Smart-Contract-Sicherheitsaudits verstehen

Grundlagen

Die Ergebnisse einer Codeüberprüfung von Smart Contracts beeinflussen oft Investitionsentscheidungen in Blockchain-Projekten. Daher sind Sicherheits-Audits von Smart Contracts im Decentralized Finance (DeFi)-Ökosystem alltäglich.

Das Verständnis der Bedeutung von Cybersicherheitsaudits ist entscheidend, um kluge und fundierte Entscheidungen zu treffen.

Smart-Contract-Audit

Ein Sicherheits-Audit eines Smart Contracts umfasst typischerweise vier Schritte. Es dient dazu, den geschriebenen Smart-Contract-Code (häufig in der Programmiersprache Solidity) gründlich zu prüfen und zu kommentieren, der über GitHub bereitgestellt wurde. Solche Audits sind für DeFi-Projekte unerlässlich, die mit massiven Blockchain-Transaktionen im Wert von Millionen rechnen und viele Teilnehmer erwarten.

1)Das Audit-Team führt eine erste Analyse der Smart Contracts durch.

2)Das Audit-Team präsentiert seine Ergebnisse dem Projektteam, damit dieses Maßnahmen ergreifen kann.

3)Das Projektteam ändert und passt das Projekt basierend auf den identifizierten Problemen an.

4)Das Audit-Team veröffentlicht seinen Abschlussbericht unter Berücksichtigung etwaiger nicht behobener Revisionen oder Fehler.

Ein Smart-Contract-Audit gilt inzwischen als obligatorisch für neue DeFi-Projekte, die Krypto-Nutzer anziehen und als seriös wahrgenommen werden möchten. Bestimmte Audit-Anbieter gelten als Autoritäten auf dem Gebiet, was den Wert ihrer Prüfungen aus Sicht der Investoren zusätzlich stärkt.

Wozu dient ein Smart-Contract-Audit?

Smart-Contract-Audits sind notwendig, um die Sicherheit eines verteilten Ledgers zu gewährleisten und zu prüfen, ob der Code eines Smart Contracts wie beabsichtigt funktioniert. Audits können potenzielle Schwachstellen aufdecken und sicherstellen, dass der Code allen Standards und Anforderungen entspricht.

Smart Contracts sind wertvolle Vermögenswerte, da große Geldsummen übertragen oder gespeichert werden können. Das macht sie zugleich zu Zielen für böswillige Angriffe, bei denen schon ein kleiner Programmierfehler erhebliche Verluste verursachen kann. Ein typisches Beispiel ist der DAO-Hack auf Ethereum, bei dem rund 60 Millionen Dollar in ETH gestohlen wurden und das Ethereum-Netzwerk schließlich hart geforkt werden musste, um die Verluste zu begrenzen.

Da Blockchain-Transaktionen nicht rückgängig gemacht werden können, müssen Entwickler sicherstellen, dass ihre Projekte sicheren Code enthalten. Die Blockchain-Technologie ist extrem sicher, weshalb das Wiederbeschaffen von Mitteln oder die nachträgliche Behebung auftretender Probleme oft unmöglich ist. Vorsorglich müssen daher alle Schwachstellen sofort beseitigt werden.

Wie funktioniert das?

Unabhängig vom Audit-Anbieter kann im Allgemeinen ein standardisierter Prozess für die Prüfung eines Smart Contracts erwartet werden. Auch wenn sich Audits in einzelnen Aspekten unterscheiden können, gibt es üblicherweise eine standardmäßige Abfolge von Schritten:

1. Analyse des Projektumfangs. Dazu gehören der Smart Contract, die Projektziele und die Gesamtarchitektur, um die Spezifikationen korrekt zu bewerten und entsprechend zu implementieren.
2. Erstellung einer Schätzung des erforderlichen Arbeitsaufwands.
3. Testen des Systems. Die Tests können je nach Audit-Team, Analysetools und Methoden variieren. In der Regel sollten sowohl manuelle als auch automatisierte Tests durchgeführt werden.
4. Erstellung einer ersten Version des Berichts, die die vorhandenen Fehler aufzeigt, und Weitergabe an das Projektteam zur Prüfung und notwendigen Korrektur.
5. Nach Berücksichtigung der Maßnahmen des Teams zur Behebung der beobachteten Probleme wird der abschließende Bericht verteilt.

