スマートコントラクト監査とは

スマートコントラクトは、一度公開すると簡単には直せません。だからこそ、公開前に第三者の目を入れる工程が重視されます。監査では、既知の脆弱性の型、権限の設計、経済的な前提が崩れる条件、そして仕様書とコードの食い違いなどが確認されます。

ここで注意したいのは、監査の範囲です。報告書には対象としたファイルとコミットが明記されます。その後にコードが更新されていれば、更新部分は監査されていません。また、外部のプロトコルと組み合わせたときに生じる問題は、単体の監査では見つからないことがあります。

利用者が見るべきなのは、監査を受けたという事実ではなく報告書そのものです。指摘された項目が修正済みか、未対応のまま残っているか、対応しない理由が説明されているか。重大度の高い指摘が「了承済み」として残っている場合は、その内容が自分の許容範囲かを考える必要があります。

複数の監査会社が別々に見ている、報奨金制度が実際に運用されている、公開から長期間にわたり大きな資産を扱い続けている、といった要素が重なるほど、検証の厚みは増します。逆に、監査会社の名前だけが掲示され、報告書へのリンクがない場合は注意が必要です。