Die Kurzfassung. Ein Smart-Contract-Audit ist eine zeitlich begrenzte Prüfung von festgelegtem Code, in einer festgelegten Version, durch Menschen, die nach bekannten Klassen von Schwachstellen jagen. Ein ernsthaftes senkt das Risiko wirklich und ist lesenswert. Es ist keine Garantie, es deckt nur ab, was im Umfang war, es sagt nichts über danach geänderten Code aus, und es kann Ihnen nicht sagen, was das Team mit den Befugnissen vorhat, die es behalten hat.
Was Prüfer tatsächlich tun
Ein Audit beginnt mit einem Umfang. Das Projekt übergibt einen definierten Satz Vertragsdateien an einem definierten Commit, plus Dokumentation, die beschreibt, was der Code tun soll. Alles außerhalb dieser Liste wird schlicht nicht angesehen.
Die Prüfer lesen dann den Code gegen dieses beabsichtigte Verhalten und jagen die Fehlerklassen, die das Feld bereits kennt. Reentrancy, Fehler bei der Zugriffskontrolle, arithmetische und Rundungsfehler, ungeprüfte Aufrufe in andere Verträge, Preisquellen, die sich manipulieren lassen, Initialisierungs- und Upgrade-Fehler und Annahmen, die still brechen, wenn ein Token sich ungewöhnlich verhält.
Gute Teams ergänzen das Lesen mit Werkzeugen. Automatische Analysatoren fangen mechanische Fehler, Fuzzing wirft unerwartete Eingaben auf den Code, um erklärte Invarianten zu brechen, und formale Methoden können enge Eigenschaften beweisen. Nichts davon deckt die gesamte Fläche ab, und die interessanten Bugs kommen meist daher, dass ein Mensch bemerkt, dass zwei Komponenten über etwas uneins sind.
Heraus kommt eine Expertenmeinung, erstellt unter Zeit- und Umfangsbeschränkungen. Das ist sehr viel mehr wert als nichts und erheblich weniger als ein Sicherheitsbeweis.
Wie ein Bericht aufgebaut ist
Nahezu jeder seriöse Bericht folgt derselben Form, und sie zu kennen erlaubt Ihnen, das Dokument in zehn Minuten zu lesen, statt es zu überspringen.
Der Umfangsabschnitt listet die geprüften Dateien, den Commit-Hash und oft die anvisierten Chains auf. Der Methodikabschnitt sagt, welche Techniken angewandt wurden. Der Befundabschnitt ist die Substanz: Jedes Problem erhält eine Schwere, eine Beschreibung, eine Empfehlung und einen Status, der zeigt, was das Projekt damit gemacht hat.
Viele Berichte tragen zudem einen Abschnitt über privilegierte Rollen oder Zentralisierungsrisiko, der beschreibt, welche Adressen das System pausieren, prägen, den Code aktualisieren oder Gelder bewegen können. Lesen Sie diesen Abschnitt zuerst. Er sagt Ihnen meist mehr über Ihre reale Exposition als die Schwachstellenliste.
Die letzte Seite ist ein Haftungsausschluss, der besagt, dass die Prüfung keine Sicherheitsgarantie ist. Prüfer sind über ihre Grenzen durchweg ehrlicher als das auf ihrer Arbeit aufgebaute Marketing.
Die vier Dinge, die ein Audit nicht bedeutet
Es ist keine Garantie
Prüfer jagen bekannte Fehlerklassen innerhalb eines festen Budgets. Neuartige Logikfehler, ökonomische Designs, die nur unter bestimmten Bedingungen scheitern, und Interaktionen mit Verträgen, die niemand zu modellieren dachte, können alle eine sorgfältige Prüfung überstehen. Auditierter Code ist schon gescheitert. Etwas als auditiert zu bezeichnen ist eine Aussage über den Prozess, nicht über das Ergebnis.
