Kurzer Inhalt
Sicherheitsaudits bieten eine detaillierte Analyse der Smart Contracts von Projekten. Sie sind wichtig, um die über sie investierten Mittel zu schützen. Da alle Transaktionen auf der Blockchain endgültig sind, können Gelder im Falle eines Diebstahls nicht wiederhergestellt werden. In der Regel studieren Prüfer den Code von Smart Contracts, erstellen einen Bericht und stellen ihn dem Projekt zur Verbesserung zur Verfügung. Anschließend wird ein Abschlussbericht erstellt, in dem alle Fehler und bereits durchgeführten Arbeiten zur Behebung von Leistungs- oder Sicherheitsproblemen aufgeführt sind.
Einführung
Die Prüfung der Sicherheit intelligenter Verträge ist im dezentralen Finanzökosystem (DeFi) weit verbreitet. Wenn Sie in ein Blockchain-Projekt investiert haben, basiert Ihre Entscheidung möglicherweise teilweise auf den Ergebnissen der Überprüfung des Smart-Contract-Codes.
Während die meisten Menschen die Bedeutung von Audits für die Cybersicherheit verstehen, tauchen nur wenige in die Codezeilen ein. Werfen wir einen Blick auf die Methoden, Tools und Ergebnisse, die häufig bei Sicherheitsüberprüfungen intelligenter Verträge beobachtet werden, damit Sie fundiertere Entscheidungen treffen können.
Was ist ein Smart-Contract-Audit?
Ein Sicherheitsaudit prüft und kommentiert den Smart-Contract-Code des Projekts. Typischerweise werden diese Verträge in der Programmiersprache Solidity geschrieben und über GitHub bereitgestellt. Ein Sicherheitsaudit ist besonders wertvoll für DeFi-Projekte, bei denen Blockchain-Transaktionen in Millionenhöhe oder eine große Anzahl von Benutzern verarbeitet werden sollen. Das Audit erfolgt in der Regel in vier Stufen:
1. Smart Contracts werden dem Prüfteam zur ersten Analyse zur Verfügung gestellt.
2. Die Auditgruppe legt ihre Schlussfolgerungen zum Projekt zur Ergreifung von Maßnahmen vor.
3. Das Projektteam nimmt Änderungen unter Berücksichtigung der identifizierten Probleme vor.
4. Das Auditteam erstellt seinen Abschlussbericht unter Berücksichtigung neuer Änderungen oder verbleibender Fehler.
Für viele Nutzer von Kryptowährungen ist die Prüfung von Smart Contracts notwendig, wenn sie in neue DeFi-Projekte investieren. Es ist zum Standard für Projekte geworden, die ernst genommen werden wollen. Einige Prüfungsdienstleister gelten auch als Branchenführer, was ihre Prüfungen in den Augen der Anleger wertvoller macht.
Warum brauchen wir eine Prüfung von Smart Contracts?
Dadurch, dass große Geldbeträge über Smart Contracts transferiert oder blockiert werden, werden sie zu attraktiven Zielen für böswillige Angriffe von Hackern. Kleine Codierungsfehler können zum Diebstahl großer Geldsummen führen. Als beispielsweise das DAO auf der Ethereum-Blockchain gehackt wurde, gingen etwa 60 Millionen US-Dollar an ETH verloren, was sogar zu einer Abzweigung des Ethereum-Netzwerks führte.
Da Blockchain-Transaktionen irreversibel sind, ist es sehr wichtig sicherzustellen, dass der Projektcode sicher ist. Die hohe Sicherheit der Blockchain-Technologie macht es schwierig, Gelder zurückzugewinnen und Probleme im Nachhinein zu lösen. Daher ist es besser, Schwachstellen um jeden Preis zu verhindern.
Wie funktioniert die Prüfung von Smart Contracts?
