Ile czasu zajmuje audyt inteligentnych kontraktów | DeFi

Prawie połowa inteligentnych kontraktów w ekosystemie Ethereum nie jest badana, co prowadzi do rosnącej liczby hacków. 

Audyt inteligentnego kontraktu jest na ogół ostatnim krokiem na drodze do inteligentnego kontraktu lub aplikacji DeFi i często jest pomijany. Biorąc pod uwagę znaczenie inteligentnych kontraktów w świecie DeFi lub w dowolnej aplikacji Blockchain, audytowanie inteligentnych kontraktów jest kluczową częścią aplikacji. 

Niezależnie od tego, czy jest to rewolucja finansowa, tokenizacja aktywów, czy wdrożenie dowolnego przypadku użycia na platformie Blockchain, inteligentne kontrakty są niezbędne. Zasadniczo inteligentne kontrakty to tylko kilka wierszy kodu używanych do wykonania warunku. Na przykład, jeśli bierzesz pożyczkę z aplikacji DeFi, takiej jak Aave i Compound, zapewniając pewne zabezpieczenie i płacąc określone odsetki od pożyczki, wszystkie warunki są definiowane za pomocą serii inteligentnych kontraktów. 

W tym scenariuszu istnieje wiele inteligentnych kontraktów zaangażowanych w tworzenie cyfrowego ekosystemu interakcji finansowych. Należy tutaj zdać sobie sprawę, że te liczne inteligentne kontrakty są współzależne. Jeden mały błąd w dowolnym wierszu kodu z dowolnej inteligentnej umowy może prowadzić do drastycznych rezultatów. 

Powszechnym błędem jest przekonanie, że audyt inteligentnego kontraktu zajmuje nieracjonalnie dużo czasu. Jest to uogólniony pogląd, podczas gdy w rzeczywistości czas potrzebny na audyt inteligentnego kontraktu zależy od złożoności przypadku użycia i różnych innych czynników. Brak wiedzy na temat czasu audytu jest jednym z głównych powodów, dla których wiele inteligentnych kontraktów pozostaje nieaudytowanych.

Jak długo trwa audyt inteligentnych kontraktów

Poniżej wymieniono kilka możliwości pod względem czasu, jaki może zająć audyt inteligentnego kontraktu:

1. Najczęstszym czynnikiem, który należy wziąć pod uwagę podczas audytu, jest wielkość projektu. Złożoność projektu również ma znaczenie, ale rozmiar projektu staje się podstawową cechą określającą czas, jaki zajmie audyt.

Ogólnie rzecz biorąc, prosta inteligentna umowa, taka jak umowa na token dla tokenów ERC20, może zająć kilka dni, co oznacza, że ​​czas audytu takich umów może zająć od 24 do 48 godzin. To znowu zależy od złożoności projektu. W przypadku używania ERC20 wewnątrz Dapp, audyt może trwać prawie cały miesiąc. 

Innym rodzajem umowy jest umowa sprzedaży tokenów. Można je zdefiniować jako zaawansowane kontrakty ERC20 ze zdefiniowaną tokenomiką i zaawansowanymi funkcjami. Funkcjonalności takie jak obstawianie i zamiana również mogą być częścią takich kontraktów. Pełny audyt takich umów może zająć od jednego do dwóch tygodni w porównaniu z kilkoma dniami w przypadku podstawowego kontraktu ERC20.

2. Jak wspomniano powyżej, czas przeprowadzania audytów zależy również od złożoności projektu. Na przykład, jeśli budujesz zdecentralizowaną giełdę lub zdecentralizowany rynek pieniężny, taki jak Aave, audyt wymaga biegłego rewidenta i obszernego harmonogramu, aby upewnić się, że nie ma backdoorów. W takim przypadku nawet wyrocznie muszą zostać poddane audytowi wraz z automatycznymi animatorami rynku i innymi częściami ekosystemu.

W niektórych przypadkach zależność protokołu lub inteligentnych kontraktów od czynników zewnętrznych naraża go na ogromne luki w zabezpieczeniach, które mogą prowadzić do niewyobrażalnych strat. 

Dlatego tego typu wniosek wymaga audytu, który trwa do 1 miesiąca. 

Inne projekty należące do tej kategorii to między innymi pożyczki, pożyczki, insurtech i instrumenty pochodne. 

3. Rodzaje audytów również odgrywają ważną rolę w określaniu wymaganego czasu. Jeśli Twój inteligentny kontrakt został zakodowany zgodnie z najlepszymi wytycznymi programistycznymi i masz pewność co do jego integralności, wybierz audyt tymczasowy. 

W ramach audytu okresowego do projektu przydzielany jest ekspert, który ma na celu sprawdzenie struktury i przeanalizowanie ewentualnych podatności. Audyt tymczasowy pomaga w upewnieniu się, że projekt zmierza we właściwym kierunku, a potencjalna podatność, która może zmienić całą strukturę aplikacji na późniejszym etapie, jest identyfikowana tak wcześnie, jak to możliwe. Ten audyt zazwyczaj trwa jeden dzień. 

