by cryptoblog Sumber : Binance academy
Mungkin dari sebagian kalian juga sering dengar kata kata audit di bebera project kan.
TL;DR
Audit keamanan kontrak pintar memberikan analisis terperinci tentang kontrak pintar proyek. Ini penting untuk melindungi dana yang diinvestasikan melalui mereka. Karena semua transaksi di blockchain bersifat final, dana tidak dapat diambil jika dicuri. Biasanya, auditor akan memeriksa kode kontrak pintar, menghasilkan laporan, dan memberikannya ke proyek untuk mereka kerjakan. Laporan akhir kemudian dirilis, merinci kesalahan yang belum terselesaikan dan pekerjaan yang telah dilakukan untuk mengatasi masalah kinerja atau keamanan.
pengantar
Audit keamanan kontrak pintar sangat umum di ekosistem Decentralized Finance (DeFi). Jika Anda telah berinvestasi dalam proyek blockchain, keputusan Anda mungkin sebagian didasarkan pada hasil tinjauan kode kontrak pintar.
Sementara kebanyakan orang memahami pentingnya audit untuk keamanan siber, tidak banyak yang menyelami baris kodenya. Mari kita lihat metode, alat, dan hasil yang biasanya terlihat dalam audit keamanan kontrak pintar sehingga Anda dapat membuat keputusan yang lebih tepat.
Apa itu audit kontrak pintar?
Audit keamanan kontrak pintar memeriksa dan mengomentari kode kontrak pintar proyek. Biasanya, kontrak ini ditulis dalam bahasa pemrograman Solidity dan disediakan melalui GitHub. Audit keamanan sangat berharga untuk proyek DeFi yang mengharapkan untuk menangani transaksi blockchain senilai jutaan dolar atau sejumlah besar pemain. Audit biasanya mengikuti proses empat langkah:
- Kontrak pintar diberikan kepada tim audit untuk analisis awal.
- Tim audit menyajikan temuan mereka ke proyek untuk ditindaklanjuti.
- Tim proyek melakukan perubahan berdasarkan masalah yang ditemukan.
- Tim audit merilis laporan akhir mereka, dengan mempertimbangkan setiap perubahan baru atau kesalahan yang belum terselesaikan.
Bagi banyak pengguna crypto, audit kontrak pintar sangat penting saat berinvestasi dalam proyek DeFi baru. Ini menjadi standar untuk proyek yang ingin dianggap serius. Penyedia audit tertentu juga dipandang sebagai pemimpin industri, membuat audit mereka lebih berharga di mata investor.
Mengapa kita membutuhkan audit kontrak pintar?
Dengan sejumlah besar nilai yang ditransaksikan melalui atau dikunci dalam kontrak pintar, mereka menjadi target yang menarik untuk serangan berbahaya dari peretas. Kesalahan pengkodean kecil dapat menyebabkan sejumlah besar uang dicuri. Misalnya, peretasan DAO pada blockchain Ethereum mengambil sekitar 60 juta dolar ETH dan bahkan menyebabkan hard fork jaringan Ethereum.
Karena transaksi blockchain tidak dapat diubah, memastikan bahwa kode proyek aman sangat penting. Sifat teknologi Blockchain yang sangat aman membuat sulit untuk mengambil dana dan menyelesaikan masalah, jadi lebih baik untuk mencegah kerentanan dengan segala cara.
Bagaimana cara kerja audit kontrak pintar?
Proses audit kontrak pintar cukup standar di antara penyedia audit. Meskipun pendekatan setiap auditor mungkin sedikit berbeda, proses tipikalnya adalah sebagai berikut:
- Menentukan ruang lingkup audit. Kontrak pintar dan spesifikasi proyek ditentukan oleh proyek (tujuan yang dimaksudkan) dan arsitektur keseluruhan. Spesifikasi membantu tim audit memahami tujuan proyek saat menulis dan menggunakan kode.
- Memberikan penawaran awal berdasarkan jumlah pekerjaan yang dibutuhkan.
- Jalankan tes. Sifat pasti mereka akan berubah tergantung pada tim audit, alat analisis mereka, dan metode mereka. Biasanya, tes manual dan otomatis dilakukan.
- Buat draf pertama laporan dengan kesalahan yang ditemukan dan berikan kepada tim proyek untuk umpan balik dan perbaikan tindak lanjut.
- Publikasikan laporan akhir, dengan mempertimbangkan tindakan apa pun yang diambil oleh tim untuk mengatasi masalah yang diangkat.
Metode audit kontrak pintar
efisiensi gas
Audit kontrak pintar tidak hanya fokus pada keamanan blockchain. Mereka juga melihat efisiensi dan optimasi. Beberapa kontrak membuat serangkaian transaksi yang rumit untuk menyelesaikan fungsi yang dimaksudkan. Dengan biaya gas pada jaringan seperti Ethereum yang relatif mahal, kontrak yang efisien dapat menghemat banyak biaya transaksi.
Mengoptimalkan kinerja mereka juga merupakan indikator keterampilan pengembang. Langkah-langkah yang tidak efisien memberikan lebih banyak poin untuk kegagalan dan harus dihindari. Ketika biaya gas tinggi, kontrak pintar mungkin gagal dijalankan, terlebih lagi ketika batas gas rendah digunakan.
