Аудит смарт-контрактів

Аналіз і перевірка специфікацій та вихідного коду смарт-контрактів

Ваші смарт-контракти можуть містити приховані вразливості, які можуть призвести до втрати грошей або переривання бізнес-операцій. У світі блокчейн навіть дрібні проблеми безпеки негативно впливають на репутацію та інвестиційні рішення.

Захистіть ваші блокчейн-рішення, усуньте коштовні помилки, оптимізуйте ваш код і дайте гарантії надійності вашим користувачам та інвесторам. У результаті ви збільшите довіру блокчейн-спільноти до ваших проєктів та забезпечите їхнє стабільне зростання.

Наші сертифіковані експерти рядок за рядком аналізують безпеку ваших смарт-контрактів, знаходячи їх уразливості та інші недоліки. Ми розробляємо рекомендації, які захищають ваші смарт-контракти та ваш бізнес.

Прочитайте введення в безпеку смарт-контрактів. Дізнайтеся більше про проблеми, які ми вирішуємо, про методи та інструменти, які ми використовуємо, та про результати, які ми надаємо.

Безкоштовний Аудит


Проблеми смарт-контрактів

  1. Невідповідність між специфікацією та реалізацією.
  2. Недоліки дизайну, логіки та контролю доступу.
  3. Переповнення при арифметичних операціях (цілочисельне переповнення).
  4. Атаки повторного входу, атаки впровадження коду та атаки типу «відмова в обслуговуванні».
  5. Перевищення ліміту використання байт-коду та газу.
  6. Майнерські атаки на мітки часу та порядок транзакцій, залежність порядку транзакцій (TOD).
  7. Умови гонки, а також інші відомі атаки та порушення управління доступом.
?
Детальніше про вразливості
  • Поширені та специфічні для платформи вразливості:
  • Неправильне впровадження стандарту
  • Переповнення цілого числа
  • Атака на стек викликів
  • Залежність від позначки часу
  • Залежність від властивостей блоку
  • Помилка мультипідпису
  • Залежність від порядку транзакцій
  • Уразливості функцій виклику
  • Безпека бізнесу
  • Безпека подій
  • Атака повторного входу
  • Уразливості генератора псевдовипадкових чисел
  • Уразливості DoS
  • Фальшивий депозит
  • Реалізація Token Vesting
  • Помилкова зміна стану
  • та інші (100+ уразливостей)
  • Поширені вразливості кодування на Solidity та інших мовах:
  • Додаткові витрати газу
  • Неявний рівень видимості
  • Дорогий цикл
  • Використання модифікатора видимості public замість external
  • Застарілі модулі
  • Використання fallback функцій
  • Перевизначення змінних
  • Надлишковий код
  • та інше
ЗАудит смарт-контрактів

Для яких проєктів потрібен аудит смарт-контрактів?

Аудит смарт-контрактів необхідний для будь-якого проєкту, який використовує смарт-контракти для автоматизації виконання та забезпечення виконання договірних угод у мережах блокчейн. Ці проєкти включають децентралізовані біржі, торгові майданчики NFT, автоматизовані маркет-мейкери, протоколи вирощування врожаю та багато інших типів проєктів.

Коли проєкту потрібен аудит смарт-контракту?

Аудит смарт-контракту необхідний, коли необхідно оцінити безпеку та функціональність смарт-контракту. Є кілька умов або передумов, які роблять аудит смарт-контракту необхідним, зокрема:

