Auditoria de contratos
Revisão linha a linha de contratos em Solidity e Vyper, com reprodução de vetores de ataque e verificação de invariantes.
- Reentrância e controle de acesso
- Lógica de empréstimo e liquidação
- Relatório com severidade e correção
Estúdio de segurança Web3 // São Paulo
Protegemos o que roda on-chain antes que ele vá ao ar.
Auditamos contratos inteligentes, monitoramos protocolos em produção e respondemos a incidentes quando cada minuto conta. Trabalho técnico, revisado por pares e documentado para o seu time.
Quem somos
Uma falha em contrato inteligente não pede desculpas. Ela drena o contrato, some com os fundos e vira manchete. Nosso trabalho é encontrar essa falha antes de quem a procuraria para explorar.
A Xombraveli nasceu dentro de times de engenharia que já operaram protocolos com movimentação diária na casa dos milhões. Conhecemos o lado de quem constrói — a pressão do prazo, o contrato que precisa subir na sexta, a tentação de pular a revisão.
Por isso não entregamos um relatório genérico. Lemos cada linha, reproduzimos cada cenário de ataque em ambiente controlado e sentamos com o seu time para explicar o que encontramos. Segurança que ninguém entende não protege ninguém.
Atuamos para exchanges, protocolos de finanças descentralizadas, carteiras institucionais e projetos que guardam valor de terceiros. A régua é sempre a mesma, independentemente do tamanho do contrato.
O que fazemos
Quatro frentes, um objetivo: nada vaza.
Combinamos revisão humana, ferramentas de análise e monitoramento contínuo. Você escolhe uma frente ou todas — nós adaptamos ao estágio do seu projeto.
Resposta a incidentes
Quando algo acontece em produção, montamos a sala de guerra com você: contenção, rastreio dos fundos e comunicação técnica.
- Plantão para situações críticas
- Análise forense on-chain
- Relatório público pós-evento
Segurança de carteiras
Desenho de custódia para times e tesourarias: multiassinatura, políticas de aprovação e segregação de chaves.
- Arquitetura de multiassinatura
- Políticas de aprovação por valor
- Plano de recuperação de chaves
Monitoramento on-chain
Sensores que observam seu protocolo em tempo real e disparam alerta quando um padrão sai do esperado.
- Alertas por transação anômala
- Painéis de risco por contrato
- Integração com seu plantão
Revisão de governança
Avaliamos propostas, poderes de administração e processos de atualização de contratos antes que virem risco.
- Poderes de administração
- Fluxo de atualização de contratos
- Simulação de propostas
Formação para o time
Oficinas práticas para desenvolvedores: como pensar como atacante e escrever código que resiste à revisão.
- Padrões seguros em Solidity
- Estudo de incidentes reais
- Checklist antes de publicar
Trabalhos selecionados
Projetos em que o resultado era público.
Uma seleção de engajamentos recentes. Detalhes sensíveis foram omitidos a pedido dos clientes; os números refletem o escopo real de cada trabalho.
Finanças descentralizadas
Protocolo de empréstimo colateralizado
Auditoria completa antes do lançamento de uma nova versão do contrato de liquidação. Encontramos dois pontos críticos na lógica de preço.
Resumo
Infraestrutura
Ponte entre redes
Revisão de uma ponte que conecta duas redes com volume alto. O foco foi o fluxo de validação de mensagens entre cadeias.
Resumo
Resposta a incidente
Contenção em tempo real
Acionados durante um evento ativo, isolamos o contrato afetado e rastreamos a saída dos fundos em menos de uma hora.
Resumo
Custódia
Tesouraria de uma fundação
Redesenho da custódia de uma tesouraria com aprovação por valor e segregação de responsabilidades entre áreas.
Resumo
XV
Estudo de caso
Rede Órbita · Camada 2
Estudo de caso em profundidade
Seis semanas revisando uma camada 2 antes do primeiro depósito.
A equipe da Órbita construía uma camada de escala com sequenciador próprio e queria subir a rede principal sem surpresas. Mapeamos o fluxo de depósito e saque, reproduzimos cada caminho de saída de fundos e verificamos as provas de fraude em ambiente isolado.
