Развёрнутый контракт нельзя спокойно исправить в свободный вечер. Его код публичен, до его средств — одна транзакция, а ошибкой воспользуется тот, кто прочитает её первым. Аудит должен пройти до развёртывания, и проводить его должны люди, читающие каждую строку.
Два аудитора проверяют код независимо и затем сравнивают результаты. Автоматический анализ и фаззинг им помогают, но значимые находки появляются из понимания того, что протокол обещает, и поиска состояния, в котором обещание нарушается. Контракты — лишь часть риска: ключи, права на обновление и внешние компоненты проверяются вместе с ними.
01Объём
Что мы проверяем
Управление доступом, владение и привилегированные функции
Reentrancy, непроверенные внешние вызовы, поведение обратных вызовов
Арифметика, округление, потеря точности, единицы измерения
Нет, и честно дать такую гарантию не может никто. Аудит — это ограниченная по времени проверка конкретного коммита. Он существенно снижает риск и фиксирует, что именно было изучено. В отчёте это сказано прямо.
С какими языками и сетями вы работаете?
Основа работы — Solidity и Vyper в EVM-сетях. Для других языков и виртуальных машин на этапе согласования объёма мы подтверждаем, есть ли у нас нужные специалисты, и отказываемся, если их нет.
Можно ли менять код во время аудита?
Аудит привязан к зафиксированному коммиту. Изменения, внесённые во время аудита, проверяются как отдельный объём, иначе отчёт описывал бы код, которого уже нет.
Вы опубликуете отчёт?
Только по вашей просьбе. Опубликованный отчёт содержит полный перечень находок с итоговым статусом; сокращённых версий без части проблем мы не выпускаем.