Как читать отчёт об аудите смарт-контракта перед крупным переводом

Перед крупным переводом отчёт об аудите смарт-контракта читают с конца — с реестра находок. Там две графы, которые решают всё: уровень опасности и статус устранения. Находка со статусом «принято к сведению» означает, что уязвимость признана и оставлена как есть. Для мелкой суммы это терпимо, для крупной — нет. Порядок чтения такой: найти реестр, отобрать неустранённые находки высоких уровней, прочесть обоснование разработчика, сопоставить его со своей суммой.

Как выглядит схема со стороны жертвы

Проверка выглядит убедительно и занимает секунды. Человек открывает страницу проекта, видит слово «аудировано» и логотип известной компании, после чего подписывает перевод на сумму годового дохода. Отчёт он не открывал. Ни строки. В обращениях читателей это самая частая последовательность при крупных потерях.

Второй вариант — отчёт открыт, но прочитан выборочно. Внимание цепляется за итоговую фразу о том, что критических уязвимостей не обнаружено, и дальше чтение заканчивается. Между тем в реестре висят две находки высокого уровня со статусом «принято к сведению», а в пояснении разработчик написал, что исправление ломает совместимость и отложено.

Третий вариант — подмена предмета. Логотип аудитора стоит на сайте, но отчёт относится к другому контракту того же проекта: к токену, а не к хранилищу; к прежней версии, а не к текущей. Формально никто не обманул. Фактически проверенного кода вы не касаетесь.

Признаки, по которым распознаётся подмена

Начните с шапки. В ней должны стоять название аудируемого компонента, версия, дата начала и окончания работ, фамилии или идентификаторы аудиторов. Отчёт без даты — не отчёт.

Дальше реестр. Нормальный реестр содержит и исправленные, и неисправленные находки, а также находки низкого уровня: их наличие говорит о работе, а не о небрежности. Отчёт, в котором нет ни одной находки, вызывает больше вопросов, чем отчёт с двадцатью.

Уровни опасности сопоставляют со своей суммой. Не с чужой. Находка среднего уровня, позволяющая заморозить средства на неопределённый срок, для долгого хранения опаснее критической, требующей редкого совпадения условий.

Проверка за 60 секунд: что открыть и на что смотреть

1. Найдите сам файл отчёта, а не упоминание о нём. Отсутствие файла закрывает вопрос о крупном переводе.
2. Откройте шапку: название компонента, версия, даты работ. Сверьте компонент с тем, куда идут ваши средства.
3. Перейдите к реестру находок и отсортируйте его по уровню опасности. Читайте сверху вниз, без пропусков.
4. Выпишите все находки со статусом «принята к сведению» и «исправлена частично». Это и есть остаточный риск. Ваш, не чужой.
5. Прочтите обоснования разработчика по каждой выписанной находке. Отсутствие обоснования хуже неудобного обоснования.

Отдельно смотрят на то, что вы подписываете при входе. Окно подтверждения говорит о правах, которые получает контракт, и разбор о том, как распознать вредоносную подпись транзакции, показывает, какие формулировки несовместимы с крупной суммой.

Пошаговые действия, если деньги уже ушли

Порядок действий после потери на контракте отличается от порядка после кражи ключа. Ключ при вас, адрес рабочий, но средства ушли по механике самого контракта.

1. Зафиксируйте состояние: идентификатор вашей операции, адрес контракта, номер блока, время в UTC, суммы.
2. Сохраните копию отчёта об аудите и страницу проекта целиком. Содержимое сайта меняется в первые часы после инцидента.
3. Отзовите выданные контракту разрешения на расход токенов. Это не возвращает списанное, но закрывает дальнейший доступ.
4. Подайте заявление в орган внутренних дел. По статье 144 Уголовно-процессуального кодекса решение принимается в срок до трёх суток, с продлением до десяти, а при документальных проверках — до тридцати суток.
5. Если инциденту предшествовал перевод с карты, уведомите банк. Признаки операции без добровольного согласия клиента описаны в аналитике Банка России по информационной безопасности.

Остаток на том же адресе оценивают отдельно и без спешки. Разбор о том, как проследить движение украденных средств и оценить остаточный риск, даёт схему расчёта, пригодную и для контрактных потерь.

Как закрыть дыру, чтобы не повторилось

Первое — правило разбивки суммы. Крупный перевод делят на пробный и основной: сначала минимальная сумма, проверка полного цикла с выводом, затем остальное. Задержка в сутки стоит дешевле любой находки из реестра.

Второе — собственный предел. Он касается неустранённых находок. Например: ни одной находки высокого уровня со статусом «принята к сведению» при сумме выше месячного дохода. Предел записывают заранее, пока доходность предложения не влияет на арифметику.

Третье — отдельный адрес под взаимодействие с контрактами, чтобы находка в чужом коде не достала до хранения; подход описан в разборе о том, как выделить отдельное устройство под криптооперации и настроить уведомления. Четвёртое — понимание структуры продукта, в который вы входите: материал о том, как работает структурный продукт SharkFin с защитой капитала, показывает, насколько условия выплаты зависят от кода и от эмитента одновременно.

Чек-лист

• Файл отчёта найден и открыт, а не упоминание об аудите на сайте
• Компонент и версия из шапки совпадают с тем, куда идут средства
• Даты начала и окончания работ зафиксированы
• Реестр находок отсортирован по уровню опасности
• Находки со статусами «принята к сведению» и «исправлена частично» выписаны
• Обоснования разработчика по каждой неустранённой находке прочитаны
• Собственный предел по неустранённым находкам определён до перевода
• Крупная сумма разбита на пробную и основную части

Частые вопросы