Audyt smart kontraktu: proces, koszt i ograniczenia (2026)

Audyt smart kontraktu to niezależny przegląd bezpieczeństwa kodu protokołu, przeprowadzany zanim (lub po tym, jak) zacznie on przechowywać środki użytkowników. Wyspecjalizowani audytorzy czytają kontrakty linijka po linijce, uruchamiają narzędzia automatyczne i przygotowują raport, który klasyfikuje podatności według wagi, aby zespół mógł je naprawić. W 2026 roku typowy audyt DeFi kosztuje mniej więcej od 25 000 USD do 100 000 USD, według cennika referencyjnego Sherlock z lutego 2026, choć prosty token kosztuje znacznie mniej, a bridge znacznie więcej.

Audyt obniża ryzyko, ale go nie usuwa. Ten poradnik wyjaśnia, jak przebiega proces, co audyty wykrywają, a co pomijają, ile kosztują, jakie miejsce zajmują konkursy, bug bounty i weryfikacja formalna oraz jak czytać raport z audytu z perspektywy użytkownika.

Czym jest audyt smart kontraktu?

Smart kontrakty to programy, które przechowują i przesyłają pieniądze bez udziału człowieka. Po wdrożeniu błąd można wykorzystać w jednej transakcji, a transferów on-chain nie da się cofnąć. Audyt jest w DeFi najbliższym odpowiednikiem przeglądu przed startem samolotu.

Standardowe zlecenie dla firmy audytorskiej przebiega według tych samych ogólnych etapów:

1. Zakres. Zespół wskazuje dokładne kontrakty i hash commitu do przeglądu. Wszystko poza tym zakresem nie jest objęte audytem.
2. Zamrożenie kodu. Kod nie zmienia się w trakcie przeglądu, dzięki czemu ustalenia dotyczą znanej wersji.
3. Przegląd. Audytorzy ręcznie czytają kod, modelują możliwe ataki i korzystają z narzędzi takich jak analizatory statyczne, fuzzery, a czasem weryfikacja formalna.
4. Raport. Każde ustalenie otrzymuje wagę (zwykle krytyczna, wysoka, średnia, niska i informacyjna) oraz zalecaną poprawkę.
5. Naprawa i przegląd poprawek. Zespół usuwa problemy, a audytor sprawdza poprawki. Sherlock zauważa, że takie rundy ponownego audytu zwykle kosztują dodatkowo od 5 000 USD do 20 000 USD za przejście i należy je uwzględnić w budżecie od początku.

Wynikiem jest publiczny lub prywatny PDF. Najważniejszą linijkę ludzie często pomijają: hash commitu. Audyt dotyczy wyłącznie tego kodu.

Co audyty wykrywają, a co pomijają

Audyty dobrze wykrywają znane klasy błędów: reentrancy, brakujące kontrole dostępu, błędną matematykę i zaokrąglenia, niesprawdzane wartości zwracane oraz logikę pozwalającą jednemu użytkownikowi zabrać środki innego. Wychwytują też problemy projektowe, takie jak wyrocznia, którą można przesunąć za pomocą flash loana, albo wyrocznia cenowa, która może przestać się aktualizować.

Znacznie słabiej radzą sobie z następującymi kwestiami:

• Kod zmieniony po audycie. Późniejsza aktualizacja lub nowy moduł nie są audytowane, chyba że przeszły osobny przegląd.
• Ataki ekonomiczne. Kod może robić dokładnie to, do czego go napisano, a mimo to zostać opróżniony przez manipulację rynkiem lub źle zaprojektowane zachęty.
• Integracje. Ryzyko często tkwi w tym, jak protokół komunikuje się z innymi protokołami, wyroczniami i bridge'ami, które mogą być poza zakresem.
• Ryzyko operacyjne. Wycieki kluczy administracyjnych, złośliwe aktualizacje i przejęcie front-endu w ogóle nie są błędami kodu.
• Celowe oszustwo. Audyt nie powstrzyma zespołu, który planuje rug pull dzięki uprawnieniom, które sobie zostawił.

Przykład Euler

Euler Finance, protokół pożyczkowy, stracił około 197 mln USD 13 marca 2023 roku w ataku z użyciem flash loana, podał The Block. Luka znajdowała się w funkcji dodanej w późniejszej zmianie kodu, donateToReserves, której brakowało kontroli kondycji wykonywanej przez inne funkcje, według analizy CertiK. Euler przeszedł 10 audytów przeprowadzonych przez sześć firm między majem 2021 a wrześniem 2022 roku, podał Cointelegraph, a Sherlock, którego przegląd obejmował tę zmianę, zgodził się wypłacić odszkodowanie w wysokości 4,5 mln USD. Atakujący zwrócił później wszystkie możliwe do odzyskania środki, łącznie ponad 177 mln USD, do początku kwietnia 2023 roku, według The Block.

