In Kürze
Ein Audit liefert eine detaillierte Analyse der Sicherheit der Smart Contracts des Projekts. Dies ist eine wichtige Norm, die es zu befolgen gilt, um die über sie investierten Mittel zu schützen. Da alle Transaktionen auf der Blockchain irreversibel sind, ist es unmöglich, Gelder zurückzuerhalten, wenn sie gestohlen werden. Normalerweise überprüfen Validatoren den Code von Smart Contracts und erstellen Berichte für die weitere Verbesserung des Projekts. Anschließend wird ein Abschlussbericht zur Sicherheit des Projekts veröffentlicht. In diesem Bericht werden die verbleibenden Fehler und die zur Behebung von Leistungs- oder Sicherheitsproblemen durchgeführten Arbeiten detailliert beschrieben.
Einführen
Sicherheitsüberprüfungen intelligenter Verträge sind eine sehr häufige Aktivität im Ökosystem der dezentralen Finanzen (DeFi). Wenn Sie in ein Blockchain-Projekt investiert haben, müssen Sie die Ergebnisse der Smart-Contract-Code-Prüfung berücksichtigen.
Obwohl die meisten Menschen die Bedeutung von Audits für die Cybersicherheit verstehen, tauchen nicht viele tief in die Codezeilen ein. Lassen Sie uns die Methoden, Tools und Ergebnisse erkunden, die bei der Prüfung intelligenter Verträge häufig vorkommen, damit Sie fundiertere Entscheidungen treffen können.
Was ist Smart Contract Auditing?
Unter Smart Contract Security Audit versteht man den Prozess der Überprüfung und Kommentierung des Smart Contract Codes des Projekts. Typischerweise werden diese Verträge in der Programmiersprache Solidity geschrieben und über GitHub zur Verfügung gestellt. Sicherheitsüberprüfungen sind besonders wichtig für DeFi-Projekte, da dort Blockchain-Transaktionen im Wert von mehreren Millionen Dollar oder mit einer großen Benutzerbasis abgewickelt werden. Audits folgen in der Regel einem vierstufigen Prozess:
1. Der Smart Contract wird dem Validierungsteam zur ersten Analyse bereitgestellt.
2. Das Inspektionsteam präsentiert seine Erkenntnisse dem Projekt, damit dieses Lösungen finden kann.
3. Das Projektteam nimmt basierend auf den gefundenen Problemen Änderungen vor.
4. Das Site-Team plant, den Abschlussbericht herauszugeben und alle Änderungen oder verbleibenden Fehler zu überprüfen.
Für viele Benutzer von Kryptowährungen ist es wichtig festzustellen, ob ein Projekt über intelligente Verträge geprüft hat, bevor sie sich entscheiden, in ein neues DeFi-Projekt zu investieren. Die Akkreditierung ist zum Standard für Projekte geworden, die nachweisen wollen, dass sie ihre Arbeit ernst nehmen. Mehrere Anbieter von Smart-Contract-Audit-Diensten gelten als führend in der Branche. Ihre Prüfungen gelten in den Augen der Anleger als vertrauenswürdiger als andere.
Warum brauchen wir intelligente Vertragsprüfungen?
Da große Wertbeträge abgewickelt oder gesperrt werden, sind intelligente Verträge zu attraktiven Zielen für böswillige Angriffe von Hackern geworden. Kleine Fehler im Code können zu großen Gelddiebstählen führen. Beispielsweise hat der DAO-Hack auf die Ethereum-Blockchain ETH im Wert von etwa 60 Millionen US-Dollar gekostet und sogar zu einem Hard Fork des Ethereum-Netzwerks geführt.
Da Blockchain-Transaktionen unveränderlich sind, ist die Gewährleistung der Sicherheit des Projektcodes von entscheidender Bedeutung. Da die Blockchain-Technologie für Benutzer äußerst sicher ist, ist es auch schwierig, Gelder abzurufen und Probleme im Nachhinein zu lösen. Daher ist es besser, Sicherheitslücken um jeden Preis zu vermeiden.
Wie erfolgt die Prüfung intelligenter Verträge?
