01Sorun ve çözüm
Akıllı sözleşme güvenlik denetiminde kodunuzu yayından önce, dağıtılacak sürümün commit karmasına sabitleyerek inceliyoruz. Otomatik analiz araçlarının çıktısını tek başına rapor saymıyor, her fonksiyonu iş mantığı, para akışı ve yetki modeliyle birlikte elle okuyoruz. Bulgular önem derecesiyle, yeniden üretim adımlarıyla ve önerilen düzeltmeyle teslim edilir; düzeltilen kod ikinci kez gözden geçirilir.
02Kimler için
Akıllı sözleşme güvenlik denetimi hangi ekiplere gerekir
Denetim, kodun dondurulduğu ve henüz ana ağa çıkmadığı aralıkta en çok değeri üretir.
- Token, staking ya da getiri dağıtımı sözleşmesini ana ağa yüklemeye hazırlanan girişimler
- Borç verme, takas havuzu veya kasa (vault) mantığı içeren bir DeFi protokolü geliştiren ekipler
- NFT koleksiyonu, mint ve telif payı (royalty) akışlarını kendi sözleşmesiyle yöneten projeler
- Mevcut sözleşmesini proxy üzerinden yükseltecek ve yeni sürümün depolama düzenini doğrulatmak isteyen ekipler
- Bir dış ekibin yazdığı sözleşmeyi devralan ve kodun ne yaptığını bağımsız bir gözle görmek isteyen şirketler
03İhtiyaçlar
Zincir üstünde kod yazarken ortaya çıkan riskler
Bu riskler derleyicinin uyarı vermediği, testlerin de çoğu zaman yakalamadığı türdendir.
- 01
Yeniden giriş ve çağrı sırası
Bakiye güncellenmeden önce dış bir adrese yapılan çağrı, karşı sözleşmenin aynı fonksiyona tekrar girmesine izin verir. Kontrol, etki, etkileşim sırasının her para çıkışında uygulanıp uygulanmadığına bakılır.
- 02
Yetki ve başlatma hataları
Yönetici fonksiyonlarında eksik bir değiştirici ya da korunmasız bir initialize çağrısı, sözleşmenin sahipliğini ilk çağırana bırakabilir. Rollerin kimde olduğu ve nasıl devredildiği tek tek izlenir.
- 03
Fiyat kaynağı manipülasyonu
Anlık havuz oranını fiyat olarak okuyan bir sözleşme, flash loan ile aynı blok içinde yanıltılabilir. Oracle kullanımı, zaman ağırlıklı fiyat ve bayat veri kontrolleri incelenir.
- 04
İşlem sıralaması ve imza tekrarı
Bekleyen işlemleri gören biri önüne geçerek kâr elde edebilir; zincir kimliği veya nonce içermeyen imzalar başka bir ağda yeniden kullanılabilir. Bu senaryolar sözleşmenin ekonomik akışı üzerinden değerlendirilir.
04Özellikler
Akıllı sözleşme güvenlik denetimi hizmetinin kapsamı
Kapsam, incelenecek dosyalar ve dağıtılacak sürüm üzerinden yazılı olarak sabitlenir.
- 01
Satır satır elle inceleme
Her harici ve genel fonksiyon, kimin çağırabileceği, hangi durumu değiştirdiği ve hangi varlığı hareket ettirdiği açısından okunur. Yorum satırlarıyla kodun gerçekte yaptığı arasındaki farklar ayrıca not edilir.
- 02
Değişmezler ve bulanık test
Toplam arzın değişmemesi ya da kullanıcı bakiyelerinin kasadaki varlığı aşmaması gibi kurallar yazılı hâle getirilir. Foundry veya Echidna gibi araçlarla bu kuralları bozmaya çalışan rastgele işlem dizileri üretilir.
- 03
Yükseltme ve depolama düzeni
Proxy kullanan sözleşmelerde eski ve yeni sürümün depolama yuvaları karşılaştırılır, yükseltme yetkisinin bir çoklu imza cüzdanına ya da zaman kilidine bağlı olup olmadığı kontrol edilir.
- 04
Gas ve hizmet reddi
Sınırsız büyüyen dizilerde dönen döngüler ve tek bir başarısız transferin bütün dağıtımı kilitlemesi gibi durumlar ayrı bir başlıkta raporlanır.
- 05
Düzeltme incelemesi
Ekibiniz bulguları kapattıktan sonra yeni commit yeniden okunur; düzeltmenin başka bir fonksiyonda yan etki yaratıp yaratmadığına bakılır.
05Entegrasyonlar
Sözleşmenin dayandığı araçlar ve dış bileşenler
Sözleşme tek başına çalışmaz; kullandığı kütüphaneler ve bağlandığı servisler de incelemeye girer.
- 01
Geliştirme ortamı
Hardhat veya Foundry projenizdeki mevcut testler çalıştırılır, kapsama dışında kalan dallar belirlenir ve denetim sırasında yazılan testler size teslim edilir.
- 02
Hazır kütüphaneler
OpenZeppelin gibi kütüphanelerin hangi sürümünün kullanıldığı ve devralınan sözleşmelerde ezilen fonksiyonların güvenli davranışı bozup bozmadığı kontrol edilir.
- 03
Oracle ve köprüler
Chainlink gibi fiyat beslemeleri ya da zincirler arası köprülerden gelen verinin doğrulanma biçimi, verinin gecikmesi veya durması senaryolarıyla birlikte ele alınır.
