Analisis ekonomi untuk Solidity

Temukan celah yang memindahkan uang.

Scorpio menganalisis repositori Solidity publik, menyusun ulang jalur perpindahan nilai, dan memberikan bukti yang bisa direproduksi sebelum celahnya sampai ke bug bounty atau ke produksi.

Preflight sebelum pembayaran Pembayaran x402 dalam USDC Hasil yang bisa diverifikasi
ENGINE / LIVE CATALOGONLINE
STATE
VALUE
ACCESS
Lambang Scorpio
127MODULES
49STATIC CHECKS
0Modul yang terjangkauSidik jari mesin yang berjalan
0Keluarga ekonomiCakupan yang ditata menurut risiko
0Sapuan statisDiterbitkan di katalog saat ini
0Modul yang tak terbacaKatalog terbaca dari ujung ke ujung
01 / METODE

Dari repositori ke bukti yang bisa diperiksa.

Scorpio memperlakukan setiap analisis sebagai rantai penyimpanan bukti teknis. Pertama ia memutuskan apakah repositori masuk cakupan, lalu mengompilasi, memodelkan, dan menyegel hasilnya.

01

Penerimaan

Memeriksa URL publik, commit, dan ukuran sebenarnya dari kode milik proyek.

Gratis · tanpa kewajiban
02
{ }

Kompilasi

Menyelesaikan proyek Foundry dan memisahkan kode milik proyek dari dependensinya.

Lingkungan terisolasi
03

Peta ekonomi

Melacak status, hak istimewa, dan jalur yang bisa dilalui nilai.

Konteks antar kontrak
04

Sapuan

Menjalankan keluarga yang berlaku dan mengedepankan sinyal yang berdampak ekonomi.

Mesin deterministik
05

Penyerahan

Menyusun laporan dengan temuan yang diurutkan menurut prioritas dan mengembalikannya bersama commit tepat yang dianalisis.

Hasil yang bisa direproduksi
02 / SEBELUM MEMBAYAR

Periksa apakah repositori Anda masuk cakupan.

Preflight menghitung Solidity milik proyek dan milik pihak ketiga secara terpisah sebelum pembayaran apa pun dibuka, dan yang melakukannya adalah layanan sungguhan: ia mengklon repositori dan membaca pohonnya, tanpa mengompilasi dan tanpa menjalankan apa pun dari dalamnya. Gratis, ada kuotanya, dan repositori yang di luar cakupan ditolak di sini, bukan ditagih lalu gagal kemudian.

  • URL dan commit teridentifikasi
  • Kode milik proyek terpisah dari pihak ketiga
  • Harga sudah pasti sebelum pembayaran disetujui
SCORPIO / PREFLIGHTAKTIF
git:
ProdukAudit lengkap · 149 USDC

Gratis, tanpa membayar apa pun. Layanan mengklon repositori dan menghitung Solidity-nya dengan membaca pohonnya, tanpa mengompilasi dan tanpa menjalankan apa pun dari dalamnya. Butuh beberapa detik dan ada kuotanya.

04 / PENGUKURAN

Lebih banyak sinyal berguna per peringatan, dalam tolok ukur pertama yang diterbitkan.

Pada lima kasus resmi CodeHawks, Scorpio memasangkan 12 temuan dari daftar resmi berbanding 5 milik Slither, dan memunculkan 26 peringatan seluruhnya berbanding 63.

09SEPTEMBER
2026
MESIN 890777…
i

Ini sampel kecil dari lima kompetisi, bukan bukti keunggulan menyeluruh. Kolom Scorpio diukur pada 9 September 2026 dengan mesin 890777033a8fc952…, dalam tiga pengulangan identik. Sidik jari mesin yang sedang dijalankan ditampilkan di bagian atas halaman ini: kalau tidak sama, pengukuran berasal dari mesin sebelumnya dan belum diulang dengan mesin hari ini. Kolom Slither berasal dari versi 0.11.5 atas kasus-kasus beku yang sama, diukur pada 6 September; di antara kedua tanggal itu Slither tidak berubah.

!