Dalej jest pełny audyt bezpieczeństwa. Podczas gdy audyt tymczasowy można przeprowadzić podczas opracowywania inteligentnego kontraktu, pełny audyt bezpieczeństwa wchodzi w grę po zakończeniu aplikacji. Zwykle jest to ostatni krok wymagany przed wdrożeniem aplikacji w sieci głównej. Jeśli aplikacja zostanie wdrożona bez pełnego audytu bezpieczeństwa, istnieje duże prawdopodobieństwo wystąpienia błędów i luk w zabezpieczeniach sieci głównej. Czas na pełny audyt bezpieczeństwa zależy od złożoności projektu, jak wyjaśniono w punkcie 1. 

Proces przeprowadzania audytu inteligentnego kontraktu może być ręczny lub automatyczny. Audyt automatyczny obejmuje testowanie kodu inteligentnego kontraktu pod kątem różnych predefiniowanych funkcji i narzędzi testowych. Zapewnia to ogólną ocenę podatności inteligentnego kontraktu. Jednak ten rodzaj audytu nie obejmuje dogłębnej analizy kodu i innych luk w zabezpieczeniach, takich jak tylne drzwi. W tym celu należy przeprowadzić ręczny audyt. W audytach ręcznych zespół ekspertów definiuje niestandardowe przypadki testowe i sprawdza różne aspekty kodu. 

Audyt automatyczny może zająć do jednego dnia w przypadku umów ERC20 / BEP20, podczas gdy audyty ręczne zwykle trwają od 3 do 5 dni w przypadku umów ERC20 / BEP20, natomiast w przypadku złożonych protokołów czas audytu zależy od kodu. Aby uzyskać niestandardowe sprawdzenie, jak długo zajmie audyt Twojego protokołu i jaki rodzaj audytu jest najlepszy, skontaktuj się z ekspertami z QuillAudits w celu uzyskania bezpłatnej konsultacji.

Patrząc na wymagany czas dla różnych typów inteligentnych kontraktów i aplikacji DeFi, wiele osób wchodzi na rynek ze swoimi innowacyjnymi produktami bez uzyskania audytu. Głównym powodem tego jest entuzjazm lub FOMO kogoś innego, kto wprowadza podobny projekt na rynek. Innym powodem mogą być dodatkowe koszty, których dana osoba może nie chcieć ponosić. 

Nie można jednak wystarczająco podkreślić znaczenia uzyskania audytu inteligentnych kontraktów. Tylko dodatkowy czas i pieniądze wydane na audyt inteligentnych kontraktów mogą zaoszczędzić miliony użytkowników. 

Aby lepiej spojrzeć na potrzebę audytu inteligentnego kontraktu, poniżej wymieniono najważniejsze hacki DeFi, które zdarzyły się z powodu jednego prostego błędu nie uzyskania audytu.

Najlepsze hacki DeFi

• DAO Hack

DAO to zdecentralizowana, autonomiczna organizacja, która staje się nowym standardem definiowania modelu zarządzania dowolną aplikacją. Zasadniczo DAO podejmuje decyzje dotyczące aplikacji za pośrednictwem inteligentnych kontraktów. Dlatego inteligentne kontrakty odgrywają kluczową rolę w takim środowisku. 

W jednym takim przypadku, w którym DAO była odpowiedzialna za demokratyzację procesu finansowania procesu Ethereum, haker wykorzystał lukę funkcji awaryjnej w inteligentnym kontrakcie. Używając ataku reentrancy, ukradł z protokołu 3.6 miliona. 

• Atak na parzystość

Parzystość wprowadziła koncepcję wielu podpisów w celu uwierzytelnienia transferu eterów. Dostosował ten proces za pomocą wielu inteligentnych kontraktów, które wymagały więcej niż jednego podpisu cyfrowego do uwierzytelnienia transferu Ether. 

Z powodu nieprawidłowego audytu haker był w stanie wykorzystać funkcję wywołania delegata i funkcję awaryjną inteligentnego kontraktu i ukraść nawet 30 milionów dolarów w Etherach.

Wnioski

Wspomniane hacki to tylko wierzchołek góry lodowej. W ekosystemie DeFi pojawiły się niezliczone hacki. Wraz z rozwojem DeFi te hacki również rosną wykładniczo. Jedną z głównych przyczyn tego wzrostu są niezaudytowane inteligentne kontrakty lub słabo skontrolowane inteligentne kontrakty. 

Przeprowadzenie audytu inteligentnego kontraktu nie zapewnia jego bezpieczeństwa, ale ważne jest, aby przeprowadził go audyt doświadczonego i uznanego w branży zespołu, takiego jak ten w Quillaudits. 

Nawet jeśli zajmie to trochę czasu i pieniędzy, zlecenie kontroli inteligentnych kontraktów przez doświadczony zespół może pomóc w zbudowaniu zrównoważonego projektu i osiągnięciu zenitu jego sukcesu.

Skontaktuj się z QuillHash

Z obecnością w branży od lat, QuillHash dostarcza rozwiązania dla przedsiębiorstw na całym świecie. QuillHash wraz z zespołem ekspertów jest wiodącą firmą zajmującą się rozwojem technologii blockchain, dostarczającą różne rozwiązania branżowe, w tym DeFi Enterprise.Jeśli potrzebujesz pomocy w audycie inteligentnych kontraktów, skontaktuj się z naszymi ekspertami tutaj!

Śledź QuillHash, aby uzyskać więcej aktualizacji

Twitter | LinkedIn | Facebook

Źródło: https://blog.quillhash.com/2021/04/30/how-long-does-it-take-to-get-smart-contracts-audited-defi/