Аудит безопасности смарт-контрактов

Убедитесь, что основная логика DApp надёжна, устойчива и соответствует высочайшим отраслевым стандартам безопасности.

Нам доверяют более 1000 клиентов

BlockSec помогла защитить цифровые активы на сумму более 50 млрд долларов.

Что мы проверяем в смарт-контрактах

Защищаем целостность DeFi-протоколов: от критической для безопасности логики и механизмов обновления до внешних интеграций.

Архитектура смарт-контрактов

Шаблоны проектирования

Бизнес-логика

Экономические модели

Механизмы токенов

Контроль полномочий

Обновляемость и прокси

модули управления

Интеграция с оракулами, мостами и DeFi-протоколами

Охват тестирования и развёртывание

Операционная безопасность

Как пройти аудит безопасности с BlockSec

Объём и стоимость

Объём аудита определяется по завершённой кодовой базе и проектной документации. Подробное предложение учитывает сложность проекта и его требования. При необходимости можно подписать соглашение о неразглашении (NDA).

Согласование и планирование

Аудит безопасности и проверка исправлений

Отчёт и рекомендации по устранению

Объём и стоимость

Согласование и планирование

Подтвердите условия проекта, включая оплату и понятный график аудита с датами начала и завершения.

Аудит безопасности и проверка исправлений

Проводим комплексный аудит безопасности с передовыми собственными инструментами, при необходимости адаптированными под проект. Находки передаются заказчику и обсуждаются с ним; соответствующие исправления проверяются. Сложным проектам может потребоваться несколько циклов аудита и проверки.

Отчёт и рекомендации по устранению

Предоставляем профессионально подписанный отчёт с подробным описанием находок, оценкой рисков и практическими рекомендациями по устранению.

Преимущества аудита смарт-контрактов

Наш аудит сочетает глубокое понимание протоколов, собственные инструменты и передовые методы анализа для полного охвата.

Независимые перекрёстные проверки несколькими аудиторами

Каждый проект выполняет выделенная команда аудиторов, проводящая независимые проверки и систематическое сопоставление результатов для сокращения слепых зон и расширения охвата сложных систем.

Комплексный анализ архитектуры и моделирование угроз

Начинаем с архитектуры системы, потоков активов и границ доверия, чтобы определить реалистичные пути атак и сосредоточиться на главном.

Приоритизация объёма по рискам

В первую очередь рассматриваем контракты с наибольшим влиянием и критические пути, затем глубоко проверяем бизнес-логику, механизмы токенов, учётные инварианты, полномочия и обновляемость на критические недостатки.

Проверенные на практике собственные инструменты

Постоянно инвестируем в собственные инструменты, включая статические анализаторы и детектор на основе LLM, чтобы рано выявлять распространённые шаблоны уязвимостей, скрытые логические несогласованности и снижать вероятность человеческой ошибки.

Отчёты об аудите

Другие отчёты

Security Audit Report for Puffer's Puffer-Protocol v2

9 сент. 2026 г.

Security Audit Report for Puffer's Puffer-Protocol v2

Puffer-Protocol v2 is a cross-chain restaking and attestation integration that connects Puffer validator operations with Automata-verified TEE sessions. The audit scope covers two main layers of code. The first is the Puffer contract layer, which handles validator registration and provisioning, Guardian enclave key rotation, withdrawal batch processing, Validator Ticket accounting, reward distribution, and L1/L2 reward bridging . The second layer is the Automata TEE workload measurement layer, which verifies TDX/SNP reports, TPM quotes, AK and session-key delegation, base image and workload policies, PCR constraints, and session lifecycle operations consumed by Puffer’s Guardian trust path. Specifically, for code in puffer-contracts-updates-private, the audit focuses on the codes located in the following directories/files: l2-contracts/src mainnet-contracts/src For code in automata-tee-workload-measurement, the audit focuses on the codes located in the following directories/files: src/SessionRegistry.sol src/BaseImageRegistry.sol src/WorkloadRegistry.sol src/TeeVerifier.sol src/SignatureVerifier.sol src/KeyResolver.sol Other files are not within the scope of the audit. Additionally, all dependencies of the Target are considered reliable in terms of both functionality and security, and are therefore not included in the audit scope.

Security Audit Report for Pharos Labs's Prosper Contracts

8 сент. 2026 г.

