До значка аудита изучите его охват, хеш коммита, адрес развёртывания, определения уровней серьёзности, нерешённые замечания и ограничения тестирования. Отчёт полезен только тогда, когда охватывает код и конфигурацию, которыми вы действительно собираетесь пользоваться.
Из каких элементов складывается оценка#
Отчёт фиксирует проверку в определённый момент. Из неё могут быть исключены фронтенд, оракулы, мосты, административные операции и экономические предположения, которые в реальности определяют основной риск.
Система принятия решения#
Составьте одностраничную карту: дефекты кода, привилегированные роли, внешние зависимости, обновляемость и реакция на инциденты. Аудит дополняет эту карту, но не заменяет её.
Читайте последовательно#
- Сопоставьте коммит репозитория и адреса контрактов. Сделайте это до передачи денег или полномочий и подтвердите нужную сеть.
- Проверьте, какие компоненты и сети исключены. Сверьте область работ с официальной документацией.
- Прочитайте каждое критическое и серьёзное замечание и его статус. Не ограничивайтесь итоговым количеством находок.
- Убедитесь, что исправления повторно протестированы, а не просто признаны. Статус команды не равен подтверждению аудитора.
- Изучите замечания о централизации, обновлениях и управлении ключами. Даже информационный пункт может раскрывать полномочия, способные переместить средства.
Распространённые ловушки#
- Считать количество аудитов вместо чтения охвата. Несколько отчётов могут проверять один и тот же ограниченный компонент.
- Воспринимать «resolved» как доказательство совпадения развёрнутого исправления. Сверьте коммит, адрес и результат повторной проверки.
- Игнорировать информационные замечания об административных правах. Они могут описывать ключевой риск доверия.
- Считать отсутствие находок отсутствием уязвимостей. Ограничения времени, методов и области не позволяют сделать такой вывод.
Правильный результат — проверяемая карта рисков, а не просто пройденная настройка или красивый значок.
Как подтвердить вывод#
Используйте сведения, которые останутся проверяемыми после закрытия страницы.
| Контрольная точка | Доказательство | Условие остановки |
|---|---|---|
| Сопоставить коммит и адреса | URL репозитория и контракт совпадают с документацией | Считают только количество аудитов |
| Проверить исключённые компоненты | Зафиксированная область отчёта и список исключений | «Resolved» принимают без проверки развёртывания |
| Прочитать серьёзные находки и статус | Текст находки и подтверждение повторного теста | Игнорируются административные полномочия |
Сохраняйте адреса, версии и датированные копии отчётов, но исключайте сид-фразы, приватные ключи и коды аутентификации.
Часто задаваемые вопросы#
Что означает «acknowledged»?
Обычно команда принимает риск, не меняя код. Читайте точное определение статуса у аудитора.
Bug bounty лучше аудита?
Они дополняют друг друга: аудит — ограниченная проверка, а программа вознаграждений приглашает внешних исследователей тестировать постоянно.
Когда аудит становится слишком старым?
Важнее не возраст, а изменения кода, конфигурации и зависимостей после проверенного коммита.
Связанные руководства#
Источники#
Предупреждение о риске: Операции с криптовалютой могут быть необратимыми. Никому не передавайте сид-фразу, приватный ключ, пароль или код аутентификации и независимо проверяйте каждый домен и запрос кошелька.
Редакционный стандарт
Материал носит образовательный характер и основан на источниках. Меры безопасности, правила бирж и правовые требования могут меняться — проверяйте важные шаги по официальным данным.