Wniosek nie jest taki, że audyty są bezużyteczne. Chodzi o to, że jedna pominięta kontrola w jednej zmianie może wystarczyć, a „zaudytowany” opisuje konkretny moment w czasie.

Ile kosztuje audyt smart kontraktu?

Ceny zależą od wielkości kodu, złożoności, języka, renomy firmy i tego, jak pilnie potrzebna jest praca. Publikowane widełki pochodzą głównie od samych firm audytorskich, dlatego należy traktować je jako sygnały rynkowe, a nie stałe stawki.

Źródła: Sherlock, 18 lutego 2026 oraz przewodnik po kosztach 2026 od QuillAudits.

Sherlock podaje też, że wyceny dla funkcjonalnie podobnych zakresów mogą wynosić od 15 000 USD do 150 000 USD w zależności od firmy, że pilne terminy dodają od 20 do 40 procent, a protokoły o znaczącym TVL często wydają łącznie od 150 000 USD do 500 000 USD rocznie na bezpieczeństwo. Jeden audyt rzadko stanowi cały budżet: poważne zespoły łączą go z konkursem, bug bounty i monitoringiem.

Konkursy audytowe, bug bounty i weryfikacja formalna

Konkursy audytowe

W konkursie protokół wystawia pulę nagród, a wielu niezależnych badaczy przegląda ten sam kod w ustalonym okresie. Wypłaty trafiają do osób, które znajdą prawidłowe problemy, z wagą zależną od ich powagi. Zaletą jest więcej par oczu przy stałym budżecie; wadą nierówne pokrycie i dużo bezwartościowych zgłoszeń.

Rynek zmienił się w 2026 roku. Code4rena, platforma, która spopularyzowała ten model, ogłosiła w maju 2026, że zakończy działalność, a jej klientów bug bounty przejmie Immunefi, podało AMBCrypto 14 maja 2026. Według stanu na 17 października 2026 Sherlock wymienia ponad 300 konkursów, a Cantina pokazuje trwający konkurs i podaje, że wypłaciła badaczom 56 mln USD w ramach wszystkich swoich programów.

Bug bounty

Bug bounty to stała nagroda dla każdego, kto w odpowiedzialny sposób zgłosi podatność w działającym kodzie. Obejmuje okres po uruchomieniu, czyli dokładnie tam, gdzie kończą się audyty. Immunefi, największa platforma bounty w Web3, informuje, że wypłaciła ponad 110 mln USD nagród, w tym 10 mln USD za krytyczny błąd w Wormhole i 6 mln USD za błąd w Aurora (dane z jej strony według stanu na 17 października 2026). Nagroda niewielka w porównaniu z zagrożonymi środkami daje znalazcy mało powodów, by zgłosić lukę zamiast ją wykorzystać.

Weryfikacja formalna

Weryfikacja formalna matematycznie dowodzi, że kod spełnia zapisane reguły, np. „suma depozytów zawsze równa się sumie sald użytkowników”. Może wykluczyć całe klasy błędów, ale tylko dla właściwości, o których ktoś pomyślał i je zapisał. Narzędzia stały się tańsze: Certora udostępniła swój Prover jako open source 24 lutego 2025 i uczyniła go darmowym.

Znane firmy audytujące smart kontrakty

Dla audytorów nie ma licencji ani regulatora, więc reputacja opiera się na historii, opublikowanych raportach i ludziach wykonujących pracę. Do znanych nazw należą Trail of Bits, OpenZeppelin, ChainSecurity, Spearbit (twórca platformy Cantina), Zellic, Certora i OtterSec. Łańcuchy oparte na Move, takie jak Sui, mają mniejszą pulę specjalistów; Sui wskazało OtterSec i Zellic jako partnerów audytowych ekosystemu w komunikacie z grudnia 2023.

Oceniając firmę, warto patrzeć na trzy rzeczy, a nie na logo:

• Odpowiednie doświadczenie. Czy przeglądała podobne protokoły w tym samym języku?
• Wskazani z nazwiska audytorzy i poświęcony czas. Dobre raporty podają, kto przeglądał kod i przez ile dni.
• Publiczne raporty z rzeczywistymi ustaleniami. Historia czystych raportów bez żadnych ustaleń to sygnał ostrzegawczy, a nie powód do spokoju.