1
Перед розгортанням
Аудит смарт-контракту часто проводиться перед розгортанням контракту в мережі блокчейн. Це необхідно для забезпечення безпеки контракту та відсутності вразливостей, якими можуть скористатися зловмисники.
2
Після розгортання
Аудит смарт-контракту також можна провести після розгортання контракту в мережі блокчейн. Це необхідно для оцінки безпеки та функціональності контракту в реальному середовищі та виявлення будь-яких проблем, які могли виникнути після розгортання.
3
Зміна вимог
Аудит смарт-контракту може знадобитися, коли є зміни у вимогах або специфікаціях контракту. Це робиться для того, щоб переконатися, що зміни не створюють уразливості безпеки та не порушують функціональність контракту.
4
Питання безпеки
Аудит смарт-контракту може знадобитися, якщо є проблеми з безпекою контракту. Це може бути відповідь на порушення безпеки, виявлення вразливості або ймовірну атаку.
5
Вимоги відповідності
Аудит смарт-контракту може знадобитися для відповідності нормативним або галузевим стандартам. Наприклад, фінансовим установам може знадобитися провести аудит смарт-контрактів, щоб відповідати нормам безпеки та конфіденційності.
ОТРИМАЙТЕ БЕЗКОШТОВНУ КОНСУЛЬТАЦІЮ

Переваги аудиту смарт-контрактів H-X

Аудит смарт-контрактів H-X надає кілька переваг, зокрема:

  • Гарантія безпеки: аудит допомагає виявити потенційні ризики безпеки та вразливі місця в смарт-контрактах, гарантуючи цілісність і безпеку платформи та її користувачів.
  • Відповідність: аудит може допомогти переконатися, що код смарт-контракту відповідає відповідним нормам і стандартам.
  • Захист репутації: успішний аудит може підвищити репутацію проєкту та його розробників, збільшуючи довіру користувачів і впевненість у платформі.
  • Економія коштів: раннє виявлення та усунення потенційних ризиків безпеки може допомогти уникнути дорогих порушень безпеки та юридичних проблем у майбутньому.

Вимоги до аудиторів смарт-контрактів

  1. Метою аудиту смарт-контрактів є ретельний аналіз коду для виявлення недоліків і вразливостей.
  2. Аудит безпеки проводиться з використанням поєднання ручних і автоматичних інструментів і методів для виявлення та моделювання експлуатації вразливостей в їхньому цільовому середовищі.
  3. Тести проводяться командою фахівців із досвідом роботи в різних галузях інформаційної безпеки з 2002 року, власниками сертифікатів CISSP, OSCP, CISA та CEH.
  4. Аналіз коду слідує рекомендаціям Solidity Style Guide, Ethereum Smart Contract Security Best Practices, Smart Contract Security Verification Standard (SCSVS).
  5. Класифікація вразливостей відповідає DASP Top 10, SWC Registry та CWE/SANS Top 25.
ЗАПИТ ЦІНИ

Етапи аудиту

  1. Перевірка документації.
  2. Детальний аналіз коду смарт-контракту, функціональності та логіки його роботи, криптографії, сторонніх модулів та структури бібліотек.
  3. Аналіз специфічних кейсів: Web security, Social security, Token/smart-contract OSINT, Signs of Risk, Signs of Confidence.
  4. Ручний пошук слабких місць функцій, розробка векторів атак, написання тестів для їх реалізації.
  5. Автоматичне сканування вихідних файлів для пошуку невідповідностей кращим практикам безпеки смарт-контрактів.
  6. Перевірка результатів сканування, визначення помилкових спрацьовувань інструментів та реальних уразливостей, які можуть вплинути на безпеку програми.
  7. Розробка рекомендацій щодо усунення знайдених недоліків та оцінка ризиків.
  8. Перевірка впровадження рекомендацій.
  9. Видача публічного сертифіката про успішне проходження аудиту.

