Jak sprawdzić inteligentny kontrakt pod kątem wirusów (scanners)?

Kupuj kryptowaluty BLIKiem ⚡

Błyskawiczne wpłaty bez opłat i prowizji na giełdzie OKX.

Kup krypto z 0% prowizji

Siema. Dobrze że w ogóle o to pytasz, bo większość ulicy ładuje się w ciemno w jakieś losowe memecoiny z Twittera, a potem wielki płacz na discordach, że dev wyciągnął płynność i zostali z niczym. Temat pt. jak sprawdzić inteligentny kontrakt pod kątem wirusów (scanners) to absolutna podstawa przetrwania w tym kasynie zwanym DeFi. Tylko musisz od razu zrozumieć jedną, kluczową rzecz – w krypto "wirus" to nie jest jakiś trojan z Windowsa, którego złapiesz klikając w link. To po prostu złośliwy kod wpisany w sam contract tokena. Ukryty mint, modyfikowalne taxy (podatki od transakcji), ukryte blacklisty, czy najgorszy syf z mozliwych – proxy contracts.

To co pisałeś o Token Snifferze i De.Fi to spoko baza na start. Jak najbardziej używaj. To narzędzie od Go+ Security, o którym wspomniałeś, to też kurewsko solidny skaner. Często integrują ich API z różnymi dexami i portfelami Web3. Skanowanie kontraktów za ich pomocą wyrzuca całkiem przejrzyste raporty. Ale tak jak słusznie czytałeś gdzieś tam w necie – cwani devowie (szczególnie ci od seryjnych rug pulli) robią teraz takie fikołki w kodzie, że te darmowe skanery krypto jarzą się na zielono, a ty i tak po paru godzinach kończysz z bezwartościowym bagiem. Wykrywanie luk w bezpieczeństwie z poziomu samych podstawowych webówek nie zawsze daje radę, bo scammerzy potrafią sprytnie ukryć złośliwe funkcje w innym, podpiętym zewnętrznie kontrakcie. Skrypt analizujący kod weryfikuje czystą główną warstwę, a dymanie następuje z boku.

Pytasz o mój workflow i jak ja robię weryfikację kodu tokena przed zrzuceniem większego kapitału. U mnie leci to dość schematycznie. Jak chcę szybko prześwietlić smart contract i upewnić się, że to nie jest chamski honeypot, to odpalam boty na Telegramie. Taki SafeGuard Bot albo Rick Bot to dla mnie totalny must have przed jakimkolwiek zakupem. Wklejasz CA (adres kontraktu) na czat i bot w ułamek sekundy wypluwa ci pełne info o LP (czy płynność jest spalona, czy może zablokowana na jakiś czas), kto trzyma największy procent supply, no i czy nie nałożono jakichś chorych blokad na sprzedaż. To absolutnie najszybsza opcja na wyłapanie scamów.

Z platform do głębszej weryfikacji inteligentnych kontraktów mega polecam ci wdrożyć do swojej rutyny Bubble Maps. Genialna sprawa do sprawdzania klastrów. Czasem skaner wirusów i tokenów mówi ci, że jest niby git i nikt nie trzyma więcej niż 2% supply, a na Bubble Maps jak na dłoni widać, że dev rozrzucił 80% puli na 40 połączonych ze sobą, świeżych portfeli. Jak tylko odpalisz handel i wrzucisz kasę, zaleją cię swoimi tokenami i cena leci do zera.

Kolejna gruba pułapka to wspomniane wyżej proxy. Automat analizujący powie, że jest czysto, ale dev nie zrobił "renounced ownership" (nie zrzekł się praw do kontraktu). Mając uprawnienia admina, może on w każdej chwili zaktualizować kod i podmienić logikę działania na złośliwą. Nagle z fajnie rosnącego tokena z deflacją robi się twardy honeypot i nie możesz sprzedać ani sztuki. Siedzisz i tylko patrzysz, jak wykres rośnie, a twoja kasa jest uwięziona.

