تدقيق العقود الذكية (Smart contract audit)

التدقيق هو مراجعة مدفوعة يقرأ فيها باحثون أمنيون كود العقود الذكية لمشروع، ويختبرونه، ويعدّون تقريرًا يصنّف المشكلات بحسب خطورتها. الهدف هو اكتشاف الأخطاء والمنطق القابل للاستغلال قبل المهاجمين. وتُصنَّف كل مشكلة في التقارير عادةً على أنها أُصلحت، أو أُقرّ بوجودها، أو ما زالت مفتوحة.

يجمع المدققون بين المراجعة اليدوية وأدوات مثل محللات الكود الساكن، وأدوات الاختبار بمدخلات عشوائية، ومجموعات الاختبارات. ويبحثون عن مشكلات مثل إعادة الدخول، والأخطاء الحسابية، وغياب فحوص صلاحيات الوصول، والتلاعب بالأوراكل، وصلاحيات المالك الخطرة. ينطبق التقرير على إصدار محدد من الكود، يُعرَّف غالبًا ببصمة commit أو عنوان العقد المنشور. وتقدّم بعض الشركات أيضًا التحقق الشكلي أو المراقبة المستمرة.

بالنسبة إلى مشتري التوكن، يُظهر التدقيق أن الفريق دفع على الأقل لجهة كي تفحص الكود. لكنه لا يعني أن المشروع آمن أو أن فريقه نزيه. لا يستطيع التدقيق منع الفريق من بيع توكناته أو سحب السيولة غير المقفلة، وقد خضعت بروتوكولات كثيرة تعرضت للاستغلال لتدقيق سابق. وفي التوكنات الصغيرة، تكون عمليات التدقيق الرخيصة غالبًا مجرد فحوص آلية تُقدَّم على أنها مراجعات، وبعض شارات التدقيق مزيفة بالكامل.

اقرأ التقرير الفعلي، ولا تكتفِ بالشارة. تأكد من أن العنوان أو الكود الخاضع للتدقيق يطابق العقد المنشور، فقد يدقّق المشروع عقدًا ثم يطلق عقدًا آخر. راجع المشكلات الحرجة أو عالية الخطورة التي بقيت دون حل، وما إذا كان المدقق قد نبّه إلى صلاحيات للمالك مثل السكّ أو تغيير الضرائب أو إضافة عناوين إلى قائمة الحظر. تحقّق من الجهة التي أجرت التدقيق، وما إذا كان التقرير منشورًا على موقعها، لا على موقع المشروع وحده.