Methoden der Smart-Contract-Audits

Gas-Effizienz

Bei der Prüfung von Smart Contracts geht es nicht nur um die Gewährleistung der Blockchain-Sicherheit. Auditoren betrachten auch Effizienz und Optimierung, um Transaktionskosten zu senken. Komplexe Transaktionen können auf Netzwerken wie Ethereum teuer sein, wo die Gas-Gebühren relativ hoch sind. Effiziente Verträge können daher erhebliche Transaktionskosten einsparen. Darüber hinaus ist die Optimierung der Performance ein wichtiger Indikator für die Fähigkeiten der Entwickler. Unnötig ineffiziente Abläufe bieten mehr Angriffsfläche und sollten vermieden werden. Bei hohen Gas-Kosten können Smart Contracts unter Umständen nicht ausgeführt werden, besonders wenn ein zu niedriges Gas-Limit verwendet wird.

Schwachstellen von Smart Contracts

Sicherheitslücken stehen im Zentrum von Smart-Contract-Audits. Viele Probleme erfordern jedoch fortgeschrittene Techniken und Strategien, um Gelder abzugreifen. Beispielsweise kann Marktmanipulation schwache Smart Contracts ausnutzen, um Flash-Loan-Angriffe durchzuführen. Um solche Probleme zu identifizieren, beginnen Auditoren mit einem Break-Testing-Prozess und simulieren böswillige Angriffe auf den Smart Contract. Häufige Schwachstellen umfassen Reentrancy-Probleme, Integer-Überläufe und -Unterläufe sowie Front-Running-Möglichkeiten.

Sicherheitslücken der Plattform

Die meisten Audits beinhalten die Prüfung des Netzwerks, das die Contracts hostet, und sogar der API, die zur Interaktion mit der DApp verwendet wird. Ein Projekt kann anfällig für DDoS-Angriffe sein oder die Website-Oberfläche könnte kompromittiert werden, was dazu führen kann, dass Nutzer ihre Wallets mit bösartigen Blockchain-Anwendungen verbinden.

Auditbericht

Der Audit-Prozess kulminiert in der Veröffentlichung des Auditberichts. Zur Förderung von Transparenz sollten die Audit-Ergebnisse öffentlich geteilt werden. Der Bericht ordnet die Ergebnisse typischerweise nach Schweregraden, einschließlich kritisch, signifikant und geringfügig. Außerdem sollte der Bericht den Status der identifizierten Probleme angeben, sodass Projekte eventuelle Probleme beheben können, bevor der Bericht endgültig veröffentlicht wird.

Ein Standardbericht enthält in der Regel Folgendes:

• Eine Management-Zusammenfassung.
• Empfehlungen.
• Zusätzliche Code-Beispiele.
• Eine detaillierte Aufschlüsselung der Codefehler.

Das Projekt hat einen festgelegten Zeitraum, um auf die Erkenntnisse des Berichts zu reagieren, bevor die offizielle Version veröffentlicht wird.

Wo finde ich einen Dienst zur Prüfung meines Smart Contracts?

Mehrere bekannte Smart-Contract-Audit-Dienste sind mittlerweile verfügbar. Bei zwei der populärsten Anbieter ist vor der Durchführung eines Audits die Einreichung von Informationen zur Angebotsfindung erforderlich.

CertiK

CertiK gewährleistet die Sicherheit der Nutzer durch strenge Schutzmaßnahmen. Große Börsen wie Binance, OKEx und Huobi empfehlen CertiK als ihren bevorzugten Blockchain- und Smart-Contract-Auditor. Das Unternehmen führt umfassende Audits aller Web3-Plattform-Komponenten durch, einschließlich Projekten auf Ethereum, BNB Chain, Polygon und mehr als einem Dutzend Layer-1-Blockchains.

ConsenSys Diligence 

ConsenSys wurde von Joseph Lubin, einem Mitbegründer von Ethereum, gegründet und ist ein wichtiger Akteur in der Kryptowährungs- und Blockchain-Entwicklungsbranche. Über ConsenSys Diligence bietet das Unternehmen Ethereum-Smart-Contract-Audits sowie einen automatisierten Service, der EVM-Verträge (Ethereum Virtual Machine) auf häufige Fehler hin bewertet.

Was kostet ein Smart-Contract-Audit?

Die Kosten für ein Audit können stark variieren und hängen unter anderem von der Anzahl der zu prüfenden Smart Contracts ab. Die meisten Audits kosten mehrere tausend Dollar, und bei größeren Projekten können die Kosten leicht über 10.000 $ liegen. Zudem beeinflussen Ruf und Expertise des gewählten Audit-Unternehmens den Preis.

Fazit

Smart-Contract-Audits sind zu einem wichtigen Bestandteil der Evaluierung für Investoren und Nutzer geworden. Allerdings ist ein Audit angesichts der Vielzahl bereits geprüfter Projekte nicht mehr das alleinige Qualitätsmerkmal. Deshalb ist es besonders wichtig, einen Auditbericht kritisch zu lesen. Auch ohne tiefes technisches Wissen kann ein Blick auf die Hinweise zu potenziellen Problemen und deren Schwere nützliche Erkenntnisse liefern.