链资讯 链资讯
Ctrl+D收藏链资讯
首页 > 以太坊 > 正文

独家 | 审计机构审计合约的流程

作者:

时间:

本文由“Fairyproof Tech”原创,授权“金色财经”独家首发,转载请注明出处。

在Fairyproof Tech的审计报告中,我们会交代对每一份合约的审计流程。大体上来说,这个流程主要包括两个步骤:一是标准化审计步骤,二是人工审计步骤。

实际上这也是目前业内比较通行的步骤。不同审计机构可能在审计流程中的具体步骤和细节上存在差异,但归纳起来也都会包含这两个大的步骤。 

在Fairyproof Tech前面发布的文章中,我们特别强调过智能合约和传统工业流水线上批量产出的标准化产品不同,它不是按流水线、标准化作业生产出来的,而是人为编写出来的。即便是照抄现有的合约,合约的编写者通常也会在照抄的合约上做一些小的改动。因此,两份合约哪怕是功能上一样、逻辑一样、特点一样,在具体的编写方式上都会存在差异。而这个差异往往就是漏洞、风险的来源。但这个差异又很难用机器大工业中常见的标准工具检测出来。但如果无法用工具检测,单凭人力检测,不仅工作量大,而且效率低,并且时常还会出人为方面的错漏。这看似矛盾的两方面交织在一起,一直贯穿着整个审计过程的始终,也是推进行业前进和革新的根本动力。

比特币月度链上交易量在3月创历史新高:金色财经报道,根据The Block Research收集的数据,比特币的月度调整后链上交易量在3月份创历史新高。3月份的调整后链上交易量为3,662.7亿美元,较2月份的历史最高水平3,193亿美元增长了14.7%。 3月也标志着比特币的调整后链上交易量连续第三个月创历史新高。此外,比特币矿工在3月获得了超过15亿美元的收入。[2021/4/20 20:37:55]

对Fairyproof Tech来说,我们对合约的检测一方面会尽量使用工具进行验证以提高效率并减轻人为验证时可能出现的差异和错漏;而另一方面我们又特别强调人工检测的重要性,并强调人工检测对合约质量的最后把关,因为人工检测不仅是用来检测工具无法检测出来的问题,更是用来预判和发现业界未曾记录的风险、做到防患于未然的保证。

Fairyproof Tech自成立以来便一直致力于对合约审计标准化工具的使用和开发。在这方面,我们大胆借鉴了业界前辈已经积累的经验,对目前市面上已经存在的合约检测工具(如Security、Mythril、Oyente、ECF、Maian、Lem等)都进行了细致的研究和测试。但我们发现这些工具或多或少都存在一定的局限,并且在我们具体的使用过程中还存在各种不便之处,因此我们也在前辈研发的基础上大力开发自己的自动化检测工具,并将我们的工具投入到合约的审计工作中。这一方面提高Fairyproof Tech的工作效率,另一方面将我们不断积累的经验优化、集成到这些工具中,让它们更好地服务于Fairyproof Tech的合约审计。 

BTC跌破15800美元关口 日内涨幅为0.85%:火币全球站数据显示,BTC短线下跌,跌破15800美元关口,现报15798.77美元,日内涨幅达到0.85%,行情波动较大,请做好风险控制。[2020/11/12 12:22:28]

对标准化检测工具的研发及推进将始终是Fairyproof Tech开发工作的重点和必须攻克的难点。我们认为这也是业界未来发展的方向和制高点。把握这个方向、占据这个制高点不仅对Fairyproof Tech本身的发展,更对整个行业的发展都将起到重要的推进作用。

 对工具的研发和使用是Fairyproof Tech工作的重点,而对人工审查的强调及对审计工程师的培养、培训则是Fairyproof Tech工作的重心和核心。

Fairyproof Tech认为人工审计不仅是对工具审计的查漏补缺,人工审计所积累的经验和技能也是改进和提升工具最好的素材和动力,人工审计本身更是对整个审计过程的最后把关。所以无论从哪方面说,人工审计的重要性都不言而喻。

摩根大通:Square投资5000万美元是“对BTC未来发展的强烈信心投票”:摩根大通在周二的一份报告中表示,Square最近宣布向比特币(BTC)投资5000万美元,这是“对比特币未来发展的强烈信心投票”,也表明这家支付公司认为比特币作为一种资产有很大潜力。尽管Square的5000万美元投资与MicroStrategy投入的4.25亿美元相比相形见绌,但摩根大通表示,Square可能会进行更多收购。[2020/10/14]

 人工审计所进行的是非标准化的活动。所谓的非标准化活动就是因人而异,难以绝对统一。因为每个审计工程师都有自己的习惯和自己的思路。在这种情况下如何既发挥人工审计的灵活性和创造性又避免人工审计中人为因素导致的错漏则是Fairyproof Tech在人工审计过程中关注的重点和难点。

