Smart contract audit

Een audit is een betaalde review waarbij security researchers de smart contract-code van een project analyseren, testen en een rapport opstellen waarin problemen per risiconiveau worden gerangschikt. Het doel is om bugs en exploiteerbare logica te vinden voordat aanvallers dat doen. Rapporten markeren elk issue doorgaans als fixed, acknowledged of open.

Auditors combineren handmatige review met tools zoals static analyzers, fuzzers en test suites. Ze zoeken naar zaken als reentrancy, rekenfouten, ontbrekende access checks, orakel-manipulatie en gevaarlijke bevoegdheden van de eigenaar. Het rapport is van toepassing op een specifieke versie van de code, vaak aangeduid met een commit hash of een deployed adres. Sommige bureaus bieden ook formele verificatie of doorlopende monitoring.

Voor een tokenkoper toont een audit aan dat het team ten minste iemand heeft betaald om ernaar te kijken. Het betekent niet dat het project veilig of eerlijk is. Een audit kan niet voorkomen dat een team zijn tokens dumpt of ontgrendelde liquiditeit weghaalt, en tal van geëxploiteerde protocollen waren gewoon geaudit. Bij kleine tokens zijn goedkope audits vaak geautomatiseerde scans vermomd als volwaardige reviews, en sommige audit-badges zijn ronduit nep.

Lees het daadwerkelijke rapport, niet alleen de badge. Controleer of het geaudite adres of de code overeenkomt met wat er live staat, want een project kan het ene contract laten auditen en een ander lanceren. Kijk welke kritieke of hoge risico's onopgelost zijn gebleven, en of de auditor wees op eigenaarsrechten zoals minten, belastingwijzigingen of blacklists. Check wie de audit heeft uitgevoerd en of het rapport op de site van de auditor zelf staat, niet alleen op die van het project.