Encontramos uma condição em que uma retirada poderia ser repetida sob uma sequência específica de blocos. A correção foi desenhada em conjunto com o time e revalidada antes da abertura dos depósitos.
3Pontos críticos
61Cenários testados
0Incidentes pós-lançamento
Segurança não é um selo no fim do projeto. É uma decisão de engenharia tomada a cada linha, e a nossa função é nunca deixar essa decisão passar despercebida.
— Princípio de trabalho da Xombraveli
Como trabalhamos
Um método que o seu time acompanha de ponta a ponta.
Nada de caixa-preta. Você sabe o que estamos olhando, por quê, e o que fazer com cada achado.
Fase 01
Escopo e contexto
Entendemos o que o contrato faz, quem interage com ele e o que estaria em jogo numa falha. Sem contexto, a revisão é cega.
Fase 02
Revisão manual
Dois revisores leem o código de forma independente. Ferramentas ajudam, mas quem decide a severidade é uma pessoa.
Fase 03
Reprodução
Cada hipótese vira um teste que reproduz o ataque em ambiente isolado. Se não reproduz, não entra no relatório.
Fase 04
Correção e revisão final
Acompanhamos a correção do seu time e revalidamos o código ajustado antes de assinar o relatório final.
O que dizem os clientes
Relatos de times que operam valor real.
O relatório não ficou guardado numa gaveta. A cada achado, a equipe sentou com a gente e explicou a lógica — nosso time saiu da auditoria escrevendo código melhor.
Chamamos durante um incidente, de madrugada. Em pouco mais de 40 minutos já tínhamos o contrato isolado e um mapa claro de para onde os fundos foram.
Reduzimos o tempo entre o fim do desenvolvimento e o lançamento de quatro semanas para dez dias, porque a revisão deixou de ser um gargalo e virou parte do fluxo.
Perguntas frequentes
Antes de começar, o que costumam perguntar.
Quanto tempo leva uma auditoria de contrato?
Depende do tamanho e da complexidade do código. Um conjunto enxuto de contratos costuma levar de duas a três semanas; protocolos maiores, com pontes ou lógica de liquidação, chegam a seis semanas. No orçamento você recebe o prazo estimado por fase, não apenas um número final.
Como o custo se compara a manter um time interno de segurança?
Um time interno faz sentido quando há revisão contínua todo mês. Para auditorias pontuais ou para reforçar o time que você já tem, o engajamento por projeto costuma custar menos e traz um olhar externo, que enxerga o que a equipe interna já naturalizou. Muitos clientes combinam as duas coisas.
Vocês assinam acordo de confidencialidade?
Sim, e normalmente é o primeiro documento que trocamos. Todo o material técnico, código e dados do projeto ficam sob sigilo. O relatório é seu; só publicamos resumos com a sua autorização expressa.
A Xombraveli está registrada para operar no Brasil?
Sim. Somos uma empresa constituída em São Paulo, com CNPJ ativo e contrato de prestação de serviços formal. Seguimos a Lei Geral de Proteção de Dados (Lei 13.709/2018) no tratamento de qualquer dado pessoal envolvido no trabalho.
O que acontece se vocês encontrarem uma falha grave?
Comunicamos de imediato, antes mesmo de fechar o relatório, por um canal combinado com o seu time. Falha crítica não espera a reunião de encerramento. Em seguida, ajudamos a priorizar a correção e revalidamos o código ajustado.
Vocês atendem fora de São Paulo?
Atendemos clientes em todo o Brasil e também projetos internacionais que operam em redes públicas. O trabalho é majoritariamente remoto; quando o projeto pede, nos deslocamos para encontros presenciais com o time.
Posso chamar a equipe no meio de um incidente, mesmo sem contrato prévio?
Pode. Mantemos uma linha de resposta a incidentes para situações críticas. A prioridade na hora é conter o problema; a formalização do contrato acontece em paralelo, sem travar a resposta.
Tem um contrato para subir? Vamos olhar juntos.
Conte o que você está construindo e em que estágio está. Respondemos com um escopo e um prazo honestos — sem compromisso de fechar.