Сколько стоит аудит смарт-контракта и что в него входит

Аудит смарт-контракта на рынке стоит от нескольких тысяч долларов за простой токен до сотен тысяч за сложный протокол. По открытым обзорам аудиторских компаний, типичная проверка перед запуском обходится в десятки тысяч долларов, а фиксированного прайса нет: цена зависит от сложности логики, а не от числа строк. Аудит снижает риск, но не гарантирует безопасность — это стоит понимать до того, как вы заплатите.

Рыночные вилки 2026 года

Публичные цифры дают в основном сами аудиторы, поэтому воспринимайте их как ориентир, а не как прайс.

Цены студии здесь не называем: состав и стоимость нашей проверки указаны на странице аудита смарт-контракта.

Из чего складывается цена

Что входит в нормальный аудит

1. Согласование рамок: какие контракты, какой коммит, какие внешние зависимости в рамках, а какие нет.
2. Изучение спецификации: что контракт должен делать, какие роли и права есть, какие суммы проходят.
3. Ручной разбор кода несколькими специалистами — основная часть работы.
4. Автоматический анализ: статические анализаторы, проверка известных шаблонов ошибок.
5. Тесты и фаззинг ключевых свойств: например, что сумма балансов не превышает общий выпуск.
6. Предварительный отчёт с находками, разделёнными по серьёзности.
7. Исправления командой проекта и повторная проверка исправлений.
8. Финальный отчёт, который можно опубликовать.

Как читать отчёт

Находки обычно делят на критические, высокие, средние, низкие и информационные. Смотрите не только на число, но и на статус каждой: исправлено, частично исправлено, принят риск. «Принят риск» по критической находке — повод задать вопросы команде, а не выпускать продукт.

Какие виды проверки бывают

Как подготовить код и сэкономить

• Заморозьте код: аудитор проверяет конкретный коммит, правки по ходу удорожают работу.
• Напишите спецификацию простым языком: что делает каждый контракт, какие есть роли, какие инварианты должны соблюдаться.
• Доведите тесты до хорошего покрытия, включая сценарии отказов.
• Прогоните статический анализ сами и закройте очевидное.
• Уберите неиспользуемый код и экспериментальные функции.
• Нарисуйте схему ролей и прав: кто администратор, кто может ставить на паузу, кто обновляет.

Кого выбирать

Смотрите на опубликованные отчёты по похожим проектам и в той же сети, на то, кто конкретно будет проверять, и на условия повторной проверки. Красные флаги — гарантия «100% безопасности», аудит за день без вопросов по спецификации, отчёт без конкретных строк кода. Подробно о выборе исполнителя — в статье как выбрать подрядчика по смарт-контрактам.

Чем аудит отличается от тестов и сканеров

Тесты проверяют, что код делает то, что задумал разработчик. Сканеры находят известные шаблоны ошибок. Аудит отвечает на другой вопрос: что пойдёт не так, если кто-то будет использовать контракт против замысла. Поэтому хорошие аудиторы начинают со спецификации и ролей, а не с запуска инструментов.

Что даёт защитный код

Многие находки аудита закрываются стандартными приёмами: проверка прав на каждой функции, изменение состояния до внешнего вызова, ограничение сумм, пауза для экстренных случаев, проверка данных от внешних источников. Если команда закладывает эти приёмы с самого начала, отчёт получается короче, а повторная проверка быстрее. Техническую сторону уязвимостей EVM подробно разбирает соседний цикл журнала.

Отдельный вопрос — ключи. Даже идеальный код не спасёт, если ключ администратора лежит в файле на ноутбуке. Аудиторы всё чаще смотрят и на операционную часть: кто владеет ролями, как устроено хранение, есть ли мониторинг. Мы советуем включать эти вопросы в рамки проверки явно.

Сколько закладывать в бюджет проекта

Мы советуем считать аудит не отдельной покупкой, а частью бюджета запуска вместе с исправлениями, повторной проверкой и программой вознаграждений после старта. Если в бюджете есть деньги только на один аудит без исправлений, лучше сократить функции первой версии: меньше кода — дешевле и глубже проверка.

• Аудит первой версии перед запуском в основной сети.
• Время команды на исправления: обычно это дни или недели работы разработчиков.
• Повторная проверка исправлений, если она не входит в договор.
• Программа вознаграждений за найденные ошибки после запуска.
• Аудит каждого крупного обновления.

Что после аудита

Безопасность не заканчивается на отчёте. Нужны мониторинг контрактов и ключевых кошельков, понятный порядок паузы и план реагирования. Об этом — в статьях про мониторинг и про план реагирования. Для веб-части продукта — кабинета, API, админки — нужен свой аудит: проверка веб-приложения. Оценить, во что обойдётся инцидент, поможет калькулятор ущерба.