Der Smart-Contract-Prüfungsprozess wurde von Wirtschaftsprüfungsunternehmen in einen Standard aufgenommen. Auch wenn der Ansatz jedes Akkreditierers leicht variieren kann, läuft der Prozess normalerweise wie folgt ab:
1. Bestimmen Sie den Umfang der Inspektion. Intelligente Verträge und technische Spezifikationen werden durch das Projekt (ihren beabsichtigten Zweck) und die Gesamtarchitektur bestimmt. Die Spezifikation hilft dem Testteam, die Ziele des Projekts beim Schreiben und Verwenden von Code zu verstehen.
2. Erstellen Sie ein erstes Angebot basierend auf den erforderlichen Arbeiten.
3. Führen Sie einen Test durch. Ihre genaue Art variiert je nach Validierungsteam, seinen Analysetools und -methoden. Normalerweise werden sowohl manuelle als auch automatisierte Tests durchgeführt.
4. Erstellen Sie einen ersten Entwurf des Berichts mit den gefundenen Fehlern und stellen Sie ihn dem Projektteam zur Rückmeldung und weiteren Korrekturen zur Verfügung.
5. Veröffentlichen Sie einen Abschlussbericht, in dem alle vom Projektteam ergriffenen Maßnahmen zur Lösung der aufgeworfenen Probleme überprüft werden.
Intelligente Vertragsprüfungsmethoden
Gaseffizienz
Intelligente Vertragsprüfungen konzentrieren sich nicht nur auf die Blockchain-Sicherheit. Das Validierungsteam befasst sich auch mit Effizienz und Optimierung. Einige Verträge führen eine komplexe Reihe von Transaktionen aus, um ihre beabsichtigte Funktion zu erfüllen. Da die Gasgebühren in Netzwerken wie Ethereum relativ hoch sind, können effiziente Verträge viel bei den Transaktionskosten einsparen.
Leistungsoptimierung ist auch ein Indikator zur Bewertung der Fähigkeiten eines Entwicklers. Ineffektive Schritte stellen mehrere Fehlerquellen dar und sollten vermieden werden. Bei hohen Gaskosten kann es vorkommen, dass Smart Contracts nicht erfüllt werden, noch schlimmer als bei niedrigen Gasgrenzwerten.
Mögliche Lücken im Vertrag
Der Großteil der Arbeit bei Audits besteht darin, Verträge auf Sicherheitslücken zu prüfen. Während einige Probleme leicht zu erkennen sind, beinhalten viele Exploits Auszahlungstechniken und -strategien. Marktmanipulation kann beispielsweise bei schwachen Smart Contracts durch Flash-Loan-Angriffe erfolgen. Um diese Probleme zu finden, beginnt der Prüfer damit, Tests zu unterbrechen und böswillige Angriffe auf den Smart Contract zu simulieren. Zu den häufigsten Schwachstellen gehören:
1. Wiedereintrittsprobleme: Wenn ein Smart Contract einen externen Aufruf an einen anderen externen Vertrag durchführt, bevor eine Aktion ausgeführt wird. Der externe Vertrag kann dann rekursiv den ursprünglichen Smart-Vertrag aufrufen und mit ihm auf eine Weise interagieren, die ihm sonst nicht möglich wäre, da der Saldo des ursprünglichen Vertrags nicht aktualisiert wurde.
2. Ganzzahlüberlauf: Wenn ein Smart Contract eine Rechenoperation ausführt, die Ausgabe jedoch die Speicherkapazität überschreitet (normalerweise 18 Dezimalstellen). Dies kann zu falschen Betragsberechnungen führen.
3. Chancen im Vorfeld: Schlecht strukturierter Code kann Vorabinformationen über Kauf- oder Verkaufstransaktionen auf dem Markt liefern. Dies kann es anderen ermöglichen, die Informationen und den Handel zu ihrem Vorteil zu nutzen.
Sicherheitslücken der Plattform
Die meisten Audits umfassen die Betrachtung des Netzwerks, das die Verträge hostet, und sogar der APIs, die für die Interaktion mit der DApp verwendet werden. Ein Projekt könnte anfällig für DDoS-Angriffe oder Kompromittierungen über die Benutzeroberfläche der Website sein, was bedeutet, dass Benutzer riskieren, ihre Wallets mit bösartigen Blockchain-Anwendungen zu verbinden.
