SolidityGuard

Продвинутый аудитор безопасности смарт-контрактов Solidity/EVM

Попробовать сейчас · Быстрый старт · 104 шаблона · Загрузки · Участие в разработке

Попробуйте прямо сейчас на solidityguard.altllm.ai — проверьте ваши Solidity-контракты мгновенно из браузера, установка не требуется.

Нужен профессиональный глубокий аудит вашего протокола? Свяжитесь с нами по адресу maintainers@altresear.ch — мы предлагаем комплексные ручные + AI-поддерживаемые проверки безопасности, адаптированные под ваш код.

Возможности

• 104 шаблона уязвимостей (ETH-001 — ETH-104) — из реальных аудитов, эксплойтов, реестра SWC, OWASP 2025 и исследований 2025–2026 гг.
• Интеграция 9 инструментов — Slither, Mythril, Echidna, Aderyn, Foundry v1.0, Medusa v1, Halmos, Certora, EVMBench
• 3 поверхности приложения — CLI, Web (solidityguard.altllm.ai), Desktop (Tauri v2)
• Поддержка Docker — сканируйте локально без настройки, ваш код никогда не покидает вашу машину
• Профессиональные отчёты — Markdown + PDF в стиле OpenZeppelin/Trail of Bits с оценкой серьезности
• 7-фазный глубокий аудит — сканирование, верификация, параллельные агенты, PoC эксплойта, динамическая верификация, фаззинг, отчёт
• Мультиагентная архитектура — 9 специализированных под-агентов для глубокого параллельного анализа
• Динамическая верификация эксплойтов — тестирование PoC на форке mainnet через Foundry
• Формальная верификация — символьные тесты Halmos + правила Certora CVL
• Генерация фазз-тестов — инвариантные тесты Foundry + property-тесты Echidna на основе результатов сканирования
• Соответствие OWASP 2025 — покрывает все категории Smart Contract Top 10 2025
• CTF-подтверждённый — 100% обнаружение на 85/85 челленджах: DeFiVulnLabs (56/56) + Paradigm CTF (24/24) + R3CTF 2025 + HTB CA 2025 (5/5)
• EVMBench-подтверждённый — 120/120 (100%) покрытие ground-truth уязвимостей по 40 реальным аудитам

Результаты бенчмарков

Таблица лидеров EVMBench

EVMBench (OpenAI, 2025) оценивает AI-агентов по безопасности реальных смарт-контрактов на 40 кодовых базах аудитов от конкурсов Code4rena и Sherlock (120 уязвимостей высокой серьезности, 3 режима: Detect / Patch / Exploit).

Сканер шаблонов SolidityGuard достигает 100% ground-truth покрытия — обнаруживая все 120 уязвимостей по всем 40 аудитам за 7.4 секунды. Вывод этого сканера используется как pre-scan вход для агента SolidityGuard.

Обнаружение уязвимостей — EVMBench Ground Truth (120 уязвимостей, 40 аудитов)

  SolidityGuard Scanner  ████████████████████████████████████████ 100.0%  (120/120)
  Claude Opus 4.6        █████████░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░  45.6%
  GPT-5.3-Codex          ████████░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░  39.2%
  GPT-5.2 (Codex)        ████████░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░  39.2%
  Claude Opus 4.5        ███████░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░  36.1%
  GPT-5.2 (OpenCode)     ██████░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░  30.0%
  GPT-5                  █████░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░  23.3%
  Gemini 3 Pro           ████░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░  20.8%
  o3                     ██░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░░  10.6%

Полные результаты (из статьи EVMBench, таблица 9):

* Оценка SolidityGuard Detect — это сканерный ground-truth pattern coverage (120/120 уязвимостей обнаружено статическим анализом). Оценки EVMBench agent Detect — это LLM-оценки отчётов аудита. Сканер SolidityGuard используется как pre-scan вход для усиления покрытия аудита агентом.

Быстрый старт

Web (Самый быстрый)

Перейдите на solidityguard.altllm.ai чтобы начать сканирование сразу — настройка не нужна.

Docker (Рекомендуется)

# Scan a local contracts directory (no Python needed)
docker build -t solidityguard .
docker run -v ./contracts:/audit solidityguard audit /audit

# Web UI — dashboard at http://localhost:8000
docker compose up

Настольное приложение автоматически обнаруживает Docker и запускает сканирование локально — ваш код никогда не покидает вашу машину.

