Перейти до вмісту
nonce.

Бутиковий аудит.ШІ допомагає, людина перевіряє.

Наша модель першою читає кожен рядок. Старші дослідники доводять і підписують кожну знахідку. Фіксована ціна менш ніж за 12 годин, звіт за 3 дні.

Дізнатися ціну

П’ять справжніх експлойтів відтворюються по черзі: кожен контракт сам себе набирає, сканування позначає ваду, а нотатка каже, скільки вона коштувала і як її виправити.

  • The DAO, 2016-06-17: Виведено 3,6 млн ETH. splitDAO виплачував винагороду зовнішнім викликом раніше, ніж обнуляв баланс, тож зловмисник входив знову й ділив ті самі токени раз за разом. Обнуляти баланс перед будь-яким зовнішнім викликом.
  • Parity Multisig, 2017-11-06: Заморожено 513 774 ETH. Спільну бібліотеку так і не ініціалізували, тож будь-хто міг викликати initWallet, стати власником і знищити її через kill. Кожен гаманець, що делегував їй, замерз. Ініціалізувати бібліотеку під час розгортання і не давати їй самознищення.
  • Wormhole, 2022-02-02: 120 000 wETH, ~$325 млн. verify_signatures читав перевірку підписів з акаунта, який обрав той, хто викликає, і ніколи не перевіряв, що це sysvar інструкцій. Підробка пройшла як повне схвалення гардіанів. Використовувати load_instruction_at_checked, що перевіряє адресу sysvar.
  • Nomad Bridge, 2022-08-01: Виведено ~$190 млн. Оновлення встановило довірений корінь 0x00. Недоведене повідомлення дає 0x00, тож process приймав будь-яке повідомлення, і сотні наслідувачів повторили перше. Ніколи не підтверджувати нульовий корінь і відхиляти недоведені повідомлення.
  • Euler Finance, 2023-03-13: Виведено ~$197 млн. donateToReserves спалював eToken, не перевіряючи, чи лишається донор платоспроможним. Зловмисник задонатив себе в поганий борг, а потім ліквідував себе зі знижкою. Перевіряти ліквідність після пожертви, як і для інших виведень.
аудитів
180
критичних знахідок
63
до оцінки
12 годин
до звіту
3 дні

Мережі, які ми перевіряємо

EVM9

  • EthereumSolidity, Vyper
  • ArbitrumSolidity, Vyper
  • OptimismSolidity, Vyper
  • BaseSolidity, Vyper
  • PolygonSolidity, Vyper
  • BNB ChainSolidity, Vyper
  • AvalancheSolidity, Vyper
  • LineaSolidity, Vyper
  • ScrollSolidity, Vyper

Solana1

  • SolanaRust, Anchor

Move2

  • SuiMove
  • AptosMove

ZK3

  • zkSyncSolidity, Vyper
  • StarknetCairo
  • Polygon zkEVMSolidity, Vyper
  • СхемиCircom, Noir

Інші мережі3

  • CosmosCosmWasm, Rust
  • StellarSoroban, Rust
  • TONTact, FunC, Tolk

Що ми перевіряємо

  • 19 // Burn DAO Tokens
    20 Transfer(msg.sender, 0, balances[msg.sender]);
    21 withdrawRewardFor(msg.sender); // be nice, and get his rewards
    22 totalSupply -= balances[msg.sender];
    23 balances[msg.sender] = 0;
    24 paidOut[msg.sender] = 0;
    25 return true;
    ВисокаH-01Баланс записано після зовнішнього виклику
  • EVM1-3 дні
  • Solana2-3 дні
  • Move1-3 дні
  • Реагування на інцидентиРеакція за 2 години

Наша власна модель

nonce-sc-1

Ми донавчили DeepSeek-V4.1 на 2 140 реальних експлойтах і 380 власних пентестах. Модель читає кожен рядок раніше за дослідника; кожну її знахідку дослідник доводить і підписує.

Базова модель
DeepSeek-V4.1
Навчена на
2 140 експлойтів і 380 пентестів
В аудиті
Перший прохід, потім людина

Два види аудиту

Той самий метод, ті самі дослідники. Розширений доводить баги на реальному стані.

  • Вихідний код

    Кожен рядок читають 2 дослідники.

    від 1 000 USD

    • 2 старші дослідники
    • ШІ-пентест моделлю nonce-sc-1 по кожному рядку
    • 404 пункти чек-листа у 10 мережах
    • Статичний аналіз і фазинг у пісочниці
    • Кожну знахідку підтверджують 3 перевірки
    • Офлайн-доказ для кожної критичної та високої
    • Перевірку виправлень включено
    • PDF, markdown для агентів, портал
    Дізнатися ціну

  • Розширений

    Для розгорнутих протоколів

    Експлойти, доведені на стані мейннету.

    від 2 000 USD

    • Усе з «Вихідного коду»
    • 3 старші дослідники
    • nonce-sc-1 пентестить розгорнуті контракти
    • Експлойти EVM доведено на форку мейннету
    • Атаки на оракули й ліквідність змодельовано
    • Фазинг інваріантів на стані мейннету
    • Скрипти деплою та адмін-ключі перевірено
    • Розгорнутий код звіряємо й перечитуємо щодня
    Дізнатися ціну

Остаточна ціна залежить від рядків коду, мереж і терміну та надходить не пізніше ніж за 12 годин.

Три кроки

  1. 1

    Надішліть репозиторій

    Пошта і посилання.

  2. 2

    Отримайте фіксовану ціну

    Менш ніж за 12 годин.

  3. 3

    Виправляйте в порталі

    Ми перевіряємо кожне виправлення.

Ваш аудит у порталі

Знахідки з’являються, щойно ми їх знайдемо.
Виправлення видно, щойно ви їх випустите.

Увійти

Фіксована ціна менш ніж за 12 годин

Дізнатися ціну