รับตรวจสอบ Smart Contract (Audit) หาช่องโหว่ก่อนขึ้นระบบจริง

ทำไม Smart Contract ต้องผ่านการ Audit

ธรรมชาติของ Smart Contract คือเมื่อ deploy ลงเครือข่ายแล้วโค้ดจะเปลี่ยนไม่ได้ ต่างจากเว็บไซต์หรือแอปที่พบบั๊กแล้วแก้แล้วอัปเดตใหม่ได้ทันที ถ้า Smart Contract มีช่องโหว่ ผู้ไม่หวังดีจะใช้ช่องโหว่นั้นได้ตลอดเวลาและคุณหยุดมันไม่ได้ นอกจากจะออกแบบระบบ Pause หรือ Upgrade Proxy ไว้ล่วงหน้า

ความเสียหายจากช่องโหว่ Smart Contract ในวงการคริปโตนับรวมกันเป็นมูลค่ามหาศาล และเกือบทั้งหมดเกิดจากรูปแบบความผิดพลาดที่รู้จักกันดีอยู่แล้ว เช่น การเรียกซ้ำ (Reentrancy) การคำนวณล้น การตั้งสิทธิ์ผิด หรือการพึ่งพาราคาจากแหล่งเดียวที่ปั่นได้ ทั้งหมดนี้ตรวจเจอได้ถ้ามีคนอ่านโค้ดอย่างเป็นระบบก่อนขึ้นระบบจริง

อีกเหตุผลที่สำคัญไม่แพ้กันคือความน่าเชื่อถือ นักลงทุนและกระดานเทรดจำนวนมากขอดูรายงาน Audit ก่อนตัดสินใจ โปรเจกต์ที่ไม่มีรายงานมักถูกมองว่ามีความเสี่ยงสูงตั้งแต่ต้น

เราตรวจอะไรบ้าง

การตรวจของเราแบ่งเป็นสองชั้น ชั้นแรกใช้เครื่องมือวิเคราะห์อัตโนมัติกวาดหารูปแบบช่องโหว่ที่รู้จัก ชั้นที่สองคือการอ่านโค้ดด้วยคนเพื่อหาปัญหาเชิงตรรกะที่เครื่องมือจับไม่ได้ ซึ่งมักเป็นช่องโหว่ที่อันตรายที่สุด

• Reentrancy — การถูกเรียกซ้ำระหว่างที่สถานะยังไม่ถูกอัปเดต ซึ่งเป็นต้นเหตุของการโจมตีครั้งใหญ่หลายครั้งในอดีต
• Access Control — ฟังก์ชันสำคัญที่ลืมใส่ตัวจำกัดสิทธิ์ หรือใส่ผิดจนใครก็เรียกได้
• Integer Overflow / Underflow — การคำนวณที่ล้นขอบเขตจนตัวเลขพลิก
• Oracle Manipulation — การอ้างอิงราคาจากแหล่งเดียวที่ผู้โจมตีปั่นได้ด้วย Flash Loan
• Front-running และลำดับธุรกรรม — ตรรกะที่เปิดช่องให้คนอื่นแทรกธุรกรรมก่อนเพื่อทำกำไร
• Logic Error — ตรรกะทางธุรกิจที่เขียนไม่ตรงกับที่ตั้งใจ เช่น สูตรคำนวณผลตอบแทน สัดส่วนค่าธรรมเนียม หรือเงื่อนไขการปลดล็อกเหรียญ
• Gas Optimization — จุดที่เปลืองค่าธรรมเนียมโดยไม่จำเป็น ซึ่งกระทบต้นทุนผู้ใช้ทุกครั้งที่เรียกใช้
• Centralization Risk — อำนาจที่กระจุกอยู่ที่เจ้าของสัญญามากเกินไป เช่น mint เพิ่มได้ไม่จำกัด หรือหยุดการโอนของผู้อื่นได้

ขั้นตอนการทำงาน

1. รับโค้ดและทำความเข้าใจโจทย์เราขอ Source Code, เอกสารประกอบ และคำอธิบายว่าสัญญาควรทำงานอย่างไร เพราะการจะบอกว่าโค้ด "ผิด" ได้ ต้องรู้ก่อนว่าอะไรคือ "ถูก"
2. สแกนอัตโนมัติรันเครื่องมือวิเคราะห์แบบ static และ fuzzing เพื่อกวาดรูปแบบช่องโหว่ที่รู้จักออกไปก่อน
3. อ่านโค้ดด้วยคนไล่อ่านทีละฟังก์ชันเทียบกับเจตนาที่ควรจะเป็น จุดนี้คือที่ที่ช่องโหว่เชิงตรรกะถูกเจอ
4. เขียน Test จำลองการโจมตีสำหรับข้อสงสัยที่พบ เราเขียนเทสต์จำลองการโจมตีจริงเพื่อพิสูจน์ว่าเป็นช่องโหว่จริงหรือแค่ดูน่าสงสัย
5. ส่งรายงานฉบับแรกจัดระดับความรุนแรงเป็น Critical / High / Medium / Low / Informational พร้อมอธิบายว่าโจมตีอย่างไรและควรแก้อย่างไร
6. ตรวจซ้ำหลังแก้เมื่อทีมพัฒนาแก้เสร็จ เราตรวจซ้ำเฉพาะส่วนที่แก้และออกรายงานฉบับสมบูรณ์

สิ่งที่คุณจะได้รับ

• รายงานผลการตรวจสอบฉบับเต็ม ระบุช่องโหว่ ระดับความรุนแรง และตำแหน่งในโค้ด
• คำอธิบายวิธีการโจมตีของแต่ละช่องโหว่ พร้อมโค้ดตัวอย่างที่พิสูจน์ได้
• ข้อเสนอแนะการแก้ไขที่นำไปใช้ได้จริง ไม่ใช่แค่ชี้ว่ามีปัญหา
• รายงานฉบับสมบูรณ์หลังแก้ไข สำหรับใช้ประกอบการยื่นเข้ากระดานเทรดหรือแสดงต่อนักลงทุน
• คำแนะนำเชิงสถาปัตยกรรม เช่น ควรมีระบบ Pause ไหม ควรใช้ Proxy แบบใด ควรตั้ง Multi-sig อย่างไร

เทคโนโลยีและเครื่องมือที่ใช้

Solidity, Vyper, Hardhat, Foundry, Slither, Mythril, Echidna และชุดเทสต์ที่เขียนขึ้นเฉพาะโปรเจกต์ เรารองรับสัญญาบนเครือข่ายที่เข้ากันได้กับ EVM ทั้งหมด ทั้ง Ethereum, BNB Chain, Polygon, Arbitrum, Optimism, Avalanche รวมถึงเชนส่วนตัวที่สร้างขึ้นเอง

คำถามที่พบบ่อย