Der Smart-Contract-Audit-Prozess ist bei Prüfanbietern ziemlich Standard. Obwohl der Ansatz jedes Prüfers leicht unterschiedlich sein kann, ist der typische Prozess wie folgt:
1. Festlegung des Prüfungsumfangs. Intelligente Vertrags- und Projektspezifikationen werden durch den Zweck und die Gesamtarchitektur des Projekts bestimmt. Die Spezifikation hilft dem Prüfteam, die Ziele des Projekts beim Schreiben und Verwenden des Codes zu verstehen.
2. Bereitstellung eines Anfangspreises je nach Arbeitsaufwand.
3. Durchführung von Tests. Die Tests variieren je nach Auditteam, Analysetools und -methoden. In der Regel werden sowohl manuelle als auch automatisierte Tests durchgeführt.
4. Erstellung des ersten Entwurfs des Berichts mit den gefundenen Fehlern und Bereitstellung an das Projektteam für Kommentare und weitere Korrekturen.
5. Veröffentlichung des Abschlussberichts unter Berücksichtigung aller vom Team zur Lösung der Probleme ergriffenen Maßnahmen.
Prüfmethoden für intelligente Verträge
Gaseffizienz
Die Prüfung intelligenter Verträge konzentriert sich nicht nur auf die Blockchain-Sicherheit. Auditoren achten auch auf Effizienz und Optimierung. Einige Verträge führen eine komplexe Reihe von Transaktionen durch, um ihre beabsichtigte Funktion zu erfüllen. Da die Gasgebühren in Netzwerken wie Ethereum relativ hoch sind, können effiziente Verträge viel bei den Transaktionskosten einsparen.
Die Optimierung ihrer Leistung ist auch ein Indikator für die Fähigkeiten der Entwickler. Ineffiziente Schritte stellen mehr Fehlerquellen dar und sollten vermieden werden. Wenn die Gaskosten hoch sind, werden intelligente Verträge möglicherweise nicht ausgeführt, insbesondere wenn ein niedriges Gaslimit verwendet wird.
Schwachstellen von Verträgen
Ein Großteil der Prüfung umfasst die Prüfung von Verträgen auf Sicherheitslücken. Während einige der Probleme leicht zu erkennen sind, beinhalten viele Exploits fortschrittliche Methoden und Strategien zur Erpressung von Geldern. Beispielsweise kann Marktmanipulation mit schwachen Smart Contracts genutzt werden, um Flash-Loan-Angriffe durchzuführen. Um diese Probleme zu finden, führen Prüfer einen Hacking-Prozess durch und simulieren böswillige Angriffe auf den Smart Contract. Zu den häufigsten Schwachstellen gehören:
1. Wiedereintrittsprobleme: Wenn ein Smart-Vertrag einen externen Aufruf an einen anderen externen Vertrag durchführt, bevor alle Konsequenzen gelöst sind. Der äußere Vertrag kann dann den ursprünglichen Smart-Vertrag rekursiv aufrufen und auf eine Art und Weise mit ihm interagieren, wie dies nicht der Fall sein sollte, da der Saldo des ursprünglichen Vertrags noch nicht aktualisiert wurde.
2. Ganzzahliger Überlauf und Anti-Überlauf: Wenn ein Smart Contract eine arithmetische Operation ausführt, die Ausgabe jedoch die Speicherkapazität überschreitet (normalerweise 18 Dezimalstellen). Dies kann zu einer falschen Berechnung der Beträge führen.
3. Vorausschauende Möglichkeiten: Schlecht strukturierter Code kann eine Vorwarnung vor Marktkäufen oder -verkäufen liefern. Dies wiederum kann es anderen ermöglichen, die Informationen zu ihrem eigenen Vorteil zu nutzen und zu handeln.
Nachteile der Plattformsicherheit
Die meisten Audits umfassen die Betrachtung des Netzwerks, in dem die Verträge gehostet werden, und sogar der API, die für die Interaktion mit der DApp verwendet wird. Das Projekt ist möglicherweise anfällig für einen DDoS-Angriff oder verfügt über eine manipulierte Website-Benutzeroberfläche, was bedeutet, dass Benutzer ihre Wallets tatsächlich mit den betrügerischen Blockchain-Anwendungen verbinden.
