Serviços
Cada serviço pode ser contratado isoladamente ou combinado. O que não muda é a régua técnica: revisão humana, reprodução de cada achado e documentação que o seu time consegue usar.
Revisão completa de contratos em Solidity e Vyper. Dois revisores independentes leem o código, reproduzem vetores de ataque e verificam invariantes antes de atribuir qualquer severidade.
Quando algo acontece em produção, montamos a sala de guerra com o seu time. A prioridade é conter, entender para onde os fundos foram e comunicar com clareza técnica.
Para tesourarias e times que guardam valor de terceiros, desenhamos a custódia do zero: quem assina, a partir de qual valor e como recuperar o acesso sem ponto único de falha.
Sensores observam o seu protocolo em tempo real e disparam alerta quando uma transação foge do padrão. Você recebe o aviso antes da notícia chegar ao fórum da comunidade.
Avaliamos poderes de administração, processos de atualização de contratos e propostas antes que virem risco. Governança frouxa é porta de entrada tão séria quanto um bug.
Oficinas práticas para a sua equipe de desenvolvimento aprender a pensar como atacante e a escrever código que sobrevive a uma revisão rigorosa.
O método
O mesmo roteiro vale para um contrato pequeno ou para um protocolo com dezenas de módulos. O que muda é o tempo em cada etapa.
Entendemos o que o contrato faz, quem interage com ele e o impacto de uma falha. Definimos juntos o limite do trabalho.
Dois revisores leem o código separadamente. As ferramentas apontam suspeitas; a severidade é decidida por uma pessoa.
Cada hipótese vira um teste que executa o ataque em ambiente isolado. Sem prova reproduzível, o achado não entra.
Acompanhamos os ajustes do seu time e revisamos o código corrigido antes de assinar o relatório definitivo.
O que entregamos na prática
Cada achado chega com três coisas: a descrição técnica da falha, o teste que a reproduz e uma proposta de correção que o seu time pode aplicar. A severidade segue uma escala pública, para que a priorização seja objetiva.
No fechamento, revisamos o código já corrigido. Só então o relatório é assinado — e você pode publicá-lo para a sua comunidade quando quiser.
O melhor relatório é o que o seu time consegue colocar em prática na segunda-feira de manhã.
— Como pensamos a entrega
Perguntas frequentes
Sim. Cada frente é independente. Muitos projetos começam com uma auditoria pontual e só depois avaliam o monitoramento contínuo, quando o protocolo está em produção e com volume relevante.
Auditamos principalmente contratos em Solidity e Vyper, em redes compatíveis com a máquina virtual do Ethereum, incluindo camadas 2. Se o seu projeto roda em outro ambiente, conversamos antes para confirmar se somos o parceiro certo.
O valor depende do tamanho do código e do prazo. Em vez de uma tabela fixa, enviamos um orçamento por fases após entender o escopo. Assim você vê exatamente pelo que está pagando e pode ajustar o alcance do trabalho.
Oferecemos. Para times que publicam atualizações com frequência, mantemos um acordo de revisão recorrente, com uma janela de horas acordada por período. É uma forma de ter um olhar externo constante sem montar um time interno inteiro.
Mantemos uma linha específica para situações críticas. Ao ser acionada, a equipe foca em conter o problema e mapear o caminho dos fundos; a parte formal, como contrato e documentação, corre em paralelo para não atrasar a resposta.
Pode, e incentivamos isso quando faz sentido. A publicação é sempre uma decisão sua. Preparamos uma versão adequada para divulgação, preservando qualquer detalhe que ainda represente risco se exposto cedo demais.
Envie o estágio do projeto e o tipo de contrato. Em pouco tempo você recebe uma proposta com prazo e valor por fase.