Слово «аудит» в описании проекта успокаивает сильнее, чем следовало бы. Полезно понимать, что именно проверяли

Слово «аудит» в описании проекта успокаивает сильнее, чем следовало бы. Полезно понимать, что именно проверяли и чего проверка не касалась в принципе.

Аудит смотрит код контракта на предмет ошибок: неверной математики, кривых проверок доступа, мест, где чужая функция может вызвать вашу в неудобный момент. Это ценно. Но проверяется конкретная версия кода в конкретный день.

Чего аудит не делает. Он не отвечает за намерения команды. Он не мешает владельцу воспользоваться заложенными в контракт правами — если админ может остановить вывод, это не ошибка, это функция. Он не покрывает то, что развернули после проверки. И он не гарантирует, что найдено всё.

Что стоит смотреть в отчёте, кроме логотипа аудитора:

— совпадает ли проверенная версия с тем, что реально работает;
— какие замечания закрыли, а какие приняли как есть;
— какими правами обладает владелец контракта и есть ли задержка на изменения.

Аудит — это снижение риска, а не его отмена.