Розробка скриптів міграції смарт-контрактів

Після деплою смарт-контракт не можна змінити. Але дані можна перенести. Розробники часто стикаються з ситуацією, коли контракт не спроектований upgradeable, а логіку потрібно змінювати. Або потрібно перенести дані на новий контракт через зміну протоколу. Без правильної міграції можна втратити кошти користувачів або зламати інтеграції. Міграція — операція, що вимагає збереження цілісності state і можливості відкату. Кожна міграція проходить обов'язкове тестування на форку mainnet, що дозволяє виявити проблеми до деплою. Ми використовуємо Foundry для симуляції та Slither для перевірки storage layout. Економія газу при lazy migration сягає 90% порівняно з прямою заливкою, що для протоколів з 10 000+ користувачів конвертується в сотні тисяч доларів. Така міграція вимагає автоматизації та ретельного тестування.

Як перенести дані смарт-контракту без втрат?

Існує два принципово різних підходи залежно від архітектури контракту.

Proxy upgrade: змінюємо логіку, зберігаємо адресу та storage

Якщо контракт розгорнуто через UUPS (EIP-1822) або Transparent Proxy (EIP-1967) патерн — апгрейд технічно простий: деплоїмо нову implementation, викликаємо upgradeTo(newImpl). Але диявол у storage layout.

Storage collision — головна загроза proxy-апгрейдів. Змінні в Solidity займають слоти по порядку оголошення. Якщо у версії V1 слот 0 — це address owner, а в V2 ти додав нову змінну перед owner, слот 0 тепер читатиметься як нова змінна. Дані не втрачаються фізично, але інтерпретуються невірно. Приклад реальних граблів:

// V1
contract StakingV1 {
    address public owner;       // slot 0
    uint256 public totalStaked; // slot 1
}

// V2 – НЕПРАВИЛЬНО: слоти зсунуті
contract StakingV2 {
    uint256 public version;       // slot 0 – конфлікт з owner!
    address public owner;         // slot 1 – конфлікт з totalStaked!
    uint256 public totalStaked;   // slot 2
}

Після апгрейду owner поверне перші 20 байт числа totalStaked зі старого storage. Це критична помилка. Згідно з OpenZeppelin: ніколи не переставляйте існуючі змінні, тільки додавайте нові в кінець, і використовуйте storage gaps:

uint256[50] private __gap; // резерв на майбутні змінні

Для великих проєктів ми форк-тестуємо mainnet через Foundry, перевіряємо storage layout утилітою @openzeppelin/upgrades-core.

// script/Upgrade.s.sol
contract UpgradeScript is Script {
    function run() external {
        address proxyAddress = vm.envAddress("PROXY_ADDRESS");
        vm.startBroadcast();
        StakingV2 newImpl = new StakingV2();
        UUPSUpgradeable(proxyAddress).upgradeToAndCall(
            address(newImpl),
            abi.encodeCall(StakingV2.initializeV2, (newParam))
        );
        vm.stopBroadcast();
        StakingV2 proxy = StakingV2(proxyAddress);
        require(proxy.version() == 2, "Upgrade failed");
    }
}

Повна міграція: деплоїмо новий контракт, переносимо дані

Іноді proxy неможливий або небажаний. Тоді потрібна data migration: зчитати всі дані зі старого контракту і записати в новий. Пряма on-chain міграція при 10 000 користувачів коштує ~$40 000 в газі. Ефективніше — lazy migration через Merkle tree:

1. Snapshot off-chain: читаємо весь стан через RPC.
2. Будуємо Merkle tree з усіх адрес і балансів.
3. Користувач сам забирає свої дані, надаючи Merkle proof.

mapping(address => bool) public migrated;
bytes32 public merkleRoot;

function claimMigration(uint256 amount, bytes32[] calldata proof) external {
    require(!migrated[msg.sender], "Already migrated");
    bytes32 leaf = keccak256(abi.encode(msg.sender, amount));
    require(MerkleProof.verify(proof, merkleRoot, leaf), "Invalid proof");
    migrated[msg.sender] = true;
    _mint(msg.sender, amount);
}

При 20 000 учасників такий підхід економить понад 95% газу. Газові витрати повністю лягають на користувачів.

Чому важливий правильний storage layout при апгрейді?

