作为针对以太坊智能合约安全检测开发的定制化工具，成都链安的Beosin-VaaS一键式智能合约自动形式化验证工具，可精确定位到含有风险的代码位置并指出风险原因，有效检测智能合约常规安全漏洞的精确度高达97%以上，为智能合约代码提供‘军事级’的安全验证。

　　套路三：代码规范审计

　　编译器的版本问题可能会导致各种已知安全问题，开发者应在代码中指定合约代码采用最新的编译器版本，并消除编译器告警。

　　同时，Solidity智能合约开发语言处于快速迭代中，部分关键字已被新版本的编译器弃用，如throw、years等，为消除其可能导致的隐患，当前编译器版本已经弃用的关键字应被禁用。

　　在智能合约中，冗余代码会降低代码可读性，并可能需要消耗更多的gas用于合约部署，因此，必须找出并消除冗余代码。此外，合约中是否正确使用SafeMath库内的函数进行数学运算需要严格检查。

　　Solidity使用状态恢复异常来处理错误，该机制将会撤消对当前调用及其所有子调用中的状态所做的所有更改，并向调用者标记错误。

　　函数assert和require可用于检查条件并在条件不满足时抛出异常。assert函数只能用于测试内部错误，并检查非变量。require函数用于确认条件有效性，例如输入变量，或合约状态变量是否满足条件，或验证外部合约调用的返回值。

　　以太坊虚拟机执行合约代码需要消耗gas，当gas不足时，代码执行会抛出out of gas异常，并撤销所有状态变更。合约开发者需要控制代码的gas消耗，避免因为gas不足导致函数执行一直失败。

　　另外，合约函数的可见性是否符合设计要求，以及在当前合约中是否正确使用了fallback函数都需要进行严格检查。

　　套路四：DeFi安全漏洞审计

　　目前，业务逻辑漏洞在DeFi项目中最为常见。由于项目业务逻辑设计的不严谨，极可能导致项目在特定情况下出现内部失衡。

　　需要注意的是，DeFi项目基于区块链智能合约开发，具有很多传统金融体系以外的特性，比如：

　　单笔交易可发起多个内部交易，失败可回滚

　　具有通缩性质的代币

　　合约代码不可修改

　　同时，审计中常见的还有合约权限错误，即合约中函数的可见性修饰错误。通常，这是由于调用者和参数没有进行有效验证，导致函数被恶意用户调用，从而酿成巨大的损失。

　　类似传统安全问题，错误的权限配置和无效的安全检查都会给系统带来巨大的风险。但不同的是，智能合约的不可修改性使得此类问题即便被发现也不一定能得到有效修复。

　　另外，重入漏洞也是审计的重点。具体而言，当合约向外发起call调用后，攻击者可利用合约调用的特性反复调用函数，导致合约预期的执行顺序发生错误，以此窃取目标账户的资产。 (责任编辑：admin)