Налаштування Foundry для розробки смарт-контрактів

Ми інтегруємо Foundry у ваш пайплайн розробки смарт-контрактів. На відміну від Hardhat, Rust-based Foundry дає виграш у швидкості до 50× на тестах, але вимагає грамотного налаштування профілів і залежностей. Без цього ви ризикуєте отримати нестабільні білди або пропустити реентерабельність на етапі тестування.

Життя блокчейн-розробника — це нескінченні ітерації: скомпілювали, запустили тести, знайшли баг, виправили, знову запустили. Foundry робить цей цикл у десятки разів швидше, але щоб розкрити його потенціал, потрібно правильно налаштувати конфігурацію. Ми допоможемо вам зробити це під ключ. За 5 років роботи ми налаштували Foundry для 50+ проєктів — від простих ERC-20 до складних DeFi-протоколів на L2.

Чому Foundry швидше за Hardhat?

Foundry написаний на Rust і компілює Solidity через solc безпосередньо, без зайвих проміжних шарів. Тести виконуються в нативному середовищі, fuzzing працює з коробки. Результат — швидкість компіляції та тестів у 10–50 разів вища на типових DeFi-проєктах. Як зазначено в документації Foundry, benchmark на проєкті з 200 тестами показує 3 секунди проти 45 секунд у Hardhat.

Установка та базова конфігурація

Команда foundryup встановлює останню версію toolchain. Проєкт ініціалізується через forge init my-project. Базова структура:

my-project/
├── foundry.toml
├── src/
├── test/
├── script/
└── lib/

Файл foundry.toml — серце конфігурації. Ми налаштовуємо два профілі: швидкий для локальної розробки і більш глибокий для CI.

Такий підхід дозволяє за хвилини тестувати базову логіку локально і отримувати надійні результати на CI.

[profile.default]
src = "src"
out = "out"
libs = ["lib"]
solc = "0.8.24"
optimizer = true
optimizer_runs = 200
fuzz = { runs = 1000 }
invariant = { runs = 256, depth = 500 }

[profile.ci]
fuzz = { runs = 10000 }
invariant = { runs = 1000, depth = 1000 }

Як налаштувати профіль CI у Foundry?

Профіль CI вимагає більш агресивного fuzzing та depth для invariant тестів. Налаштуйте його окремо в foundry.toml і запускайте через forge test --profile ci -vvv. У CI-пайплайні ми також включаємо --gas-report і додаткові перевірки Slither.

Залежності через forge install

Підключаємо OpenZeppelin, forge-std та інші бібліотеки.

forge install OpenZeppelin/openzeppelin-contracts
forge install foundry-rs/forge-std

Після встановлення додаємо remappings:

remappings = [
    "@openzeppelin/=lib/openzeppelin-contracts/",
    "forge-std/=lib/forge-std/src/",
]

Залежності зберігаються як git submodules — це стандарт для Foundry, що забезпечує відтворюваність.

Як налаштувати форк-тестування з Anvil?

Anvil — локальна нода з можливістю форку mainnet. Це ключова фіча для інтеграційних тестів.

anvil --fork-url $MAINNET_RPC --fork-block-number 19000000 --chain-id 1

Ви отримуєте копію стану mainnet на конкретному блоці без моків. Наш досвід показує, що саме форк-тести виявляють неочевидні помилки, які не ловляться юніт-тестами. В одному проєкті invariant тест за 20 хвилин знайшов три логічні помилки, які вислизали від ручних тестів: при ланцюжку deposit → withdraw → deposit totalSupply розходився на 1 wei через округлення.

Fuzz та invariant тести

Fuzzing працює автоматично — достатньо передати випадковий параметр у тест.

function testFuzz_Deposit(uint256 amount) public {
    amount = bound(amount, 1, 1e27);
    token.mint(alice, amount);
    vm.prank(alice);
    vault.deposit(amount);
    assertEq(vault.balanceOf(alice), amount);
}

Invariant тести перевіряють, що системні інваріанти зберігаються після будь-яких послідовностей викликів.

function invariant_TotalSupplyEqualsDeposits() public {
    assertEq(vault.totalSupply(), vault.totalDeposits());
}

Інтеграція з CI (GitHub Actions)

Ми налаштовуємо пайплайн, який запускає тести з профілем CI на кожному коміті.

