It's audited.

“It's audited” khép lại nhiều cuộc tranh luận hơn bất kỳ câu nào khác trong crypto.

Câu ấy đúng thường xuyên đến bất ngờ. Và nó nói được ít hơn nhiều so với âm hưởng của nó.

Đây là phần hai của loạt bài “Safe, they said.” Mười câu mà các dự án dùng để trấn an bạn, mỗi tuần một câu. Đây là câu thứ hai, được mổ xẻ từng phần.

Kiểm toán là gì, trong một đoạn

Một dự án trả tiền cho một công ty bảo mật để đọc mã của mình. Công ty đó nhận một phiên bản cố định của mã và một khoảng thời gian cố định. Họ tìm lỗi, ghi lại từng lỗi kèm mức độ nghiêm trọng, và dự án trả lời từng lỗi một. Kết quả là một bản báo cáo có ghi ngày.

Vì vậy một cuộc kiểm toán là một nhận định về một phiên bản của một đoạn mã, tại một thời điểm, do những con người có thể bỏ sót điều gì đó đưa ra. Một báo cáo tốt tự nói ra điều đó, thường ở gần cuối.

Giới hạn thứ nhất: phạm vi

Báo cáo bao quát những gì công ty được giao. Thường thì đó là các hợp đồng. Thường thì không phải trang web, không phải máy chủ, không phải các thiết lập mà hợp đồng được triển khai cùng, và không phải những chiếc chìa khóa điều khiển chúng.

“Đã kiểm toán” mà thiếu chữ “cái gì” thì chỉ là nửa câu.

Giới hạn thứ hai: ngày tháng

Mã thay đổi. Một hợp đồng có thể nâng cấp thì có thể bị thay thế ngay hôm sau ngày ra báo cáo. Khi đó báo cáo mô tả một thứ không còn chạy nữa.

Câu hỏi không phải là “nó đã được kiểm toán chưa?” mà là “thứ đang chạy hôm nay có phải là thứ đã được đọc không?”

Giới hạn thứ ba: tìm ra không có nghĩa là đã sửa

Một báo cáo liệt kê các phát hiện, và bên cạnh mỗi phát hiện là một trạng thái. “Resolved” hoặc “fixed” nghĩa là lỗi đã hết. “Acknowledged” nghĩa là dự án đã đọc và để nguyên như vậy. Với trạng thái nào trong hai, dự án cũng có thể nói “đã kiểm toán”.

Giới hạn thứ tư: những chiếc chìa khóa

Đây là giới hạn tốn nhiều tiền nhất.

Ngày 1 tháng 4 năm 2026, một giao thức giao dịch lớn trên Solana đã mất khoảng 285 triệu đô la Mỹ, theo con số thống kê của công ty bảo mật Cyfrin. Cả Cyfrin lẫn chính giao thức đó đều nói rằng không có lỗ hổng nào trong các hợp đồng bị lợi dụng.

Quyền quản trị của giao thức nằm ở một multisig, trong đó chỉ cần hai trên năm người ký là đủ. Theo những kết luận sơ bộ của chính giao thức, những kẻ tấn công đã dành khoảng sáu tháng để gây dựng lòng tin với các cộng tác viên, gặp trực tiếp, tại các hội nghị. Nhiều khả năng chúng đã xâm nhập thiết bị và lấy được chữ ký cho những giao dịch mà người ký không thể thấy nội dung thật. Các giao dịch đó được giữ lại và thực thi sau. Việc rút sạch diễn ra trong khoảng mười hai phút.

Không cách đọc mã nào có thể phát hiện điều đó. Mã đã làm đúng những gì các chữ ký hợp lệ bảo nó làm.

Một cuộc kiểm toán kiểm tra xem ổ khóa có hoạt động không. Nó không kiểm tra ai giữ chìa khóa, hay chìa khóa được bảo vệ ra sao.

Cách kiểm tra với bất kỳ token nào

Bạn không cần tin vào một trang web nào để làm việc này, kể cả trang của chúng tôi.

1. Tìm báo cáo trên trang của chính bên kiểm toán, đừng chỉ tìm trên trang của dự án.
2. So sánh địa chỉ hoặc phiên bản mã trong báo cáo với địa chỉ hoặc phiên bản đang được dùng hôm nay.
3. Đọc trạng thái của từng phát hiện. Đếm riêng “resolved” và “acknowledged”.
4. Đọc phạm vi. Tìm những gì không nằm trong đó: khóa quản trị, các lần nâng cấp, Bridge, trang web.
5. Hỏi xem hợp đồng còn có thể bị thay đổi không, và bởi ai. Nếu còn, báo cáo có một ngày hết hạn mà không ai in lên đó.

SHIBC đang ở đâu

Hợp đồng token SHIBC đã được Hashlock kiểm toán vào tháng 12 năm 2024. Báo cáo được công khai trên trang của Hashlock. Xếp hạng là “Secure”, với một phát hiện mức độ nghiêm trọng thấp, một ghi chú về gas và bốn ghi chú về chất lượng.

Cả sáu đều được đánh dấu “Acknowledged”, không phải “Resolved”. Chúng là những điểm nhỏ. Quyền sở hữu hợp đồng đã được từ bỏ, nên không ai còn có thể thay đổi mã của nó nữa. Những gì bên kiểm toán đã đọc năm 2024 chính là những gì đang chạy hôm nay.

Hashlock dành một xếp hạng cao hơn cho các dự án có bug bounty hoặc giám sát on-chain. Cả hai đều nằm trong kế hoạch: một chương trình tiếp nhận báo cáo lỗ hổng với phạm vi được công bố, và việc giám sát.

Cuộc kiểm toán bao quát hợp đồng token. Những gì đang được xây quanh nó có các điều kiện riêng phải vượt qua trước mainnet. Với Bridge, chúng được ghi trong whitepaper của chúng tôi, mục 7.6. Chi tiết về cuộc kiểm toán nằm ở mục 8.7.

Điều chúng tôi rút ra

Một cuộc kiểm toán là bằng chứng, không phải lời bảo đảm. Nó trả lời câu “mã này có đúng là thứ nó tự nhận không?” Nó không trả lời câu “ai có thể thay đổi nó, và ai có thể di chuyển tiền?”

Quan điểm của chúng tôi về cách vận hành một token: hãy nói rõ cái gì đã được đọc, do ai và khi nào. Hãy nói rõ cái gì đã được để nguyên. Và hãy coi những chiếc chìa khóa là câu hỏi lớn hơn, vì đúng là như vậy.

Tuần tới, phần ba: “We have a multisig.”