Скільки часу потрібно для аудиту смарт-контрактів | DeFi

Майже половина смарт-контрактів в екосистемі Ethereum не перевіряється, що призводить до зростання кількості злому. 

Аудит смарт-контракту, як правило, є останнім кроком на шляху розробки смарт-контракту або для програми DeFi, і його часто не використовують. Враховуючи популярність смарт-контрактів у світі DeFi або в будь-якому додатку Blockchain, аудит смарт-контрактів є важливою частиною програми. 

Будь то фінансова революція, токенізація активів або впровадження будь-якого варіанту використання на платформі Blockchain, розумні контракти є обов’язковими. По суті, смарт-контракти — це лише кілька рядків коду, які використовуються для виконання умови. Наприклад, якщо ви берете позику в програмі DeFi, як-от Aave і Compound, надавши певну заставу та сплативши певний відсоток за позикою, усі умови визначаються за допомогою серії смарт-контрактів. 

У цьому сценарії існує кілька смарт-контрактів, які беруть участь у створенні цифрової екосистеми фінансових взаємодій. Тут потрібно усвідомити, що ці численні смарт-контракти взаємозалежні. Одна невелика помилка в будь-якому рядку коду будь-якого смарт-контракту може призвести до кардинальних результатів. 

Поширена помилка, що аудит смарт-контракту займає невиправдано багато часу. Це узагальнена точка зору, тоді як насправді час, необхідний для аудиту розумного контракту, залежить від складності варіанту використання та різних інших факторів. Відсутність знань щодо часу аудиту є однією з важливих причин, чому багато розумних контрактів залишаються без аудиту.

Скільки часу займає аудит смарт-контрактів

Нижче наведено кілька можливостей з точки зору часу, який може зайняти аудит смарт-контракту:

1. Найбільш поширеним фактором, який слід враховувати під час аудиту, є розмір проекту. Складність проекту також має значення, але розмір проекту стає основною характеристикою при визначенні часу, який займе аудит.

Загалом, простий смарт-контракт, як-от контракт-токен для маркерів ERC20, може зайняти кілька днів, а це означає, що час аудиту таких контрактів може тривати від 24 до 48 годин. Це знову ж таки залежить від складності проекту. У разі використання ERC20 всередині Dapp, аудит може зайняти майже цілий місяць. 

Інший тип контракту - контракт на продаж токенів. Їх можна визначити як розширені контракти ERC20 з визначеною токеномікою та розширеними функціями. Такі функції, як стейкинг і обмін, також можуть бути частиною таких контрактів. Повний аудит таких контрактів може зайняти від одного до двох тижнів порівняно з парою днів для базового контракту ERC20.

2. Як зазначалося вище, час проведення аудиту також залежить від складності проекту. Наприклад, якщо ви створюєте децентралізовану біржу або децентралізований грошовий ринок, такий як Aave, для аудиту потрібен експерт-аудитор і великий термін, щоб забезпечити відсутність бэкдорів. У такому випадку навіть оракули мають бути перевірені разом з автоматизованими маркет-мейкерами та іншими частинами екосистеми.

У деяких випадках залежність протоколу або смарт-контрактів від зовнішніх факторів наражає їх на величезні вразливості, які можуть призвести до немислимих втрат. 

Тому такий вид заявки вимагає аудиту, який займає до 1 місяця. 

Інші проекти, які підпадають під цю категорію, включають кредитування, позики, страхування та похідні фінансові інструменти. 

3. Види аудиту також відіграють важливу роль у визначенні необхідного часу. Якщо ваш смарт-контракт був закодований відповідно до найкращих рекомендацій щодо розробки, і ви впевнені в його цілісності, проміжний аудит має бути вашим вибором. 

Під час проміжного аудиту до проекту призначається експерт, який перевіряє структуру та аналізує можливі вразливі місця. Проміжний аудит допомагає переконатися, що проект рухається в правильному напрямку, а можливу вразливість, яка може змінити всю структуру програми на пізнішому етапі, буде виявлена ​​якомога раніше. Цей аудит зазвичай займає один день. 

