Smart-Contract-Audit: Was er prüft und was er beweist
Ein Smart-Contract-Audit prüft Code vor dem Start auf Bugs und Sicherheitslücken. Der Bericht bewertet Probleme und zeigt Korrekturen, ist aber keine Garantie.
Vahe HakobyanChefredakteur
Aktualisiert 6. Okt. 20263 Min. LesezeitFaktengeprüft
Auf dieser Seite
- Auditoren bewerten Befunde nach Schweregrad und vermerken spätere Korrekturen.
- Berichte erscheinen oft auf der Website oder in der Dokumentation eines Projekts.
- Ein Audit ist keine Garantie, und auditierter Code kann trotzdem gehackt werden.
Ein Smart-Contract-Audit ist eine Überprüfung von Blockchain-Code auf Fehler und Sicherheitslücken vor dem Start. Prüfer untersuchen den Code manuell und mit Tools und veröffentlichen anschließend einen Bericht für das Projekt.
Ethereum startete im Jahr Juli 2015 und machte diese Programme üblich. Ein Projekt beauftragt vor dem Start oder einem größeren Update in der Regel eine externe Firma.
Was prüft ein Audit?
Auditoren lesen den Code von Hand und führen Tools aus, um Fehler zu finden. Sie prüfen Geld, Berechtigungen und externe Aufrufe. Der Bericht bewertet jedes Problem nach Schweregrad und zeigt, ob das Team es behoben hat.
Wie nutzen Menschen Audit-Berichte?
Projekte veröffentlichen Audit-Berichte oft auf ihren Websites oder in ihrer Dokumentation. Der Bericht zeigt, was die Auditoren geprüft haben, was sie gefunden haben und wie das Team darauf reagiert hat.
Was ein Audit nicht garantieren kann
Ein Audit ist eine Prüfung zu einem bestimmten Zeitpunkt, keine Sicherheitsgarantie. Geprüfte Contracts können trotzdem gehackt werden, wenn die Auditoren einen Fehler übersehen oder wenn das Team den Code später ändert. Ein Bericht ist keine staatliche Genehmigung.
Audit versus formale Verifikation
Die formale Verifikation nutzt Mathematik, um zu beweisen, dass sich ein Contract unter definierten Regeln wie beabsichtigt verhält. Ein Smart-Contract-Audit ist eine menschliche Prüfung, die manuelles Lesen mit Tools verbindet. Beides kann zusammen eingesetzt werden, ist aber nicht dasselbe.
Häufig gestellte Fragen
Das hängt von Größe und Komplexität des Codes ab. Ein kleiner Contract kann Tage dauern, während ein großes Projekt Wochen oder Monate in Anspruch nehmen kann.
Sicherheitsfirmen und unabhängige Auditoren führen sie in der Regel durch. Manche Projekte betreiben zudem Bug-Bounty-Programme, damit mehr Menschen nach Fehlern suchen.
Ja, ein Team kann ein Audit nach dem Start in Auftrag geben. Die Prüfung deckt dann den eingesetzten Code ab.