Apa saja 14 yang tidak berpasangan itu — menyebutnya “salah” tidak akurat: empat berkategori informatif, yaitu tiga peringatan tentang kontrak tanpa event dan satu catatan tentang asumsi token; itu konteks yang memang sengaja diberikan mesin dan tidak ikut bertanding dalam daftar kerentanan. Tiga menyatakan hal yang benar tentang kodenya — bahwa nilai kembalian transfer ERC-20 tidak diperiksa — yang tidak diterima kompetisi sebagai temuan. Dan satu adalah sakelar satu arah yang ditandai mesin sebagai kecurigaan, karena yang memutuskan apakah itu memang disengaja adalah manusia.

!

Dari enam yang tersisa, lima adalah celah yang sama dengan satu entri di daftar resmi, hanya dengan nama lain. Pembanding hanya memasangkan bila nama detektornya sama dengan keluarga labelnya, jadi ketika mesin memang menemukan celahnya tetapi menamainya menurut penyebab, bukan menurut akibat, penghitungan menghukumnya dua kali: labelnya dicatat tidak ditemukan dan temuannya dicatat salah. Kelima pasangan sudah diperiksa satu per satu, pada kontrak yang sama dan, pada empat di antaranya, pada fungsi yang sama: kunci yang tak pernah menutup di refund adalah reentrancy CH-05; tenggat yang bisa ditulis ulang adalah CH-07; penelusuran claimants tanpa batas atas adalah MC-08; tanda tangan yang tidak mengikat implementasinya adalah SP-01; dan digest tanpa typehash adalah SP-02. Yang keenam menyatakan hal benar yang tidak dicatat daftar itu.

i

Penetapan itu dilakukan secara manual dan oleh pihak yang berkepentingan: yang melakukannya adalah orang yang mengerjakan mesin ini. Karena itu angka yang berlaku di halaman ini tetap angka mesin. Bila kelima pasangan yang diakui itu dihitung, hasilnya 17 berpasangan dan 9 tidak, yakni 65,4 % presisi dan 35,4 % cakupan. Ini disebut agar terlihat dari mana selisihnya datang, bukan untuk diklaim.

Scorpio52,6%
10 TP · 9 FP
SSlither7,9%
5 TP · 58 FP
48 temuan resmi5 / 5 kasus dijalankan15 / 15 jalan yang stabil
05 / BAGAIMANA INI DIPERIKSA

Mesin yang mengukur dirinya sendiri.

Di depan setiap detektor ada dua kontrak: satu ditulis supaya detektornya berbunyi, satu lagi hampir sama tetapi ditulis supaya tidak berbunyi. Perubahan apa pun yang merusak salah satunya membuat bangku uji menjadi merah, dan tanpa bangku uji yang hijau, image yang melayani pesanan tidak dibangun.

0Kontrak bangku ujiDitulis untuk menguji mesinnya
0Cacat yang ditanamMenangkap ke-201 semuanya
0Kontrol yang sehatTidak menandai satu pun
0% mutasiAtas yang memang bisa dimatikan
i

Skor mutasi dengan sengaja mengubah satu baris mesin lalu memeriksa apakah bangku uji menyadarinya. Yang tidak disadari dicatat satu per satu beserta alasannya: mengapa baris itu tidak bisa mengubah hasil, atau kasus seperti apa yang dibutuhkan untuk memicunya. Hari ini tidak ada satu pun yang belum dibaca.

06 / CAKUPAN

Sepuluh keluarga untuk mengikuti risiko ekonomi.

Setiap keluarga mengumpulkan sapuan yang mencari satu cara tertentu untuk merusak invarian, merebut hak istimewa, atau mengalihkan nilai.

01
±

Pembukuan

Saldo, pembulatan, biaya, dan kekekalan nilai.

6 sapuan
02

Oracle

Harga, kesegaran data, skala, dan dependensi yang bisa dimanipulasi.

4 sapuan
03

Tanda tangan

Replay, pemisahan domain, nonce, dan otorisasi kriptografis.

8 sapuan
04

Hak istimewa

Peran, setter, inisialisasi, dan peningkatan kendali.

7 sapuan
05

Reentrancy

Panggilan ke luar dan perubahan status yang tidak aman.

4 sapuan
06

Penyimpanan

Tumbukan slot, tata letak, dan kerusakan data setelah pembaruan.

4 sapuan
07

Status

Transisi yang mustahil, kebuntuan, dan fase yang terlewat.

6 sapuan
08

Dana terkurung

Jalur keluar yang tidak ada atau bersyarat selamanya.

4 sapuan
09
0x

Pengodean

Tumbukan selektor, calldata, dan asumsi serialisasi.

