Найлепшыя практыкі аўдыту смарт-кантрактаў для рашэнняў другога ўзроўню: Arbitrum, Base і zkSync

Аўдыт вашай асноўнай сеткі — гэта не падстрахоўка на другім узроўні. Гэта не праблема для аўдытара, а структурная рэальнасць, якую большасць каманд выяўляюць занадта позна. Arbitrum, Base і zkSync працуюць у розных асяроддзях выканання з рознымі кодамі аперацый, мадэлямі секвенсараў і логікай моста. Кантракт, які праходзіць усе тэсты ў разгалінаваным асяроддзі Ethereum, усё роўна можа праваліцца ў зводцы, для якой ён быў створаны.

Рашэнні другога ўзроўню цяпер разам маюць каля 47 мільярдаў долараў у TVL, прычым штодзённыя транзакцыі ўжо перавышаюць асноўную сетку Ethereum па стане на 2025 год . Такая канцэнтрацыя кошту робіць кожнае неаўдытаванае разгортванне зводных актываў высокарызыкоўным, а паверхня атакі на зводныя актывы настолькі адрозніваецца, што стандартныя інструменты EVM пастаянна не спраўляюцца.

У гэтым блогу мы разгледзім, што павінен ахопліваць аўдыт смарт-кантрактаў на блокчэйн-рашэннях другога ўзроўню ў 2027 годзе і як выглядае гатовы да аб'яднання аўдыт на Arbitrum, Base і zkSync.

Праблема бяспекі L2, пра якую ніхто не гаворыць дастаткова

Бурны рост рашэнняў другога ўзроўню стаў адным з самых пазітыўных падзей у інфраструктуры блокчэйна за апошнія тры гады. Больш нізкія камісіі, хутчэйшая канчатковасць і бяспека ўзроўню Ethereum, прынамсі, тэарэтычна. Але існуе прабел у бяспецы, які ціха рушыў услед за гэтым ростам, і большасць каманд распрацоўшчыкаў не выяўляюць яго, пакуль нешта не пойдзе не так.

Праблема простая: меркаванні бяспекі, якія тычацца асноўнай сеткі Ethereum, не аўтаматычна пераносяцца на зборныя праекты. Тым не менш, большасць каманд, якія разгортваюць праекты на Arbitrum, Base або zkSync, усё яшчэ абапіраюцца на аўдыты, арыентаваныя на асноўную сетку. Яны тэстуюць у разгалінаваным асяроддзі Ethereum. Яны выкарыстоўваюць інструменты, адкалібраваныя для паводзін асноўнай сеткі. І яны запускаюць кантракты, якія ніколі не праходзілі стрэс-тэставанне ў рэальным асяроддзі выканання, у якім яны будуць працаваць.

Толькі Base і Arbitrum зараз займаюць больш за 77% усіх DeFi-каналаў другога ўзроўню . Такая канцэнтрацыя каштоўнасці робіць гэтыя ланцужкі асноўнай мэтай, і аўдытарская галіна не цалкам дагнала спецыфіку, якую патрабуюць разгортванні rollup.

Ці ведаеце вы?

«Калі зламыснік можа падрабіць доказ, ён можа падрабіць што заўгодна: стварыць токены з нічога, перапісаць стан, украсці сродкі». – Ethereum Foundation, снежань 2025 г. | blockchain.news

Чаму рашэнні блокчэйна 2-га ўзроўню маюць уласны аўдытны план

Гэта асноўнае памылковае меркаванне, якое варта адразу разгледзець: рашэнні блокчэйна другога ўзроўню — гэта не Ethereum з больш нізкімі камісіямі. Гэта розныя асяроддзі выканання з рознай падтрымкай аперацыйных кодаў, рознымі мадэлямі камісій, рознымі архітэктурамі секвенсараў і рознымі здагадкамі аб даверы, і кожнае з гэтых адрозненняў стварае наступствы для бяспекі.

