Okosszerződés audit checklist — amit mi is használunk

Egy rossz re-entrancy 180 millió dollárba került egyszer. Egy rossz access-control sok ezer felhasználó hozzáférését nullázta le. A blockchain nem bocsát meg. Az alábbi checklist az, amit mi is minden projektnél végigfuttatunk, mielőtt az első tranzakció átmenne a mainnet-en.

I. Threat model (1–2 nap)

• Gazdasági szereplők: ki tud profitot realizálni egy exploit esetén?
• Admin felület: mik a jogosultságok, ki kontrollálja őket?
• Oracle-függőségek: melyik oracle, mi a fallback?
• Flashloan-felületek: lehet-e a szerződést manipulálni egy tranzakción belül?
• MEV / front-running kitettség

II. Teszt-lefedettség

Nem a 100% line-coverage a cél, hanem az, hogy minden gazdasági szcenárióra legyen scenario-teszt. Foundry vagy Hardhat, de invariáns-tesztekkel kiegészítve.

// Foundry invariant test
contract TreasuryInvariants is Test {
    function invariant_totalSupplyMatchesBalances() public {
        uint256 sum;
        for (uint256 i = 0; i < users.length; i++) {
            sum += treasury.balanceOf(users[i]);
        }
        assertEq(sum, treasury.totalSupply());
    }
}

III. Fuzz campaign

• Echidna 10M+ runs, minden property kiemelt.
• Foundry fuzz a paraméter-tartomány szélein.
• Különös figyelem: reentrancy, overflow, access control, rounding.

IV. Statikus elemzők

• Slither — mint alap-szintű háló, de sok false positive.
• Mythril symbolic execution, lassabb de mélyebb.
• Aderyn (Rust-alapú) — gyors, modern.

V. Manual review

A tool-ok nem találnak meg minden üzleti-logika-hibát. Minden szerződést sor-ről-sor megnézünk, focus: állapot-változások, jogosultság, rollback-lehetőség, migráció. Négy szem alapelv — két ember párhuzamosan, independent.

VI. Deploy-pipeline

1. Lokális anvil / hardhat node: integration tesztek.
2. Testnet (Sepolia, Arbitrum Sepolia): kb. 2 hét forgalom alatt.
3. Canary mainnet: TVL-cap és kör gondosan.
4. Full rollout + TVL-emelés lépésekben.

VII. Onchain monitor

Deploy után 30–90 nap éles monitorozás: anomália-detektor (flashloan-minta, hirtelen TVL-ugrás, gyanús gas-használat). Pager-pipeline, ha valami megüti a küszöböt.

Összefoglaló

Ez a checklist nem kompletnek van szánva, de a megismételhető része annak, amit mi csinálunk. Ha szeretnéd, átfuttatjuk a te kódodon — 2-8 hét alatt teljes audit-jelentést kapsz PR-formában.