Storage collision — причина 30% невдалих апгрейдів. Ми завжди проводимо аудит поточного storage layout до початку розробки. Це дозволяє виявити несумісності на ранньому етапі.

Скрипти міграції: інструменти та автоматизація

Для proxy upgrade використовуємо Foundry скрипти (приклад вище). Запуск з dry-run:

forge script script/Upgrade.s.sol --fork-url $MAINNET_RPC --broadcast false

Для snapshot даних використовуємо TypeScript скрипт, що розбиває запит на чанки по 10 000 блоків. Це дозволяє обробляти навіть контракти з мільйонами подій за кілька хвилин.

Управління версіями та відкат

Кожен апгрейд тегуємо в git: v2.0.0-upgrade. Зберігаємо адресу старої implementation — в UUPS патерні відкат можливий через повторний upgradeToAndCall. Для критичних апгрейдів використовуємо TimelockController із затримкою 24-48 годин.

Процес роботи

1. Аудит поточного стану. Аналізуємо storage layout, обсяг даних, залежні протоколи.
2. Проектування стратегії. Вибираємо proxy або full migration, розробляємо backward compatibility.
3. Розробка та тестування. Форк-тести mainnet, перевірка storage layout, тестування rollback.
4. Деплой. Мультипідпис через Safe{Wallet}, timelock, моніторинг Tenderly.
5. Супровід після міграції. Перевірка цілісності даних, корекція при необхідності.

Що входить в роботу

• Аудит поточного контракту та storage layout
• Вибір оптимальної стратегії міграції
• Розробка скриптів (Foundry / TypeScript)
• Форк-тестування на mainnet
• Деплой з мультипідписом та timelock
• Документація по rollback
• Підтримка після міграції (5 днів)

Орієнтири по термінах

Замовте міграцію під ключ — отримайте готові скрипти з підтримкою rollback та повну документацію. Зв'яжіться з нами для оцінки вашого проєкту — безкоштовно проаналізуємо поточний контракт. Вартість розраховується індивідуально і залежить від складності контракту. Ми гарантуємо цілісність даних на всіх етапах міграції. Наш досвід — 5+ років у DeFi, 50+ виконаних міграцій — дозволяє братися за завдання будь-якої складності. Отримайте консультацію прямо зараз.

Розробка смарт-контрактів

Ми зіткнулися з ситуацією: контракт задеплоєно, за два тижні приходить повідомлення — пул дреновано на значну суму. Дивимося транзакцію в Tenderly: атакуючий викликав deposit(), всередині callback на ERC-777 повторно викликав withdraw() — баланс оновився тільки після другого виходу. Класична reentrancy, але не через ETH transfer, а через хук ERC-777. ReentrancyGuard стояв тільки на withdraw().

Такі випадки — не рідкість. Смарт-контракт — це фінансова логіка без можливості пропатчити її вночі. Наша команда розробляє контракти під ключ, вбудовуючи захист від reentrancy, MEV та gas-атак на ранніх етапах. Reentrancy attack — одна з найпоширеніших вразливостей, що потребує глибокого розуміння EVM.

Як ми розробляємо смарт-контракти під ключ?

Починаємо з аудиту бізнес-логіки та вибору стеку. Solidity 0.8.x — стандарт для EVM-сумісних чейнів: Ethereum, Arbitrum, Optimism, Polygon, BSC, Avalanche C-Chain. Для Solana використовуємо Rust та Anchor: модель акаунтів і програм вимагає явного оголошення всіх ресурсів. Для проектів з формальною верифікацією підходить Move (Aptos, Sui) — лінійні типи мови виключають копіювання ресурсів на рівні компілятора. Vyper обираємо для контрактів, де критична простота аудиту (Curve Finance).

Gas optimization — не передчасна оптимізація, а архітектурне рішення. На Ethereum mainnet деплой погано спроектованого контракту може коштувати значну суму тільки через неоптимальний storage layout. Переупаковка структури Proposal з 7 слотів до 4 заощадила 18k gas на кожному голосуванні — економія на масштабі протоколу з тисячами голосувань на день дає відчутну річну вигоду.

Типові помилки в gas: передача масивів через memory замість calldata в external функціях (дорожче в 2-3 рази); використання require з довгими рядками замість custom error error InsufficientBalance(...). Кастомні помилки дешевші на 50-200 gas на revert і передають структуровані дані фронтенду.

