Протокол може пройти аудит смарт-контракту і все одно бути експлуатаційним, адже поверхня атаки — це контракт плюс усе, що до нього торкається: скрипти оновлення, управління, зберігачі, API, фронтенди та інструменти для розгортання. Читайте далі:

Аудити мають значення, але вони розраховані на момент часу і з обмеженим обсягом. Ризики накопичуються в дельті між тим, що було перевірено, і тим, що працює після оновлень, інтеграцій, змін залежностей і аварійних патчів.

Невдачі, які найбільше болять, рідко виглядають як «баг». Вони виглядають як задумана поведінка: шлях привілеїв, який стає досяжним, припущення оракула, що ламається під впливом тонкої ліквідності, або інваріант, що не працює через багатоступеневий потік.

Покриття всього системи починається з масштабу. Розглядайте ончейн-код, офчейн-сервіси, що впливають на стан, інфраструктуру підписів, адміністративні інструменти, CI/CD та фронтенд-будівельник транзакцій як першокласні поверхні безпеки.

Зробіть диференцію одиницею безпеки. Кожен PR може ввести новий край привілеїв або шлях транзакції, тому верифікація має слідувати за змінами, а не в календарних контрольних точках.

Моделюйте привілеї у вигляді графіка, а не списку. Вам потрібно знати найкоротший шлях до покращення, паузи, оновлення, знищення або зміни джерел оракула, включаючи передачу ролей і передачу адміністраторам, які рідко повторюються.

Шукайте інваріантні розриви, а не лише відомі патерни вразливості. Визначте, що завжди має бути істинним у різних потоках: облік, дозволи, припущення оракула, обмеження швидкості, порядок повідомлень — і тестуйте та моніторіть ці інваріанти безперервно.

Поєднуйте запобігання з виявленням. Кероване виявлення та реагування скорочують час між «щось змінилося» і «фонди під загрозою», особливо щодо дій управління, використання ключів, змін у інфраструктурі та ненормальної поведінки ончейну.

Розвідка загроз на основі ШІ допомагає, коли сигнали шумні та переходять у міждоменні зони. Він може корелювати відмінності в коді, оновлення залежностей, події інфраструктури та телеметрію ончейну, щоб виявити ті небагато змін, які заслуговують на негайний людський огляд.

Безпека — це життєвий цикл: моделювання загроз, аудити web3 та web2, конкурси та винагороди за помилки, кероване виявлення та реагування, планування реагування на інциденти та інституційна перевірка через Web3SOC.