監査報告書を読む

手順としては、まず報告書そのものを正しい場所から入手します。プロジェクトの公式ドキュメント、または監査事業者が公開している一覧から取得してください。プロジェクト側の紹介ページに書かれた要約だけを読むのでは、都合のよい部分だけを見ることになります。PDFの表紙にある監査事業者名と、その事業者の公式サイトの公開一覧が一致するかも確認できます。

次に見るのが、対象の特定です。報告書の冒頭には、監査したリポジトリ、コミットのハッシュ、対象ファイルの一覧が書かれているのが普通です。ここで確認するのは、その版が現在動いているコントラクトと同じかどうかです。デプロイ済みコントラクトの検証済みソースと突き合わせられれば理想ですが、少なくとも監査の日付と、コントラクトのデプロイ日・更新日の前後関係は確認できます。

続いて、範囲の記述を読みます。多くの報告書には、何を対象とし、何を対象外としたかが明記されています。対象外になりやすいのは、フロントエンド、オフチェーンの運用、鍵の管理、依存する外部プロトコルやオラクルです。範囲外の記述は、そこに問題がないという意味ではなく、見ていないという意味です。

そのうえで、指摘事項を重大度ごとに見ます。重大・高・中・低といった区分と、それぞれについてプロジェクト側がどう対応したかが記載されます。「修正済み」「承知のうえで受容」「議論中」のどれであるかが重要です。受容と書かれた項目は、リスクが残ったまま運用されているという意味になります。件数より、残っている項目の中身を読んでください。

最後に、監査の限界です。監査は決められた時間と範囲で行う検査であり、すべての欠陥の不存在を示す方法ではありません。実際に、監査を受けたプロトコルが後から攻撃を受けた例は複数あります。さらに、監査後にコードを差し替えられる構造であれば、報告書の対象はもう動いていないかもしれません。報告書の存在は確認材料の一つであって、安全の保証ではありません。