Jak czytać raport z audytu jako użytkownik

Nie trzeba znać Solidity ani Move, aby skorzystać z raportu z audytu. Należy sprawdzić te punkty po kolei:

1. Czy raport jest prawdziwy? Należy znaleźć go na stronie lub GitHubie samego audytora, a nie tylko na stronie projektu.
2. Co obejmował zakres? Należy porównać wymienione kontrakty i hash commitu z tym, co jest wdrożone. Nowsza wersja oznacza, że raport może nie mieć zastosowania.
3. Jak poważne były ustalenia? Warto policzyć problemy krytyczne i wysokie.
4. Czy zostały naprawione? „Acknowledged” (przyjęte do wiadomości) oznacza, że zespół zaakceptował ryzyko i go nie usunął. Należy szukać statusu „resolved” lub „fixed” ze zweryfikowanym przeglądem poprawek.
5. Co z uprawnieniami administratora? Raporty często wskazują ryzyka centralizacji, np. właściciela, który może aktualizować kontrakty lub wstrzymywać wypłaty bez timelocka.

Następnie warto spojrzeć szerzej. Audyt to tylko jeden element. Nasz poradnik jak sprawdzić, czy protokół DeFi jest bezpieczny omawia resztę: historię, przebieg TVL, governance i płynność przy wyjściu. Ochronę przed hakiem opisuje artykuł o ubezpieczeniach DeFi.

Miejsce JewelSwap

Uważamy, że użytkownicy powinni znać status audytu produktu przed złożeniem depozytu. Vault Ember Loop od JewelSwap na Sui jest publiczną betą i nie przeszedł audytu, o czym informujemy na stronie Ember Loop. Nie jest dostępny dla rezydentów USA ani Wielkiej Brytanii. Każdy niezaudytowany kontrakt, w tym nasz, należy traktować jako bardziej ryzykowny i odpowiednio dobierać wielkość pozycji.

Najczęściej zadawane pytania

Czym jest audyt smart kontraktu?

To niezależny przegląd bezpieczeństwa kodu smart kontraktów protokołu. Audytorzy łączą ręczny przegląd z narzędziami automatycznymi, a następnie publikują raport z listą podatności według wagi i zalecanymi poprawkami.

Ile kosztuje audyt smart kontraktu?

Publikowane widełki na 2026 rok wynoszą od około 5 000 USD za prosty token do ponad 150 000 USD za złożone systemy wielołańcuchowe. Sherlock umieszcza większość audytów protokołów DeFi między 25 000 USD a 100 000 USD, przy czym ponowne audyty dodają od 5 000 USD do 20 000 USD za przejście.

Ile trwa audyt?

To zależy od wielkości i złożoności kodu. Mały token może zająć kilka dni, a pełny protokół DeFi często wymaga kilku tygodni przeglądu oraz czasu na poprawki i ich przegląd.

Czy audyt oznacza, że protokół jest bezpieczny?

Nie. Audyt obejmuje konkretny kod przy konkretnym commicie. Może przeoczyć błędy i nie obejmuje późniejszych aktualizacji, ataków ekonomicznych, wycieku kluczy ani nieuczciwego zespołu. Euler był audytowany, a mimo to stracił około 197 mln USD w 2023 roku.

Czym różni się audyt, konkurs i bug bounty?

Audyt to płatny przegląd wykonywany przez jedną firmę. Konkurs płaci wielu niezależnym badaczom za przegląd tego samego kodu w ustalonym okresie. Bug bounty to stała nagroda za podatności znalezione w działającym kodzie po uruchomieniu.

Czy Code4rena nadal działa?

Code4rena ogłosiła w maju 2026, że zakończy działalność, a jej klientów bug bounty przejmie Immunefi. Sherlock i Cantina nadal prowadzą konkursy audytowe.

Czytaj dalej

• Jak sprawdzić, czy protokół DeFi jest bezpieczny
• Czym jest rug pull?
• Czym jest flash loan?
• Ubezpieczenia DeFi w pigułce
• Oszustwa typu address poisoning

Ten artykuł ma charakter edukacyjny i nie stanowi porady finansowej, prawnej ani dotyczącej bezpieczeństwa. Ceny i dane platform są aktualne na 17 października 2026 i pochodzą z podlinkowanych źródeł; wyceny audytów bardzo się różnią w zależności od firmy i projektu. JewelSwap prowadzi wspomniany tu vault Ember Loop, który jest niezaudytowaną betą.