Аудит смарт-контракта (Smart contract audit)

Аудит — это платная экспертиза, в ходе которой специалисты по безопасности изучают и тестируют код смарт-контракта, составляя отчет с классификацией проблем по уровню критичности. Цель аудита — найти баги и уязвимую логику до того, как ими воспользуются хакеры. В отчетах найденные проблемы обычно помечаются как исправленные (fixed), принятые к сведению (acknowledged) или открытые (open).

Аудиторы совмещают ручной анализ кода с автоматизированными инструментами: статическими анализаторами, фаззерами и тест-сьютами. Они ищут такие проблемы, как reentrancy, ошибки в вычислениях, отсутствие проверок доступа, манипуляции с оракулами и опасные привилегии владельца. Отчет составляется для конкретной версии кода, идентифицируемой по хэшу коммита или адресу деплоя. Некоторые аудиторские компании также предлагают формальную верификацию или постоянный мониторинг.

Для покупателя токена наличие аудита показывает, что команда как минимум выделила средства на проверку кода. Однако это не гарантирует безопасность проекта или честность команды. Аудит не мешает разработчикам слить свои токены или забрать незалоченную ликвидность, а многие взломанные протоколы ранее успешно проходили проверки. Для мелких щиткоинов дешевые аудиты часто представляют собой обычный автоматический скан, а некоторые бейджи аудита и вовсе подделывают.

Изучайте сам отчет, а не просто значок аудита на сайте. Убедитесь, что проверенный адрес или коммит совпадает с тем, что задеплоен в сети: проект может отправить на аудит один контракт, а запустить другой. Обратите внимание на неисправленные критические (critical) и высокие (high) риски, а также на замечания о функциях владельца: минт, изменение комиссий или добавление в блэклист. Проверьте репутацию аудитора и размещен ли отчет на его официальном домене, а не только на ресурсах проекта.