Revizija pametnih ugovora
Ručni pregled uz statičku i dinamičku analizu Solidity, Rust i Move koda. Svaki nalaz dobiva razinu ozbiljnosti, dokaz i konkretan prijedlog ispravka.
Sigurnost za decentralizirane sustave
Sigurnost koju Web3 zaslužuje.
Pregledavamo pametne ugovore prije lansiranja, pratimo protokole u radu i stojimo uz timove kada se dogodi incident. Jedna disciplina, od prvog retka koda do produkcije.
Pomaknite se dolje
Surađujemo s timovima koji grade na mreži
Verigard
NodeCapital
Oblak DAO
Metrika Labs
Adrialink
Zašto to radimo
Jedan propust u ugovoru vrijedi više od cijele riznice.
Kod na blockchainu je javan, nepromjenjiv i rukuje vrijednošću od prvog bloka. Napadač ima vremena, alata i ekonomski motiv da pronađe ono što je promaklo timu pod rokom. Naš posao je pronaći to prije njega — i ostati uz vas kada sustav krene uživo.
140+
revidiranih ugovora na Ethereumu, Solani i Cosmosu
9
godina rada u kriptografiji i sigurnosti sustava
24/7
nadzor protokola s pravilima prilagođenima klijentu
~11
dana prosječno do cjelovitog izvještaja o reviziji
Što radimo
Sigurnost kao proces, ne kao pečat.
Nadzor protokola
Praćenje on-chain aktivnosti u stvarnom vremenu. Pravila za neobične transakcije, nagle promjene stanja i upozorenja prije nego što događaj postane gubitak.
Odgovor na incidente
Plan djelovanja, on-chain forenzika i koordinacija oporavka kada dođe do kompromitacije. Jasne odluke pod pritiskom, bez improvizacije.
Upravljanje ključevima
Postavljanje novčanika s više potpisa, procedure za čuvanje ključeva i otvrdnjavanje čvorova. Pristup vrijednosti koji preživi odlazak jednog člana tima.
Procjena prijetnji
Mapiranje napadačkih vektora kroz arhitekturu protokola prije nego što se napiše kod. Pronalazimo pogrešne pretpostavke dok ih je još jeftino ispraviti.
Edukacija timova
Radionice sigurnog programiranja za razvojne timove i operativne procedure za ljude koji drže infrastrukturu. Znanje ostaje u kući nakon što mi odemo.
Sigurnost ugrađena u razvoj
Provjera koji se pokreće uz svaki pull request.
Umjesto jedne revizije pred lansiranje, ugrađujemo sigurnosne provjere izravno u vaš razvojni tijek. Svaka promjena koda prolazi kroz pravila koja smo napisali za vaš protokol, prije nego što stigne na glavnu granu.
- Automatizirani pregled ranjivosti na svakoj izmjeni koda
- Pravila prilagođena logici vašeg protokola, ne generička lista
- Izvještaji čitljivi razvojnom timu, s točnom lokacijom nalaza
- Praćenje regresija između revizija kroz cijeli životni ciklus
Odabrani angažmani
Rad koji stoji iza svakog izvještaja.
Prikazani primjeri · identiteti klijenata zaštićeni
DeFi · Pozajmljivanje
Protokol za pozajmljivanje likvidnosti
Pregled mehanizma kamata i likvidacija prije otvaranja mreže javnosti. Dva kritična nalaza zatvorena su prije prvog depozita.
2kritična nalaza
17ukupno izvještenih
14 ddo izvještaja
NFT · Tržnica
Tržnica digitalnih zbirki
Revizija logike aukcija i naknada autora, uz nadzor nakon lansiranja. Postavljena su pravila za sumnjive obrasce trgovanja.
6srednjih nalaza
3mjeseca nadzora
0incidenata od lansiranja
Infrastruktura · Most
Most između dva lanca
Modeliranje prijetnji za prijenos vrijednosti između mreža. Preporučena je izmjena modela potpisivanja prije postavljanja na produkciju.
1visoki nalaz
9vektora mapirano
2kruga pregleda
DAO · Riznica
Riznica decentralizirane zajednice
Postavljanje novčanika s više potpisa i procedura odobravanja za zajednicu od nekoliko tisuća članova. Pristup sredstvima bez jedne točke otkaza.