Калі каманда пераносіць смарт-кантракт з асноўнай сеткі ў рол-ап без аўдыту канкрэтнага ланцужка, яна робіць некалькі здагадак, якія могуць прывесці да парушэнняў у прадукцыйнай працы:

• Што ўсе опкоды паводзяць сябе аднолькава (яны не паводзяць сябе ў zkSync)
• Што часовыя меткі блокаў надзейныя (асяроддзі, якія кіруюцца секвенсарам, апрацоўваюць час па-рознаму)
• Гэтая логіка газу працуе гэтак жа (мадэлі платы L2 істотна адрозніваюцца ад асноўнай сеткі)
• Што msg.sender паводзіць сябе паслядоўна (на zkSync з абстракцыяй натыўнага ўліковага запісу часам не)

Кожнае з гэтых здагадак з'яўляецца патэнцыйным вектарам эксплойту. Пратаколам, якія пазбеглі атак, спецыфічных для рол-апаўняльнікаў, не проста пашанцавала — яны правялі аўдыт на наяўнасць рызык, спецыфічных для рол-апаўняльнікаў, перад разгортваннем. Аўдыт смарт-кантрактаў , які не ўлічвае гэтыя адрозненні, не з'яўляецца аўдытам асяроддзя, у якім кантракт будзе фактычна працаваць.

Arbitrum, Base і zkSync: што робіць кожную вобласць аўдыту смарт-кантрактаў унікальнай

Не ўсе зводныя праекты аднолькавыя, і кампанія па аўдыце смарт-кантрактаў , якая разглядае іх як узаемазаменныя, прапусціць уразлівасці, унікальныя для архітэктуры кожнага ланцуга. Вось што адрознівае аб'ём аўдыту для кожнай платформы.

Arbitrum выкарыстоўвае 7-дзённае акно абароны ад махлярства, што азначае, што кантракты з логікай зняцця сродкаў або ўрэгулявання, абмежаванай часам, павінны ўлічваць затрымкі ў спрэчках, якіх няма ў асноўнай сетцы. Любы кантракт, які мяркуе амаль імгненную канчатковасць L1, будзе паводзіць сябе няправільна ў прадукцыйным асяроддзі Arbitrum.

Base успадкоўвае архітэктуру OP Stack, што з'яўляецца адначасова і моцным бокам, і рызыкай. Калі ў агульных кампанентах OP Stack выяўляюцца ўразлівасці, яны адначасова ўплываюць на кожны ланцужок, пабудаваны на гэтым стэку. Аўдытар, які не знаёмы з OP Stack, прапусціць сістэмныя рызыкі, якія знаходзяцца вышэй за ўзровень асобнага кантракту.

zkSync з'яўляецца найбольш архітэктурна адрозным з трох. Яго ўбудаваная абстракцыя ўліковага запісу (AA) змяняе паводзіны msg.sender у пэўных узаемадзеяннях кантрактаў, а keccak256 рэалізаваны як перадкампіляцыя, а не як аперацыйны код — гэта нязначнае адрозненне, якое парушае кантракты, якія мяркуюць адваротнае. Кампілятар на аснове LLVM таксама азначае, што кантракты, скампіляваныя для асноўнай сеткі, могуць паводзіць сябе не аднолькава байт у байт у zkSync.

Найлепшыя практыкі аўдыту смарт-кантрактаў для разгортвання зводных праектаў другога ўзроўню

Вось тут тэорыя ператвараецца ў практыку. Гатовы да зводу аўдыт смарт-кантрактаў выглядае па-рознаму на кожным этапе: ад таго, што правяраецца, да выкарыстоўваных інструментаў і вынікаў, якія пазначаюцца. Вось практыкі, якія адрозніваюць павярхоўны аўдыт L2 ад таго, які сапраўды працуе ў прадукцыйнай версіі.

