代码分析

Slang v1是一套为以太坊开发者提供的Solidity代码分析和工具的模块化编译器API。它能够支持80多种版本的Solidity，并提供高效的错误容忍解析器和符号追踪分析，旨在简化开发工具的构建。Slang的独特之处在于，它不仅是编译器，而是为开发者工具打造的API，极大提高了Soliditiy工具的开发效率。

本文是对 Across 协议代码的审计报告，重点关注了引入 LayerZero OFT 桥接机制的更改，并评估了其安全性、集成性和潜在风险。报告内容包括高、中、低风险的问题，以及关于代码质量、测试覆盖率和文档的改进建议。同时，报告也强调了协议中存在的信任假设和未来集成时需要注意的关键点。

本文提供了一种系统的方法，对区块链节点实现进行彻底的安全审查，以Paradigm的Rust Ethereum执行客户端Reth为例。主要分为环境搭建、预审准备（理解架构、威胁建模）、自动分析、手动代码审查策略（优先级框架、自下而上和自上而下的方法）、动态分析与测试、文档和报告编写等阶段，旨在帮助安全工程师识别关键漏洞，管理大规模分布式系统的复杂性。

本文是作者分享的进行代码审计的步骤，主要分为理解代码和发现漏洞两个阶段。第一部分主要讲解如何高效地理解代码，包括建立基础知识、绘制代码流程图、阅读代码、并做笔记记录审计过程中的疑问、猜想和关键点。

本文档介绍了OpenZeppelin Code Inspector，它是一个与Github集成的代码分析工具，通过机器学习和安全专家开发的工具自动进行代码分析，识别潜在漏洞并提出改进建议。

本文介绍了如何构建和遍历Solidity调用图，用于静态分析、漏洞检测和更智能的合约开发。通过示例代码和详细的解释，展示了如何使用Router解析内部函数调用，并提出了在调用图中进行深度优先或广度优先遍历的策略，提高代码分析的准确性，并以Aderyn工具的实现为例，展示了如何应对函数调用解析中可能出现的二义性情况。

文章总结了 Mysten Labs 举办的专家小组讨论，探讨了 AI 代理如何重塑智能合约安全。专家指出 AI 正在显著提升漏洞探测、代码翻译及反编译能力，使得传统的“闭源防守”策略失效。未来的安全重心将从单纯的漏洞发现转向开发流程的韧性建设以及 AI 辅助的形式化验证。