Security Audit Report for Pharos Labs's Prosper Contracts

Prosper Contract is an on-chain launch protocol designed to integrate external R25 Vaults with dedicated pToken campaigns. For each integrated Vault, the protocol creates and manages an independent campaign that begins with an internal launch and continues through liquidity migration to an external market. After the migration, the protocol supports reward claims and uses collected channel fees to conduct pToken buybacks. This structure provides each R25 Vault with an isolated campaign lifecycle while using a shared framework for token launches, liquidity migration, reward distribution, and fee-funded buybacks. Compared to Version 1 (68c547), Version 2 (b8ef7f) introduces asynchronous R25 deposit requests with user cancellation, canonical pair protection, and time-locked LP positions instead of permanent LP burning. It also extends failed-campaign handling by burning reserved tokens and converting accrued fees into R25 Vault Shares that users can reclaim through a Merkle-based mechanism without an expiration period or administrative sweep.

Security Audit Report for PopDEX's Dex Topup

24 авг. 2026 г.

Security Audit Report for PopDEX's Dex Topup

Dex Topup provides deterministic, permissionless deposit addresses for bridging ERC20 tokens through the official TokenBridge. Each user’s proxy address can be precomputed before deployment, allowing tokens to be sent there in advance. Once funded, anyone can call the factory contract to deploy the proxy and forward the tokens to the TokenBridge, with the receiver fixed to the original user. The module acts only as a lightweight forwarding layer and does not maintain balances or custody funds long term.

Security Audit Report for Rhea Finance's Agg-Oracle

18 авг. 2026 г.

Security Audit Report for Rhea Finance's Agg-Oracle

The reviewed update extends the protocol’s oracle infrastructure by integrating Atlas and Outlayer as dedicated price-data sources. The changes introduce source-specific payload decoding and validation, signature verification, authorized-signer configuration, price normalization, price-reporting interfaces, and token-to-feed mappings. The contract’s storage layout and migration procedures have also been updated to accommodate the new signerrelated state while maintaining compatibility with previously stored oracle data.

Security Audit Report for DeAgentAI's multisig-timelock-contracts

11 авг. 2026 г.

Security Audit Report for DeAgentAI's multisig-timelock-contracts

The multisig-timelock-contracts is a token vault deployed on BSC and Sui. It implements a weighted multisig scheme based on off-chain signatures, combined with a conditional timelock. Each owner holds a weight, and an operation is authorized once the combined weight of the signers reaches a fixed threshold. The timelock delay applies only when at least one participating signer is flagged as timelocked. Both chains share identical high-level logic, differing solely in the signature primitive: EIP712 with ECDSA on BSC and Ed25519 on Sui. The configured owners are A (weight 2, timelocked), B (weight 1, and C (weight 1, with a threshold of 2. Accordingly, A alone requires the delay, B and C together may execute immediately, and B or C alone is rejected. The only governed operation is transferring whitelisted tokens out of the vault, and all configuration is fixed at deployment and immutable.

Security Audit Report for BitgetWallet's solver

10 авг. 2026 г.

Security Audit Report for BitgetWallet's solver

This project implements a Fusion-style resolver for settling 1inch Limit Order Protocol orders. During settlement, the resolver receives the maker asset, swaps it through an external aggregator into the taker asset, and allows the Limit Order Protocol to complete payment to the maker or receiver. The contract also includes executor access control, pause controls, token sweeping to configured vaults, and native ETH handling for WETH unwrap flows. Its safety model depends on trusted executors, trusted protocol dependencies, and off-chain validation of swap routes and profitability.

Отзывы наших клиентов

“BlockSec продемонстрировала исключительный профессионализм в аудите смарт-контрактов. Знания блокчейна и смарт-контрактов в сочетании с тщательным подходом обеспечивают глубокое выявление и устранение рисков безопасности. Мы высоко оцениваем их профессионализм и рассчитываем на дальнейшее сотрудничество.”

Frederick

Руководитель направления безопасности, Matrixport

“Сотрудничество с BlockSec было замечательным опытом. Вы продемонстрировали профессионализм в аудите, особенно в области смарт-контрактов.”

Marco Sun

Генеральный директор, Ref Labs

“Внимательная к деталям команда выявляет потенциальные уязвимости и предлагает надёжные решения, обеспечивая безопасность и оптимизацию наших контрактов. Всем, кому нужен экспертный аудит смарт-контрактов, я настоятельно рекомендую BlockSec.”

Rivers Yang

Разработчик основной команды, Octopus Network

“Команда BlockSec обладает глубокими знаниями, соблюдает сроки, оперативно отвечает и добросовестно работает на всём протяжении аудита. Мы настоятельно рекомендуем BlockSec любым проектам смарт-контрактов, которым важно отличное соотношение цены и качества аудита.”

