Hãy đọc phạm vi, commit hash, địa chỉ triển khai, định nghĩa mức độ, phát hiện chưa xử lý và giới hạn kiểm thử trước khi nhìn huy hiệu. Kiểm toán chỉ hữu ích khi bao phủ đúng mã và cấu hình bạn thực sự sẽ dùng.
Hiểu các thành phần đang vận hành#
Báo cáo là đánh giá tại một thời điểm. Nó có thể loại trừ front end, oracle, bridge, vận hành quản trị và giả định kinh tế — những thứ có thể chi phối rủi ro thực tế.
Khung ra quyết định#
Tạo bản đồ rủi ro một trang gồm: lỗi mã, vai trò đặc quyền, phụ thuộc bên ngoài, khả năng nâng cấp và phản ứng sự cố. Báo cáo cung cấp dữ liệu cho bản đồ chứ không thay thế nó.
Kiểm tra theo trình tự có kiểm soát#
- Khớp commit kho mã và địa chỉ hợp đồng. Đảm bảo báo cáo nói về đúng phiên bản đang triển khai trên đúng mạng.
- Kiểm tra thành phần và chain nào bị loại khỏi phạm vi. Đừng suy rộng kết luận sang phần chưa được kiểm thử.
- Đọc từng phát hiện nghiêm trọng và cao cùng trạng thái xử lý. Hiểu tác động, điều kiện khai thác và thay đổi đã đề xuất.
- Xác nhận bản sửa đã được kiểm tra lại, không chỉ được ghi nhận. Đối chiếu commit sửa với phiên bản triển khai.
- Xem ghi chú về tập trung hóa, nâng cấp và quản lý khóa. Phát hiện “thông tin” có thể tiết lộ quyền quản trị rất lớn.
Những cái bẫy thường gặp#
- Đếm số báo cáo thay vì đọc phạm vi. Nhiều kiểm toán cũ không đảm bảo phiên bản hiện tại.
- Xem “đã xử lý” là bằng chứng bản triển khai khớp bản sửa. Cần kiểm tra commit và địa chỉ thật.
- Bỏ qua phát hiện thông tin tiết lộ quyền admin. Quyền tạm dừng, nâng cấp hoặc rút có thể là rủi ro cốt lõi.
- Cho rằng không có phát hiện nghĩa là không có lỗ hổng. Kiểm thử luôn có giới hạn về thời gian, phạm vi và phương pháp.
Kết quả tốt là đánh giá bạn có thể tự xác minh và tái tạo, không chỉ một huy hiệu trên website.
Xác nhận kết quả#
Đừng chỉ dựa vào giao diện báo “đã kiểm toán”. Hãy giữ bằng chứng kiểm tra được sau khi đóng trang.
| Điểm kiểm tra | Bằng chứng | Điều kiện phải dừng |
|---|---|---|
| Khớp commit và địa chỉ hợp đồng | URL và địa chỉ khớp tài liệu chính thức | Chỉ đếm số cuộc kiểm toán |
| Kiểm tra thành phần và chain bị loại | Báo cáo có ngày cùng phạm vi rõ ràng | Xem “resolved” là bằng chứng bản triển khai đã sửa |
| Đọc phát hiện nghiêm trọng/cao và trạng thái | Bản ghi phát hiện cùng commit khắc phục | Bỏ qua phát hiện thông tin về quyền admin |
Hãy giữ báo cáo, địa chỉ hợp đồng hoặc ảnh chụp có ngày khi hữu ích, nhưng loại bỏ cụm từ khôi phục, khóa riêng tư và mã xác thực.
Câu hỏi thường gặp#
“Acknowledged” nghĩa là gì?
Thường là đội ngũ chấp nhận rủi ro mà không thay đổi. Hãy đọc định nghĩa trạng thái chính xác của đơn vị kiểm toán.
Bug bounty có tốt hơn kiểm toán không?
Hai hình thức bổ sung nhau: kiểm toán là đánh giá có phạm vi, còn bounty mời kiểm thử bên ngoài liên tục.
Báo cáo bao nhiêu tuổi thì quá cũ?
Tuổi ít quan trọng hơn việc mã, cấu hình hoặc phụ thuộc có thay đổi sau commit được đánh giá hay không.
Hướng dẫn liên quan#
Nguồn tham khảo#
- Ethereum.org: Bảo mật hợp đồng thông minh
- OWASP: 10 rủi ro hàng đầu của hợp đồng thông minh
- Uniswap Support: Quyền phê duyệt token
Cảnh báo rủi ro: Giao dịch crypto có thể không thể đảo ngược. Không bao giờ chia sẻ cụm từ khôi phục, khóa riêng tư, mật khẩu hoặc mã xác thực; luôn tự kiểm tra tên miền và yêu cầu từ ví qua kênh độc lập.
Tiêu chuẩn biên tập
Bài viết mang tính giáo dục và dựa trên nguồn đáng tin cậy. Biện pháp bảo mật, quy định của sàn và yêu cầu pháp lý có thể thay đổi; hãy kiểm tra nguồn chính thức trước khi hành động.