Kerentanan kontrak
Sebagian besar pekerjaan dalam audit melibatkan pemeriksaan kontrak untuk kerentanan keamanan. Sementara beberapa masalah mudah dilihat, banyak eksploitasi melibatkan teknik dan strategi canggih untuk menguras dana. Misalnya, manipulasi pasar dapat digunakan dengan kontrak pintar yang lemah untuk melakukan serangan pinjaman kilat. Untuk menemukan masalah ini, auditor memulai proses pengujian jeda dan mensimulasikan serangan berbahaya pada kontrak pintar. Kerentanan umum meliputi:
- Masalah masuk kembali: Saat kontrak pintar melakukan panggilan eksternal ke kontrak eksternal lain sebelum efek apa pun diselesaikan. Kontrak eksternal kemudian dapat secara rekursif memanggil kontrak pintar asli dan berinteraksi dengannya
n cara seharusnya tidak bisa, karena saldo kontrak asli belum diperbarui.
- Integer overflows dan underflows: Ketika kontrak pintar melakukan operasi aritmatika, tetapi output melebihi kapasitas penyimpanan (biasanya 18 tempat desimal). Hal ini dapat menyebabkan jumlah yang salah dihitung.
- Peluang berjalan di depan: Kode yang tidak terstruktur dengan baik dapat memberikan peringatan awal tentang pembelian atau penjualan pasar. Ini, pada gilirannya, dapat memungkinkan orang lain untuk menggunakan informasi dan memperdagangkannya untuk keuntungan mereka sendiri.
Kelemahan keamanan platform
Sebagian besar audit termasuk melihat jaringan yang menghosting kontrak dan bahkan API yang digunakan untuk berinteraksi dengan DApp. Sebuah proyek mungkin rentan terhadap serangan DDoS atau UI situs webnya terganggu, yang berarti pengguna akan benar-benar menghubungkan dompet mereka ke aplikasi blockchain yang berbahaya.
Apa itu laporan audit?
Laporan audit diberikan pada akhir proses audit. Untuk transparansi, proyek diharapkan untuk berbagi temuan mereka dengan masyarakat. Sebagian besar laporan mengkategorikan masalah berdasarkan tingkat keparahannya, seperti kritis, besar, kecil, dll. Laporan juga akan mencantumkan status masalah, karena proyek diberi waktu untuk menyelesaikannya sebelum rilis laporan akhir.
Bersamaan dengan ringkasan eksekutif, laporan standar akan berisi rekomendasi, contoh kode yang berlebihan, dan perincian lengkap di mana terdapat kesalahan pengkodean. Waktu diberikan kepada proyek untuk menindaklanjuti temuan laporan sebelum versi final dirilis.
Di mana saya bisa mendapatkan audit kontrak pintar?
Sejumlah layanan audit kontrak pintar telah menjadi terkenal karena layanan mereka. Dua sangat populer, dan mendapatkan audit dari mereka akan membutuhkan kutipan awal dan penyerahan informasi,
CertiK
CertiK adalah pemimpin industri dalam hal audit kontrak pintar. Ratusan proyek telah mengaudit kontrak pintar mereka dengan mereka. PancakeSwap, Automated Market Maker (AMM) terbesar di BSC adalah salah satu contohnya. Di bawah ini adalah bagian dari audit Certik di PancakeSwap.
Selain itu, sebagian besar proyek yang didukung oleh Binance Labs telah mengaudit kontrak mereka dengan CertiK. CertiK merilis papan peringkat proyek yang diaudit yang memungkinkan Anda membandingkan masing-masing proyek, bersama dengan skor keamanan. Perhatikan bahwa, selain Ethereum, CertiK juga mencakup proyek BSC dan Polygon.
ConsenSys Diligence
Dijalankan oleh Joseph Lubin, salah satu pendiri Ethereum, ConsenSys adalah salah satu nama industri cryptocurrency terbesar dalam pengembangan blockchain. Di bawah ConsenSys Diligence, perusahaan menawarkan audit kontrak cerdas Ethereum. Mereka juga menyediakan layanan otomatis yang memeriksa kontrak Ethereum Virtual Machine (EVM) untuk kesalahan yang umum ditemukan.
Berapa biaya audit kontrak pintar?
Biaya pasti audit tergantung pada jumlah kontrak pintar yang akan diperiksa. Biasanya, audit akan menghasilkan ribuan dolar. Sebuah proyek besar tertentu dapat dengan mudah menelan biaya lebih dari $10.000. Perusahaan audit yang menjalankan audit Anda dan reputasinya juga akan memengaruhi seberapa banyak Anda membayar.
Menutup pikiran
Untungnya bagi investor dan pengguna, audit kontrak pintar telah menjadi standar emas. Namun, ketika setiap proyek memilikinya, itu bukan lagi indikator nilai yang mudah. Inilah sebabnya mengapa sangat penting untuk membaca audit sendiri. Bahkan jika Anda tidak memiliki pengetahuan teknis, akan sangat membantu untuk melihat komentar dan tingkat keparahan potensi masalah.
Ketika Anda menemukan audit, Anda sekarang setidaknya memiliki waktu yang lebih mudah untuk memahami isinya. Seperti biasa, pastikan bahwa setiap keputusan investasi melihat keseluruhan gambaran dan mempertimbangkan semua informasi.