Dlatego jak chcesz naprawdę kumać, jak diagnozować krypto pod kątem ukrytych wirusów, musisz nauczyć się zaglądać na Etherscan czy bscscan. Zawsze wbijaj w zakładkę "Contract" – musi tam być zielony ptaszek świadczący o weryfikacji. Jak gość nie upublicznił kodu źródłowego i widzisz w eksploratorze sam ciąg znaków, uciekaj od razu.

Mój schemat przed grubszym wejściem wygląda więc tak: łapię kontrakt -> wklejam do bota na TG -> sprawdzam status LP i taxy -> odpalam Go+ lub TokenSniffer dla potwierdzenia -> patrzę na rozkład portfeli w Bubble Maps. Żadna metoda audytu nie da ci stuprocentowej gwarancji, bo bycie degenem wiąże się z ryzykiem, ale używając takiego pakietu do skanowania smart contractów odcinasz spokojnie jakieś 95% tanich wałków. Trzymaj się ramy, nie ładuj się w ciemno i DYOR!

Kupuj kryptowaluty BLIKiem ⚡

Błyskawiczne wpłaty bez opłat i prowizji na giełdzie OKX.

Kup krypto z 0% prowizji

Siema, przedmówca ładnie wyczerpał temat od strony samej analizy kodu, ale ja wam powiem szczerze – nawet najlepsze boty na TG i webowe skanery czasem wymiękają przy najnowszych wałkach. Jak zastanawiacie się jak sprawdzić inteligentny kontrakt pod kątem wirusów (scanners), to musicie wyjść poza samo czytanie tabelek i patrzenie kto ile ma tokenów. Złośliwy kod wcale nie musi blokować sprzedaży, żeby zrobić was na szaro.

Dla mnie totalnym gamechangerem, o którym w Polsce rzadko się gada, jest symulacja transakcji. Zamiast bawić się w domorosłego audytora na BscScan czy Etherscanie, po prostu instaluję wtyczki do przeglądarki typu Pocket Universe albo Wallet Guard. Działają jak taki wbudowany antywirus dla krypto. Zanim w ogóle podpiszesz cokolwiek swoim Metamaskiem czy Phantomem, te apki przepuszczają transakcję na sucho w odizolowanym środowisku i rzucają ci na ekran chłodną kalkulację: "uwaga, po kliknięciu tego z portfela zniknie ci 1 ETH". Jak widzisz coś takiego przy próbie kupna jakiegoś memecoina, to od razu wiesz, że w kodzie siedzi ukryty drainer i ewakuujesz się w ułamek sekundy.

Kolejna sprawa to te nieszczęsne uprawnienia. Ludzie skupiają się na tym, żeby testować smart contracty darmowymi skanerami i patrzeć czy jest honeypot, a zapominają, że czesto sami dają scammerom zielone światło na kradzież. Złośliwe dexy potrafią tak podmienić funkcje przy pierwszej interakcji, że zamiast zwykłego swapa robisz "unlimited approval" na wydawanie twoich USDT. Token z zewnątrz jest czysty, zero red flagów na TokenSnifferze, a portfel nagle pusty.

Dlatego moim nawykiem jest regularne wbijanie na stronę Revoke.cash i czyszczenie wszystkich autoryzacji z dziwnych adresów. Traktujcie to jak regularne skanowanie kompa pod kątem malware.

I jeszcze jedna prosta, chłopska rada na sam koniec. Do polowania na takie ryzykowne, świeże perełki używajcie po prostu osobnego portfela (tzw. burner wallet). Przelewasz tam dosłownie tyle kapitału, ile potrzebujesz na jeden strzał. Nawet jak jakiś super nowoczesny skaner tokenów przepuści weryfikację i wdepniesz w zawirusowany kontrakt, to stracisz tylko te grosze z burnera, a twoje główne bagi leżą bezpiecznie na sprzętowym Ledgerze. Łączcie analizę on-chain u poprzednika z wtyczkami symulującymi i macie w miarę solidną zaporę. Z fartem!