5/8potrebnih potpisa
4obučena operatera
1postupak oporavka
Detaljan primjer
Revizija protokola za ulaganje prije glavne mreže
Tim nas je uključio osam tjedana prije planiranog lansiranja. Umjesto jednokratnog pregleda, radili smo u dva kruga: prvi je obuhvatio arhitekturu i modeliranje prijetnji, drugi cjelovitu reviziju koda nakon što su prvi nalazi ispravljeni. Najozbiljniji propust ticao se redoslijeda poziva pri povlačenju sredstava — ispravljen je prije nego što je protokol vidio ijedan stvarni token.
- 8 tj.trajanje angažmana
- 2kruga pregleda
- 23dokumentirana nalaza
- 0otvorenih kritičnih nalaza
Sigurnost nije značajka koju dodajete na kraju. To je način na koji gradite od prvog commita — i razlog zašto korisnici ostaju kada drugi protokoli nestanu.
Načelo rada · Zervamuki
Riječ klijenata
Mjereno, ne obećano.
Primjer izjave · anonimizirano
„Izvještaj je bio jasan i poredan po ozbiljnosti. Kritične nalaze zatvorili smo prije lansiranja, a tim je točno znao gdje gledati.“
M V
Marko V.Voditelj razvoja, DeFi protokol
Primjer izjave · anonimizirano
„Nadzor nas je upozorio na neobičnu transakciju četrdeset minuta prije nego što bi postala problem. To je razlika koju platiš jednom.“
I K
Ivana K.Operativna voditeljica, Web3 infrastruktura
Česta pitanja
Ono što timovi pitaju prije suradnje.
Koliko traje revizija pametnog ugovora?
Za ugovor srednje složenosti obično računamo dva do tri tjedna do cjelovitog izvještaja. Opseg ovisi o broju redaka koda, vanjskim ovisnostima i tome radimo li u jednom ili dva kruga. Nakon kratkog pregleda repozitorija dajemo konkretan rok prije početka rada.
Radite li s Rust i Move jezicima, ne samo sa Solidityjem?
Da. Osim Solidityja za ugovore kompatibilne s EVM-om, radimo revizije u Rustu za Solanu i ekosustav temeljen na Cosmosu, te u Moveu za lance poput Suija i Aptosa. Ako razvijate na mreži koja nije na ovom popisu, javite nam o čemu je riječ prije procjene.
Što se događa nakon što pronađete ranjivost?
Svaki nalaz dobiva razinu ozbiljnosti, opis scenarija iskorištavanja, dokaz i prijedlog ispravka. Kritične stvari javljamo odmah, ne čekamo kraj revizije. Nakon što ih ispravite, ponovno provjeravamo izmjene kako bismo potvrdili da je rješenje potpuno i da nije uvelo novi rizik.
Kako se vaša cijena uspoređuje s internim sigurnosnim timom?
Interni sigurnosni inženjer znači stalni trošak i vrijeme potrebno da izgradi kontekst vašeg protokola. Vanjski angažman plaćate za točno definiran posao i dobivate perspektivu ljudi koji svaki tjedan vide tuđe ugovore. Većina timova kombinira oboje: mi preuzimamo reviziju i incidente, vaš tim drži svakodnevni razvoj.
Jeste li registrirani za rad u Hrvatskoj i Europskoj uniji?
Zervamuki je registrirano trgovačko društvo sa sjedištem u Zagrebu i posluje u skladu s propisima Republike Hrvatske i Europske unije, uključujući Opću uredbu o zaštiti podataka. Radimo s klijentima diljem EU-a, a ugovore i izvještaje izdajemo na hrvatskom i engleskom jeziku.
Pružate li nadzor i nakon lansiranja?
Da. Mnogi timovi nastave s kontinuiranim nadzorom protokola nakon revizije. Postavljamo pravila za on-chain događaje specifična za vaš sustav i dežurni smo za upozorenja. Nadzor je mjesečni angažman odvojen od jednokratne revizije i može se prekinuti kad god želite.
Potpisujete li ugovor o povjerljivosti?
Uvijek. Prije nego što dobijemo pristup bilo kakvom kodu ili dokumentaciji, potpisujemo ugovor o povjerljivosti. Nalaze ne objavljujemo bez vašeg pisanog odobrenja, a identitete klijenata u javnim primjerima prikazujemo isključivo uz suglasnost.
Pošaljite nam repozitorij. Vratit ćemo vam jasnu sliku rizika.
Opišite protokol i rok. Dogovorit ćemo kratki poziv, pregledati opseg i predložiti pristup bez obveze s vaše strane.