Atlas 智能合约审计工作流

一套轻量级的 智能合约审计工作流 与 DeFi 审计检查清单 技能，面向 Solidity/EVM 协议、漏洞赏金猎人、Code4rena wardens、Sherlock 审计员以及 HackenProof 研究人员。

当你需要在投入数小时进行人工审计前，快速完成对 DeFi 协议或智能合约范围的初步审查时，请使用本工作流。

搜索关键词 / 最佳使用场景

• 付费安全技能包

• 智能合约审计工作流

• 智能合约审计检查清单

• 智能合约审计模板

• 智能合约安全检查清单

• 智能合约审计报告模板

• DeFi 审计工作流

• DeFi 审计模板

• DeFi 安全检查清单

• Solidity 安全检查清单

• Solidity 审计报告模板

• EVM 审计检查清单

• 付费智能合约审计包

• Atlas 智能合约审计包

• Atlas 安全技能包

• Solidity 审计模板

• DeFi 审计检查清单

• 漏洞赏金报告模板

• Code4rena 审计准备

• Sherlock 审计准备

• HackenProof 赏金工作流

• 智能合约审计

• 智能合约审计员

• DeFi 审计

• DeFi 安全审计

• Solidity 审计

• Solidity 审计员

• EVM 审计

• 漏洞扫描器

• 漏洞评估

• 智能合约漏洞分级

• 智能合约扫描器

• 漏洞赏金分级

• 漏洞赏金自动化

• Code4rena 审计工作流

• Code4Arena warden

• Sherlock 审计工作流

• HackenProof 赏金工作流

• 访问控制审查

• 预言机操纵审查

• 预言机操纵攻击

• 重入检查清单

• 重入漏洞

• 可升级代理审查

• DeFi 协议安全

• 智能合约安全审计

• 区块链安全审计

• Solidity 漏洞扫描器

• EVM 漏洞评估

• 审计检查清单

• 安全审计报告

• 漏洞报告

• DeFi 审计报告

• 代码审查检查清单

• 攻击面映射

• 协议审计

• 审计自动化

适用场景

• 新分配的智能合约审计目标
• DeFi 比赛刚开启，需快速确定文件优先级
• 漏洞赏金范围包含 Solidity/EVM 合约
• 你需要一份结构化的首轮漏洞检查清单
• 你希望在深入人工审查前完成攻击面映射

输出内容

一份结构化的 Markdown 格式审计分级报告，包含：

• 目标概览
• 协议类型与合约分类
• 攻击面映射
• 高优先级漏洞类别
• 逐合约检查清单
• 推荐的深度审查顺序
• 可快速验证的审查项

工作流

第一阶段：智能合约范围映射

针对每个待审合约：

1. 识别协议类型：借贷、AMM、金库、质押、跨链桥、预言机、治理、NFT、账户抽象
2. 识别外部集成：Chainlink、Uniswap、Curve、ERC20 代币、跨链桥、路由合约、keeper
3. 标记代理/升级模式：EIP1967、UUPS、透明代理、信标代理、克隆合约
4. 识别特权角色：owner、admin、guardian、pauser、timelock、operator
5. 标注新颖或高风险机制：自定义记账逻辑、份额定价、清算计算、奖励分发、TWAP

第二阶段：DeFi 漏洞优先级排序

按 发生概率 × 影响程度 对每类漏洞进行评分：

高优先级
- 重入：存在外部调用 + 状态变更 + 回调（如接收者钩子）
- 访问控制：缺失修饰符、角色假设错误、管理员绕过
- 预言机操纵：价格过期、TWAP 操纵、小数位不匹配、备用预言机缺陷
- 记账错误：份额价格偏移、舍入损失、手续费计算错误、抵押/债务不匹配
- 清算错误：健康因子计算错误、抵押品估值过期、可被恶意触发的清算路径
- 可升级性缺陷：未保护的初始化函数、存储布局冲突、实现合约被劫持

中优先级
- 转账手续费代币（fee-on-transfer）/ 再基准代币（rebasing token）边缘情况
- ERC777 / 支持回调的代币意料之外行为
- 夹心攻击 / MEV 敏感定价逻辑
- 通过无界循环或可被滥用的状态导致的拒绝服务（DOS）
- 签名重放 / permit 域分隔符问题