Gillian Wu

Сооснователь, Neptune Mutual

“Хочу выразить искреннюю благодарность BlockSec за тщательный аудит проекта Stratos. Внимательный подход и содержательные рекомендации значительно повысили безопасность и надёжность нашего проекта.”

Bin Zhu

Генеральный директор, Stratos Network

“Также стоит обратить внимание на надёжные аудиторские компании, такие как @BlockSecTeam. Их отчёты — настоящая сокровищница знаний ⛏️🕯️”

Adrian ⛩️ Hetman 🐺⚔️

@adrianhetman

Часто задаваемые вопросы

Аудит смарт-контрактов проверяет код на проблемы безопасности: уязвимости, логические ошибки и потенциальные векторы атак. Он проводится до развёртывания контракта и играет важную роль в предотвращении потерь средств и злоупотреблений протоколом.

Мы обеспечиваем качество аудита по модели «процессы и люди», поддерживая постоянное развитие компетенций. Каждый проект следует зрелому процессу: сначала изучение архитектуры и моделирование угроз, затем глубокая проверка критической логики, активов и границ полномочий, наконец — проверка с помощью PoC, анализ исправлений и итоговая передача результатов. Каждая находка подтверждается доказательствами, воспроизводится и надлежащим образом закрывается после повторной проверки. В каждом аудите участвуют не менее четырёх аудиторов. Независимые проверки и систематическое сопоставление результатов сокращают слепые зоны и исключают предвзятость одного проверяющего. Ведущий аудитор проводит итоговую валидацию, обеспечивая единообразие оценки серьёзности и полноту проверки. Итоговый отчёт отражает весь замкнутый цикл — от обнаружения до проверки исправления. Помимо самого аудита, мы поддерживаем развитую систему внутреннего обучения и обмена знаниями. Постоянные инвестиции в исследования и разработку собственных инструментов позволяют рано находить распространённые шаблоны уязвимостей и снижать вероятность человеческой ошибки. Мы также реагируем на инциденты в реальном времени, внимательно отслеживаем новые поверхности атак в отрасли и включаем свежие выводы в методологию аудита, контрольные списки и инструменты, сохраняя актуальность охвата.

Мы ищем широкий круг проблем на трёх уровнях: функциональность, логическая корректность и безопасность. Помимо соответствия поведения контракта замыслу, мы проверяем возможность злоупотребления архитектурой и реализацией в условиях атаки. В DeFi поверхность атак особенно расширяется из-за композиционности и экономических стимулов. Мы проверяем типичные уязвимости смарт-контрактов: повторный вход, контроль доступа и повышение привилегий, проблемы подписей и повторного воспроизведения, манипуляции оракулами и ценами, риски MEV и опережающих транзакций, атаки с мгновенными займами, сэндвич-атаки и атаки на ликвидацию, небезопасные внешние вызовы и интеграции. Также оцениваем арифметическую и учётную корректность, безопасность конечного автомата и жизненного цикла, риски обновления и управления. Даже если код функционально не содержит ошибок, мы можем оценить проектные риски уровня протокола, угрожающие средствам.

Аналитика и новости

30 июл. 2026 г.

~$39,5 млн потеряно: Allbridge, Wanchain и другие | Еженедельник BlockSec

За неделю 20–26 июля 2026 г. произошло 8 инцидентов с потерями ~$39,5M в сетях Solana, Ethereum, BNB Chain, Arbitrum, Zilliqa и Cardano. Allbridge Core (~$1,65M): уязвимость валидации Solana. Wanchain (~$500K), Zilliqa (~$400K), Lien Finance (~$542K).

14 февр. 2026 г.

Топ-10 «впечатляющих» инцидентов безопасности в 2025 году

Чтобы помочь сообществу учиться на ошибках, BlockSec выбрала 10 знаковых инцидентов года. Они примечательны не только масштабом потерь, но и уникальностью техник, неожиданными сценариями и выявлением новых, малоизученных векторов атак.

31 дек. 2025 г.

Информационный бюллетень — декабрь 2025 г.

В декабре 2025 г. DeFi-сектор потерял $19,7 млн из-за взломов: Yearn Finance лишилась $10 млн, Trust Wallet — $7 млн, Ribbon Finance — $2,7 млн. Причинами стали уязвимости смарт-контрактов, бэкдоры и проблемы с контролем доступа.

Защита в реальном времени с Phalcon Security

Одного аудита недостаточно. Phalcon Security выявляет атаки в реальном времени и блокирует угрозы в ходе их реализации.

Запускайте проект с полной уверенностью в безопасности

Защитите смарт-контракты уже сегодня и ускорьте разработку с BlockSec.

BLOCKSEC PHALCON

ИНСТРУМЕНТЫ

APIs