Статья Blind Dev
Почему люди переоценивают аудиты: ложное чувство безопасности
Аудит как сигнал, но не гарантия; как читать отчёты без самообмана.
Материал основан на личном опыте и исходных публикациях Blind Dev; перед применением проверьте актуальность деталей.
Не является инвестиционной рекомендацией. Материал описывает методику и риски.
Архивная публикация от 2026-03-02. Примеры Edgex, Balancer и упомянутой уязвимости сохранены как аргументы исходного поста, а не как новый фактчек текущей безопасности проектов. Это не инвестиционная рекомендация.
Почему люди переоценивают аудиты? Избавляемся от ложного чувства безопасности.
Мы смотрим отчёты сами, читаем их у других. И, когда видим, что все проблемы исправлены, думаем: “Можно вкладываться”. Как будто сам факт аудита автоматически снижает риск.
Но это не гарантия надёжности. Аудит - это проверка конкретной версии кода в конкретный момент времени.
Я в своей аналитике тоже всегда упоминаю про аудиты в “Код” и даже повышаю оценку проекту в случае их наличия с исправленными проблемами.
Но последнее время стал обращать внимание на следующее:
-
Когда проходил аудит? Из последнего: Edgex аудит был в 2024-2025 годах, а они периодически обновляются. Сейчас 2026! Это уже нельзя считать актуально проверенным кодом.
-
Иногда пишут про аудиты, но на самом деле это не основные компоненты. Обычные люди не поймут. Поэтому важно скармливать файлы ИИ и спрашивать, основные компоненты проекта или нет. Опять же, в Edgex был Starkex и мультисиг/роутер ввода-вывода. Но сам код движка dex либо не аудировался, либо не публиковали об этом инфу.
А это критично.
Даже если мост и ввод-вывод проверены, это не означает, что вся логика исполнения ордеров и учёта позиций проходила полноценный аудит. Ошибка в движке может не украсть средства напрямую, но привести к некорректным расчётам, заморозке операций и убыткам трейдеров или ELP.
Изучающие же аудит не обратят на это внимание, и для них будет полной неожиданностью такая дестабилизация.
- ИИ ускоряет поиск уязвимостей. Для справедливости скажу, что и пытаются найти их для исправления тоже. Тот же Виталик Бутерин об этом писал. Но факт в том, что развитие ускоряется, и старые проекты с медленными обновлениями оказываются в зоне риска.
В 2025 году ИИ-инструмент помог обнаружить критическую уязвимость в действующем блокчейн-протоколе с потенциальным ущербом в несколько миллионов долларов — при том, что проект уже проходил аудит. Также был случай с Balancer, но об этом уже 2 раза писал в разных постах.
- Важна также репутация аудиторов: возможно они сами по себе делают некачественный анализ кода - это уже дополнительный глубокий анализ.
И важно, что ИИ может написать выжимку по аудитом. Но они не могут сказать вам про репутацию, соответствие текущей версии (особенно если нет Github) и насколько профессиональны аудиторы / проводились ли ИИ-аудиты кода. Поэтому не стоит сильно полагаться на то, есть ли аудиты у проекта и сколько их: всегда важно соблюдать риск-менеджмент.
А вы изучаете код / аудиты проектов при выборе, куда инвестировать? Или для вас наличие аудита уже достаточный аргумент?