Чому аудит смарт-контрактів критичний для безпеки?

Аудит — не разова перевірка, а вбудований етап розробки. Використовуємо три рівні:

1. Статичний аналіз — Slither (30 секунд в CI) виявляє reentrancy, неініціалізовані змінні, небезпечний delegatecall.
2. Фаззинг та invariant тести — Foundry з --fuzz-runs 50000 знаходить edge cases, які пропускають сотні unit-тестів. Echidna перевіряє інваріанти («сума всіх балансів ≤ totalSupply»).
3. Ручний code review — наші інженери з досвідом 10+ років у блокчейні виявляють логічні помилки, які не ловлять інструменти. Для протоколів з високим TVL обов'язковий зовнішній аудит з боку Trail of Bits, Consensys Diligence або OpenZeppelin. Термін — 2-4 тижні.

Будь-який апгрейдуємий протокол повинен мати timelock. TimelockController з OpenZeppelin: операція пропонується → чекає мінімальний delay (48-72 години) → виконується. Без timelock один скомпрометований deployer wallet = втрата всього пулу.

OpenZeppelin Security Audits підтверджують, що 80% вразливостей, знайдених у деплоїних контрактах, пов'язані з відсутністю перевірок доступу або reentrancy. Ми включаємо ці перевірки в CI ще до першого деплою.

Які патерни апгрейду обираємо?

Storage collision — головна небезпека проксі. Implementation v2 не повинен додавати змінні перед існуючими. OpenZeppelin Upgrades plugin для Hardhat та Foundry перевіряє це автоматично, але тільки при використанні його API.

Як захистити контракт від MEV та front-running?

На Ethereum mainnet транзакції в mempool видно всім. MEV-боти проводять sandwich-атаки на DEX, фронтраннінги мінтингу та governance. Рішення: commit-reveal scheme для аукціонів, приватна відправка через Flashbots PROTECT RPC. EIP-7702 та PBS (proposer-builder separation) змінюють картину, але поки не масово.

Процес розробки

1. Аналітика — специфікація функцій, діаграма викликів, аналіз edge cases. Без цього кодинг починається даремно.
2. Розробка — Solidity/Rust з тестами паралельно. Тест → код → рефакторинг. Використовуємо Foundry для fuzz та invariant тестів.
3. Внутрішній аудит — Slither + Echidna + ручний code review. Foundry invariant tests для протокольних інваріантів.
4. Зовнішній аудит — для проектів з реальними грошима. Термін: 2-4 тижні.
5. Деплой — Foundry scripts або Hardhat Ignition з verify на Etherscan. Gnosis Safe для ownership transfer одразу після деплою.
6. Моніторинг — Tenderly alerts, OpenZeppelin Defender, Forta Network.

Що входить в роботу

• Документація на архітектуру та специфікацію контракту (NatSpec).
• Вихідний код з репозиторієм та CI (Slither, Foundry, coverage).
• Розгорнута версія контракту з verify на блокчейн-експлорері.
• Результати аудиту (внутрішнього та зовнішнього за запитом).
• Доступи до моніторингу та управління (Gnosis Safe).
• Гарантія на код: фікси критичних багів протягом місяця після деплою.
• Консультація щодо інтеграції з веб-інтерфейсом (wagmi, RainbowKit).

Терміни орієнтовно

• ERC-20 token з базовими функціями: 1-2 тижні
• Vesting контракт з cliff/linear schedule: 2-3 тижні
• NFT ERC-721/1155 з маркетплейсом: 4-6 тижнів
• AMM або lending протокол: 2-4 місяці
• Мультичейн протокол з bridge: 4-7 місяців

Аудит додає 3-6 тижнів і йде паралельно з фінальним тестуванням де можливо. Вартість розраховується індивідуально — зв'яжіться з нами, і ми оцінимо ваш проект безкоштовно. Економія на газі завдяки нашій оптимізації може сягати 30% на рік для високонавантажених протоколів.

Зв'яжіться з нами для оцінки вашого проекту. Замовте розробку смарт-контракту — отримайте консультацію з архітектури та захисту від reentrancy, MEV та gas-атак. Напишіть нам — ми підберемо оптимальний стек під вашу задачу.