5 sapuan
10

Keacakan

Sumber acak yang bisa diramalkan dan berdampak pada hasil ekonomi.

1 sapuan
07 / HASIL

Penyerahan yang meninggalkan jejak.

Laporan menghubungkan setiap sinyal dengan tempatnya di kode, dan datang bersama commit tepat tempat sinyal itu muncul.

SCORPIO_REPORT
FINDING / ECONOMIC

Invarian nilai rentan

HIGHCONFIDENCE 0.86

report.md
commit
tree
01

Temuan menurut prioritas

Tingkat keparahan, keyakinan, lokasi, dan dampak ekonomi yang diperkirakan.

02

Bukti teknis

Jalur di dalam kode dan konteks yang cukup untuk mereproduksi sinyalnya.

03

Asal

Commit dan pohon tepat dari klon yang dianalisis, dikembalikan bersama laporan.

04

Yang tidak terukur

Kalau ada sapuan yang tidak sampai selesai, pesanan ditandai INCOMPLETE dan laporannya menyebutkan itu. Kesunyian tidak disajikan sebagai “tidak ada apa-apa”.

08 / SIKAP

Apa yang Scorpio klaim.
Dan apa yang tidak.

Yang diberikan

  • Analisis otomatis dan bisa diulang
  • Pengurutan menurut dampak ekonomi
  • Bukti yang terikat pada kode yang dianalisis
  • Commit yang tepat dan segel laporannya
  • Status jalannya yang dinyatakan terang-terangan

× Yang tidak dijanjikan

  • Nol peringatan palsu
  • Cakupan seluruh kerentanan
  • Selalu menemukan celah
  • Setara dengan audit oleh manusia
  • Otomatis berhak atas hadiah
09 / PERTANYAAN

Sebelum menjalankan analisis.

Ketentuan teknis dan komersial yang paling penting, dijelaskan tanpa huruf kecil.

Baca ketentuan lengkap
Apakah Scorpio menggantikan audit oleh manusia?

Tidak. Ia mempersempit ruang pencarian dan memberi bukti yang bisa diulang, tetapi tidak menyatakan kontraknya aman dan tidak mencakup seluruh penalaran sebuah tinjauan manusia.

Apa yang bisa dianalisis hari ini?

Repositori publik yang kompatibel dengan Foundry, lolos preflight, dengan maksimal 1.200 berkas Solidity milik proyek. Produk yang aktif tidak membaca keadaan rantai.

Kapan biayanya ditagih?

Preflight gratis dijalankan lebih dulu. Kalau repositorinya masuk cakupan, Scorpio mengembalikan penawaran yang pasti. Analisis mulai begitu pembayaran x402 terverifikasi.

Apa yang terjadi kalau mesinnya gagal?

Pesanan tetap berstatus FAILED dan harga layanan dikembalikan sesuai ketentuan. Biaya jaringan yang bukan milik Scorpio tidak termasuk dalam pengembalian itu.

Berapa lama waktunya?

Katalog memperkirakan sekitar lima menit waktu jalan untuk produk yang aktif. Itu perkiraan teknis, bukan jaminan tingkat layanan: ukuran, kompilasi, dan antrean bisa mengubah waktu totalnya.

Apa arti DONE dan INCOMPLETE?

DONE berarti penyerahan yang direncanakan sudah selesai. INCOMPLETE berarti ada penyerahan sebagian yang batas-batasnya tercatat. PENDING dan FAILED menggambarkan jalan yang masih berlangsung atau yang gagal. EXPIRED muncul setelah 30 hari masa simpan lewat dan penyerahannya sudah dihapus.

Bisakah mengirim repositori privat?

Pada produk saat ini tidak bisa. Jangan mengirim kredensial, token, atau URL privat. Penawaran publik ini dirancang untuk repositori yang bisa diakses tanpa autentikasi.

Bagaimana hasilnya diverifikasi?

Setiap pesanan mengembalikan commit dan pohon tepat dari klon yang dianalisis, sehingga temuan apa pun bisa ditunjuk pada satu revisi tertentu dan ditengok lagi. Versi mesin yang sedang berjalan terbuka untuk umum di /health, lengkap dengan sidik jari isinya.

SCORPIO / AUDIT-149

Sebelum menitipkan nilai,
periksa kodenya.

Preflight gratis dan memastikan cakupannya sebelum permintaan pembayaran dibuat.

Periksa repositori