我们对此采取的主要措施是流程统一和交叉审计。这两点也是Fairyproof Tech在人工审计这个大步骤中重点进行的两个细分步骤 

所谓的流程统一就是我们为合约人工审计的流程制定了一个统一的框架和流程,这个框架和流程确保我们每个审计工程师都要延这个大方向走,不出方向性错误,这也是企业战略中常说的目标一致、路径一致,在合约审计中,我们也需要这种一致。

在这种一致框架和流程的规制下,每个审计工程师可以发挥自己的主观能动性和创造性,按自己的习惯和特点审计合约,我们不予具体地干预。

但是即便方向一致,每个工程师在具体的进度、能力、判断上还是会出现差异,而这些差异就有可能导致风险、漏洞逃过审计。

这时我们就需要第二个手段----交叉审计来防范这个问题。

所谓的交叉审计就是一份合约我们会由多个工程师审计。这个过程是将不同工程师的不同的思路和理解进行汇总的过程,也就是我们常说的“集思广益”。通过这种方式,我们能尽量大地覆盖风险的范围和种类,尽量小地减少个人理解偏差在审计中造成的误判。

所以Fairyproof Tech的审计报告中所提到的审计流程归纳起来就是利用工具的标准化审计和依赖工程师经验的人工审计。

作者:

Fairyproof TechCEO 谭粤飞

美国弗吉尼亚理工大学(Virginia Tech, Blacksburg, VA, USA) 工业工程(Industrial Engineering) 硕士(Master)。曾任美国硅谷半导体公司 AIBT Inc(San Jose, CA, USA) 软件工程师,负责底层控制系统的开发、设备制程的程序实现、算法的设计,并负责与台积电的全面技术对接和交流。自2011至今,从事嵌入式,互联网及区块链技术的研究,深圳大学创业学院《区块链概论》课程教师,中山大学区块链与智能中心客座研究员,广东省金融创新研究会常务理事 。个人拥有4项区块链相关专利、3本出版著作。

关于Fairyproof Tech:

Fairyproof Tech科技有限公司是一家专注区块链生态安全的公司。Fairyproof Tech科技主要通过“代码风险检测+逻辑风险检测“的一体化综合方案服务了诸多新兴知名项目。公司成立于2021年01月,团队由一支拥有丰富智能合约编程经验及网络安全经验的团队创建。

团队成员参与发起并提交了以太坊领域的多项标准草案,包括ERC-1646、ERC-2569、ERC-2794,其中ERC-2569 被以太坊团队正式收入。

团队参与了多项以太坊项目的发起及构建,包括区块链平台、DAO组织、链上数据存储、去中心化交易所等项目, 并参与了多个项目的安全审计工作,在此基础上基于团队丰富的经验构建了完善的漏洞追踪及安全防范系统。

标签:TECTECHECHAIRLitecoin TokenElonTechUsechain TokenFAIR币

以太坊热门资讯
什么是比特币?用Pokemon卡牌来解释

前言:本文仅适合于刚刚接触区块链和比特币的初学者。本文用Pokemon(译为口袋妖怪或宠物精灵)的卡牌交易来说明比特币的最基本原理。比特币为什么会有需求?为什么可以实现信任?为什么可以实现不可篡改?为什么无须第三方参与即可实现陌生人之间的交易?本文作者Luc Dossis,由“蓝狐笔记”社群的“Colin”翻译。

金色百科 | 什么是永续合约?

永续合约是一种衍生品。从交易的角度来说,它类似于传统的期货合约,但又有一些不同之处。首先它没有到期或结算日,永续掉期合约类似于一个保证金现货市场,因此它的交易价格接近于标的参考指数价格,这与期货合约不同,由于基差的原因,期货合约的交易价差可能存在显著的不同。其次锚定现货价格的主要机制是资金费用。

从普通电脑到ASIC矿机 普通人还适合挖矿吗?

我们经常会在业内的媒体报道中看到比特币矿机的新闻,而且最近也有不少媒体在报道 8nm 矿机。可是你知道吗,比特币的矿机其实经历了好几代的更新换代,最早用普通家用电脑也可以挖矿。 今天,我们就来简单梳理一下矿机的演变。 最早的比特币矿机是普通家用电脑,利用电脑的 CPU 挖矿。

金色百科丨以太坊中的ENS是什么?

ENS,是Ethereum Name Service的缩写,中文名字叫“以太坊域名服务”,它是一个基于以太坊区块链的可扩展,分布式和开放式命名系统,主要服务于人类可读的映射名称。ENS将人类可读的名称,比如jinse.eth映射到机器可读的标识符,具有读取以太坊地址,内容哈希和元数据的功能的功能。

什么是交易深度?如何衡量交易深度?

作者|阿华出品|白话区块链(ID:hellobtc) 我们在选择数字货币交易平台进行交易时,最先要考虑的就是平台的安全性和交易深度了,一般来说,世界排名靠前的交易平台都符合这两个特性,即安全性和深度都好。 安全性容易理解无需多说,那么什么是交易深度呢?如何衡量交易深度?下面我们一起来探讨下。

视频丨区块链到底是什么?

比特币凭什么值 1 万亿美元?区块链到底干了什么?匿名网络里绝对安全的数字货币真的存在吗?。