Przejdź do treści
nonce.

Butikowe audyty.Wspierane przez AI, weryfikowane przez ludzi.

Nasz własny model najpierw czyta każdą linię. Starsi badacze dowodzą i podpisują każdy wynik. Stała cena w mniej niż 12 godzin, raport w 3 dni.

Zapytaj o wycenę

Pięć prawdziwych exploitów odtwarza się po kolei: każdy kontrakt sam się pisze, skan wskazuje lukę, a notatka mówi, ile kosztowała i jak ją naprawić.

  • The DAO, 2016-06-17: Wyprowadzono 3,6 mln ETH. splitDAO wypłacało nagrodę wywołaniem zewnętrznym, zanim wyzerowało saldo, więc atakujący wchodził ponownie i dzielił te same tokeny raz za razem. Zerować saldo przed każdym wywołaniem zewnętrznym.
  • Parity Multisig, 2017-11-06: Zamrożono 513 774 ETH. Wspólna biblioteka nigdy nie została zainicjalizowana, więc każdy mógł wywołać initWallet, zostać jej właścicielem i zniszczyć ją przez kill. Każdy portfel, który do niej delegował, zamarzł. Inicjalizować bibliotekę przy wdrożeniu i nie dawać jej samozniszczenia.
  • Wormhole, 2022-02-02: 120 000 wETH, ok. 325 mln USD. verify_signatures odczytywało weryfikację podpisów z konta wybranego przez wywołującego i nie sprawdzało, czy to sysvar instrukcji. Fałszywe przeszło jako pełna zgoda strażników. Używać load_instruction_at_checked, które sprawdza adres sysvar.
  • Nomad Bridge, 2022-08-01: Wyprowadzono ok. 190 mln USD. Aktualizacja ustawiła zaufany root na 0x00. Niepotwierdzona wiadomość daje 0x00, więc process przyjmował każdą wiadomość, a setki naśladowców powtórzyły pierwszą. Nigdy nie potwierdzać zerowego roota i odrzucać niepotwierdzone wiadomości.
  • Euler Finance, 2023-03-13: Wyprowadzono ok. 197 mln USD. donateToReserves spalało eTokeny bez sprawdzenia, czy darczyńca pozostaje wypłacalny. Atakujący wpędził się darowizną w zły dług, a potem sam się zlikwidował z rabatem. Sprawdzać płynność po darowiźnie, jak przy innych wypłatach.
audytów
180
krytycznych podatności
63
do wyceny
12 godzin
do raportu
3 dni

Sieci, które audytujemy

EVM9

  • EthereumSolidity, Vyper
  • ArbitrumSolidity, Vyper
  • OptimismSolidity, Vyper
  • BaseSolidity, Vyper
  • PolygonSolidity, Vyper
  • BNB ChainSolidity, Vyper
  • AvalancheSolidity, Vyper
  • LineaSolidity, Vyper
  • ScrollSolidity, Vyper

Solana1

  • SolanaRust, Anchor

Move2

  • SuiMove
  • AptosMove

ZK3

  • zkSyncSolidity, Vyper
  • StarknetCairo
  • Polygon zkEVMSolidity, Vyper
  • ObwodyCircom, Noir

Inne sieci3

  • CosmosCosmWasm, Rust
  • StellarSoroban, Rust
  • TONTact, FunC, Tolk

Co audytujemy

  • 19 // Burn DAO Tokens
    20 Transfer(msg.sender, 0, balances[msg.sender]);
    21 withdrawRewardFor(msg.sender); // be nice, and get his rewards
    22 totalSupply -= balances[msg.sender];
    23 balances[msg.sender] = 0;
    24 paidOut[msg.sender] = 0;
    25 return true;
    WysokiH-01Saldo zapisane po wywołaniu zewnętrznym
  • EVM1-3 dni
  • Solana2-3 dni
  • Move1-3 dni
  • Reagowanie na incydentyMaksymalnie 2 godziny

Nasz własny model

nonce-sc-1

Dostroiliśmy DeepSeek-V4.1 na 2140 prawdziwych exploitach i 380 własnych pentestach. Czyta każdą linię przed badaczem; każdy zgłoszony przez niego wynik badacz udowadnia i podpisuje.

Model bazowy
DeepSeek-V4.1
Trenowany na
2140 exploitów i 380 pentestów
W audycie
Pierwsze przejście, potem człowiek

Dwa rodzaje audytu

Ta sama metoda, ci sami badacze. Zaawansowany dowodzi błędów na rzeczywistym stanie.

  • Kod źródłowy

    Każdą linię czyta 2 badaczy.

    od 1000 USD

    • 2 starszych badaczy
    • Pentest AI modelem nonce-sc-1 na każdej linii
    • 404 punkty listy kontrolnej w 10 sieciach
    • Analiza statyczna i fuzzing w piaskownicy
    • Każde znalezisko potwierdzone 3 przeglądami
    • Dowód offline dla każdego krytycznego i wysokiego
    • Przegląd poprawek w cenie
    • PDF, markdown dla agentów, portal
    Zapytaj o wycenę

  • Zaawansowany

    Dla wdrożonych protokołów

    Exploity udowodnione na stanie mainnetu.

    od 2000 USD

    • Wszystko z Kodu źródłowego
    • 3 starszych badaczy
    • nonce-sc-1 pentestuje wdrożone kontrakty
    • Exploity EVM udowodnione na forku mainnetu
    • Symulacja ataków na wyrocznie i płynność
    • Fuzzing niezmienników na stanie mainnetu
    • Przegląd skryptów wdrożenia i kluczy admina
    • Wdrożony kod porównany, codziennie sprawdzany
    Zapytaj o wycenę

Cena końcowa zależy od liczby linii kodu, sieci i terminu, a przychodzi w mniej niż 12 godzin.

Trzy kroki

  1. 1

    Przesłanie repozytorium

    E-mail i link.

  2. 2

    Stała cena

    W mniej niż 12 godzin.

  3. 3

    Poprawki w portalu

    Weryfikujemy każdą poprawkę.

Państwa audyt w portalu

Błędy, gdy tylko je znajdziemy.
Poprawki, gdy tylko je Państwo wdrożą.

Zaloguj się

Stała cena w mniej niż 12 godzin

Zapytaj o wycenę