التدقيق
تدقيق العقود الذكيةبعين المهاجم.
أمرّ على شيفرة Solidity سطرًا سطرًا، وأكتب الاختبارات التي سيكتبها المهاجم، ثم أعطيك تقريرًا يمكنك العمل به: ما الخطأ، ولماذا هو مهم، وكيف تثبته، وكيف تصلحه.
- اختبارًا في بروتوكولاتي
- 838
- اختراقًا حقيقيًا في قائمة الفحص
- 860
- لغتا التقرير: العربية والإنجليزية
- 2
ماذا أفحص
الثغرات التي تكلّف أموالًا حقيقية
قائمة الفحص عندي مبنية على الأسباب الجذرية لـ860 حادثة حقيقية.
- 01
التحكم في الصلاحيات
من يستطيع استدعاء ماذا: صلاحيات ناقصة، ودوال تهيئة غير محمية، وأدوار أوسع من اللازم.
- 02
إعادة الدخول (Reentrancy)
استدعاءات خارجية قبل تحديث الحالة، وإعادة الدخول عبر الدوال أو في القراءة فقط.
- 03
التلاعب بالأسعار والأوراكل
الأسعار الفورية، والمجمعات الضعيفة، والبيانات القديمة، والأسعار المحركة بالقروض الخاطفة.
- 04
الحساب والتقريب
اتجاه التقريب، وفقدان الدقة، وتضخيم الحصص، وهجوم المودع الأول.
- 05
منطق العمل
قواعد تعمل منفردة لكنها تنكسر معًا، والحالات الطرفية في آلات الحالة.
- 06
التواقيع وإعادة الاستخدام
معيار EIP-712، والـ nonce، ومعرّف الشبكة، وpermit، وتحوير التواقيع.
- 07
الترقية والتخزين
أنماط الـ Proxy، وترتيب التخزين، ودوال التهيئة، ومفاتيح المدير.
- 08
حجب الخدمة والتعطيل
حلقات بلا حدود، وسحوبات محجوبة، وفخاخ الغاز.
كيف يتم
ست خطوات من تحديد النطاق إلى مراجعة الإصلاح
النطاق والسعر
ترسل لي المستودع والـ commit. أنظر إلى الحجم ودرجة الخطورة، ثم أرسل لك سعرًا ثابتًا وموعدًا.
نموذج التهديد
أكتب ما يجب ألا ينكسر أبدًا: الثوابت، والأدوار، ومسارات الأموال.
المراجعة اليدوية
سطرًا سطرًا، وأمامي قائمة فحص مبنية على اختراقات حقيقية.
اختبارات fuzz وinvariant
اختبارات Foundry تحاول كسر الثوابت بمدخلات عشوائية.
التقرير
لكل ثغرة: درجة الخطورة، والأثر، وإثبات المفهوم، والإصلاح.
مراجعة الإصلاح
بعد أن تصلح المشاكل أراجع كل إصلاح مرة أخرى، وهذا ضمن السعر.
ماذا ستحصل عليه
تقرير يمكنك العمل به
ثغرات واضحة
درجة الخطورة، والأثر، والموضع في الشيفرة، وخطوات إعادة إنتاج المشكلة.
إثبات المفهوم
اختبارات Foundry تُظهر الثغرة، فيرى فريقك الاختبار يفشل ثم ينجح بعد الإصلاح.
اقتراح الإصلاح
إصلاح محدد لكل ثغرة، لا مجرد وصف للمشكلة.
مراجعة الإصلاح
مرور ثانٍ على إصلاحاتك، مع الحالة النهائية لكل ثغرة.
درجات الخطورة
كيف أقيّم الثغرة
- حرج
- خسارة مباشرة للأموال أو تجميدها، أو السيطرة الكاملة على البروتوكول، دون شروط خاصة.
- عالٍ
- خسارة أموال أو تعطل وظيفة أساسية، في ظروف محتملة الحدوث.
- متوسط
- الخسارة ممكنة لكنها تحتاج ظروفًا خاصة، أو تتعطل وظيفة بشكل يمكن إصلاحه.
- منخفض
- خطر صغير، أو فحص ناقص، أو نمط سيئ دون خسارة مباشرة.
- معلوماتي
- جودة الشيفرة والغاز وأفضل الممارسات، دون خطر أمني.
أسئلة
كم التكلفة؟
لكل تدقيق سعر ثابت بعد أن أطّلع على الشيفرة. يعتمد السعر على الحجم ودرجة التعقيد، لا على عدد الساعات.
كم يستغرق؟
معظم عمليات التدقيق تستغرق من أسبوع إلى ثلاثة أسابيع، وتحصل على الموعد مع السعر.
هل توقّع اتفاقية سرية؟
نعم. تبقى شيفرتك خاصة، ولا أنشر أي ثغرة إلا بإذنك.
أي شيفرة تدقق؟
شيفرة Solidity على Ethereum وشبكات EVM: منصات DeFi، والعملات، والـ NFT، والحوكمة، والخزائن وغيرها.
التدقيق
اطلب تدقيقًا
أرسل رابط الشيفرة ووصفًا قصيرًا، وسأرد عليك بالبريد الإلكتروني بالخطوات التالية.
ماذا يحدث بعد ذلك
- ترسل الطلبرابط الشيفرة، والـ commit المطلوب تدقيقه، ووصفًا قصيرًا.
- يصلك سعر ثابتأنظر إلى الحجم ودرجة الخطورة، ثم أرسل لك السعر والموعد بالبريد الإلكتروني.
- يبدأ التدقيقمتى كنت جاهزًا. يصلك التقرير، ثم مراجعة مجانية لإصلاحاتك.
كل طلب يصل إلى بريدي مباشرة، وأرد بالبريد الإلكتروني.