ביקורת קוד (אודיט) (Smart Contract Audit)

מה בודקים באודיט

חברת אבטחה עוברת על קוד החוזים ומחפשת באגים, פרצות לוגיות, הרשאות מסוכנות ומקומות שבהם אפשר למשוך כסף בלי רשות. בסוף מתפרסם דוח שמדרג כל ממצא לפי חומרה ומציין אם הצוות תיקן אותו.

חברות מוכרות בתחום: Trail of Bits, OpenZeppelin, Spearbit, Cantina ו-Certora. בנוסף, הרבה פרויקטים מציעים פרס לחוקרים שמוצאים באגים (Bug Bounty), למשל דרך Immunefi.

איך קוראים דוח אודיט

• האם הקוד שנבדק הוא הקוד שרץ? בודקים שהכתובת או הגרסה בדוח תואמות לחוזה שבשימוש.
• האם הממצאים החמורים תוקנו?
• מתי נעשה האודיט? שדרוגים מאוחרים יותר לא כוסו.
• מי ביצע אותו? "אודיט" מחברה לא מוכרת, שעולה כמה מאות דולרים, לא שווה הרבה.

מה אודיט לא מבטיח

גם פרוטוקולים שעברו כמה אודיטים נפרצו. במרץ 2023 נגנבו מפרוטוקול Euler כ-197 מיליון דולר, למרות אודיטים קודמים (התוקף החזיר את הכסף בהמשך). אודיט מוריד סיכון, לא מבטל אותו. הוא גם לא בודק אם הצוות ישר: פרויקט יכול לעבור אודיט ועדיין לבצע ראג פול.