एक फ़ाइंडिंग एक पंक्ति है। हमला उन पंक्तियों का जोड़ है — और हम उसी को ढूँढ़ते हैं। पाँचों परतों में से हर एक वह देखती है जो उसके ऊपर वाली नहीं देख पाती, और हर परत की पहचान उतनी ही उसके अंधे कोनों से बनती है जितनी उसकी पकड़ से। वे अंधे कोने रिपोर्ट में भी लिखे हैं और यहाँ भी: जो टूल अपनी पहुँच छिपाता है उसे आप ठीक से बरत ही नहीं सकते।
यह क्रम दिखावे के लिए नहीं है। हर परत उसे खाती है जो पिछली ने बनाया; इसीलिए चौथी को तीसरी के बिना चलाया ही नहीं जा सकता।
Solidity सोर्स पर 201 डिटेक्टर: बिना जाँचे रिटर्न, reentrancy की शक्लें, मिंट और स्वीप के रास्ते, मालिक की शक्तियाँ, प्रॉक्सी और अपग्रेड के रास्ते, और एक नक़ली ख़रीद-बिक्री जो हनीपॉट को उसमें गिरे बिना पकड़ लेती है। इंजन आपकी मशीन पर चलता है। ⛔ अंधा कोना: क्या वह रास्ता उन मानों से पहुँच में है जो कॉन्ट्रैक्ट सचमुच देखेगा — कुछ भी चलाया नहीं गया।
सोर्स एक दावा है; डिप्लॉय किया हुआ बाइटकोड एक तथ्य। यह परत dispatcher पढ़कर वे सिलेक्टर निकालती है जो कॉन्ट्रैक्ट सचमुच खोलता है, कच्चे calldata को सिग्नेचर-संग्रह के सामने नाम देती है, लाइब्रेरी कोड हटाकर हाथ से लिखी पंक्तियाँ छोड़ती है, और बताती है कि किसी पते का पैसा कहाँ से आया, स्रोत सहित। ⛔ अंधा कोना: नीयत, और हर वह सूची जिसे किसी ने चढ़ाया ही नहीं।
ऊपर के प्रमाणों से बनी 21 हमला-शृंखलाएँ। हर शृंखला एक सवाल, पूर्वशर्तों की एक सूची और हर पूर्वशर्त का भार रखती है। कोई शृंखला तभी निकलती है जब स्कैन ने उसकी ज़रूरी पूर्वशर्तें सचमुच सिद्ध कर दी हों। ⛔ अंधा कोना: जीवित स्थिति — बैलेंस, लिक्विडिटी की गहराई, चाबियाँ किसके पास हैं। यहाँ का भरोसा सिद्ध पूर्वशर्तों का अनुपात है; हमले के कामयाब होने की संभावना नहीं।
मॉडल का काम तभी शुरू होता है जब 03 कोई शृंखला बना चुका हो: उस शृंखला को पाठक की अपनी भाषा में, इस स्तर पर बताना कि बचाव करने वाला उसे बंद कर सके। उससे कभी कोई परिदृश्य नहीं माँगा जाता और वह जोड़ भी नहीं सकता — आत्मविश्वास से भरी और झुठलाई न जा सकने वाली गढ़ी हुई हमलों की सूची इकलौती असली फ़ाइंडिंग को अपने नीचे दफ़्न कर देती है। ⛔ अंधा कोना: नीयत।
हर फ़ाइंडिंग अपनी गंभीरता, प्रमाण और समाधान के साथ एक PDF में; सौंपी जा चुकी रिपोर्टों का सार्वजनिक संग्रह; एक ऐसा बैज जो चेन से LIVE पढ़े हुए को सिर्फ़ घोषित किए हुए से अलग रखता है और दूसरे पर तारीख़ डालता है; और वह पहरेदार जो रिपोर्ट पर हस्ताक्षर होने के बाद भी पते पर नज़र रखता रहता है। ⛔ बाहर: ख़ुद «सुरक्षित» का दावा।