Was ist ein Inspektionsbericht?
Der Inspektionsbericht wird am Ende des Inspektionsprozesses erstellt. Aus Gründen der Transparenz wird von den Projekten erwartet, dass sie die Informationen in ihren Berichten mit ihren Gemeinden teilen. Die meisten Berichte kategorisieren Probleme nach Schweregrad, z. B. kritisch, schwerwiegend, geringfügig usw. Im Bericht wird auch der Status des Problems aufgeführt, da die Projekte Zeit haben, das Problem zu lösen, bevor der Abschlussbericht veröffentlicht wird.
Neben der Zusammenfassung enthält ein Standardbericht Empfehlungen, Beispiele für redundanten Code und eine vollständige Analyse, wo Codierungsfehler vorliegen. Das Projekt hat Zeit, sich mit den Ergebnissen des Berichts zu befassen, bevor seine endgültige Version veröffentlicht wird.
Wo kann ich die Ergebnisse der Projekt-Smart-Contract-Prüfung einsehen?
Mehrere intelligente Vertragsprüfungsdienste sind für ihre Dienste bekannt geworden. Unter ihnen erfreuen sich zwei Unternehmen besonderer Beliebtheit und ihre Berichte liefern einiges an Informationen.
CertiK
CertiK ist ein Branchenführer, wenn es um die Prüfung intelligenter Verträge geht. Sie haben die Smart Contracts von Hunderten von Projekten geprüft. Ein Beispiel ist PancakeSwap, die größte AMM-Plattform (Automated Market Maker) von BSC. Nachfolgend finden Sie die Testergebnisse von PancakeSwap auf Certik.
Darüber hinaus werden die Verträge der meisten von Binance Labs unterstützten Projekte mit CertiK geprüft. CertiK hat ein Ranking der geprüften Projekte erstellt und ermöglicht Ihnen den Vergleich der Sicherheitsbewertungen jedes Projekts. Beachten Sie, dass CertiK neben Ethereum auch Projekte auf BSC und Polygon prüft.
ConsenSys Sorgfalt
ConsenSys wird von Ethereum-Mitbegründer Joseph Lubin geführt und ist einer der größten Namen der Kryptowährungsbranche in der Blockchain-Entwicklung. Laut ConsenSys Diligence bietet das Unternehmen intelligente Vertragsprüfungsdienste für Ethereum an. Sie bieten auch einen Dienst an, der Ethereum Virtual Machine (EVM)-Verträge automatisch auf häufige Fehler überprüft.
Wie viel kostet die Prüfung intelligenter Verträge?
Die genauen Kosten für die Prüfung hängen von der Anzahl der zu prüfenden Smart Contracts ab. Normalerweise kostet eine Inspektion Tausende von Dollar. Ein besonders großes Projekt kann leicht mehr als 10.000 US-Dollar pro Inspektion kosten. Auch das Inspektionsunternehmen und sein Ruf wirken sich darauf aus, wie viel Sie bezahlen.
Zusammenfassung
Zum Glück für Investoren und Nutzer ist die Prüfung intelligenter Verträge für viele Projekte zu einem verbindlichen Standard geworden. Wenn jedoch jedes Projekt einer Prüfung unterzogen wird, sind die Ergebnisse kein einfacher Indikator für den Wert mehr. Deshalb ist es so wichtig, den Akkreditierungsbericht selbst zu lesen. Selbst wenn Sie nicht über technische Kenntnisse verfügen, werden Ihnen die Berichte durch das Lesen von Rezensionen und die Schwere potenzieller Probleme dennoch sehr hilfreich sein.
Wenn Sie nach diesem Artikel auf einen Inspektionsbericht stoßen, können Sie dessen Inhalt zumindest leichter verstehen. Stellen Sie wie immer sicher, dass Sie bei jeder Anlageentscheidung das Gesamtbild berücksichtigen und alle Informationen berücksichtigen.