• Кампіляцыя і тэставанне ў асяроддзі мэтавага ланцужкаНіколі не тэстуйце разгортванні L2 у разгалінаванай асноўнай сетцы. Кожны ланцужок патрабуе ўласнай канфігурацыі разгалінавання, налад кампілятара і стэка інструментаў. У прыватнасці, zkSync патрабуе кампіляцыі, сумяшчальнай з LLVM — стандартны канвеер Solidity стварае байт-код, які адрозніваецца ад таго, што будзе фактычна працаваць у сетцы.
• Яўная сумяшчальнасць кодаў аперацый: Запусціць спецыяльную праверку сумяшчальнасці кодаў аперацый з падтрымоўваным наборам інструкцый мэтавага ланцужка. Непадтрымоўваныя або па-іншаму паводзяць сябе коды аперацый — гэта рэжым ціхай памылкі, які не будзе выяўлены ў модульных тэстах на адгалінаванні асноўнай сеткі. У zkSync, keccak256, аперацыі PUSH і некаторыя разлікі кошту газу паводзяць сябе інакш, чым чакалася ў асноўнай сетцы.
• Адлюстраваць кожную залежнасць секвенсараВызначыць усю логіку кантрактаў, якая ўскосна прадугледжвае дэцэнтралізаванае ўпарадкаванне транзакцый. Абарона ад папярэдняга выканання, схемы фіксацыі і раскрыцця і логіка, якая залежыць ад часовых меткаў блокаў, патрабуюць відавочнага разгляду ў адпаведнасці з мадэллю секвенсара мэтавага ланцужка. Усе восем асноўных сетак L2 у 2026 годзе ўсё яшчэ працуюць з адным цэнтралізаваным секвенсатарам., што азначае, што логіка абароны MEV, распрацаваная для дэцэнтралізаванага мемпула асноўнай сеткі, можа забяспечваць ілжывую бяспеку пры зводных абнаўленнях.
• Праглядзіце ўсю логіку ўзаемадзеяння мостаРазглядаць кожную інтэграцыю моста як паверхню аўдыту высокай ступені сур'ёзнасці. Гэта ўключае кананічны ланцуговы мост (уласны мост Arbitrum, мост OP Base, уласны мост zkSync), любыя інтэграцыі мостаў трэціх бакоў і любы кантракт, які атрымлівае або адпраўляе паведамленні паміж ланцужкамі.
• Праверка міждаменнага псеўданімавання паведамленняўНа Arbitrum і Base, калі кантракты L1 адпраўляюць паведамленні на L2, msg.sender Адрас мае іншае значэнне, якое мае псеўданім. Кантракты, якія не ўлічваюць гэты аліасін, могуць быць выкарыстаны зламыснікамі, якія адпраўляюць паведамленні з старанна створанага адраса L1. Гэта адна з найбольш часта прапушчаных уразлівасцяў, характэрных для L2, падчас стандартных аўдытаў.
• Разгляд ацэнкі газу ў адпаведнасці з мадэлямі платы L2Структуры платы L2 значна адрозніваюцца ад асноўнай сеткі. Кантракты з жорстка закадаванымі лімітамі газу, заснаваныя на стыпендыях. .перадача() выклікі або цыклы з праверкамі газу могуць пацярпець збой або паводзіць сябе непрадказальна пры змене кампанента платы за дадзеныя L2. Кожны шлях кода, адчувальны да газу, павінен быць правераны на адпаведнасць рэалістычным умовам платы L2, а не здагадкам аб газе асноўнай сеткі.
• Аўдыт натыўнай логікі AA і Paymaster на zkSync: Убудаваная абстракцыя ўліковага запісу zkSync змяняе мадэль бяспекі для кантрактаў смарт-кашалькоў, праверкі подпісаў і спонсарства газу. Кантракты Paymaster часта ігнаруюцца як паверхня для атакі — небяспечны Paymaster можа быць асушаны або маніпуляваны спосабамі, цалкам спецыфічнымі для zkSync. Для іх патрэбна ўласная вобласць аўдыту, асобная ад кантрактаў асноўнага пратакола.
• Уключыць абнаўленне і праверку шаблону проксі-сервераРазгортванні L2 часта выкарыстоўваюць абнаўляльныя проксі-серверы для падтрымання гнуткасці пасля запуску. Сумяшчальнасць кампаноўкі захоўвання дадзеных паміж версіямі проксі-сервераў, прабелы ў логіцы ініцыялізацыі і захаванне ключоў адміністратара патрабуюць такой жа строгасці, як і логіка асноўнага кантракту — магчыма, нават большай, бо скампраметаваны шлях абнаўлення азначае поўнае паглынанне пратакола.

Уразлівасці мостаў і кросчэйнаў, пра якія павінна паведамляць кожная кампанія па аўдыце смарт-кантрактаў

Калі і ёсць адзін раздзел разгортвання, які заслугоўвае непрапарцыйнай увагі аўдыту, то гэта мост. Масты валодаюць канцэнтраванай ліквіднасцю, іх логіка ахоплівае два асяроддзі выканання адначасова, і калі яны выходзяць з ладу, страты неадкладныя і часта незваротныя.