低优先级但需检查
- 输入校验缺失
- 事件/上报数据不一致
- Gas 恶意消耗（gas griefing）
- 不导致可提取价值的微小精度损失

第三阶段：逐合约检查清单

## 合约：

### 外部调用 / 重入
- [ ] 外部调用是否发生在状态更新之后？
- [ ] 在可能存在回调的位置是否部署了重入防护？
- [ ] 是否考虑了 ERC777 / ERC721 接收者 / 闪电贷回调？

### 访问控制
- [ ] 特权函数是否使用了正确的修饰符？
- [ ] Timelock / owner / admin 权限边界是否清晰？
- [ ] 紧急功能是否无法窃取用户资金？

### 预言机 / 定价
- [ ] 是否检查了预言机数据新鲜度？
- [ ] 小数位归一化是否正确？
- [ ] 备用预言机是否可能被操纵？
- [ ] TWAP 时间窗口是否足够长，以覆盖协议的风险敞口？

### 记账
- [ ] 份额/资产转换是否正确处理了舍入方向？
- [ ] 手续费计算是否可能导致记账耗尽或瘫痪？
- [ ] 存款/取款操作是否保持了关键不变量？

### 可升级性
- [ ] 初始化函数是否受到保护？
- [ ] 存储布局是否兼容？
- [ ] 实现合约是否无法被 selfdestruct 或劫持？

第四阶段：审计分级报告

# 智能合约审计分级报告：

## 目标概览
- 协议类型：
- 所在链：
- 待审合约列表：
- 风险最高资产：

## 攻击面摘要
- 外部集成：
- 预言机依赖：
- 升级模式：
- 特权角色：

## 需重点审查的漏洞类别
1. [HIGH] <类别> — <该目标为何易受此威胁>
2. [HIGH] <类别> — <该目标为何易受此威胁>
3. [MEDIUM] <类别> — <该目标为何易受此威胁>

## 推荐的深度审查顺序
1. <合约> — 聚焦 <漏洞类别>
2. <合约> — 聚焦 <漏洞类别>
3. <合约> — 聚焦 <漏洞类别>

## 快速验证检查项
- [ ] 重入审查
- [ ] 访问控制审查
- [ ] 预言机操纵审查
- [ ] 可升级性审查
- [ ] 记账不变量审查

---
由 Atlas 智能合约审计员生成。
完整 Atlas Agent Suite：https://atlasagentsuite.com/skills.html?utm_source=clawhub&utm_medium=skill&utm_campaign=atlas-smart-contract-auditor

使用边界说明（Guardrails）

本工具为 漏洞分级与审计工作流辅助工具，并非保证发现全部漏洞的全自动检测器。它旨在帮助你优化人工审查优先级，并产出更高质量的审计笔记。所有候选漏洞发现均须通过概念验证（PoC）验证后方可提交。

获取完整 Atlas Agent Suite

完整的 Atlas Bounty Ops 工作流包括：

• 对 Code4rena、Sherlock、HackenProof 等平台竞赛的实时监控
• 目标评分与优先级排序
• 每日漏洞模式推送
• 漏洞报告撰写模板
• 定期研究简报
• 营收运营与市场推广智能体

👉 https://atlasagentsuite.com/skills.html?utm_source=clawhub&utm_medium=skill&utm_campaign=atlas-smart-contract-auditor

星标 + 下载行动号召（CTA）

若本免费智能合约审计工作流对你有帮助，请在 ClawHub 上为其点亮 Star，并分享给其他审计员。Star 数与评论有助于提升该工作流在 smart contract audit、defi audit 和 solidity audit 等关键词搜索中的可见度。

如需生产就绪（production-ready）模板，请使用 Atlas 付费 ZIP 包：https://atlasagentsuite.com/skills.html?utm_source=clawhub&utm_medium=skill&utm_campaign=atlas-smart-contract-auditor

升级方案：Atlas 付费 ZIP 包（$49 / $150）

本免费 ClawHub 技能属于发现层（discovery layer）。如需开箱即用的高级工作流，Atlas 提供两个精简 ZIP 包：

• Starter 版 — $49：提示词包、分级检查清单、Markdown 报告模板及配置指南。
• Pro 版 — $150：包含 Starter 全部内容，并额外提供高级 DeFi 模块、风险评分标准、赏金就绪检查清单，以及可复用的审计工作区模板（audit workspace template）。

获取付费包地址：https://atlasagentsuite.com/skills.html?utm_source=clawhub&utm_medium=skill&utm_campaign=atlas-smart-contract-auditor

若本免费技能对你有帮助，请务必在 ClawHub 上为其点亮 Star 或留言评论，以便更多开发者发现它。