Как читать отчёт об аудите смарт-контракта и проверить каждый шаг

Отчёт об аудите читают не с перечня дефектов, а с раздела Scope. Там стоит список файлов и хеш коммита, по которому работал аудитор. Дальше идёт сверка: тот ли коммит развёрнут в сети, тот ли адрес, та ли сеть. Проверить каждый шаг — пройти цепочку от строки Scope до верифицированного исходника по адресу контракта. Перечень дефектов смотрят последним. Без совпадения ревизии он не значит ничего.

Как выглядит схема со стороны жертвы

Картина однотипная. На странице проекта висит плашка «audited by», рядом логотип известной компании и ссылка на PDF. Документ открывается, оформлен по шаблону, внутри девять закрытых замечаний и ни одного критического. Доверие складывается за полминуты, после чего человек подписывает разрешение на расходование токенов, не вчитываясь в окно кошелька.

Расхождение всплывает позже — когда с адреса уходит баланс. Выясняется, что аудит проводился по ревизии, которая в сеть так и не попала: команда переписала модуль вывода средств уже после начала проверки, собрала новый байт-код и развернула его, не заказывая повторного прохода по изменённым файлам. Отчёт настоящий, подпись настоящая, компания существует. Проверяли другой код.

Из обращений читателей складывается ещё один сюжет: аудит касался только контракта токена, а пользовательские средства лежали в стейкинг-контракте, которого в разделе Scope нет ни одной строкой, — и потому выводы отчёта к нему не относились с самого начала. Формально никто не соврал. Строка «out of scope» стояла на четвёртой странице.

Признаки, по которым распознаётся подмена

• В Scope нет хеша коммита — только названия файлов или ссылка на ветку. Ветка движется, хеш нет.
• Дата отчёта старше даты развёртывания контракта на месяцы, а в разделе про исправления нет ссылок на итоговую ревизию.
• Адрес контракта в отчёте не указан ни одной строкой. Сверять нечего.
• Исходник по адресу в обозревателе не верифицирован, видно только байт-код.
• Проверенных файлов три, а в развёрнутой системе их двенадцать, включая прокси и хранилище.
• Раздел с исправлениями заполнен фразами «исправлено командой» без хеша исправляющего коммита.

Проверка за 60 секунд: что открыть и на что смотреть

Порядок короткий и повторяемый. Нужны три окна: PDF отчёта, обозреватель сети, репозиторий проекта.

1. Откройте Scope и выпишите хеш коммита целиком, а не первые семь знаков.
2. Найдите в отчёте адрес развёрнутого контракта и сеть. Нет адреса — отчёт не привязан к тому, чем вы пользуетесь.
3. Вбейте адрес в обозреватель. Смотрите вкладку с исходным кодом: верифицирован или нет.
4. Сверьте имена файлов и версию компилятора из обозревателя с перечнем в Scope.
5. Откройте коммит из Scope в репозитории. Он должен существовать и быть предком той ревизии, из которой собран развёрнутый код.
6. Проверьте, сколько адресов в системе. Прокси, реализация, хранилище, раздатчик награды — каждый адрес либо в Scope, либо вне проверки.

Шестой шаг люди пропускают чаще прочих. Система из одного контракта встречается нечасто: средствами обычно распоряжается связка из прокси и реализации, а права на обновление лежат у отдельного адреса, иногда вынесенного в мультиподпись, иногда оставшегося у одного ключа без всякого таймлока. Если аудит смотрел реализацию, но не смотрел, кто и как её меняет, вывод отчёта говорит о прочности замка, а не о том, у кого ключ. Отдельный разбор того, что показывает кошелёк в момент подтверждения, собран в материале про вредоносную подпись транзакции.

Пошаговые действия, если деньги уже ушли

Возврат не гарантирован никем. Дальше описан порядок, который сохраняет доказательства и даёт следствию материал.

1. Зафиксируйте хеши транзакций, адреса отправителя и получателя, время по UTC. Скриншот без хеша бесполезен.
2. Снимите с адреса все действующие разрешения на расходование токенов, начиная с бессрочных и неограниченных по сумме.
3. Переведите остаток на адрес, ключ которого никогда не был на том же устройстве.
4. Сохраните сам PDF отчёта и страницу проекта целиком: через неделю формулировки на сайте могут измениться.
5. Подайте заявление в полицию через приёмную МВД или отделение по месту жительства; приложите распечатку транзакций и расчёт суммы в рублях на дату операции.
6. Если деньги уходили с банковской карты на платёжный шлюз, направьте претензию в банк и параллельно жалобу в Банк России через интернет-приёмную.

Доля возврата по банковским операциям не превышает шести процентов. В сетях без посредника возвращать нечего и некому: подтверждённая транзакция окончательна, отмена не предусмотрена протоколом, а адрес получателя не привязан к лицу, которому можно направить претензию. Поэтому порядок действий после потери — это работа с доказательствами, а не ожидание компенсации. Как выстраивается такая работа, подробно описано в разборе про движение украденных средств и остаточный риск.

Как закрыть дыру, чтобы не повторилось

Привычка одна: отчёт читается до подписи, а не после. Таблица ниже переводит каждую значимую строку документа в проверяемое действие и показывает, какой именно признак говорит о том, что проверка не прошла и выводы аудитора на развёрнутый код не переносятся.

Чек-лист

• Хеш коммита из Scope выписан полностью и найден в репозитории.
• Адрес и сеть из отчёта совпали с тем, что открывает интерфейс проекта.
• Исходник по адресу верифицирован, имена файлов и версия компилятора сошлись.
• Все адреса системы распределены: либо в Scope, либо честно вынесены из него.
• Каждый критический дефект закрыт коммитом, а не фразой.
• PDF скачан с домена аудитора и сохранён локально вместе с датой загрузки.
• Разрешения на расходование выданы под конкретную сумму, а не бессрочно.

Частые вопросы