Smart-Contract-Audit

Ein Audit ist eine bezahlte Prüfung, bei der Sicherheitsforscher den Smart-Contract-Code eines Projekts lesen, testen und einen Bericht erstellen, der Probleme nach Schweregrad auflistet. Ziel ist es, Fehler und ausnutzbare Logik zu finden, bevor Angreifer es tun. Im Bericht wird üblicherweise für jedes Problem vermerkt, ob es behoben, zur Kenntnis genommen oder noch offen ist.

Auditoren kombinieren manuelle Prüfungen mit Werkzeugen wie statischen Analyseprogrammen, Fuzzern und Testsuiten. Sie suchen etwa nach Reentrancy-Schwachstellen, fehlerhaften Berechnungen, fehlenden Zugriffskontrollen, Oracle-Manipulation und gefährlichen Owner-Rechten. Der Bericht gilt für eine bestimmte Codeversion, die häufig durch einen Commit-Hash oder eine bereitgestellte Contract-Adresse gekennzeichnet ist. Einige Unternehmen bieten zusätzlich formale Verifikation oder laufendes Monitoring an.

Für Token-Käufer zeigt ein Audit zunächst nur, dass das Team jemanden für eine Prüfung bezahlt hat. Es bedeutet nicht, dass das Projekt sicher oder seriös ist. Ein Audit kann ein Team nicht daran hindern, seine Tokens zu verkaufen oder ungesperrte Liquidität abzuziehen. Auch viele angegriffene Protokolle waren zuvor auditiert worden. Bei kleinen Tokens sind günstige Audits oft nur automatisierte Scans, die als umfassende Prüfungen dargestellt werden. Manche Audit-Badges sind schlicht gefälscht.

Lies den tatsächlichen Bericht, statt dich nur auf das Badge zu verlassen. Prüfe, ob die auditierte Adresse oder der geprüfte Code mit dem tatsächlich bereitgestellten Contract übereinstimmt. Ein Projekt kann einen Contract prüfen lassen und einen anderen veröffentlichen. Achte darauf, welche kritischen oder schwerwiegenden Probleme ungelöst geblieben sind und ob der Auditor Owner-Rechte wie Minting, Änderungen der Handelsgebühren oder Blacklisting beanstandet hat. Prüfe auch, wer das Audit durchgeführt hat und ob der Bericht auf der eigenen Website des Auditors liegt, nicht nur auf der des Projekts.