Ми проводимо аудит смарт-контрактів на цих платформах

?
Розширений список платформ, які ми підтримуємо
  • aelf, Aeron, Aeternity, AION, Algorand, Ambrosus, AnycoinDirect, Arcona, Ardor, Ark, Asure, Auctus, Augur, Aurum, Avalanche, BILLCRYPT, Bithemoth, Block Collider, BNB Beacon Chain (BEP2), BNB Smart Chain (BEP20), BnkToTheFuture, Cardano, Casper, Centrality, ChangeNOW, ChiliZ, ConsenSys Quorum, Cortex, Cosmos, COTI, Cronos, Cryptonex, CyberMiles, Dapp Fight, Dapps, Disciplina, Dogezer, Earths, ECROFund, Elastos, Electrify Asia, Enigma, Enjin Coin, Enkronos, EOS, стандарти Ethereum ERC-20 – ERC-4626, Etherparty, Fantom, Fluence, FReeStart, Funfair, Gimli, Gnosis, GoByte, GXChain, HECO, HoloChain, I-chain, ICON, IExec, Ignis, Internxt, INTRO, Ion, IOStoken, JUST, Klaytn, Komodo, Lisk, Loom Network, Loopring, MaidSafeCoin, Mainframe, Maker, Metaverse ETP, Morpheus Network, MVL, NAV Coin, Near, Nebulas, NEM, Neo, Nimiq, NIX, Nuls, NXT, OEL Foundation, OmniBazaar, ONT, Ontology, Opporty, OpuLabs, ORIS.SPACE, Papusha, Polkadot, Polygon, ProximaX, Qtum, QuarkChain, QUOINE, RChain, Red Pulse, RepuX, Request Network, Revain, Scorum, Siacoin, Skycoin, SmartMesh, Solana, Stellar, Stream, Swarm city, Syscoin, Taklimakan, Tezos, Theta, TON, Trivver, Tron TRC-20 – Tether, Vechain, Verge, Wanchain, Waves, WaykiChain, Xdc, Zilliqa та інші.

Наші інструменти

Slither, securify, Mythril, Sūrya, Solgraph, Truffle, Hardhat, Ganache, Mist, solhint, mythx, manticore тощо.


Що включає звіт про аудит смарт-контракту

Результати проєкту охоплюють звіт про аудит смарт-контракту:

  1. Резюме для керівника
  2. Проєктний підхід
    • Специфікація проєкту (Rules of Engagement)
    • Опис методології аудиту безпеки смарт-контракту
    • Опис обсягу охоплення
  3. Робочий процес аудиту безпеки смарт-контракту
  4. Отримані дані та рекомендації
  5. Додаткова інформація про отримані дані та докладні рекомендації
  6. Висновки
  7. Рекомендації щодо зниження ризиків.

Після того, як ви виправляєте недоліки вашого смарт-контракту, ми безкоштовно проводимо повторне тестування та видаємо вам сертифікат безпеки, що гарантує надійність вашого смарт-контракту та значно підвищує сумарну цінність вашого проєкту.

Резюме сервісу

⏳ Тривалість проєкту

У середньому 2-3 тижні. Аудит великого чи складного контракту може тривати навіть місяці.

🎁 Це може бути безкоштовним чи мати тестовий період?

Використовуйте наш автоматичний сервіс scau.pro для поверхневого аудиту безпеки смарт-контрактів.

💼 Для якого типу бізнесу це потрібно?

Фінанси, ланцюжок поставок, охорона здоров’я, ігри, нерухомість, уряд та будь-який бізнес, який використовує смарт-контракти як важливий компонент своєї діяльності.

💡 Коли потрібна ця послуга?

До або після розгортання, за змін вимог, міркувань безпеки або вимог відповідності.

📈 Ваша вигода

Зниження фінансових ризиків, підвищення надійності, впевненості, відповідності вимогам, репутації, фінансової цінності та конкурентних переваг.

⚙️ Наші методи та інструменти

Перевірка коду вручну, автоматизовані інструменти, тестування на проникнення, набори тестів для смарт-контрактів та аналітика блокчейну.

📑 Результати

Резюме, докладний звіт, рекомендації щодо виправлення, звіт з ретесту, сертифікат.

ЗАПИТ ЦІНИ

Ознайомтеся з нашими додатковими сервісами та бізнес-кейсами. Надішліть форму нижче для замовлення аудиту смарт-контракту. Отримайте безкоштовну консультацію.

Бізнес-кейси проектів, виконаних нами

Автоматизація бізнесу
Аналіз безпеки вихідних кодів програмного забезпечення
Аудит смарт-контрактів та блокчейн
Аудити безпеки та тести на проникнення
Кейси з впровадження центру безпеки (Security Operations Center)
Керована безпека й комплаєнс (ISO 27001 тощо)
Реагування на інциденти та їх розслідування