Далі – повний аудит безпеки. Хоча проміжний аудит можна зробити під час розробки смарт-контракту, повний аудит безпеки настає після того, як додаток буде завершено. Зазвичай це останній крок, необхідний перед тим, як програму можна буде розгорнути в головній мережі. Якщо програма розгорнута без повного аудиту безпеки, існує велика ймовірність помилок і вразливостей основної мережі. Час повного аудиту безпеки залежить від складності проекту, як пояснюється в пункті 1. 

Процес завершення аудиту смарт-контракту може бути ручним або автоматичним. Автоматичний аудит включає тестування коду смарт-контракту на різні попередньо визначені функції та інструменти тестування. Це забезпечує загальну оцінку вразливості для смарт-контракту. Однак цей тип аудиту не охоплює поглибленого аналізу коду та інших вразливостей, таких як задні двері. Для цього необхідно провести перевірку вручну. Під час ручного аудиту команда експертів визначає деякі спеціальні тестові випадки та перевіряє різні аспекти коду. 

Автоматичний аудит може тривати до одного дня для контрактів erc20/bep20, тоді як ручний аудит зазвичай триває від 3 до 5 днів для контрактів erc20/bep20, тоді як для складних протоколів час аудиту залежить від коду. Щоб отримати індивідуальну перевірку, скільки часу займе аудит для вашого протоколу та який тип аудиту є найкращим, зверніться до експертів QuillAudits, щоб отримати безкоштовну консультацію.

З огляду на необхідний час для різних типів смарт-контрактів і програм DeFi, багато людей виходять на ринок зі своїми інноваційними продуктами, не проходячи аудит. Основною причиною цього є ентузіазм або FOMO когось іншого, що представляє подібний проект на ринку. Іншою причиною можуть бути додаткові витрати, які людина, можливо, не захоче нести. 

Однак важливість аудиту смарт-контракту не можна підкреслити. Лише деякий додатковий час і гроші, витрачені на аудит смарт-контрактів, можуть заощадити мільйони користувачів. 

Щоб краще зрозуміти необхідність аудиту смарт-контракту, нижче наведено найпопулярніші хаки DeFi, які сталися через одну просту помилку — не отримати аудит.

Кращі хаки DeFi

• Взлом DAO

DAO — це децентралізована автономна організація, яка стає новим стандартом визначення моделі управління будь-яким додатком. По суті, DAO приймає рішення щодо програми за допомогою смарт-контрактів. Тому розумні контракти відіграють вирішальну роль у такому середовищі. 

В одному з таких випадків, коли DAO відповідав за демократизацію процесу фінансування процесу Ethereum, хакер скористався вразливістю резервної функції в смарт-контракті. Використовуючи атаку повторного входу, він викрав 3.6 мільйона з протоколу. 

• Атака паритету

Parity ввів концепцію множинних підписів для аутентифікації передачі ефірів. Він врахував цей процес за допомогою ряду смарт-контрактів, які потребували більше одного цифрового підпису для аутентифікації передачі Ether. 

Через неправильний аудит хакер зміг використати функцію виклику делегата та резервну функцію смарт-контракту та вкрасти до 30 мільйонів доларів в ефірах.

Висновок

Вищезгадані хаки — це лише верхівка айсберга. В екосистемі DeFi було зроблено незліченну кількість злому. Зі зростанням DeFi ці хаки також зростають у геометричній прогресії. Однією з основних причин такого збільшення є неаудовані смарт-контракти або погано перевірені смарт-контракти. 

Аудит вашого смарт-контракту не гарантує його безпеку, але важливо, щоб його перевірила досвідчена та визнана в галузі команда, як-от Quillaudits. 

Навіть якщо це займе деякий час і гроші, перевірка ваших розумних контрактів досвідченою командою може допомогти вам побудувати стійкий проект і досягти зеніту його успіху.

Зверніться до QuillHash

Маючи багаторічну присутність у галузі, QuillHash постачає корпоративні рішення по всьому світу. QuillHash з командою експертів - провідна компанія, що розробляє блокчейн, що пропонує різні галузеві рішення, включаючи DeFi Enterprise. Якщо вам потрібна допомога в аудиті смарт-контрактів, не соромтеся звертатися до наших експертів тут!

Підпишіться на QuillHash, щоб отримати додаткові оновлення

Twitter | LinkedIn | Facebook

Джерело: https://blog.quillhash.com/2021/04/30/how-long-does-it-take-to-get-smart-contracts-audited-defi/