初心者向けに Etherscan でスマート コントラクトを読む方法?

スマートコントラクト検証の基本を理解する

1. イーサリアムにデプロイされたスマート コントラクトはバイトコードにコンパイルされてオンチェーンに保存されるため、適切なツールがなければ生の検査が困難になります。

2. Etherscan は、開発者が検証して公開することを選択した場合に、トランザクション データ、契約アドレス、ソース コードのインデックスを作成するパブリック ブロックチェーン エクスプローラーとして機能します。

3. 検証された契約には、契約名の横に緑色の「検証済み」バッジが表示され、提出されたソース コードがデプロイされたバイトコードと一致することを示します。

4. 未検証の契約にはバイトコードまたはアセンブリのみが表示され、専門家以外が有意義に解釈することはほぼ不可能です。

5. 検証にはコンパイラのバージョン、最適化設定、および入力パラメータが一致する必要があります。不一致があると検証が失敗し、信頼できないコードが表示されます。

契約ページインターフェイスの移動

1. Etherscan の検索バーに契約アドレスを入力すると、「契約」、「トランザクション」、「分析」、「詳細」などのタブのある専用の契約ページが表示されます。

2. 「契約」タブには、ABI、読み取り/書き込み関数、および検証済みの場合はソース コード セクションなど、最も重要な情報が含まれています。

3. 「契約の読み取り」セクションでは、ガス料金なしでビュー/純粋な機能と対話できます。ユーザーは残高、トークン名、または所有権ステータスを直接クエリできます。

4. 「契約の書き込み」セクションでは、トークンの転送や権限の更新などの状態変更アクションが可能ですが、ウォレット接続とガスの支払いが必要です。

5. 「Contract Source Code」パネルには、元の Solidity (または Vyper) ファイルが表示されます。プロジェクトでインポートまたはライブラリが使用されている場合、多くの場合、複数のタブにまたがって編成されます。

検証されたソースコードの主要なセクションの解釈

1. SPDX ライセンス識別子は上部に表示され、法的な使用条件を示します。これがない場合は、コードが未レビューであるか、潜在的に危険であることを示している可能性があります。

2. pragma Solidity ^0.8.20;のようなコンパイラ バージョンのプラグマ ステートメント導入時に使用されるバージョンと一致する必要があります。バージョンが一致しないと、予期しない動作が発生する危険があります。

3.公開可視性を指定して宣言された状態変数は、ゲッター関数を自動的に生成し、「契約の読み取り」の下に表示されます。

4. 修飾子の使用法 ( onlyOwnerやwhenNotPausedなど) から、集中化のリスクを評価するために重要なアクセス制御ロジックが明らかになります。

5. 外部関数のシグネチャは、サードパーティの dApp がコントラクトとどのように対話するかを明らかにします。異常なパラメータ タイプや文書化されていないイベントは、難読化のシグナルとなる可能性があります。

契約コードにおける危険信号の認識

1. 明確なビジネス ロジックの正当性がないまま支払い可能とマークされた機能により、意図しない ETH 送金や再入ベクトルが発生する可能性があります。

2. 欠落または一般的なイベントの発行により透明性が低下します。正当なプロトコルは、ミントや書き込みなどの重要な状態変化ごとにイベントを発行します。

3. 完全な文書化を行わずにselfdestructまたはdelegatecallを使用すると、アップグレード可能性と信頼性の前提に関する懸念が生じます。

4. 構成可能なパラメータではなくハードコードされたアドレスは、柔軟性のなさと潜在的な操作ポイントを示唆しています。

5. 互換性を主張しているにもかかわらず、ERC-20 や ERC-721 などの標準インターフェースがないことは、監査されたパターンからの逸脱を示しています。

よくある質問

Q: 契約を確認しようとしたときの「確認できません」とは何を意味しますか?これは、バージョンの不一致、オプティマイザーの違い、またはコンストラクター引数の誤りが原因で、提出されたソース コードが、指定されたコンパイラー設定の下では同一のバイトコードを生成しないことを意味します。

Q: Etherscan で「検証済み」と表示されているという理由だけで契約を信頼できますか?いいえ。検証はコードの完全性を確認するものであり、正確性や安全性を確認するものではありません。悪意のあるロジックは完全に検証されても有害である可能性があります。

Q: 一部の契約に複数のソース コード タブがあるのはなぜですか?彼らは、ライブラリ、インターフェイス、または実装コントラクト用に個別のファイルを備えたモジュラー アーキテクチャを使用しており、各ファイルは検証中に個別にアップロードされます。

Q: 未検証の契約ロジックを読み取ることはできますか? Mythril や evm-opcodes などのツールを使用してバイトコードを逆コンパイルすることによってのみ行われますが、結果は非常に抽象的であり、機能を理解するには信頼できません。