Верифікація смарт-контрактів на блок-експлорерах під ключ

Проблема: чорний ящик після деплою

Після деплою контракту на mainnet користувачі бачать лише байткод. Etherscan показує «Contract» замість імен функцій. Інші протоколи не викликають такий контракт — надто ризиковано. Неверифікований контракт може містити backdoor або бути підміненим через проксі. Помилки в конфігурації компіляції (версія, оптимізація, метадані) призводять до провалу верифікації. Ми вирішуємо цю проблему на системному рівні: налаштовуємо оточення, готуємо Standard JSON Input та проходимо верифікацію з першого разу в 95% випадків.

Як працює верифікація?

Блок-експлорер приймає вихідники та параметри компілятора, компілює локально і порівнює bytecode з тим, що в чейні. Збіг — контракт верифіковано, вихідники публікуються. Головна вимога — детермінованість компіляції. Solidity-компілятор при однакових вхідних даних і налаштуваннях повинен видавати ідентичний байткод. Розходження у версії компілятора (наприклад, 0.8.19 vs 0.8.20), прапорцях оптимізації (runs: 200 vs runs: 999), порядку файлів або метаданих — і верифікація не проходить. Документація Solidity детально описує цей механізм.

Як скоротити час верифікації в 3 рази?

Використовуйте Foundry замість ручного введення параметрів на експлорері. forge verify-contract автоматично збирає Standard JSON Input і відправляє на Etherscan. За нашими даними, це скорочує час налаштування з 30 хвилин до 5. Ми підготували порівняльну таблицю інструментів:

Для простих контрактів достатньо Hardhat, для складних з проксі та бібліотеками — Foundry краще в 2 рази швидше.

Як ми справляємося зі складними випадками?

У нас за плечима 7+ років у блокчейні та понад 50 успішних верифікацій. Ми стикалися з проксі-контрактами (UUPS, Transparent), складними зв'язками бібліотек та флеш-позиками. Для кожного проекту готуємо Standard JSON Input — це знижує ймовірність помилки до нуля. Якщо контракт використовує immutable змінні або calldata зі складними структурами, ми вручну перевіряємо збіг constructor-arguments. Верифікація через Foundry дозволяє скоротити час налаштування в 3 рази порівняно з ручним введенням параметрів.

Чому верифікація важлива для безпеки?

Неверифікований контракт — чорна діра для аудиторів. Жоден серйозний аудит не почнеться без verified-статусу. Верифікація — перший крок до формальної верифікації та статичного аналізу (Slither, Mythril). Уявіть: ви знайшли баг, але контракт не верифіковано — виправити і передеплоїти неможливо. Економія на верифікації обертається мільйонними втратами при зломах. Ми гарантуємо, що після нашої роботи контракт проходить будь-які перевірки.

Як уникнути частих помилок при верифікації?

Для проксі-контрактів Etherscan підтримує детекцію через ABI proxy detection — після верифікації обох частин натиснути кнопку «Is this a proxy?». Ми також підключаємо @openzeppelin/contracts і використовуємо upgradeable шаблони.

Інструменти для верифікації

Hardhat + hardhat-verify (колишній hardhat-etherscan). Після деплою:

npx hardhat verify --network mainnet 0xCONTRACT_ADDRESS "arg1" "arg2"

Плагін автоматично визначає версію компілятора з hardhat.config.ts, збирає Standard JSON Input і відправляє на Etherscan API. Працює для Ethereum, Polygon, BSC, Arbitrum, Optimism — через конфігурацію etherscan.apiUrl.

Foundry forge verify-contract — працює аналогічно, але через Standard JSON Input безпосередньо:

forge verify-contract 0xCONTRACT_ADDRESS src/MyContract.sol:MyContract \
  --chain-id 1 \
  --etherscan-api-key $ETHERSCAN_KEY \
  --constructor-args $(cast abi-encode "constructor(address)" 0xADDR)

Sourcify — децентралізована альтернатива. Зберігає вихідники на IPFS, підтримується більшістю експлорерів. Foundry підтримує деплой з одночасною верифікацією:

forge script Script --broadcast --verify --verifier sourcify

Що входить в роботу

• Повна діагностика конфігурації компіляції
• Підготовка Standard JSON Input
• Верифікація на блок-експлорері (до 3 мереж за замовчуванням)
• Якщо проксі — верифікація обох частин
• Повторні спроби при помилках (включено у вартість)
• Документація щодо налаштування та розгортання
• Консультація з best practices gas optimization та безпеки

Строки та вартість

Строк: від 2 годин до 1 робочого дня — залежить від складності контракту (наявність бібліотек, проксі, кількість мереж). Вартість розраховується індивідуально. Замовте верифікацію вашого контракту вже сьогодні — надішліть посилання на контракт у будь-якій мережі (Etherscan, Polygonscan, Arbiscan) і отримайте розрахунок за 1 годину. Отримайте консультацію з налаштування верифікації — зробимо ваші контракти прозорими.

Зв'яжіться з нами, щоб обговорити деталі вашого проекту — ми відповімо протягом години.

Розробка смарт-контрактів

Ми зіткнулися з ситуацією: контракт задеплоєно, за два тижні приходить повідомлення — пул дреновано на значну суму. Дивимося транзакцію в Tenderly: атакуючий викликав deposit(), всередині callback на ERC-777 повторно викликав withdraw() — баланс оновився тільки після другого виходу. Класична reentrancy, але не через ETH transfer, а через хук ERC-777. ReentrancyGuard стояв тільки на withdraw().

