo con te.
02
Revisione manuale indipendente
Due auditor leggono il codice riga per riga, separatamente. Le loro note vengono unite solo dopo che entrambi hanno finito.
03
Analisi automatizzata
Analisi statica, fuzzing e test delle invarianti vengono eseguiti sulle proprietà concordate. I test scritti durante l’audit ti vengono consegnati.
04
Revisione delle correzioni
Le tue correzioni vengono esaminate rispetto ai rilievi originali. Il report finale indica il commit sottoposto ad audit e il commit in cui ciascun problema è stato risolto.
No, e nessuno può onestamente dare questa garanzia. Un audit è una revisione di durata limitata di un commit specifico. Riduce il rischio in modo sostanziale e documenta ciò che è stato esaminato. Il report lo dice con parole semplici.
Con quali linguaggi e blockchain lavorate?
Solidity e Vyper su catene EVM sono il nucleo del lavoro. Per altri linguaggi e macchine virtuali confermiamo durante la definizione del perimetro se abbiamo gli specialisti giusti, e rifiutiamo l’incarico quando non li abbiamo.
Il codice può cambiare durante l’audit?
L’audit è vincolato a un commit congelato. Le modifiche apportate durante l’audit vengono esaminate come un perimetro separato, altrimenti il report descriverebbe codice che non esiste più.
Pubblicherete il report?
Solo se ce lo chiedi. Un report pubblicato contiene l’elenco completo dei rilievi con il loro stato finale; non emettiamo versioni abbreviate che omettono problemi.