Гістарычна склалася, што ўзломы міжланцужковых мастоў склалі больш за 2.8 мільярда долараў, што складае амаль 40% ад агульнай сумы, скрадзенай у Web3 . У красавіку 2026 года мост Kelp DAO LayerZero быў узламаны на 292 мільёны долараў — найбуйнейшы ўзлом аднаго моста ў годзе, калі эфір быў зафіксаваны ў 20 ланцужках і не было неадкладнага шляху аднаўлення. Гэта не памежныя выпадкі. Збоі мастоў такога маштабу — гэта паўтаральная тэндэнцыя, і яны амаль заўсёды з'яўляюцца вынікам прабелаў у аўдыце, а не выпадковай няўдачы.

Кваліфікаваная кампанія па аўдыце смарт-кантрактаў будзе адзначаць наступнае ў кожным праекце моста:

• Кананічны рызыка моста супраць рызыкі моста трэціх асобКананічныя масты (родны мост Arbitrum, мост OP Base) маюць меншую рызыку, чым інтэграцыі іншых вытворцаў, але ўсё ж патрабуюць дбайнага праверкі логікі рэтрансляцыі паведамленняў, здагадак аб канчатковасці і апрацоўкі экстранага адклікання. Масты іншых вытворцаў дадаюць дадатковыя здагадкі аб даверы акрамя кананічнага ўзроўню, бо кожная новая інтэграцыя пашырае паверхню атакі.
• Рэінтэрнатнасць паміж ланцугаміСтандартныя сродкі абароны ад паўторнага ўваходу ў адзін ланцужок не абараняюць ад паўторнага ўваходу ў іншы ланцужок, калі зваротны выклік з паведамлення моста паўторна ўводзіць кантракт у непаслядоўным стане. Гэта клас уразлівасцяў, унікальны для шматланцужковых архітэктур, і агульныя інструменты аўдыту не прызначаны для выяўлення.
• Эксплойты неадпаведнасці канчатковасціКантракты, якія дзейнічаюць на стане L2 да пацверджання канчатковасці L1, могуць быць выкарыстаны, калі L2 рэарганізаваны або акно абароны ад махлярства Arbitrum усё яшчэ адкрыта. Любы кантракт, які вызваляе сродкі, выпускае актывы або змяняе крытычны стан на аснове непацверджаных падзей L2, патрабуе відавочнай апрацоўкі затрымкі канчатковасці.
• Абарона ад паўторнага прайгравання паведамленняўПаведамленні моста, якія не маюць належнай абароны ад паўторнага прайгравання, могуць адпраўляцца некалькі разоў, што прыводзіць да падвойных выдаткаў або непажаданых змен стану. Кожны шлях паведамленняў паміж даменамі павінен быць правераны на абарону ад паўторнага прайгравання асобна.

Кантрольны спіс паслуг па аўдыце смарт-кантрактаў другога ўзроўню, гатовых да працы

Моцнае ўзаемадзеянне з службамі аўдыту смарт-кантрактаў — гэта не проста дакумент па праверцы кода, які прадстаўляецца пры запуску. Гэта структураваны трохэтапны працэс з вызначанымі вентылямі на кожным этапе, ад першага выкліку налады асяроддзя да маніторынгу пасля разгортвання. Большасць эксплойтаў, якія ўзнікаюць пасля аўдыту, адбываюцца таму, што адзін з гэтых вентыляў быў прапушчаны. Вось як выглядае поўны аўдыт L2 на практыцы.

Этап 1: Папярэдні аўдыт — закладзеце правільны падмурак

Перш чым праглядаць хоць адзін радок кода, неабходна вызначыць вобласць дзеяння, асяроддзе і паверхню рызыкі. Аўдыт без гэтага кроку азначае праверку няправільных кантрактаў па няправільным ланцужку.