- name: Install Foundry
  uses: foundry-rs/foundry-toolchain@v1

- name: Run tests
  run: forge test --profile ci -v
  env:
    FOUNDRY_ETH_RPC_URL: ${{ secrets.MAINNET_RPC }}

Що входить у налаштування

• Конфігурація foundry.toml з профілями default/ci
• Встановлення та ремапінг залежностей (OpenZeppelin, forge-std)
• Налаштування Anvil з форком mainnet для інтеграційних тестів
• Написання базових fuzz та invariant тестів
• CI пайплайн з GitHub Actions (GitLab, CircleCI за запитом)
• Документація щодо використовуваних флагів та команд

Строки

Налаштування Foundry з залежностями, профілями та CI — від 2 до 6 годин залежно від складності проєкту. Час включає написання шаблонних тестів та налагодження форку. Вартість розраховується індивідуально.

Чому обирають наше налаштування?

Ми не просто копіюємо шаблонні конфіги — ми аналізуємо структуру вашого проєкту, підбираємо оптимальні параметри fuzzing та invariant, налаштовуємо gas-репортинг. Понад 5 років досвіду в блокчейн-розробці та 50+ успішних проєктів — це гарантія, що ваша конфігурація буде працювати стабільно.

Отримайте консультацію щодо налаштування Foundry для вашого проєкту. Зв'яжіться з нами — ми оцінимо завдання і запропонуємо оптимальне рішення.

Примітка: ціни на налаштування залежать від обсягу робіт і обговорюються індивідуально.

Розробка смарт-контрактів

Ми зіткнулися з ситуацією: контракт задеплоєно, за два тижні приходить повідомлення — пул дреновано на значну суму. Дивимося транзакцію в Tenderly: атакуючий викликав deposit(), всередині callback на ERC-777 повторно викликав withdraw() — баланс оновився тільки після другого виходу. Класична reentrancy, але не через ETH transfer, а через хук ERC-777. ReentrancyGuard стояв тільки на withdraw().

Такі випадки — не рідкість. Смарт-контракт — це фінансова логіка без можливості пропатчити її вночі. Наша команда розробляє контракти під ключ, вбудовуючи захист від reentrancy, MEV та gas-атак на ранніх етапах. Reentrancy attack — одна з найпоширеніших вразливостей, що потребує глибокого розуміння EVM.

Як ми розробляємо смарт-контракти під ключ?

Починаємо з аудиту бізнес-логіки та вибору стеку. Solidity 0.8.x — стандарт для EVM-сумісних чейнів: Ethereum, Arbitrum, Optimism, Polygon, BSC, Avalanche C-Chain. Для Solana використовуємо Rust та Anchor: модель акаунтів і програм вимагає явного оголошення всіх ресурсів. Для проектів з формальною верифікацією підходить Move (Aptos, Sui) — лінійні типи мови виключають копіювання ресурсів на рівні компілятора. Vyper обираємо для контрактів, де критична простота аудиту (Curve Finance).

Gas optimization — не передчасна оптимізація, а архітектурне рішення. На Ethereum mainnet деплой погано спроектованого контракту може коштувати значну суму тільки через неоптимальний storage layout. Переупаковка структури Proposal з 7 слотів до 4 заощадила 18k gas на кожному голосуванні — економія на масштабі протоколу з тисячами голосувань на день дає відчутну річну вигоду.

Типові помилки в gas: передача масивів через memory замість calldata в external функціях (дорожче в 2-3 рази); використання require з довгими рядками замість custom error error InsufficientBalance(...). Кастомні помилки дешевші на 50-200 gas на revert і передають структуровані дані фронтенду.

Чому аудит смарт-контрактів критичний для безпеки?