रिपोर्ट बताती है कि क्या परखा गया और क्या पूरा उतरा। जो रिपोर्ट सुरक्षा का वादा करती है वही वह रिपोर्ट है जिस पर भरोसा नहीं करना चाहिए — और यह वाक्य पूरे उत्पाद की सेटिंग है।
टूल स्वयं (स्कैनर, कंट्रोल पैनल, SAFI वर्कस्पेस) फ़िलहाल अंग्रेज़ी इंटरफ़ेस में चलते हैं। ये पेज वहाँ जाने से पहले हर चीज़ हिन्दी में समझाते हैं।
पैमाना, गहराई और ख़ुद को रोक पाना — ये तीन अलग दावे हैं। नीचे की हर संख्या गिनी जा सकती है, और इनमें से कोई भी गोल किया हुआ मार्केटिंग आँकड़ा नहीं है। तीसरा वह सीमा है जो हमने ख़ुद चुनी।
हर शृंखला डिटेक्टर के आउटपुट से कोड में बनती है और जो भी पूर्वशर्त वह दावा करती है उसका प्रमाण साथ रखती है। एआई उस शृंखला की व्याख्या करता है जो पहले से मौजूद है। आज तक उसका एक भी शृंखला जोड़ पाना संभव नहीं हुआ — क्योंकि जोड़ने का कोई दरवाज़ा ही नहीं है।
BNB Chain, Ethereum, Base, Polygon, Arbitrum, Optimism और Avalanche पर 2021–2025 के बीच फैला एक सार्वजनिक रिकॉर्ड।
हर प्रविष्टि उस PDF से जुड़ती है जिसे ऑडिटर ने ख़ुद प्रकाशित किया — यहाँ रखी किसी नक़ल से नहीं, और उसके सारांश से तो बिल्कुल नहीं। संख्या आप ख़ुद गिन सकते हैं।
डिटेक्टर शब्दावली हैं; शृंखलाएँ वे वाक्य हैं जो उन शब्दों से बन सकते हैं।
इनमें से बारह किसी ऐसी दर्ज घटना का हवाला देती हैं जो इसी शक्ल पर चली थी। बाक़ी नौ कोई भरोसेमंद-सा नाम गढ़ने के बजाय यह कह देती हैं कि तुलना करने लायक़ कोई घटना नहीं मिली।
दो कमज़ोरियाँ जिनमें से अकेले में कोई गंभीर नहीं — और एक ख़ाली पूल। गंभीरता के क्रम में लगी फ़ाइंडिंग-सूची इसे ठीक क्यों छिपा लेती है, वह यहाँ दिखता है:
यह पैटर्न काल्पनिक नहीं है: Euler Finance ने ऐसे ही बहीखाते पर 197 मिलियन डॉलर गँवाए जिसे इसी रास्ते से हिलाया जा सकता था।
जो टूल सिर्फ़ अपनी ख़ूबियाँ गिनाता है, वह चाहता है कि खाइयाँ आप लाइव माहौल में ख़ुद ढूँढ़ें। हर परत क्या नहीं देख सकती, यह रिपोर्ट में भी लिखा है और इस पेज पर भी।
सबसे अहम: इस उत्पाद के भीतर कोई भी प्रतिबंध-सूची संकलित नहीं है। अगर लेबल की सूची चढ़ाई नहीं गई है तो रिपोर्ट यही शब्द लिखकर कह देती है — वह ऐसा साफ़ नतीजा नहीं लौटाती जिसे आप «जाँच लिया गया» पढ़ लें।
कॉन्ट्रैक्ट का पता पेस्ट करें; जोखिम में पड़ने से पहले मालिक की शक्तियाँ, लिक्विडिटी और बिक्री-सिमुलेशन का नतीजा देखें। प्रति स्कैन एक छोटा शुल्क हस्ताक्षर से पहले दिखाया जाता है — और किसी भी सदस्यता में यह असीमित रूप से शामिल है।
