تقوية جدراننا: V1 مؤمن بأمان عبر تدقيق Certik

بقلم DeHub Team — 2021-07-04

بعد ثغرة العقد الذكي v1، كلفنا شركة Certik بإجراء تدقيق كامل في الربع الثالث من عام 2021 وتناولنا ما وجدته.

يُستخدم التدقيق كأداة تسويق في هذه الصناعة، لذا من المفيد كتابة هذا بدقة: ما الذي طلبناه، ما الذي غطته، وما الذي لم يمنع.

لماذا بعد، وليس قبل

الإجابة غير المريحة هي أن النسخة 1 تم إطلاقها بدون واحدة. صوت المجتمع على أساسيات التوكن، كان الإطلاق في طريقه، وتدقيق كامل يستغرق أسابيع من الوقت التقويمي وتكلفة معقولة لمشروع لم يُدرج بعد.

كان ذلك التداول الخاطئ وأثبتت الثغرة ذلك. كل عقد نشرناه منذ ذلك الحين تم تدقيقه قبل أن يُطلق، وليس بعد. إنها سياسة موجودة بسبب هذا الربع.

ما هو التدقيق فعليًا

التدقيق هو قراءة منظمة وعدائية للمدونة من قبل الأشخاص الذين يتم الدفع لهم للعثور على الأشياء وليس لديهم مصلحة في النتيجة. ينتج عن النتائج الجيدة قائمة بالنتائج حسب الخطورة، ومجموعة من التغييرات الموصى بها، وسجل لتلك التي أجريتها بالفعل.

هذا الجزء الأخير هو المكان الذي يتم فيه تحريف عمليات التدقيق. "مدققة من قبل Certik" ليست نتيجة — لا يزال التقرير الذي يحتوي على حرجيات لم يتم حلها بمثابة تدقيق. الادعاء المفيد هو أنه تم حل النتائج والتحقق من القرارات، وهو ما فعلناه هنا، وهي النسخة التي نشرناها منذ ذلك الحين.

ما لا تشتريه المراجعة

كونوا صريحين بشأن الحدود، لأننا تعلمنا بعضها لاحقًا بالطريقة الصعبة:

• يغطي الكود، وليس التصميم. يمكن أن يكون العقد خاليًا من الأخطاء القابلة للاستغلال ولا يزال يتصرف بشكل سيء في ظل ظروف لم يصممها أحد.
• إنها لقطة. ينطبق على النسخة المدققة. أي تغيير بعد ذلك غير مدقق حتى لا يكون كذلك.
• لا يمكنه رؤية الأجزاء غير المشفرة. لم يكن حادثنا الوحيد الأكثر ضررًا في ذلك العام تقنيًا على الإطلاق — كان إعلانًا احتياليًا وكيل ، ولم يكن هناك تدقيق للعقد في الوجود.

أوضح توضيح هو Q4 2022 . تعطلت المحفزات الضريبية للعقد v2 في ظل ظروف السوق الحقيقية وجمدت كل من الرمز المميز ومجمع السيولة لدينا. كانت هذه مشكلة في التصميم، وليست خطأ غير مصحح، ولهذا السبب انتقلنا في النهاية إلى علم الرموز القياسي العادي ERC -20 مع عدم وجود شيء ذكي في مسار النقل على الإطلاق.

ما احتفظنا به

قام التدقيق بعمله. تم جعل الحائزين كاملين من خلال إسقاط جوي تلقائي 1:1، وحمل العقد المقسى DHB خلال العام التالي، وأصبحت العملية قياسية.

الدرس الأكبر كان أرخص تعلمه هنا مما كان سيكون لاحقًا: التدقيق ليس الأمان. الأمان هو عادة افتراض أن عقدك خاطئ حتى يحاول شخص لا سبب له ليكون لطيفًا إثبات ذلك.

كيف نتحدث عن ذلك

نحن لا نستخدم "مُدقق" كادعاء بمفرده، ونشجع أي شخص يقيم مشروعًا على اعتبار الكلمة كبداية لسؤال بدلاً من نهايتها.

الأسئلة المفيدة هي: يتم تدقيقها من قبل من، مقابل أي إصدار، ماذا وجدوا، وما الذي تم تغييره بالفعل نتيجة لذلك. لا يزال التقرير الذي يحتوي على نتائج حاسمة لم يتم حلها بمثابة تدقيق. يصف تقرير عن عقد تم تعديله منذ ذلك الحين شيئًا لم يعد منتشرًا.

هذه الأسئلة هي السبب في وجود تقارير الشفافية وفي النهاية dhbscan.com . يجيبون عليها دون أن يطلبوا من أي شخص أن يسأل.