Audit smart contract (Smart contract audit)

Audit adalah pemeriksaan berbayar ketika peneliti keamanan membaca kode smart contract suatu proyek, mengujinya, lalu membuat laporan yang mengelompokkan masalah berdasarkan tingkat keparahan. Tujuannya adalah menemukan bug dan logika yang bisa dieksploitasi sebelum penyerang menemukannya. Laporan biasanya menandai setiap temuan sebagai sudah diperbaiki, diakui, atau masih terbuka.

Auditor menggabungkan pemeriksaan manual dengan alat seperti static analyzer, fuzzer, dan rangkaian pengujian. Mereka mencari masalah seperti reentrancy, kesalahan perhitungan, tidak adanya pemeriksaan hak akses, manipulasi oracle, dan wewenang pemilik yang berbahaya. Laporan berlaku untuk versi kode tertentu, yang sering diidentifikasi melalui commit hash atau alamat kontrak yang di-deploy. Beberapa perusahaan juga menawarkan verifikasi formal atau pemantauan berkelanjutan.

Bagi pembeli token, audit menunjukkan bahwa tim setidaknya membayar seseorang untuk memeriksa kode. Itu tidak berarti proyek tersebut aman atau jujur. Audit tidak bisa mencegah tim menjual token mereka atau menarik likuiditas yang tidak dikunci, dan banyak protokol yang dieksploitasi sebelumnya sudah diaudit. Untuk token kecil, audit murah sering kali hanya berupa pemindaian otomatis yang dikemas sebagai pemeriksaan, dan sebagian lencana audit bahkan palsu.

Baca laporan aslinya, bukan hanya lencananya. Pastikan alamat atau kode yang diaudit sesuai dengan yang di-deploy, karena proyek bisa mengaudit satu kontrak tetapi meluncurkan kontrak lain. Periksa temuan kritis atau berkeparahan tinggi yang belum diselesaikan, serta apakah auditor menyoroti wewenang pemilik seperti minting, perubahan pajak, atau blacklist. Periksa siapa auditornya dan apakah laporan tersedia di situs auditor sendiri, bukan hanya di situs proyek.