Was ein Smart-Contract-Audit beweist und was nicht

Auditiert ist eine der häufigsten und am wenigsten hinterfragten Behauptungen im Kryptobereich. Ein Audit ist eine bezahlte Prüfung, bei der eine Sicherheitsfirma Code liest, nach Mängeln sucht und Befunde veröffentlicht. Das ist eine echte und wertvolle Arbeit. Es ist keine Gewährleistung, und im Abstand zwischen dem, was es belegt, und dem, was ein Siegel nahelegt, sitzt der meiste Schaden.

Was ein Audit ist

Eine Firma wird für einen definierten Umfang über einen definierten Zeitraum beauftragt. Sie prüft bestimmte Verträge in einem bestimmten Commit, meldet Probleme nach Schweregrad und veröffentlicht meist eine Endfassung, die festhält, was das Team behoben, was es anerkannt und belassen und was es bestritten hat. Der Bericht ist das Artefakt. Das Siegel ist Marketing.

Vier Fragen, die das Siegel nicht beantwortet

Was im Umfang war. Ein Audit deckt die dem Prüfer übergebenen Verträge ab. Später ausgerollte Verträge, Admin-Skripte, das Frontend und Off-Chain-Komponenten können ganz außen vor bleiben.

Welche Version. Code ändert sich. Ein Audit eines Commits sagt nichts über danach ausgerollten Code, und eine Nachprüfung nach wesentlichen Änderungen ist ein Kostenpunkt, den Projekte manchmal auslassen.

Was gefunden und nicht behoben wurde. Berichte listen regelmäßig anerkannte Probleme, die das Team akzeptiert hat. Das sind offengelegte Risiken; sie zu lesen ist das Aufschlussreichste für nicht technische Leser.

Welche Befugnisse bleiben. Viele Verträge behalten einen Upgrade-Schlüssel, eine Pause-Funktion oder eine privilegierte Rolle. Ein Audit kann bestätigen, dass es sie gibt und sie wie dokumentiert wirken — das heißt nicht, dass sie für Sie sicher sind.