Технический аудит смарт-контрактов ЦФА – кто проводит
Технический аудит смарт-контрактов ЦФА – кто проводит
Смарт-контракт в системе ЦФА — это программный код, который автоматически исполняет условия выпуска: начисляет купоны, фиксирует переводы прав, обрабатывает погашение. Ошибка в коде может привести к неправильным выплатам, зависанию транзакций или — в худшем случае — к потере прав инвесторами. Технический аудит смарт-контракта — проверка кода на корректность, безопасность и соответствие условиям выпуска.
Зачем нужен аудит
259-ФЗ не содержит прямого требования о проведении технического аудита смарт-контрактов. Однако Положение ЦБ №741-П обязывает оператора информационной системы обеспечивать корректность исполнения транзакций. На практике операторы требуют от эмитента предоставить отчёт об аудите перед допуском выпуска.
Аудит решает несколько задач. Во-первых, соответствие кода документации — смарт-контракт должен делать ровно то, что описано в решении о выпуске. Во-вторых, безопасность — выявление уязвимостей, которые могут быть использованы для несанкционированного изменения записей. В-третьих, стабильность — проверка работы при аномальных условиях (массовые переводы, одновременные выплаты, граничные значения параметров).
Кто проводит аудит
Внутренние команды операторов
Сбер, Лайтхаус и другие операторы имеют собственные подразделения информационной безопасности, которые проверяют смарт-контракты перед развёртыванием. Это базовый уровень проверки — он обязателен и бесплатен для эмитента. Но внутренний аудит оператора не заменяет независимый.
Независимые лаборатории
Российские компании, специализирующиеся на аудите смарт-контрактов и блокчейн-решений:
- Positive Technologies — один из крупнейших игроков на рынке информационной безопасности. Проводит аудит смарт-контрактов, включая стресс-тестирование.
- BI.ZONE — компания, выросшая из киберподразделения Сбера. Работает с блокчейн-проектами, включая платформы ЦФА.
- Kaspersky Lab — через подразделение Kaspersky IoT Secure Gateway предлагает услуги аудита смарт-контрактов.
- Авангард Блокчейн — специализированная компания, занимающаяся аудитом исключительно смарт-контрактов.
Академические группы
Несколько университетских лабораторий (МФТИ, ВШЭ, ИТМО) проводят исследования безопасности смарт-контрактов. Уровень экспертизы высокий, но сроки проведения — дольше, чем у коммерческих компаний.
Что проверяется при аудите
| Этап проверки | Содержание |
|---|---|
| Статический анализ | Анализ кода без исполнения: поиск стандартных уязвимостей, проверка соответствия стандартам написания |
| Динамическое тестирование | Запуск контракта в тестовой среде с различными входными данными |
| Формальная верификация | Математическое доказательство корректности логики (для критически важных контрактов) |
| Анализ экономической модели | Проверка, что финансовые расчёты в коде соответствуют формулам из решения о выпуске |
| Проверка на фронт-раннинг | Анализ возможности извлечения прибыли из порядка исполнения транзакций |
Стоимость и сроки
Стоимость аудита смарт-контракта ЦФА варьируется от 300 000 до 1 500 000 рублей в зависимости от сложности. Простой купонный ЦФА — нижняя граница. Структурный продукт с несколькими триггерами — верхняя. Сроки: от 2 недель для простых контрактов до 6–8 недель для сложных.
Часто задаваемые вопросы
Вопрос: Обязателен ли независимый аудит смарт-контракта по закону?
Ответ: Прямого требования в 259-ФЗ нет. Но операторы информационных систем вправе устанавливать дополнительные условия для допуска выпуска. На практике все основные платформы требуют отчёт об аудите.
Вопрос: Что будет, если в аудированном смарт-контракте обнаружат ошибку после выпуска?
Ответ: Зависит от характера ошибки. Если ошибка не затрагивает права инвесторов, оператор и эмитент могут выпустить обновлённую версию контракта. Если права затронуты — может потребоваться отзыв выпуска и замена на новый с компенсацией инвесторам.
Вопрос: Может ли эмитент использовать смарт-контракт без аудита?
Ответ: Технически — да, если оператор допустит. Но в этом случае эмитент несёт полную ответственность за любые последствия ошибок в коде. Для инвестора наличие аудита — один из критериев доверия к выпуску.
Вопрос: Сколько аудиторов должно проверить контракт?
Ответ: Практика показывает, что одного независимого аудитора достаточно для стандартных выпусков. Для крупных и сложных продуктов рекомендуется два независимых аудитора.
Источники
- Федеральный закон №259-ФЗ — «О цифровых финансовых активах, цифровой валюте и о внесении изменений в отдельные законодательные акты Российской Федерации»
- Положение ЦБ №741-П — требования к операторам информационных систем ЦФА
- Информация ЦБ РФ — официальные материалы регулятора