Wat zijn Smart Contractaudits | Crypto Sensei

Smart contracts spelen een cruciale rol in decentralized finance (DeFi). Daarom is het ontzettend belangrijk dat ze werken naar toebehoren. Om het vertrouwen van investeerders te winnen, pronken DeFi-platformen vaak trots met auditbadges op hun website. Maar wat is nou precies een smart contractaudit? Hoe werkt zo’n audit en wat zegt het over de veiligheid en betrouwbaarheid van een project? We zullen deze vragen in dit artikel beantwoorden.

Smart contractaudits

Tijdens een smart contractaudit wordt de code van smart contracts gecontroleerd op bugs, problemen en kwetsbaarheden. Vaak gaan auditbedrijven methodisch te werk om de code te analyseren. Deze analyses worden meestal toegepast op meerdere smart contracts binnen een DeFi-protocol, omdat smart contracts vaak met elkaar communiceren.

Smart contractaudits zijn essentieel voorafgaande aan de lancering van een nieuwe decentralized app (DApp), zoals een decentralized exchange (DEX), omdat smart contracts doorgaans zijn ontworpen om grote hoeveelheden crypto te beheren, waardoor het belangrijk is dat ze goed werken en beschermd zijn tegen exploits. Een kleine bug of kwetsbaarheid kan leiden tot grote of zelfs volledige verliezen voor inesteerders.

Naast veiligheidsredenen gebruiken ontwikkelaars ook smart contractaudits om het vertrouwen van potentiële nieuwe investeerders te winnen. Een geaudit DeFi-platform met een “Audited By”-badge ziet er veiliger en professioneler uit dan een DeFi-platform dat niet is geaudit.

Het is belangrijk om op de website van het smart contractauditbedrijf te kijken of een DeFi-platform daadwerkelijk is geaudit. Kwaadwillige DeFi-platformen gebruiken vaak onofficiële badges van auditbedrijven met als uiteindelijk doel het stelen van crypto van investeerders.

Enkele bekende smart contractauditbedrijven zijn:

• CertiK Home
• Hacken Hacken CyberSecurity Services — Hacken
• Quantstamp Quantstamp: Leaders in Blockchain Security and Solutions
• Open Zeppelin OpenZeppelin
• Consensys Diligence Smart Contract Audits | ConsenSys Diligence
• LeastAuthority Home | Least Authority — Privacy Matters

Hoe smart contractaudits worden uitgevoerd

Doorgaans werken auditbedrijven via een bepaald systeem, wat inhoudt dat ze de audit methodologisch en binnen een bepaald termijn uitvoeren. Ze werken vaak met zowel formele verificatietools als handmatige beoordelingen van experts.

Formele verificatie (formal verification) is een gespecialiseerd proces om de veiligheid en juistheid van smart contracts wiskundig te bewijzen. Door formele verificatie te gebruiken, kunnen de codes en algoritmen van smart contracts worden gecheckt en vergeleken worden met hun beoogde functie.

Omdat formele verificatietools gebruikmaken van wiskundige systemen, kunnen ze een bijna oneindige hoeveelheid scenario’s berekenen. Wanneer er een fout of bug wordt gevonden, kan de tool het stukje code lokaliseren dat de bug veroorzaakt en onmiddellijk een oplossing voorstellen. Vanwege deze mogelijkheden zijn formele verificatietools veel krachtiger dan foutgevoelige menselijke beoordelingen. Wel moet er bij gezegd worden dat formele verificatie slechts zo goed is als het model waarop het is gebaseerd, dus een dergelijke beoordeling is geen garantie tegen exploits.