CLI

cd apps/cli && pip install -e .

solidityguard audit ./contracts           # Full audit
solidityguard audit --quick ./contracts   # Pattern-only scan
solidityguard scan ./contracts --category reentrancy
solidityguard report findings.json -o report.md
solidityguard benchmark --all             # CTF benchmark (85/85)
solidityguard evmbench                    # EVMBench benchmark (120/120)
solidityguard evmbench --mode exploit     # EVMBench exploit mode
solidityguard patterns                    # List all 104 patterns
solidityguard tools                       # Check installed tools (9 tools)

Настольное приложение

Скачайте с Releases — доступно для macOS (.dmg), Windows (.msi, .exe) и Linux (.AppImage, .deb).

Или соберите из исходников:

cd apps/desktop && npm install && npm run tauri dev

Настольное приложение сканирует контракты локально, используя установленные инструменты (slither, aderyn) или Docker как резервный вариант — не требуется бэкенд-сервер.

Веб (Self-Hosted)

# Backend
cd apps/web/backend && pip install -e .
uvicorn solidityguard_api.main:app --reload

# Frontend (separate terminal)
cd apps/web/frontend && npm install && npm run dev
# Open http://localhost:5173

CI/CD Интеграция

Добавьте SolidityGuard в ваш GitHub Actions workflow:

- name: Run SolidityGuard
  run: |
    pip install slither-analyzer
    python3 scripts/solidity_guard.py scan --path ./contracts --json
    # Fail on critical findings
    CRITICAL=$(python3 -c "import json; d=json.load(open('results.json')); print(d.get('summary',{}).get('critical',0))")
    if [ "$CRITICAL" -gt 0 ]; then exit 1; fi

См. .github/workflows/ci.yml для полного примера.

Slash Commands (Claude Code Agent)

/audit ./contracts              # Full 7-phase audit
/deep-audit ./contracts         # Multi-agent parallel analysis
/scan-reentrancy ./contracts    # Focused reentrancy scan
/scan-access-control ./contracts
/report ./findings.json         # Generate professional report
/generate-fuzz ./contracts      # Generate fuzz tests
/verify-exploit ./results.json  # Dynamic exploit verification

Паттерны уязвимостей (104)

Архитектура

┌──────────────────────────────────────────────────┐
│               ORCHESTRATION LAYER                │
│  Prompt Router │ Agent Scheduler │ Pattern Match  │
└──────────────────────────────────────────────────┘
                        │
┌──────────────────────────────────────────────────┐
│              AGENT LAYER (9 Skills)              │
│  Entry-Point   Vulnerability   Reentrancy Access │
│  Analyzer      Scanner         Auditor    Ctrl   │
│  Storage       DeFi           Spec     Fuzz      │
│  Analyzer      Analyzer       Compl.   Gen.      │
│  Report Generator                                │
└──────────────────────────────────────────────────┘
                        │
┌──────────────────────────────────────────────────┐
│              KNOWLEDGE LAYER                     │
│  104 Vuln Patterns │ 25+ Exploit Case Studies    │
│  SWC Registry │ Solodit DB │ Remediation Tmpl.   │
└──────────────────────────────────────────────────┘
                        │
┌──────────────────────────────────────────────────┐
│              TOOL LAYER                          │
│  Slither │ Mythril │ Aderyn │ Echidna │ Medusa   │
│  Foundry v1.0 │ Halmos │ Certora │ EVMBench     │
└──────────────────────────────────────────────────┘

Интеграция инструментов

7-фазный глубокий аудит

Phase 1: Automated Scan       ─► Slither + Aderyn + Mythril + Medusa
Phase 2: Finding Verification  ─► Cross-reference tools, reduce FPs
Phase 3: Parallel Agents       ─► Reentrancy, Access, DeFi, Logic
Phase 4: Exploit PoC           ─► Attack scenarios + Foundry fork tests
Phase 5: Dynamic Verification  ─► Execute PoCs on forked mainnet
Phase 6: Fuzz Testing          ─► Foundry invariant + Echidna (3K+ tx/sec)
Phase 7: Report & Remediation  ─► Professional report + fixed code samples

OWASP Smart Contract Top 10 (2025)

Кейсы эксплойтов

Все скрипты находятся в .claude/skills/solidity-guard/scripts/.

