Audit di smart contract (Smart contract audit)

Un audit è una verifica a pagamento in cui ricercatori di sicurezza leggono il codice degli smart contract di un progetto, lo testano e redigono un rapporto che elenca i problemi per gravità. L'obiettivo è trovare bug e logiche sfruttabili prima degli attaccanti. Nei rapporti, ogni problema è solitamente indicato come risolto, riconosciuto o aperto.

Gli auditor combinano la revisione manuale con strumenti come analizzatori statici, fuzzer e suite di test. Cercano problemi come reentrancy, errori nei calcoli, controlli di accesso mancanti, manipolazione degli oracoli e poteri pericolosi del proprietario. Il rapporto riguarda una versione specifica del codice, spesso identificata dall'hash di un commit o dall'indirizzo del contratto distribuito on-chain. Alcune società offrono anche verifica formale o monitoraggio continuo.

Per chi acquista un token, un audit dimostra che il team ha almeno pagato qualcuno per esaminare il codice. Non significa che il progetto sia sicuro o onesto. Un audit non può impedire a un team di vendere i propri token o ritirare liquidità non bloccata, e molti protocolli colpiti da attacchi erano stati sottoposti ad audit. Per i token più piccoli, gli audit economici sono spesso scansioni automatizzate presentate come revisioni approfondite, e alcuni badge di audit sono semplicemente falsi.

Leggi il rapporto effettivo, non limitarti al badge. Controlla che l'indirizzo o il codice sottoposto ad audit corrisponda a quello distribuito on-chain, perché un progetto può far verificare un contratto e lanciarne un altro. Guarda quali problemi critici o di gravità elevata sono rimasti irrisolti e se l'auditor ha segnalato poteri del proprietario come il mint, la modifica delle tasse o l'inserimento in blacklist. Verifica chi ha eseguito l'audit e se il rapporto è pubblicato sul sito dell'auditor, non soltanto su quello del progetto.