Smart contracts (até 1.500 linhas)
Auditoria de smart contracts
Seu contrato guarda fundos, e numa blockchain uma transação não se desfaz: se tiver uma falha, o dinheiro sai e não volta. Auditamos antes de publicar e também já publicado, para você ir para produção sabendo o que pode quebrar.
Auditoria de segurança de contratos em Solidity sobre redes EVM (Ethereum, Polygon, BNB Chain e compatíveis). Cobrimos o ciclo inteiro: revisão antes de publicar e validação do contrato já implantado com fork testing sobre uma cópia do estado real da cadeia. Procuramos vetores exploráveis, não só alertas de ferramentas.
- Duração
- 2 semanas
- Início
- Coordenado com o seu lançamento ou atualização
a partir de US$4.900
Contrate sozinho ou somado a uma auditoria. Retestes: somado a uma auditoria, os mesmos dela; sozinho, 3 meses sem custo. O preço é a partir de: cobre até 1.500 linhas de Solidity sem contar comentários nem linhas em branco. Mais linhas ou vários contratos, preço fechado combinado antes de assinar.
Auditar meu contratoVai publicar ou atualizar o contrato em breve? Escreva para nós e revisamos antes de ele sair.
É para você se
- Você está prestes a lançar um contrato na Ethereum, Polygon, BNB Chain ou outra rede EVM.
- Você já tem um contrato publicado e quer uma revisão independente antes de uma atualização.
- Um investidor, uma exchange ou um parceiro pede uma auditoria antes de prosseguir.
O que revisamos
A lógica do dinheiro: depósitos, saques e taxas.Reentrancy (single-function, cross-function, cross-contract e read-only), contabilidade de saldos, erros de arredondamento e truncamento de inteiros.
De quem o seu contrato depende: oráculos de preço e outros protocolos.Manipulação de oráculos: preço spot de um único bloco sem TWAP, agregação multifonte, bridges e contratos que podem ser substituídos.
Que as contas fechem: saldos batendo com o fornecimento e o colateral sendo suficiente.Invariantes do sistema: consistência entre fornecimento e saldos, índices de colateralização, inflação em ERC-4626, tokens com fee-on-transfer e limites de governança.
As falhas já conhecidas no ecossistema, para você não cair nas mesmas.Verificação contra o SWC Registry e o guia OWASP de segurança de smart contracts.
Como trabalhamos
Semana 0
Escopo
Você nos passa o código e as redes onde ele roda. Confirmamos o limite de 1.500 linhas, sem contar comentários nem linhas em branco.
Inventário de contratos, redes e dependências externas, contagem nSLOC e a autorização assinada para a auditoria.
Semana 1
Análise
Lemos o código à mão e cruzamos com ferramentas. Se encontrarmos algo grave, avisamos no mesmo dia.
Análise estática (Slither, Aderyn, Solhint), execução simbólica (Mythril), fuzzing e invariantes (Foundry, Echidna, Medusa) e verificação formal quando o escopo pede (Halmos, Certora Prover).
Semana 2
Testes e relatório
Comprovamos cada falha grave com um teste real e um segundo Lop revisa tudo antes de entregar o relatório.
Para contratos já publicados, fork testing: replicamos o estado da cadeia em um ambiente local e simulamos os ataques ali, nunca na rede real. Prova de conceito reproduzível em Foundry para achados críticos e altos, revisão por um segundo Lop, relatórios técnico e executivo, reunião de encerramento.
O que você recebe
- Os achados ordenados por gravidade, com prova de que cada um pode ser explorado.
- Severidade por impacto e probabilidade de exploração (crítico, alto, médio, baixo, informativo), com o código afetado, o vetor e uma prova de conceito executável em Foundry para críticos e altos.
- Como corrigir cada achado, em ordem de prioridade.
- Recomendação de mitigação por achado, priorizada por impacto e esforço.
- Um relatório técnico completo e um resumo executivo para quem assina.
- Relatório técnico com o detalhe, a prova de conceito e a correção; relatório executivo com o impacto econômico e legal.
- Cada correção testada de novo.
- Reteste sobre a versão corrigida; prazo conforme a contratação.
Limites do escopo
Inclui
- Até 1.500 linhas de Solidity em redes EVM.Até 1.500 nSLOC (sem comentários nem linhas em branco), Solidity sobre Ethereum, Polygon, BNB Chain e redes compatíveis com EVM.
- Revisão antes de publicar e de contratos já implantados.Contratos já publicados são validados com fork testing sobre uma cópia local do estado, nunca na rede real.
Não inclui
- Não escrevemos as correções no seu código: isso o Lop Fix pode fazer.Sem remediação; disponível com Lop Fix.
- Não revisamos o que está fora da cadeia: servidores, chaves privadas nem o frontend.Sem auditoria de infraestrutura off-chain; a dapp e o seu backend são cobertos por uma auditoria web.
- Não revisamos contratos em Vyper, Yul ou Cairo.Só Solidity; outras linguagens são cotadas à parte.
Mais de 1.500 linhas ou vários contratos? Passamos o preço fechado antes de assinar.
Perguntas antes de contratar
Para que auditar se eu já uso ferramentas automáticas?
As ferramentas apontam padrões, mas não entendem a lógica do seu negócio nem encadeiam falhas pequenas. Um Lop confirma cada achado à mão e descarta os falsos positivos.
O fork testing pode afetar a rede real?
Não. O fork é uma cópia local do estado em um bloco. Tudo roda em um nó local e não assinamos nenhuma transação contra a rede real.
O relatório traz prova de conceito?
Sim. Para os achados críticos e altos entregamos uma prova reproduzível em Foundry que mostra que a falha pode ser explorada, não só que existe.
E se o meu contrato tem mais de 1.500 linhas?
Cotamos o excedente antes de assinar, com a mesma metodologia e as mesmas ferramentas.
Seu contrato guarda o dinheiro dos seus usuários?
Em 2 semanas auditamos, antes de publicar ou já implantado, com uma prova de conceito de cada falha grave.