מי עדיין יכול לשנות את החוזה הזה?

הבעיה עם התשובה שכולם מקבלים היום

סורק טוקנים חינמי עונה על השאלה במילה אחת: "יש בעלים". זה נכון, וזה כמעט חסר ערך — כי הוא לא אומר לך מי הבעלים ולא מה הוא. אם הבעלים הוא חוזה השהיה, יש לך זמן להגיב. אם הבעלים הוא מפתח פרטי אחד על מחשב נייד של מישהו, אין לך. אלו שתי מציאויות שונות לגמרי, ושתיהן מקבלות את אותה תשובה.

ומעבר לזה — סורק אוטומטי מזהה שמות פונקציות, לא סמכויות. זה נשמע כמו הבדל דק. הוא לא, ומדדתי בדיוק כמה הוא עולה. זה הסעיף הבא.

למה זה לא תוצאה של סורק — המספר, לא ההבטחה

הרצתי מנוע סריקה אוטומטי על סט אמיתי של חמישה חוזים חיים, ואז בדקתי כל טענה שהוא הוציא מול קוד המקור המאומת. התוצאה, כמו שהיא:

דוגמה לטענה שגויה: המנוע סימן שאפשר "להשמיד יתרות של אחרים". בקוד זו פונקציה סטנדרטית של ספריית OpenZeppelin שכל אחד יכול לקרוא לה, ורק עד גובה הרשאה שאתה בעצמך נתת. זו לא סמכות של בעלים — וזו טענה לא נכונה על פרוטוקול אמיתי.

ובמקביל, מה שפוספס: הפונקציה שבאמת מאפשרת לקחת את היתרה של משתמש מוקפא ולהעביר אותה לכתובת אחרת — redistributeLockedAmount — לא הופיעה בפלט האוטומטי בכלל, כי אף מילת מפתח לא התאימה לשם שלה. זה הכוח הכי משמעותי בכל הסט, והוא נמצא רק בקריאת מקור.

מה בדיוק נמסר לך

• תשובה בעמוד אחד. האם הקוד ניתן להחלפה, מי מחזיק במפתח, מה הכוחות. שורה אחת בראש הדוח, לפני כל השאר.
• שרשרת השליטה, מפוענחת. לא "הבעלים הוא 0xabc…" אלא מה הכתובת הזאת. אם זה חוזה השהיה — כמה בדיוק ההשהיה, נקרא מהשרשרת עצמה. אם זה מפתח פרטי בודד, זה נאמר במפורש.
• כל כוח שאושר — בשפה פשוטה, עם חתימת הפונקציה ומודיפייר ההרשאה מצוטט מקוד המקור המאומת.
• כל דגל שנדחה, ולמה. אתה רואה מה נבדק ונפסל, לא רק מה שנשאר. זה הסעיף שמאפשר לך לדעת שהדוח לא מנופח.
• עובדות בייטקוד — תבנית פרוקסי, selfdestruct, delegatecall, גודל קוד, אימות מקור.
• סעיף "מה זה לא" — בגוף הדוח עצמו, לא באותיות קטנות.
• הוראות לאמת הכל בעצמך — איך לבדוק כל טענה בדוח בלי להאמין לאף אחד.

הדוגמה — דוח שלם על פרוטוקול חי

אפשר לקרוא את כל התוצר לפני שמחליטים. זה לא תקציר שיווקי; זה בדיוק מה שלקוח מקבל, על חמישה חוזים חיים של Ethena — USDe, sUSDe, ENA, חוזה ההנפקה, וחוזה ההשהיה ששולט בכולם.

למה דווקא Ethena: כי הסידור שלהם דווקא טוב. הדוגמה לא נראית כמו התקפה על אף אחד — היא מראה איך נראה דוח על פרויקט מסודר, וזה בדיוק המקרה הקשה.

1. עומקחוזה ההשהיה מעכב כל שינוי ב-24 שעות בדיוק — 86,400 שניות, נקרא מהשרשרת. סורק חינמי היה אומר "יש בעלים" ועוצר שם.
2. כנותארבעה דגלים אוטומטיים נדחו בתוך גוף הדוח, כל אחד עם ההסבר למה הוא לא שרד בדיקת מקור.
3. ממצא חיובי, לא רק מפחידאימתתי שאת USDe אפשר להנפיק רק דרך חוזה ולא דרך מפתח אנושי. זו עובדה טובה על הפרויקט שאף סורק לא טורח למצוא — הדוח לא מחפש להבהיל.

איך זה עובד

1. אתה שולח שורה אחתשם הרשת ועד 5 כתובות של אותו פרויקט. זה כל מה שצריך — אין טופס ארוך ואין שיחת אפיון.
2. העבודה נעשיתריצה אוטומטית על כל כתובת, ואז בדיקת מקור ידנית של כל טענה: מה מתאשר, מה נדחה, ומה האוטומט פספס.
3. אתה מקבל דוח כתוב‏6–8 עמודים, עם קישור ראיה לכל טענה. אם משהו בו שגוי — הוא שגוי בצורה שאפשר להוכיח.

המחיר

מה זה לא — כדאי לקרוא לפני שמזמינים

• זו לא ביקורת אבטחה. אני לא מחפש באגים הניתנים לניצול ולא טוען שמצאתי. דוח שלא מצא פרצה אינו הוכחה שאין פרצה.
• אין ציון בטיחות, אין דירוג, אין פסק "בטוח / לא בטוח". בכוונה. אני מוסר עובדות; השיפוט שלך. מי שמוכר לך וי ירוק מוכר לך תחושה.
• זה לא ייעוץ השקעות. אין בדוח שום המלצה לקנות, להחזיק או למכור.
• שום דבר על הצוות, הרזרבות או המבנה המשפטי. קוד פרוס ומצב שרשרת בלבד.
• זה לא תקף לנצח. הרשאות משתנות. הדוח נכון ליום שנכתב, ואומר את זה בעצמו.
• היעדר דגל אינו הוכחה להיעדר סכנה. הדוגמה מדגימה את זה בגלוי.

שאלות

לבקש דוח

כתוב את שם הרשת ואת הכתובות, או פשוט מה שאתה צריך לדעת. הפנייה מגיעה ישירות לאופיר ברנס במייל.