Bir bulgu bir satırdır. Bir saldırı ise bu satırların birleşimidir — ve biz onu arıyoruz. Beş katmanın her biri bir üstündekinin göremediğini görür, ve her katman yakaladığı kadar kör noktasıyla da tanımlanır. O kör noktalar raporda yazdığı gibi burada da yazılıdır: erişimini gizleyen bir aracı ayarlayamazsınız.
Sıra sunum amaçlı değil. Her katman bir öncekinin ürettiğini tüketir; bu yüzden dördüncüyü üçüncü olmadan çalıştıramazsınız.
Solidity kaynağı üzerinde 201 dedektör: kontrol edilmemiş dönüşler, reentrancy şekilleri, basım ve süpürme yolları, sahip yetkileri, proxy ve yükseltme yolları, ve honeypot'u içine düşmeden yakalayan simüle bir al-sat. Motor sizin makinenizde çalışır. ⛔ Kör: bir yolun kontratın gerçekte göreceği değerlerle erişilebilir olup olmadığı — hiçbir şey çalıştırılmadı.
Kaynak bir iddiadır; dağıtılmış bayt kodu ise olgudur. Bu katman dispatcher'ı okuyup kontratın gerçekten açtığı seçicileri çıkarır, ham calldata'yı imza külliyatına karşı adlandırır, kütüphane kodunu çıkararak elle yazılmış satırları bırakır ve bir adresin parasının nereden geldiğini kaynağıyla birlikte bildirir. ⛔ Kör: niyet, ve kimsenin yüklemediği her liste.
Yukarıdaki kanıtlardan kurulan 21 saldırı zinciri. Her zincir bir soru, bir önkoşul listesi ve her önkoşulun ağırlığını taşır. Bir zincir ancak tarama gerekli önkoşullarını gerçekten kanıtladıysa yayılır. ⛔ Kör: canlı durum — bakiyeler, likidite derinliği, anahtarları kimin tuttuğu. Buradaki güven, kanıtlanmış önkoşulların oranıdır; saldırının başarma olasılığı değil.
Modelin işi ancak 03 bir zincir kurduktan sonra başlar: o zinciri okuyucunun kendi dilinde, savunanın kapatabileceği düzeyde anlatmak. Ondan asla senaryo istenmez ve ekleyemez de — kendinden emin ve yanlışlanamaz bir uydurma saldırı listesi, tek gerçek bulguyu altına gömer. ⛔ Kör: niyet.
Her bulgu ciddiyeti, kanıtı ve düzeltmesiyle bir PDF'te; teslim edilmiş raporların herkese açık arşivi; zincirden CANLI okunanı yalnızca BİLDİRİLENDEN ayrı tutan ve ikincisini tarihleyen bir rozet; ve rapor imzalandıktan sonra adresi izlemeye devam eden gözcü. ⛔ Hariç: «güvenli» iddiasının kendisi.
Bir rapor neyin test edildiğini ve neyin sağlandığını söyler. Güvenlik vaat eden bir rapor, güvenilmemesi gereken rapordur — ve bu cümle ürünün tamamının ayarıdır.
Araçların kendisi (tarayıcı, kontrol panelleri, SAFI çalışma alanı) şu an İngilizce arayüzle çalışıyor. Bu sayfalar, oraya girmeden önce her şeyi Türkçe anlatır.
Ölçek, derinlik ve kendini tutmak üç farklı iddiadır. Aşağıdaki her sayı sayılabilir, ve hiçbiri yuvarlanmış bir pazarlama rakamı değil. Üçüncüsü bizim seçtiğimiz bir sınır.
Her zincir dedektör çıktısından kodda kurulur ve iddia ettiği her önkoşulun kanıtını taşır. Yapay zekâ, zaten var olan bir zinciri açıklar. Bugüne kadar bir tane eklemesi mümkün olmadı — çünkü ekleyebileceği bir kapı yok.
BNB Chain, Ethereum, Base, Polygon, Arbitrum, Optimism ve Avalanche üzerinde 2021–2025 arasına yayılan herkese açık bir kayıt.
Her kayıt denetçinin KENDİ yayımladığı PDF'e bağlanır — burada barındırılan bir kopyaya değil, özetine hiç değil. Sayıyı kendiniz sayabilirsiniz.
Dedektörler kelime dağarcığıdır; zincirler o kelimelerin kurabildiği cümleler.
On ikisi aynı şekli izlemiş belgelenmiş bir olaya atıf yapar. Diğer dokuzu, akla yatkın bir isim uydurmak yerine karşılaştırılabilir bir olayın bulunmadığını söyler.
Tek başına hiçbiri kritik olmayan iki zayıflık — ve boş bir havuz. Ciddiyete göre sıralanmış bir bulgu listesinin bunu tam olarak neden sakladığı burada görülür:
Örüntü varsayımsal değil: Euler Finance aynı yoldan oynatılabilen bir muhasebeye 197 milyon dolar kaybetti.
Yalnızca güçlü yanlarını sıralayan bir araç, boşlukları canlı ortamda sizin bulmanızı istiyor demektir. Her katmanın göremediği şey raporda da bu sayfada da yazılıdır.
En önemlisi: hiçbir yaptırım listesi bu ürünün içine derlenmiş değildir. Etiket listesi yüklenmemişse rapor bunu bu kelimelerle söyler — «taranmış» diye okuyabileceğiniz temiz bir sonuç döndürmez.
Kontrat adresini yapıştırın; sahip yetkilerini, likiditeyi ve satış simülasyonu sonucunu riske girmeden önce görün. Tarama başına küçük bir ücret imzadan önce gösterilir — herhangi bir abonelikte ise sınırsız olarak dahildir.