Es deckt nur ab, was im Umfang war
Ein Bericht über einen Token-Vertrag sagt nichts über den Staking-Vertrag, der die Einlagen hält, das Frontend, das entscheidet, mit welchem Vertrag Ihr Browser spricht, den Off-Chain-Keeper, der Aktionen auslöst, oder das Preisorakel, von dem alles abhängt. Der Umfang ist der Ort, an dem die meiste Fehldeutung geschieht.
Es gilt für den Code, der geprüft wurde
Befunde sind an einen Commit geheftet. Wenn der Code danach geändert wurde, ob zur Behebung von Befunden oder zum Hinzufügen von Funktionen, sind die eingesetzten Verträge nicht die geprüften Verträge. Aktualisierbare Systeme verschärfen das, weil die Implementierung hinter einer Adresse gegen etwas ausgetauscht werden kann, das niemand geprüft hat.
Es sagt nichts über Absichten
Ein Audit prüft, ob der Code tut, was er sagt. Es kann Ihnen nicht sagen, ob die Menschen mit den Admin-Schlüsseln sich gut verhalten. Ein Vertrag kann makellos geschrieben sein und trotzdem zulassen, dass, wer ihn kontrolliert, die Einlagen leert; eine Prüfung, die diese Befugnis dokumentiert, hat ihre Aufgabe erfüllt, indem sie Ihnen sagt, dass es sie gibt.
Wie man einen richtig liest
Beginnen Sie damit, das tatsächliche Dokument zu finden statt der Behauptung darüber. Berichte liegen normalerweise auf der eigenen Seite des Prüfers oder in einem öffentlichen Repository. Wenn ein Projekt nur auf einen Screenshot oder ein Logo verlinkt, ohne Gegenstück vom Prüfer, behandeln Sie das als nicht verifiziert.
Prüfen Sie dann, ob der Umfang mit dem übereinstimmt, was Sie nutzen würden. Vergleichen Sie die Vertragsadressen oder den Commit-Hash im Bericht mit der verifizierten Quelle in einem Block Explorer. Wenn die Quelle des eingesetzten Vertrags gar nicht verifiziert ist, kann niemand außerhalb des Teams bestätigen, was läuft.
Arbeiten Sie die Befunde nach Schwere und, wichtiger, nach Behebung durch. “Behoben” mit einem Folge-Commit ist ein echtes Ergebnis. “Anerkannt” bedeutet, dass das Projekt den Befund gelesen und sich entschieden hat, mit ihm zu leben, was manchmal vernünftig und manchmal die aufschlussreichste Zeile im Dokument ist.
Sicherheit: Behandeln Sie ein Audit als eine Eingabe, nie als Erlaubnis, Ihre eigenen Prüfungen zu überspringen. Bevor Sie Gelder einem Vertrag anvertrauen, bestätigen Sie, dass Sie die Seite durch eigenständiges Eintippen der Adresse erreicht haben, lesen Sie, welche Token-Genehmigungen sie verlangt, und beginnen Sie mit einem Betrag, dessen Verlust Ihre Woche nicht verändern würde. Unser Leitfaden zu Token-Genehmigungen erklärt, warum dieser Mittelweg so wichtig ist.
Warum ein Abzeichen auf einer Landingpage nichts beweist
Ein Audit-Logo ist eine Bilddatei. Eines auf eine Website zu setzen dauert Sekunden, erfordert keine Erlaubnis und erzeugt den Eindruck von Prüfung, hinter dem kein Dokument stehen muss.
Selbst wenn ein Bericht existiert, plättet das Abzeichen all die Details, auf die es ankam. Es sagt Ihnen nicht den Umfang, die Schwere des Gefundenen, ob etwas behoben wurde oder ob die geprüfte Version diejenige ist, mit der Sie interagieren würden. Mehrere Logos sind auch keine mehrfachen Garantien, da mehrere oberflächliche Prüfungen desselben engen Vertrags wenig hinzufügen.
