スマートコントラクト監査（Smart contract audit）
要点 独立した専門家がプロジェクトのコントラクトコードを調査し、バグ、攻撃可能な弱点、危険な管理者権限を確認するセキュリティレビューです。
監査とは、セキュリティ研究者がプロジェクトのスマートコントラクトのコードを読み、テストし、問題を深刻度別にまとめた報告書を作成する有料のレビューです。攻撃者より先にバグや悪用可能なロジックを見つけることを目的としています。通常、報告書では各問題に「修正済み」「認識済み」「未解決」などのステータスが付けられます。
監査担当者は、手作業によるレビューと、静的解析ツール、ファザー、テストスイートなどを組み合わせます。リエントランシー、計算処理の不備、アクセス制御の欠落、オラクル操作、危険なオーナー権限などを調べます。報告書の対象はコードの特定バージョンで、多くの場合、コミットハッシュやデプロイ済みアドレスで識別されます。形式検証や継続的な監視を提供する監査会社もあります。
トークン購入者にとって、監査は少なくともチームが費用を払って第三者の確認を受けたことを示します。ただし、プロジェクトが安全、あるいは誠実だという意味ではありません。監査では、チームによる保有トークンの売却や、ロックされていない流動性の引き抜きは防げません。実際に攻撃を受けたプロトコルの多くも監査済みでした。小規模なトークンでは、安価な監査の実態が自動スキャンをレビューらしく見せたものだったり、監査バッジ自体が偽物だったりすることもあります。
バッジだけでなく、実際の報告書を読みましょう。あるコントラクトを監査に出し、別のコントラクトでローンチすることも可能なので、監査対象のアドレスやコードが実際にデプロイされたものと一致するか確認します。CriticalやHighの問題で未解決のものはないか、ミント、税率変更、ブラックリスト登録などのオーナー権限が指摘されていないかを調べましょう。誰が監査したのか、報告書がプロジェクト側だけでなく監査会社自身のサイトにも掲載されているかも確認してください。