Was ist ein Auditbericht?
Am Ende des Auditprozesses wird ein Auditbericht bereitgestellt. Aus Gründen der Transparenz wird von den Projekten erwartet, dass sie ihre Berichte mit der Community teilen. Die meisten Berichte kategorisieren Probleme nach Schweregrad, z. B. kritisch, schwerwiegend, geringfügig usw. Der Bericht gibt auch Auskunft über den Status des Problems, da die Projekte Zeit für die Lösung haben, bevor der Abschlussbericht veröffentlicht wird.
Neben einer Zusammenfassung enthält ein Standardbericht Empfehlungen, Beispiele für redundanten Code und eine vollständige Aufschlüsselung der Codierungsfehler. Dem Projekt wird Zeit gegeben, auf die Ergebnisse des Berichts zu reagieren, bevor eine endgültige Version veröffentlicht wird.
Wo kann ich ein Smart Contract Audit durchführen lassen?
Eine Reihe intelligenter Vertragsprüfungsdienste sind für ihre Dienste bekannt. Zwei davon erfreuen sich besonders großer Beliebtheit. Für diese Dienste ist eine Vorauszahlung und eine Prüfung der Informationen erforderlich.
CertiK
CertiK ist führend in der intelligenten Vertragsprüfung. Hunderte von Projekten haben ihre Smart Contracts in diesem Dienst geprüft. Ein Beispiel ist PancakeSwap, der größte Automated Market Maker (AMM) auf der BSC. Nachfolgend finden Sie einen Teil des PancakeSwap-Audits von Certik.
Darüber hinaus hat die überwiegende Mehrheit der von Binance Labs unterstützten Projekte ihre Verträge mit CertiK überprüft. CertiK erstellt eine Liste verifizierter Projekte, die es Ihnen ermöglicht, jedes Projekt mit einer Sicherheitsbewertung zu vergleichen. Bitte beachten Sie, dass CertiK neben Ethereum auch Projekte zu BSC und Polygon abdeckt.
ConsenSys Sorgfalt
Unter der Leitung von Joseph Lubin, Mitbegründer von Ethereum, ist ConsenSys einer der größten Namen der Kryptowährungsbranche in der Blockchain-Entwicklung. ConsenSys Diligence bietet Ethereum-Smart-Contract-Audits an. Das Unternehmen bietet außerdem einen automatisierten Dienst an, der die Verträge der Ethereum Virtual Machine (EVM) auf häufige Fehler überprüft.
Wie viel kostet ein Smart-Contract-Audit?
Die genauen Kosten einer Prüfung hängen von der Anzahl der geprüften Smart Contracts ab. Normalerweise kostet eine Prüfung Tausende von Dollar. Eine große Projektprüfung kann leicht mehr als 10.000 US-Dollar kosten. Auch die Wirtschaftsprüfungsgesellschaft, die Ihre Prüfung durchführt, und ihr Ruf wirken sich auf die Höhe Ihres Honorars aus.
Abschließende Gedanken
Zum Glück für Investoren und Nutzer ist die intelligente Vertragsprüfung zum Goldstandard geworden. Wenn es jedoch in jedem Projekt vorhanden ist, ist es nicht mehr nur ein Wertindikator. Deshalb ist es unglaublich wichtig, das Audit selbst zu lesen. Auch wenn Sie keine technischen Kenntnisse haben, ist es hilfreich, einen Blick auf die Kommentare und die Schwere möglicher Probleme zu werfen.
Wenn Sie auf ein Audit stoßen, wird es Ihnen zumindest leichter fallen, dessen Inhalt zu verstehen. Stellen Sie wie immer sicher, dass Sie das Gesamtbild betrachten und alle Informationen berücksichtigen, bevor Sie eine Anlageentscheidung treffen.