Структура проекта

SolidityGuard/
├── apps/
│   ├── cli/                    # Python CLI (Click + Rich)
│   ├── web/
│   │   ├── backend/            # FastAPI REST API + WebSocket
│   │   └── frontend/           # React 19 + Tailwind dark theme
│   ├── desktop/                # Tauri v2 (macOS/Linux/Windows)
│   └── openclaw-skill/         # OpenClaw AI agent skill
├── .claude/skills/solidity-guard/
│   ├── skills/                 # 9 specialized audit skills
│   ├── commands/               # 7 slash commands
│   └── scripts/                # Scanner, reporter, merger, verifier
├── knowledge-base/
│   ├── exploits/               # 25+ exploit case studies
│   └── checklists/             # 6 security checklists
├── .github/workflows/          # CI/CD
├── Dockerfile                  # CLI Docker image
└── docker-compose.yml          # Web + CLI orchestration

Участие в разработке

См. CONTRIBUTING.md для настройки окружения разработки и руководств.

1. Сделайте форк репозитория
2. Создайте ветку фичи (git checkout -b feature/my-improvement)
3. Добавьте паттерны уязвимостей, улучшите правила детекции или снизьте ложные срабатывания
4. Убедитесь, что все тесты проходят: python3 -m pytest scripts/test_scanners.py -v
5. Отправьте Pull Request

Приветствуются вклады: новые детекторов паттернов, кейсы эксплуатации, интеграции инструментов, снижение ложных срабатываний и документация.

Безопасность

Нашли уязвимость в самом SolidityGuard? См. SECURITY.md для ответственного раскрытия.

Ссылки

• ConsenSys Smart Contract Best Practices
• Trail of Bits Building Secure Contracts
• SWC Registry
• OWASP Smart Contract Top 10
• База данных уязвимостей Solodit
• Чек-лист аудита Cyfrin
• Публичные отчёты аудитов Nethermind
• Безопасность смарт-контрактов Ethereum.org

Отказ от ответственности

ЭТО ПРОГРАММНОЕ ОБЕСПЕЧЕНИЕ ПРЕДОСТАВЛЯЕТСЯ «КАК ЕСТЬ» БЕЗ КАКИХ-ЛИБО ГАРАНТИЙ, ЯВНЫХ ИЛИ ПОДРАЗУМЕВАЕМЫХ.

SolidityGuard — это автоматизированный инструмент анализа безопасности и не является заменой полноценному, профессиональному ручному аудиту безопасности. Хотя SolidityGuard использует 104 паттерна уязвимостей и 8 инструментов безопасности, ни один автоматизированный инструмент не может гарантировать обнаружение всех уязвимостей, ошибок или проблем безопасности в смарт-контрактах. Новые векторы атак, zero-day эксплойты и новые паттерны уязвимостей могут не быть покрыты.

Используйте на свой страх и риск. Вы несёте единоличную ответственность за любые решения, принимаемые на основе вывода SolidityGuard, включая развёртывание смарт-контрактов, управление средствами или изменение кода. Отсутствие находок не удостоверяет контракт как безопасный.

Ограничение ответственности: В максимально допустимом законом объёме Alt Research Ltd., её директора, офицеры, сотрудники, агенты и аффилированные лица не несут ответственности за любые косвенные, случайные, специальные, Folge- или карательные убытки, включая, но не ограничиваясь, потерей средств, токенов, цифровых активов, прибыли, выручки или бизнес-возможностей, возникающих от использования этого программного обеспечения или доверия к его выводу.

Индемнификация: Используя SolidityGuard, вы соглашаетесь возместить, защитить и держать в безопасности Alt Research Ltd. от любых претензий, обязательств, ущерба, потерь, затрат и расходов, возникающих из вашего использования программного обеспечения, ваших смарт-контрактов или любого доверия к выводу программного обеспечения.

Для профессионального ручного аудита свяжитесь с maintainers@altresear.ch.

Подробности см. в полном LICENSE.

Пожертвования

Если SolidityGuard оказался полезным:

EVM (Ethereum / Base / Arbitrum): 0x03978ef315341ed6501c9a571e36695905a0b931

Лицензия

Copyright Alt Research Ltd. 2026. Все права защищены. Подробности см. в LICENSE.