감사(Audit)란?

감사(Audit)는 사용자에게 해를 끼치기 전에 코드, 설계, 운영상의 약점을 찾기 위해 암호화 프로젝트를 독립적으로 검토하는 과정입니다. 전문가들이 찌르고, 찌르고, 문제를 깨뜨리려고 시도하는 코드 건강 점검으로 생각하면 됩니다. 경주 전에 피트 크루가 하는 것처럼, 스마트 계약에 한정된 일입니다.

Myth

“감사(Audit)가 안전을 보장합니다.” 그렇지 않습니다. 위험을 낮추고 많은 것을 포착하지만, 어떤 검토도 완벽함을 약속할 수는 없습니다. 이를 강한 실사로 간주하고 마법의 방패로 보지 마세요.

How Audit works

여기서는 일반적인 스마트 계약 보안 검토의 빠른 흐름을 시작부터 공개 보고까지 간단히 살펴봅니다.

Scope: 팀과 감사인이 어떤 코드, 구성, 가정이 검토될지 합의합니다.
Review: 도구가 리포를 스캔한 뒤 사람이 한 줄씩 검토하여 재진입 버그나 논리의 실수 같은 문제를 찾습니다.
Testing: 감사인은 테스트를 작성하고, 퍼즈 테스트를 실행하며, 실제 흐름을 모의하여 경계 사례를 트리거합니다.
Reporting: 심각도에 따라 발견점을 평가하고, 명확한 수정 방안과 예시를 제공합니다. 팀은 패치를 적용하고 반복합니다.
Verification: 감사인이 수정된 부분을 다시 확인하고 실제로 읽을 수 있는 보고서를 게시합니다.

예, 이 정도로 간단하면서도 잘 이루어지면 철저합니다.

Why Audit Matters

돈은 코드 속도대로 움직이기 때문에 중요합니다. 날카로운 감사는 출시와 좌절 사이의 차이가 될 수 있습니다.

Benefit: 버그 감소, 예측치 감소, 사용자 및 파트너에 대한 신뢰 증가.
Perspective: 공격은 미묘한 논리 함정에서 서비스 거부(DoS)에 이르기까지 다양하므로, 두 번째 눈이 smart합니다.
Relevance: 토큰 출시, DeFi 출시, 브리지, NFT 민트, DAO 업그레이드 등에 대한 감사 보고서를 볼 수 있습니다.

Tip

감사 보고서를 읽을 때는 먼저 “미해결” 목록으로 뛰어보세요. 심각한 항목이 남아 있다면 이유와 언제 수정될 것인지 물어보세요.

Key Characteristics of Audit

견고한 감사가 돋보이게 만드는 요소는 무엇일까요?

Independent: 심사관은 팀과 분리되어 있으며 보고서에 자신의 명성을 걸고 있습니다.
Transparent: 발견점은 심각도 수준, 개념 증명, 해결책과 함께 문서화됩니다.
Timed: 코드 배포 후 변경될 수 있지만 많은 계약은 immutable하므로 출시 전 검토가 더 큰 무게를 가집니다.
Repeatable: 좋은 프로세스는 비슷한 프로젝트가 일관된 점검과 테스트 깊이를 얻도록 만듭니다.

Variations

감사는 몇 가지 형태로 나오며, 당신의 스택과 리스크 프로파일에 맞는 것을 선택하세요.

Code: 스마트 계약 및 온체인 로직에 초점을 맞춥니다.
Security: 키, 인프라, 배포 및 위협 모델을 더 넓게 봅니다.
Economic: 토큰 인센티브, 오라클 가정, 게임 이론을 검토합니다.
Continuous: 경보와 주기적 미니 리뷰를 통한 지속적인 점검.
Internal: 외부 감사인을 도입하기 전에 팀이 주도하는 리뷰.

Reminder

감사는 시점의 스냅샷입니다. 새로운 커밋은 예전 이슈를 되살릴 수 있습니다. 예를 들어 정수 오버플로우와 같이, 변경 후 재검토가 스마트합니다.

Example

대출 프로토콜은 감사가 위험한 청산 경로를 지적할 때까지 새로운 기능을 일시 중지하고, 팀은 이를 수정하며, 감사자가 수정 여부를 출시 전 확인합니다.

Fun Fact

감사는 라틴어 audire에서 유래했으며, 듣다를 의미합니다. 초기 검사들이 관료들에게 소리 내어 읽히던 것에서 비롯되었습니다. 오늘날에도 우리는 로그와 가스 보고서를 더 많이 듣고, 연설보다는 테스트에 더 집중합니다.

Wrap-Up

짧은 정리: 감사는 자금을 움직이는 코드에 대한 출발 전 점검입니다. 필수로 간주하고 자신감을 가지고 배포하세요.

Audit