- 04
Yönetim cüzdanları
Safe gibi çoklu imza cüzdanlarının eşik değeri, imzacıların dağılımı ve acil durdurma (pause) yetkisinin kimde olduğu rapora eklenir.
06Süreç
Akıllı sözleşme güvenlik denetimi hizmeti nasıl ilerler?
Adım 01
Analiz
İş akışınızı, kullanıcılarınızı ve mevcut sistemlerinizi dinleriz; kapsamı, öncelikleri ve kabul ölçütlerini yazılı hâle getiririz.
Adım 02
Tasarım
Ekran akışlarını ve veri modelini çıkarırız. Arayüzü sizinle gözden geçirip onay almadan geliştirmeye geçmeyiz.
Adım 03
Geliştirme
Kısa döngülerle çalışırız; her döngü sonunda çalışan bir sürümü test ortamında görürsünüz.
Adım 04
Test
İşlevsel testler, entegrasyon testleri ve temel güvenlik kontrolleriyle hataları yayından önce yakalarız.
Adım 05
Yayın
Sunucu, alan adı, yedekleme ve izleme ayarlarını yaparak canlıya alırız; ekibinize kısa bir kullanım eğitimi veririz.
Adım 06
Bakım
İsterseniz bakım ve destek anlaşmasıyla güncellemeleri, izlemeyi ve yeni geliştirmeleri sürdürürüz.
07Teknoloji
Akıllı sözleşme denetiminde yöntem
Çalışma, Solidity ve Vyper ile yazılmış EVM uyumlu sözleşmeler için kurgulanır; Rust tabanlı zincirler kapsam görüşmesinde ayrıca değerlendirilir. Slither gibi statik analiz araçları ilk taramayı yapar, bulguların her biri elle doğrulanır. Sınıflandırmada SWC kayıtları ve bilinen saldırı örüntüleri referans alınır, önem derecesi etki ve istismar kolaylığına göre belirlenir.
Devamını okuDaha az göster
Zincir üstü hatalar geri alınamadığı için raporda yalnızca açıkları değil, yayından sonraki gözetimi de konuşuruz: olay kayıtlarının (event) izlenmesi, olağandışı çekimlerde sözleşmeyi durdurabilecek yetkinin tanımlanması ve özel anahtarların donanım cüzdanında tutulması. Denetim, incelenen sürümde bilinen yöntemlerle bulunabilen sorunları ortaya koyar; kodda açık kalmadığının kanıtı değildir ve raporda bu sınır açıkça yazılır.
08Çalışma modelleri
Bu hizmette çalışma modelleri
- 01
Proje bazlı
Sabit kapsam, sabit fiyat ve belirli teslim tarihi
Kapsamı belli, teslim tarihi olan işler için.
- Yazılı kapsam ve kabul ölçütleri
- Sabit fiyat ve belirli teslim tarihi
- Teslim ve kabul adımları sözleşmede
- 02
Danışmanlık
Saatlik veya günlük teknik danışmanlık
Karar, denetim veya yön belirleme gereken durumlar için.
- Saatlik veya günlük çalışma
- Yazılı rapor ve öneriler
- Ekibinizle birlikte çalışma
09Sık sorulan sorular
Akıllı sözleşme güvenlik denetimi hakkında sık sorulan sorular
Akıllı sözleşme güvenlik denetimi fiyatları neye bağlı?
Belirleyici olan kod satırı sayısından çok sözleşmeler arası etkileşimin karmaşıklığıdır. Oracle ve köprü kullanımı, proxy yapısı, değişmez testleri yazılıp yazılmayacağı ve düzeltme incelemesinin kaç tur süreceği teklifi şekillendirir.
Kod zaten ana ağdaysa denetim yine işe yarar mı?
Yarar, ama sonuç farklı kullanılır. Değiştirilemeyen bir sözleşmede bulgu çıkarsa varlıkları yeni bir sözleşmeye taşıma, yetkileri kısıtlama ya da arayüzden ilgili fonksiyonu kapatma gibi önlemler planlanır.
Denetime hangi kod sürümü verilmeli?
Yayına çıkacak hâline en yakın, işlevleri tamamlanmış sürüm. İnceleme belirli bir commit üzerinden yürür; denetim sırasında kod değişmeye devam ederse rapor hangi sürümü kapsadığını belirtir ve yeni değişiklikler ayrıca okunur.
Bir akıllı sözleşme güvenlik denetimi firması seçerken neye bakmalıyım?
Raporun yalnızca araç çıktısından oluşmadığına, her bulgunun etkilenen satır ve yeniden üretim adımıyla anlatıldığına ve düzeltme incelemesinin kapsama dahil olduğuna bakın. Denetimin sınırlarını açıkça yazmayan bir rapor yanlış bir güven hissi verir.
Arayüz ve cüzdan bağlantısı da incelenir mi?
Talep ederseniz evet. Kullanıcıya imzalatılan işlem verisinin arayüzde doğru gösterilmesi ve sınırsız token onayı istenmemesi ayrı bir başlık olarak değerlendirilir; bu kısım web uygulaması testine yakın bir yöntemle yürür.
Testnet üzerinde deneme yapıyor musunuz?
Bulguları kanıtlamak için yerel bir ana ağ kopyası (fork) üzerinde saldırı senaryoları çalıştırıyoruz. Böylece gerçek varlıklara dokunmadan, sözleşmenin bağlandığı canlı havuz ve oracle durumuyla deneme yapılabilir.
10İlgili hizmetler