1. Пацвердзіце мэтавы(я) ланцужкі і наладзіць параметры кампілятара, спецыфічныя для ланцужка — для разгортвання zkSync патрабуецца кампіляцыя, сумяшчальная з LLVM; для Base і Arbitrum патрабуюцца адпаведна спецыфічныя для OP Stack і Nitro канфігурацыі fork.
2. Адлюстраваць кожнае ўзаемадзеянне моста і шлях міждаменных паведамленняў у тым ліку кананічныя масты, інтэграцыі трэціх бакоў і любыя кантракты, якія адпраўляюць або атрымліваюць паведамленні L1-L2.
3. Вызначыць усе шаблоны мадэрнізацыі, проксі-кантракты, уладальнікі ключоў адміністратара і структура сховішча ў розных версіях.
4. Вызначыць поўны аб'ём аўдыту асноўныя кантракты, перыферыйныя кантракты і ўсе знешнія залежнасці, якія могуць паўплываць на стан кантракта.

Этап 2: Падчас аўдыту – спецыфічны для ланцужка, не агульны

Менавіта тут аўдыт L2 найбольш рэзка адрозніваецца ад практыкі асноўнай сеткі. Кожны з пералічаных ніжэй элементаў з'яўляецца катэгорыяй рызыкі, якую стандартныя інструменты EVM не прызначаныя для ўліку.

1. Статычны аналіз, спецыфічны для L2 – Слізгайце з дапамогай дэтэктараў L2, дапоўненых карыстальніцкімі сцэнарыямі, спецыфічнымі для ланцужка, для кожнай мэтавай сеткі.
2. Агляд сумяшчальнасці аперацыйных кодаў – Ручная праверка кожнага выкарыстоўванага аперацыйнага кода на адпаведнасць падтрымоўванаму набору інструкцый мэтавага ланцужка.
3. Карта залежнасцей секвенсара – Вызначце ўсю логіку, якая прадугледжвае дэцэнтралізаванае ўпарадкаванне транзакцый, і відавочна пазначце яе.
4. Праверка міждаменнага аліасінгу паведамленняў – Праверце, ці апрацоўваецца кожны шлях паведамленняў ад L1 да L2 msg.sender правільнае стварэнне псеўданімаў.
5. Агляд кантракту на мост – Логіка кананічнага моста, інтэграцыі трэціх бакоў, здагадкі аб канчатковасці і шляхі выхаду ў надзвычайных сітуацыях.
6. Агляд шляху абнаўлення і схемы захоўвання – Сумяшчальнасць паміж усімі версіямі проксі-сервера і прабелы ў логіцы ініцыялізацыі.
7. Абстракцыя ўліковага запісу і логіка Paymaster – спецыфічная для zkSync вобласць дзеяння; AA змяняе прынцып праверкі подпісу і спонсарства газу.
8. Тэставанне недакладнасці – Супраць правільна настроенага асяроддзя L2 з разгалінаваннем, а не супраць асноўнай сеткі.

Этап 3: Пасляаўдытная праверка — бяспека не заканчваецца справаздачай

Аўдытарская справаздача, якая была пададзена і забытая, не з'яўляецца мерай бяспекі. Этап пасля аўдыту вызначае, што адбываецца, калі нешта пойдзе не так пасля запуску.

1. Агляд карэкцыйных мер – Перад зацвярджэннем разгортвання пераканайцеся, што ўсе недахопы высокай і сярэдняй ступені сур'ёзнасці былі вырашаны.
2. Налада маніторынгу ў ланцугу – Парогі папярэджанняў, выяўленне анамалій і аўтаматычныя трыгеры паўзы, настроеныя для канкрэтнага ланцуга.
3. Дакументацыя па шляху экстранага абнаўлення – Вызначаныя ролі, патрабаванні да мультыпадпісання і тэрміны рэагавання для кожнага сцэнарыя.
4. Заключная справаздача аўдыту – З класіфікацыямі сур'ёзнасці, спецыфічнымі для другога ўзроўню, заўвагамі па канкрэтных ланцужках і рэзюмэ, прыдатнае для вашых юрыдычных і камплаенс-каманд.

Як выбраць правільную кампанію па аўдыце смарт-кантрактаў у якасці кампаніі па распрацоўцы блокчэйна

Не кожная кампанія па аўдыце смарт-кантрактаў створана для рашэнняў другога ўзроўню . Выбар няправільнага партнёра — таго, хто мае вопыт працы ў асноўнай сетцы, але не мае вопыту ў распрацоўцы rollup-праектаў — адна з найбольш распаўсюджаных і дарагіх памылак, якія робяць каманды перад запускам. Вось на што звярнуць увагу.

