Аудит смарт-контракта: как проверить протокол перед инвестицией

Аудит — формальная проверка исходного кода контракта специализированной компанией. Аудиторы ищут логические ошибки, уязвимости повторного входа (reentrancy), целочисленное переполнение, проблемы с контролем доступа. По итогам выпускается публичный отчёт с классификацией находок: Critical, High, Medium, Low, Informational. Риск: аудит фиксирует состояние кода на момент проверки — последующие обновления контракта могут вносить новые уязвимости без повторного аудита.

В числе наиболее авторитетных — OpenZeppelin, ChainSecurity, Trail of Bits, Certik, Spearbit и Code4rena (конкурсный формат). OpenZeppelin аудировал Compound, Aave, Uniswap; ChainSecurity — MakerDAO и Curve. Нюанс: репутация аудитора не гарантирует отсутствие уязвимостей после аудита. Certik подвергался критике за поверхностные проверки ряда протоколов — смотрите на глубину отчёта, а не только на имя аудитора.

Найдите раздел Findings или Issues. Приоритет — статусы Critical и High: они означают уязвимости, позволяющие потерять средства. Проверьте колонку Status — уязвимость должна быть помечена Resolved или Acknowledged (с объяснением). Нерешённые Critical-находки — стоп-сигнал. Дополнительно смотрите на дату отчёта и версию контракта: если с момента аудита код менялся, отчёт может быть неактуален.

Большинство протоколов публикуют отчёты в репозитории GitHub или в разделе Security на официальном сайте. Агрегаторы: DeFiLlama (defillama.com) указывает наличие аудита в карточке протокола; соответствующие данные есть и на CoinGecko (coingecko.com) в разделе Security. Если отчёт не публичен или его нет вовсе — это красный флаг, протокол не прошёл независимую проверку.

Нет. Крупные протоколы проходят несколько аудитов от разных компаний и дополнительно запускают bug bounty (программу вознаграждения за найденные уязвимости). Ronin Bridge, через который в 2022 году утекло 625 млн долл, проходил аудиты — проблема оказалась в операционной безопасности ключей, а не в коде. Аудит кода и аудит операционных процессов — разные вещи.

Аудит снижает технический риск, но не правовой. Доход от DeFi-операций облагается НДФЛ 13–15% в РФ вне зависимости от того, проходил ли протокол аудит. В случае взлома и потери средств налоговой компенсации нет. Фиксируйте все операции с датой и рублёвым эквивалентом — это понадобится при подаче декларации.

Да. Аудит снижает вероятность взлома через уязвимости в коде, но не устраняет операционные риски: компрометацию ключей администраторов, атаки на оракулы, уязвимости в смежных протоколах. Beanstalk, Euler Finance и другие аудированные протоколы всё же были взломаны.