Der Ausdruck “Audit in Arbeit” verdient besondere Skepsis, weil er einen unfertigen Prozess in ein Vertrauenssignal verwandelt. Ebenso eine Prüfung durch eine Firma ohne veröffentlichtes Werk.
Wo Audits in Ihre eigenen Prüfungen passen
Ein Audit ist ein Beweis dafür, dass ein Projekt Geld für Prüfung ausgab und die Ergebnisse veröffentlichte, was ein bedeutsames Signal über die Ernsthaftigkeit ist. Es steht neben den Dingen, die Sie selbst verifizieren können: wer die Upgrade-Schlüssel kontrolliert, ob es einen Timelock gibt und ob die Quelle des Smart Contracts verifiziert ist.
Die Gewohnheit, die am meisten hilft, ist, jede Behauptung als etwas zu behandeln, das man bestätigt statt akzeptiert, was die Methode ist, die wir in wie man eine Krypto-Behauptung prüft darlegen. Unsere Lektion zum Bewerten eines Krypto-Projekts behandelt das größere Bild, und der Beitrag dazu, warum Bridges immer wieder gehackt werden, zeigt, wie geprüfte Systeme dennoch scheitern, wenn eine Komponente schwächer ist als der Rest.
Die wichtigsten Punkte
- Ein Audit ist eine begrenzte, zeitlich befristete Expertenprüfung von festgelegtem Code an einem festgelegten Commit, keine Garantie.
- Die Abschnitte zu Umfang und privilegierten Rollen sagen Ihnen meist mehr über Ihre Exposition als die Schwere-Zählung in der Überschrift.
- Befunde, die als anerkannt statt behoben markiert sind, sind die, die man genau lesen sollte.
- Eingesetzter Code kann sich von geprüftem Code unterscheiden, besonders in aktualisierbaren Systemen, also prüfen Sie die Adressen und die verifizierte Quelle selbst.
Häufig gestellte Fragen
Wenn ein Protokoll auditiert ist, ist mein Geld sicher?
Nein. Ein Audit senkt die Chance, dass eine bekannte Fehlerklasse in die Produktion überlebt, was wertvoll ist, aber es kann neuartige Fehler, ökonomisches Scheitern oder Missbrauch von Admin-Befugnissen nicht ausschließen. Auditierte Protokolle wurden ausgenutzt. Lesen Sie den Bericht, um zu sehen, was geprüft und was ausgelassen wurde, und entscheiden Sie dann, wie viel Exposition zu Ihnen passt.
Was bedeutet es, wenn ein Befund anerkannt statt behoben ist?
Es bedeutet, dass die Prüfer ein Problem aufwarfen und das Projekt entschied, den Code nicht zu ändern. Manchmal ist das vernünftig, weil die Behebung mehr kosten würde als das Risiko oder das Verhalten beabsichtigt ist. Manchmal bedeutet es, dass eine echte Schwäche bewusst noch da ist. So oder so geht das Restrisiko auf Sie über, also lesen Sie die angegebene Begründung sorgfältig.
Wie prüfe ich, ob der eingesetzte Vertrag mit dem auditierten Code übereinstimmt?
Schlagen Sie die Vertragsadresse in einem Block Explorer für dieses Netzwerk nach und sehen Sie, ob der Quellcode dort verifiziert ist. Vergleichen Sie ihn mit dem Commit oder den Adressen im Umfangsabschnitt des Berichts. Wenn der Vertrag aktualisierbar ist, finden Sie heraus, wer die Implementierung ändern kann und ob eine Verzögerung gilt, denn das bestimmt, wie viel die Prüfung Ihnen noch sagt.
Quellen
Bildungsinhalt, keine Finanzberatung. Geben Sie Ihre Seed-Phrase oder Ihre privaten Schlüssel niemals an jemanden weiter — auch nicht an jemanden, der behauptet, CoinCrafty zu sein.
Zuletzt aktualisiert 30 Juli 2026
Sidhartha Shukla covers crypto and business markets for CoinCrafty.