Такі випадки — не рідкість. Смарт-контракт — це фінансова логіка без можливості пропатчити її вночі. Наша команда розробляє контракти під ключ, вбудовуючи захист від reentrancy, MEV та gas-атак на ранніх етапах. Reentrancy attack — одна з найпоширеніших вразливостей, що потребує глибокого розуміння EVM.

Як ми розробляємо смарт-контракти під ключ?

Починаємо з аудиту бізнес-логіки та вибору стеку. Solidity 0.8.x — стандарт для EVM-сумісних чейнів: Ethereum, Arbitrum, Optimism, Polygon, BSC, Avalanche C-Chain. Для Solana використовуємо Rust та Anchor: модель акаунтів і програм вимагає явного оголошення всіх ресурсів. Для проектів з формальною верифікацією підходить Move (Aptos, Sui) — лінійні типи мови виключають копіювання ресурсів на рівні компілятора. Vyper обираємо для контрактів, де критична простота аудиту (Curve Finance).

Gas optimization — не передчасна оптимізація, а архітектурне рішення. На Ethereum mainnet деплой погано спроектованого контракту може коштувати значну суму тільки через неоптимальний storage layout. Переупаковка структури Proposal з 7 слотів до 4 заощадила 18k gas на кожному голосуванні — економія на масштабі протоколу з тисячами голосувань на день дає відчутну річну вигоду.

Типові помилки в gas: передача масивів через memory замість calldata в external функціях (дорожче в 2-3 рази); використання require з довгими рядками замість custom error error InsufficientBalance(...). Кастомні помилки дешевші на 50-200 gas на revert і передають структуровані дані фронтенду.

Чому аудит смарт-контрактів критичний для безпеки?

Аудит — не разова перевірка, а вбудований етап розробки. Використовуємо три рівні:

1. Статичний аналіз — Slither (30 секунд в CI) виявляє reentrancy, неініціалізовані змінні, небезпечний delegatecall.
2. Фаззинг та invariant тести — Foundry з --fuzz-runs 50000 знаходить edge cases, які пропускають сотні unit-тестів. Echidna перевіряє інваріанти («сума всіх балансів ≤ totalSupply»).
3. Ручний code review — наші інженери з досвідом 10+ років у блокчейні виявляють логічні помилки, які не ловлять інструменти. Для протоколів з високим TVL обов'язковий зовнішній аудит з боку Trail of Bits, Consensys Diligence або OpenZeppelin. Термін — 2-4 тижні.

Будь-який апгрейдуємий протокол повинен мати timelock. TimelockController з OpenZeppelin: операція пропонується → чекає мінімальний delay (48-72 години) → виконується. Без timelock один скомпрометований deployer wallet = втрата всього пулу.

OpenZeppelin Security Audits підтверджують, що 80% вразливостей, знайдених у деплоїних контрактах, пов'язані з відсутністю перевірок доступу або reentrancy. Ми включаємо ці перевірки в CI ще до першого деплою.

Які патерни апгрейду обираємо?

Storage collision — головна небезпека проксі. Implementation v2 не повинен додавати змінні перед існуючими. OpenZeppelin Upgrades plugin для Hardhat та Foundry перевіряє це автоматично, але тільки при використанні його API.

Як захистити контракт від MEV та front-running?

На Ethereum mainnet транзакції в mempool видно всім. MEV-боти проводять sandwich-атаки на DEX, фронтраннінги мінтингу та governance. Рішення: commit-reveal scheme для аукціонів, приватна відправка через Flashbots PROTECT RPC. EIP-7702 та PBS (proposer-builder separation) змінюють картину, але поки не масово.

Процес розробки

1. Аналітика — специфікація функцій, діаграма викликів, аналіз edge cases. Без цього кодинг починається даремно.
2. Розробка — Solidity/Rust з тестами паралельно. Тест → код → рефакторинг. Використовуємо Foundry для fuzz та invariant тестів.
3. Внутрішній аудит — Slither + Echidna + ручний code review. Foundry invariant tests для протокольних інваріантів.
4. Зовнішній аудит — для проектів з реальними грошима. Термін: 2-4 тижні.
5. Деплой — Foundry scripts або Hardhat Ignition з verify на Etherscan. Gnosis Safe для ownership transfer одразу після деплою.
6. Моніторинг — Tenderly alerts, OpenZeppelin Defender, Forta Network.

Що входить в роботу

• Документація на архітектуру та специфікацію контракту (NatSpec).
• Вихідний код з репозиторієм та CI (Slither, Foundry, coverage).
• Розгорнута версія контракту з verify на блокчейн-експлорері.
• Результати аудиту (внутрішнього та зовнішнього за запитом).
• Доступи до моніторингу та управління (Gnosis Safe).
• Гарантія на код: фікси критичних багів протягом місяця після деплою.
• Консультація щодо інтеграції з веб-інтерфейсом (wagmi, RainbowKit).

Терміни орієнтовно

• ERC-20 token з базовими функціями: 1-2 тижні
• Vesting контракт з cliff/linear schedule: 2-3 тижні
• NFT ERC-721/1155 з маркетплейсом: 4-6 тижнів
• AMM або lending протокол: 2-4 місяці
• Мультичейн протокол з bridge: 4-7 місяців

Аудит додає 3-6 тижнів і йде паралельно з фінальним тестуванням де можливо. Вартість розраховується індивідуально — зв'яжіться з нами, і ми оцінимо ваш проект безкоштовно. Економія на газі завдяки нашій оптимізації може сягати 30% на рік для високонавантажених протоколів.

Зв'яжіться з нами для оцінки вашого проекту. Замовте розробку смарт-контракту — отримайте консультацію з архітектури та захисту від reentrancy, MEV та gas-атак. Напишіть нам — ми підберемо оптимальний стек під вашу задачу.