Izvietotu līgumu nevar izlabot kādā klusā pēcpusdienā. Tā kods ir publisks, līdzekļi ir vienas transakcijas attālumā, un nepilnību izmanto tas, kurš to izlasa pirmais. Auditam jānotiek pirms izvietošanas, un tas jāveic cilvēkiem, kuri izlasa katru rindu.
Divi auditori pārbauda kodu neatkarīgi un pēc tam salīdzina rezultātus. Viņus atbalsta automātiskā analīze un fuzzing, taču būtiskie konstatējumi rodas, izprotot, ko protokols sola, un meklējot stāvokli, kurā šis solījums tiek lauzts. Līgumi ir tikai viena riska daļa: kopā ar tiem pārbaudām atslēgas, atjaunināšanas tiesības un ārpus ķēdes esošos komponentus.
01Tvērums
Ko mēs testējam
Piekļuves kontrole, īpašumtiesības un privileģētās funkcijas
Atkārtota ieeja (reentrancy), nepārbaudīti ārējie izsaukumi un atzvanu uzvedība
Aritmētika, noapaļošana, precizitātes zudums un mērvienību apstrāde
Ekonomiskā loģika: cenu orākuli, zibaizdevumi, cenu slīdēšana, likvidācija, atlīdzību uzskaite
Pakalpojuma atteice: gas limiti, neierobežoti cikli, griefing uzbrukumi
Izvietošanas skripti, administratīvās atslēgas un vairāku parakstu konfigurācija
02Pieeja
Kā notiek darbs
01
Specifikācija
Nosakām, ko protokolam ir jānodrošina. Ja specifikācijas nav, pierakstām invariantus un saskaņojam tos ar jums.
02
Neatkarīga manuāla pārbaude
Divi auditori lasa kodu rindu pa rindai, katrs atsevišķi. Viņu piezīmes apvieno tikai tad, kad abi ir beiguši.
03
Automātiskā analīze
Statisko analīzi, fuzzing un invariantu testus izpildām pret saskaņotajām īpašībām. Audita laikā uzrakstītos testus nododam jums.
04
Labojumu pārbaude
Jūsu labojumus pārbaudām pret sākotnējiem konstatējumiem. Noslēguma ziņojumā ir norādīts komits, kas tika auditēts, un komits, kurā katra problēma tika novērsta.
Katra konstatējuma bīstamības vērtējums un vektors.
FIRST
06Jautājumi
Jautājumi par šo pakalpojumu
Vai audits garantē, ka līgums ir drošs?
Nē, un neviens nevar godīgi dot šādu garantiju. Audits ir laikā ierobežota konkrēta komita pārbaude. Tas būtiski samazina risku un dokumentē, kas tika pārbaudīts. Ziņojumā tas ir pateikts vienkāršiem vārdiem.
Ar kādām valodām un blokķēdēm strādājat?
Darba pamatā ir Solidity un Vyper EVM blokķēdēs. Citām valodām un virtuālajām mašīnām tvēruma saskaņošanas laikā apstiprinām, vai mums ir atbilstoši speciālisti, un atsakāmies, ja to nav.
Vai kods audita laikā var mainīties?
Audits ir piesaistīts iesaldētam komitam. Audita laikā veiktās izmaiņas pārbaudām kā atsevišķu tvērumu, citādi ziņojums aprakstītu kodu, kas vairs nepastāv.
Vai jūs publicēsiet ziņojumu?
Tikai tad, ja jūs to lūdzat. Publicētajā ziņojumā ir pilns konstatējumu saraksts ar to galīgo statusu; saīsinātas versijas, kurās problēmas ir izlaistas, neizdodam.