Het verschilt per auditbedrijf hoe uitgebreid smart contracts worden gecontroleerd. Auditbedrijf Certik controleert smart contracts op:

• Gasoptimalisatie
• Wiskundige bewerkingen
• Logical issues
• Control flow
• Volatile codes
• Informatiestroom
• Codetaal specifieke problemen
• Coderingsstijl
• Inconsistentie
• Magic numbers
• Compileer fouten

Hoewel elk auditbedrijf haar eigen procedures en analysemethoden heeft, verloopt een smart contract audit over het algemeen als volgt:

1. Overeenkomst over een specificatie: Door een specificatie en andere bijbehorende documentatie te verstrekken, begrijpt het auditteam wat de architectuur van het project is en wat de smart contractcodes zouden moeten doen. Auditors zullen ook vaak vragen om een ​​”code freeze”, wat vereist dat alle codering is afgerond of in de laatste fase is voordat de audit wordt uitgevoerd.
2. Algemene testen: Tijdens deze stap worden verschillende tests uitgevoerd die gericht zijn op individuele functies of grotere stukken codes. Door deze algemene tests uit te voeren, neemt het aantal gemakkelijk detecteerbare bugs snel af. Doorgaans wordt een line coverage van 90% per contract bereikt.
3. Formele verificatie (geautomatiseerde analyse): Deze stap omvat de eerdergenoemde formele verificatietools voor smart contracts.
4. Handmatige analyse: Na de geautomatiseerde analyse doorlopen experts handmatig het volledige contract om te controleren of het contract functies bevat die in strijd zijn met de specificatie en om de detectie van potentiële kwetsbaarheden te verbeteren.
5. Auditrapport: Tot slot stelt het auditbedrijf een rapport op met haar bevindingen. Idealiter bespreken het projectteam en het auditbedrijf de resultaten en hoe eventuele kwetsbaarheden of bugs verholpen kunnen worden.

Zaken om in gedachten te houden

Het is belangrijk om het verschil te kennen tussen smart contractaudits en screening op kwaadwillige coderingen. Smart contract audits richten zich vooral op de vraag of een smart contract werkt zoals het hoort: klopt de codeerstijl, zijn er grote of kleine bugs in het contract, hoe is de gasoptimalisatie, etc. Het is belangrijk om te beseffen dat smart contract audits niet volledig focussen op exploits en hard rugs in smart contracts

Tijdens een coderingsscreening wordt er uitsluitend gericht op het analyseren van de smart contracts van DeFi-farms (bijv. Masterchefs) om te kijken of er een kans is op hard rugs.

Tijdens het screenen van smart contract codering moet je uitkijken naar zaken zoals:

• Masterchef ownership
• Time locks
• Transfer tax
• Anti-whale functies
• Locker contracts
• Harvest lockups
• Eerder gebruikte rug pull codes

Het is ook belangrijk om te beseffen dat een smart contract audit weinig zegt over hoe veilig een DeFi platform is: hebben de ontwikkelaars hun smart contract codes aangepast na de audit? Is het team achter het platform publiekelijk bekend? Hebben de ontwikkelaars hun masterchef-contract geruild met een kwaadwillig contract? Ongeacht deze onbeantwoorde vragen kunnen de ontwikkelaars van het project nog steeds de badge “Audited By” op hun website gebruiken.

Conclusie

Smart contract audits spelen een belangrijke rol bij het controleren en analyseren van smart contract codes. Dankzij smart contractaudits kunnen bugs en kwetsbaarheden worden verholpen. Het is goed om te onthouden dat smart contract audits zich vooral richten op de performance en mogelijke bugs van een smart contract en niet zo zeer op kwaadwillige codes.

Mocht dit artikel je geholpen hebben, vergeet dan niet om op de 👏 knop te klikken en de post te delen! Voel je vrij om hieronder een reactie te plaatsen!

• Bekijk onze website voor Crypto en Decentralized Finance cursussen: https://crypto-sensei.com/
• Volg ons op Twitter: https://twitter.com/CryptoSenseiNL
• Of join onze community op Reddit: https://www.reddit.com/r/CryptoSensei/

Originally published at https://crypto-sensei.com on August 10, 2021.