Wdrożonego kontraktu nie da się załatać w spokojne popołudnie. Jego kod jest publiczny, od jego środków dzieli tylko jedna transakcja, a błąd wykorzystuje ten, kto pierwszy go przeczyta. Audyt musi się odbyć przed wdrożeniem i muszą go przeprowadzić ludzie, którzy czytają każdy wiersz.
Dwóch audytorów przegląda kod niezależnie, a potem porównuje wyniki. Wspiera ich analiza automatyczna i fuzzing, ale istotne znaleziska wynikają ze zrozumienia, co protokół obiecuje, i z szukania stanu, w którym ta obietnica przestaje obowiązywać. Kontrakty to jedna część ryzyka: razem z nimi przeglądamy klucze, uprawnienia do aktualizacji i komponenty off-chain.
01Zakres
Co testujemy
Kontrola dostępu, własność kontraktu i funkcje uprzywilejowane
Reentrancy, niesprawdzane wywołania zewnętrzne i zachowanie callbacków
Arytmetyka, zaokrąglenia, utrata precyzji i obsługa jednostek
Skrypty wdrożeniowe, klucze administracyjne i konfiguracja multisig
02Podejście
Jak przebiega praca
01
Specyfikacja
Ustalamy, co protokół ma gwarantować. Jeśli specyfikacji nie ma, spisujemy niezmienniki i uzgadniamy je z Tobą.
02
Niezależny ręczny przegląd
Dwóch audytorów czyta kod wiersz po wierszu, osobno. Ich notatki łączymy dopiero wtedy, gdy obaj skończą.
03
Analiza automatyczna
Analizę statyczną, fuzzing i testy niezmienników uruchamiamy względem uzgodnionych właściwości. Testy napisane podczas audytu przekazujemy Tobie.
04
Przegląd poprawek
Twoje poprawki przeglądamy względem pierwotnych znalezisk. Raport końcowy podaje commit, który był audytowany, i commit, w którym rozwiązano każdy problem.
Czy audyt gwarantuje, że kontrakt jest bezpieczny?
Nie, i nikt nie może uczciwie dać takiej gwarancji. Audyt to ograniczony w czasie przegląd konkretnego commita. Znacząco zmniejsza ryzyko i dokumentuje, co zostało zbadane. Raport mówi to wprost.
Z jakimi językami i blockchainami pracujecie?
Podstawą naszej pracy są Solidity i Vyper na łańcuchach EVM. W przypadku innych języków i maszyn wirtualnych na etapie ustalania zakresu potwierdzamy, czy mamy odpowiednich specjalistów, a jeśli nie, odmawiamy.
Czy kod może się zmieniać w trakcie audytu?
Audyt jest powiązany z zamrożonym commitem. Zmiany wprowadzone w trakcie audytu przeglądamy jako osobny zakres, bo inaczej raport opisywałby kod, który już nie istnieje.
Czy opublikujecie raport?
Tylko jeśli o to poprosisz. Opublikowany raport zawiera pełną listę znalezisk z ich końcowym statusem; nie wydajemy skróconych wersji, które pomijają problemy.