Een onafhankelijke audit is onmisbaar voor elk smart contract dat echte waarde gaat beheren. Maar audits zijn begrensd in tijd: de auditors hebben een vast aantal dagen om uw code te begrijpen en te vinden wat er mis is. Gaat die tijd op aan ontbrekende documentatie, ongeteste code en basale fouten, dan krijgen de subtiele problemen die echt geld kosten minder aandacht.
SemBricks biedt smart contract audit ondersteuning vóór, tijdens en na de audit. Wij maken uw code audit-klaar, helpen uw team met de bevindingen en voeren de herstelwerkzaamheden uit. Dat kan voor contracts die wij zelf bouwden, maar ook voor contracts van uw eigen team of een eerdere leverancier.
Vóór de audit: security review vooraf
Een review vooraf haalt de makkelijke bevindingen weg, zodat de auditors zich op de moeilijke kunnen richten:
- Regel-voor-regel code review op bekende kwetsbaarheidspatronen en op de eigen specificatie van het project.
- Testdekking: unit tests voor elke functie, plus fuzz- en invariant-tests voor de logica die geld verplaatst.
- Statische analyse om veelvoorkomende problemen automatisch te vinden, waarbij elke waarschuwing wordt opgelost of verklaard.
- Documentatie: een heldere specificatie, een dreigingsmodel, NatSpec-commentaar en een beschrijving van rollen en rechten. Auditors werken sneller als ze weten wat de code hoort te doen.
- Scope bevriezen: een vaste commit die exact overeenkomt met wat gedeployed wordt, zodat het auditrapport over de echte code gaat.
Kwetsbaarheden waarop wij controleren
- Reentrancy, ook cross-function en read-only reentrancy
- Ontbrekende of onjuiste toegangscontrole op gevoelige functies
- Prijs- en oracle-manipulatie, waaronder aanvallen met flash loans
- Afrondings- en precisiefouten in berekeningen van aandelen, fees en beloningen
- Signature replay en onjuiste validatie van handtekeningen
- Storage-botsingen en onveilige initialisatie bij upgradebare contracts en proxies
- Ongecontroleerde externe calls en onverwacht tokengedrag, zoals tokens met een fee bij elke transfer
- Denial of service via onbegrensde loops of gas-griefing
- Front-running en risico's in de volgorde van transacties
Tijdens de audit
Auditors stellen vragen. Wij beantwoorden die snel en precies, zodat er geen auditdagen verloren gaan met wachten. Als de bevindingen binnenkomen, helpen wij u ze te beoordelen: welke zijn echte risico's, welke zijn ontwerpkeuzes die een betere toelichting nodig hebben, en welke kunnen met een vastgelegde reden worden geaccepteerd.
Na de audit: herstel
Wij voeren de oplossingen door, voegen voor elke bevinding een regressietest toe en bereiden de wijzigingen voor op de fix review van de auditor. Daarna zorgen wij voor een veilige deployment: geverifieerde broncode, adminrechten naar een multisig, gevoelige acties achter een timelock en monitoring op kritieke events.
Contracts die al live staan
Een gedeployed contract overgenomen van een eerder team, of zorgen over een contract dat al geld beheert? Wij reviewen de gedeployde code, beoordelen wat nog aangepast kan worden via upgrade- of adminfuncties, en plannen zo nodig een veilige migratie naar een nieuwe versie.
Veelgestelde vragen over smart contract audits
Is dit hetzelfde als een formele smart contract audit?
Nee. Een formele audit hoort te worden uitgevoerd door een onafhankelijke partij die de code niet heeft geschreven. Wij doen een interne security review en maken uw code klaar voor die audit, en daarna herstellen wij wat de auditors vinden. Die combinatie haalt het meeste uit uw auditbudget.
Kunnen jullie contracts reviewen die jullie niet zelf schreven?
Ja. Wij kunnen starten vanuit bestaande code, of die nu van uw eigen team komt of van een eerdere leverancier. Wij lezen die tegen uw specificatie en bekende kwetsbaarheidspatronen en rapporteren wat wij vinden.
Werken jullie met een vast auditbureau?
U kiest de auditor. Wij werken samen met het auditbureau van uw keuze, beantwoorden hun vragen en verwerken de bevindingen.
Wat moeten wij voorbereiden?
Toegang tot de repository, een beschrijving van wat de contracts moeten doen en wie wat mag, en de chains waarop u gaat deployen. Ontbreekt een specificatie, dan is die schrijven meestal de eerste stap.
Werken jullie ook aan Solana-programma's?
Ja. Naast Solidity-contracts op EVM-chains reviewen en herstellen wij Rust-programma's op Solana, waar de grootste risico's in accountvalidatie en signer-controles zitten.
Tekenen jullie een NDA?
Ja, wij tekenen op verzoek een NDA voordat u code deelt.
Ook nieuwe contracts nodig? Bekijk onze smart contract ontwikkeling.
Bereid uw audit voor
Staat er een audit gepland, of heeft u net een rapport vol bevindingen ontvangen? Vertel ons waar u staat, dan vertellen wij wat wij als eerste zouden doen.