Naar de inhoud
nonce.

Boutique-audits.AI-ondersteund, door mensen geverifieerd.

Ons eigen model leest eerst elke regel. Senior onderzoekers bewijzen en ondertekenen elke bevinding. Een vaste prijs binnen 12 uur, het rapport in 3 dagen.

Offerte aanvragen

Vijf echte exploits spelen om de beurt af: elk contract typt zichzelf, de scan markeert de fout en een notitie zegt wat het kostte en hoe het wordt opgelost.

  • The DAO, 2016-06-17: 3,6 mln ETH weggesluisd. splitDAO betaalde de beloning via een externe aanroep voordat het saldo op nul stond, dus de aanvaller kwam opnieuw binnen en splitste dezelfde tokens keer op keer. Zet het saldo op nul vóór elke externe aanroep.
  • Parity Multisig, 2017-11-06: 513.774 ETH bevroren. De gedeelde bibliotheek was nooit geïnitialiseerd, dus iedereen kon initWallet aanroepen, eigenaar worden en hem met kill vernietigen. Elke wallet die eraan delegeerde, bevroor. Initialiseer de bibliotheek bij deployment en geef hem geen zelfvernietiging.
  • Wormhole, 2022-02-02: 120.000 wETH, ~$325 mln. verify_signatures las de handtekeningcontrole uit een account dat de aanroeper koos, en controleerde nooit of het de instructions-sysvar was. Een vervalste gold als volledige goedkeuring van de guardians. Gebruik load_instruction_at_checked, dat het sysvar-adres controleert.
  • Nomad Bridge, 2022-08-01: ~$190 mln weggesluisd. Een upgrade zette de vertrouwde root op 0x00. Een onbewezen bericht levert 0x00 op, dus process accepteerde elk bericht, en honderden navolgers speelden het eerste opnieuw af. Bevestig nooit de nul-root en weiger elk onbewezen bericht.
  • Euler Finance, 2023-03-13: ~$197 mln weggesluisd. donateToReserves verbrandde eTokens zonder te controleren of de donor solvabel bleef. De aanvaller doneerde zich in slechte schuld en liquideerde zichzelf daarna met korting. Controleer de liquiditeit na de donatie, net als bij andere opnames.
audits
180
kritieke bevindingen
63
tot een offerte
12 uur
tot het rapport
3 dagen

Netwerken die we auditen

EVM9

  • EthereumSolidity, Vyper
  • ArbitrumSolidity, Vyper
  • OptimismSolidity, Vyper
  • BaseSolidity, Vyper
  • PolygonSolidity, Vyper
  • BNB ChainSolidity, Vyper
  • AvalancheSolidity, Vyper
  • LineaSolidity, Vyper
  • ScrollSolidity, Vyper

Solana1

  • SolanaRust, Anchor

Move2

  • SuiMove
  • AptosMove

ZK3

  • zkSyncSolidity, Vyper
  • StarknetCairo
  • Polygon zkEVMSolidity, Vyper
  • CircuitsCircom, Noir

Meer chains3

  • CosmosCosmWasm, Rust
  • StellarSoroban, Rust
  • TONTact, FunC, Tolk

Wat we auditen

  • 19 // Burn DAO Tokens
    20 Transfer(msg.sender, 0, balances[msg.sender]);
    21 withdrawRewardFor(msg.sender); // be nice, and get his rewards
    22 totalSupply -= balances[msg.sender];
    23 balances[msg.sender] = 0;
    24 paidOut[msg.sender] = 0;
    25 return true;
    HoogH-01Saldo pas na de externe aanroep geschreven
  • EVM1-3 dagen
  • Solana2-3 dagen
  • Move1-3 dagen
  • IncidentresponsBinnen 2 uur

Ons eigen model

nonce-sc-1

We hebben DeepSeek-V4.1 gefinetuned op 2.140 echte exploits en 380 eigen pentests. Het leest elke regel vóór een onderzoeker; elke bevinding die het meldt, bewijst en ondertekent een onderzoeker.

Basismodel
DeepSeek-V4.1
Getraind op
2.140 exploits en 380 pentests
In een audit
Eerste ronde, dan een mens

Twee manieren van auditen

Dezelfde methode, dezelfde onderzoekers. Geavanceerd bewijst de bugs op de live staat.

  • Broncode

    Elke regel gelezen door 2 onderzoekers.

    vanaf US$ 1.000

    • 2 senior onderzoekers
    • AI-pentest door nonce-sc-1 op elke regel
    • 404 checklistpunten over 10 netwerken
    • Statische analyse en fuzzing in een sandbox
    • Elke bevinding bevestigd door 3 reviews
    • Offline bewijs voor elke kritieke en hoge bevinding
    • Review van de fixes inbegrepen
    • PDF, markdown voor agents, portaal
    Offerte aanvragen

  • Geavanceerd

    Voor gedeployde protocollen

    Exploits bewezen op de mainnet-staat.

    vanaf US$ 2.000

    • Alles uit Broncode
    • 3 senior onderzoekers
    • nonce-sc-1 pentest de gedeployde contracts
    • EVM-exploits bewezen op een mainnet-fork
    • Oracle- en liquiditeitsaanvallen gesimuleerd
    • Invariant-fuzzing op de mainnet-staat
    • Deployscripts en adminsleutels gereviewd
    • Gedeployde code vergeleken, dagelijks herlezen
    Offerte aanvragen

De eindprijs volgt uit regels code, chains en deadline, en komt binnen 12 uur.

Drie stappen

  1. 1

    Stuur de repo

    Een e-mail en een link.

  2. 2

    Ontvang een vaste prijs

    Binnen 12 uur.

  3. 3

    Los op in het portaal

    We controleren elke fix.

Uw audit in het portaal

Bevindingen zodra we ze vinden.
Fixes zodra u ze levert.

Inloggen

Vaste prijs binnen 12 uur

Offerte aanvragen