Аудит — не разова перевірка, а вбудований етап розробки. Використовуємо три рівні:

1. Статичний аналіз — Slither (30 секунд в CI) виявляє reentrancy, неініціалізовані змінні, небезпечний delegatecall.
2. Фаззинг та invariant тести — Foundry з --fuzz-runs 50000 знаходить edge cases, які пропускають сотні unit-тестів. Echidna перевіряє інваріанти («сума всіх балансів ≤ totalSupply»).
3. Ручний code review — наші інженери з досвідом 10+ років у блокчейні виявляють логічні помилки, які не ловлять інструменти. Для протоколів з високим TVL обов'язковий зовнішній аудит з боку Trail of Bits, Consensys Diligence або OpenZeppelin. Термін — 2-4 тижні.

Будь-який апгрейдуємий протокол повинен мати timelock. TimelockController з OpenZeppelin: операція пропонується → чекає мінімальний delay (48-72 години) → виконується. Без timelock один скомпрометований deployer wallet = втрата всього пулу.

OpenZeppelin Security Audits підтверджують, що 80% вразливостей, знайдених у деплоїних контрактах, пов'язані з відсутністю перевірок доступу або reentrancy. Ми включаємо ці перевірки в CI ще до першого деплою.

Які патерни апгрейду обираємо?

Storage collision — головна небезпека проксі. Implementation v2 не повинен додавати змінні перед існуючими. OpenZeppelin Upgrades plugin для Hardhat та Foundry перевіряє це автоматично, але тільки при використанні його API.

Як захистити контракт від MEV та front-running?

На Ethereum mainnet транзакції в mempool видно всім. MEV-боти проводять sandwich-атаки на DEX, фронтраннінги мінтингу та governance. Рішення: commit-reveal scheme для аукціонів, приватна відправка через Flashbots PROTECT RPC. EIP-7702 та PBS (proposer-builder separation) змінюють картину, але поки не масово.

Процес розробки

1. Аналітика — специфікація функцій, діаграма викликів, аналіз edge cases. Без цього кодинг починається даремно.
2. Розробка — Solidity/Rust з тестами паралельно. Тест → код → рефакторинг. Використовуємо Foundry для fuzz та invariant тестів.
3. Внутрішній аудит — Slither + Echidna + ручний code review. Foundry invariant tests для протокольних інваріантів.
4. Зовнішній аудит — для проектів з реальними грошима. Термін: 2-4 тижні.
5. Деплой — Foundry scripts або Hardhat Ignition з verify на Etherscan. Gnosis Safe для ownership transfer одразу після деплою.
6. Моніторинг — Tenderly alerts, OpenZeppelin Defender, Forta Network.

Що входить в роботу

• Документація на архітектуру та специфікацію контракту (NatSpec).
• Вихідний код з репозиторієм та CI (Slither, Foundry, coverage).
• Розгорнута версія контракту з verify на блокчейн-експлорері.
• Результати аудиту (внутрішнього та зовнішнього за запитом).
• Доступи до моніторингу та управління (Gnosis Safe).
• Гарантія на код: фікси критичних багів протягом місяця після деплою.
• Консультація щодо інтеграції з веб-інтерфейсом (wagmi, RainbowKit).

Терміни орієнтовно

• ERC-20 token з базовими функціями: 1-2 тижні
• Vesting контракт з cliff/linear schedule: 2-3 тижні
• NFT ERC-721/1155 з маркетплейсом: 4-6 тижнів
• AMM або lending протокол: 2-4 місяці
• Мультичейн протокол з bridge: 4-7 місяців

Аудит додає 3-6 тижнів і йде паралельно з фінальним тестуванням де можливо. Вартість розраховується індивідуально — зв'яжіться з нами, і ми оцінимо ваш проект безкоштовно. Економія на газі завдяки нашій оптимізації може сягати 30% на рік для високонавантажених протоколів.

Зв'яжіться з нами для оцінки вашого проекту. Замовте розробку смарт-контракту — отримайте консультацію з архітектури та захисту від reentrancy, MEV та gas-атак. Напишіть нам — ми підберемо оптимальний стек під вашу задачу.