• Праверце рэальны вопыт аўдыту L2Запытайце запоўненыя справаздачы аб аўдыце па Arbitrum, Base або zkSync. Справаздачы аб аўдыце асноўнай сеткі не ўлічваюцца. Калі фірма не можа паказаць дакументальна пацверджаныя аўдыт смарт-кантрактаў працуйце над зводнымі праектамі з высновамі, спецыфічнымі для ланцужка, ваша разгортванне становіцца іх навучальным практыкаваннем, і гэта рызыка, якую вы не можаце сабе дазволіць.
• Спытайце пра гісторыю бяспекі мостаЭксплойты мостаў паслядоўна з'яўляюцца найбольш стратнай катэгорыяй у прасторы DeFi. Права кампанія па аўдыце смарт-кантрактаў павінны мець спецыяльны вопыт аўдыту моставых кантрактаў, а не толькі токенаўскіх кантрактаў або пратаколаў DeFi. Спытайце непасрэдна, як яны падыходзяць да міжланцужковага паўторнага ўваходу і неадпаведнасці канчатковых параметраў. Калі яны не могуць дакладна адказаць, працягвайце пошук.
• Шукайце экспертаў па поўным блокчэйнеІснуе вялікая розніца паміж фірмай, якая толькі правярае код, і кампанія, якая займаецца распрацоўкай blockchain які фактычна быў заснаваны на рашэнні блокчэйна другога ўзроўнюПартнёр з практычным вопытам разгортвання L2 разумее, як элементы ўзаемадзейнічаюць на сістэмным узроўні, і менавіта ў гэтым, як правіла, хаваюцца рызыкі, якія прапускаюць чыстыя аўдытары.
• Чакайце выразнай, дакументаванай методыкіНадзейны партнёр можа дакладна расказаць вам, якія інструменты ён выкарыстоўвае, як ён балансуе аўтаматызаваную і ручную праверку, як класіфікуе ступень ступені цяжкасці і як выглядае працэс выпраўлення пасля атрымання высноў. Няпэўныя адказы тут — гэта трывожны сігнал.
• Патрабуйце пакрыцця пасля разгортвання: Паслугі аўдыту смарт-кантрактаў не павінна заканчвацца ў момант здачы справаздачы. Суровы партнёр забяспечвае рэкамендацыі па маніторынгу ў ланцугу, план рэагавання на інцыдэнты і падтрымку працэдур абнаўлення пасля запуску. Бяспека, якая спыняецца на момант аўдытарскай справаздачы, пачынае мінаць у дзень запуску.

Аўдыт, які сапраўды патрэбны вашаму разгортванню L2

Рашэнні другога ўзроўню — гэта месца, дзе будуецца наступнае пакаленне інфраструктуры Web3. Каштоўнасць ужо ёсць. Карыстальнікі ўжо ёсць. Што яшчэ не цалкам дагнаў узровень бяспекі, які іх абараняе. Кантракт, які праходзіць аўдыт асноўнай сеткі і разгортваецца на Arbitrum, Base або zkSync без праверкі канкрэтнага аб'ёму, небяспечны — ён не правераны ў асяроддзі, якое сапраўды мае значэнне. Гэты разрыў паміж тым, што ахоплівае большасць аўдытаў, і тым, што насамрэч патрабуюць рашэнні блокчейна другога ўзроўню, — гэта месца, дзе адбываюцца найбольшыя страты. І гэтага цалкам можна пазбегнуць.

Аўдыт смарт-кантрактаў у 2027 годзе — гэта не дзейнасць, звязаная з праверкай сцяжкоў. Гэта шматэтапнае абавязацельства, спецыфічнае для ланцужка, якое ахоплівае опкоды, секвенсары, масты, абстракцыю ўліковых запісаў і маніторынг пасля разгортвання — усё гэта пабудавана вакол рол-апу, на якім вы фактычна разгортваеце, а не вакол асноўнай сеткі, у якой вы тэставалі. Як надзейная кампанія па распрацоўцы блокчейнаў , Antier аўдытуе смарт-кантракты спецыяльна для Arbitrum, Base і zkSync, а не толькі для агульнага EVM. Ваша разгортванне L2 заслугоўвае аўдыту, створанага для рол-апу, на якім ён фактычна працуе.