Audit

In der Krypto-Branche steht der Begriff meist als Kurzform für ein Smart Contract Audit: eine spezialisierte Codeprüfung, bei der Sicherheitsforscher den Quellcode eines Protokolls vor dem Livegang untersuchen und dabei nach Bugs, gefährlichen Designentscheidungen und Logikfehlern suchen, die ein Angreifer ausnutzen könnte, um Gelder abzuziehen. Anders als eine Finanzprüfung wird hier Software geprüft, nicht Buchhaltungsunterlagen, auch wenn dasselbe Prinzip der unabhängigen Verifizierung gilt.

Ein typisches Audit kombiniert automatisierte Tools wie Static Analyzer und Fuzzer, die zufällige Eingaben erzeugen, um die Annahmen eines Contracts zu durchbrechen, mit einer manuellen, zeilenweisen Prüfung durch erfahrene Engineers. Firmen wie CertiK, Trail of Bits und OpenZeppelin veröffentlichen einen Bericht, in dem jeder Befund nach Schweregrad eingestuft wird, von critical bis informational, zusammen mit Empfehlungen zur Behebung. Bei besonders wertvollen Protokollen kommt manchmal formale Verifikation hinzu, die mathematisch beweist, dass eine Eigenschaft für jede mögliche Eingabe gilt, nicht nur für die getesteten Fälle.

Krypto-Exchanges lassen auch eine andere Art von Audit durchführen: Proof of Reserves Bestätigungen, bei denen eine Wirtschaftsprüfungsgesellschaft die On-Chain-Bestände einer Exchange mit den Kundenguthaben abgleicht, oft mithilfe eines Merkle Trees, damit Nutzer prüfen können, ob ihr eigenes Guthaben berücksichtigt wurde. Diese wurden nach dem Zusammenbruch von FTX 2022 verbreitet üblich, auch wenn Kritiker anmerken, dass damit meist nur Vermögenswerte bestätigt werden, nicht die Verbindlichkeiten, weshalb Solvenz allein damit nicht belegt werden kann.

Ein Audit ist keine Garantie. Es zu bestehen senkt das Risiko, bescheinigt aber nicht, dass ein Projekt frei von Bugs oder böser Absicht ist; der Code kann sich nach dem Bericht ändern, und ein sauberes Audit hat nicht jeden späteren Rugpull verhindert. Es ist ein Baustein der Due Diligence, kein Ersatz dafür.