Как читать смарт-контракты, не будучи разработчиком

(или как не потерять деньги в коде, который ты даже не собирался читать)

В этой статье мы разбираем контракты, с которыми чаще всего сталкивается обычный пользователь: токены, NFT, дропы, DeFi-протоколы. Мы не касаемся архитектур уровня DAO, L2 или инфраструктурных решений — это отдельные большие темы.

Открыть смарт-контракт на Etherscan — это как впервые заглянуть под капот машины и осознать, что всё это время думал, что двигатель — это просто большая батарейка. Там строчки, какие-то function, require, mapping, и всё это похоже на древнюю магию, записанную программистами-шаманами в ночь затмения.

Большинство людей делают логичный выбор:

«Закрыть вкладку и верить в добро».

Но, к сожалению, в крипте такая стратегия приводит к известному результату — вы просыпаетесь без денег и с новым опытом. А иногда — просто без денег, даже не поняв, где именно всё пошло не так.

Поэтому давай сделаем невозможное:

Научимся читать смарт-контракты.

Нет, не как разработчик. А как умный крипто-человек: не гений, но и не наивный инвестор, кидающий эфир в любые красивые пиксели.

Смарт-контракт — это не контракт и не особо смарт.

Это просто кусок кода, который лежит в блокчейне и выполняет то, что в нём написано. Никакой магии. Только логика.

Если код говорит «отдай деньги при таких-то условиях» — он отдаст. Если код говорит «держи эти средства, пока что-то не случится» — он будет держать. Если код говорит «переведи всё владельцу через три дня» — ты можешь догадаться, что произойдёт на третий день.

Почему это важно:

Смарт-контракт — это всё, что стоит между твоими деньгами и чьим-то желанием их украсть. Он — судья, полицейский и банк в одном лице. Только его никто не контролирует. Он работает как написано. И если написано плохо — никому не пожаловаться.

Простой аналог:

Представь себе турникет в метро. Ты прикладываешь проездной — он должен пропустить. Но из-за бага или хитрости в системе турникет просто списывает деньги и не открывается. Ты злишься, но сделать ничего нельзя: устройство сработало ровно так, как было запрограммировано.

Вот смарт-контракт — такой же турникет. Только цифровой. И на кону не поездка в метро, а твои деньги в блокчейне.

Когда ты открываешь контракт на Etherscan и видишь вкладки — не паникуй. Всё не так страшно. Есть три основные зоны, которые тебе нужно знать:

Сами названия кнопок могут выглядеть пугающе, вроде mint или pause, но мы к ним вернёмся чуть позже и объясним каждую. Пока важно просто понимать, где они находятся и кто может ими пользоваться.

Представь, что ты заходишь в помещение с кучей рычагов, кнопок и светящихся панелей. Пока ты не знаешь, что за что отвечает — страшно трогать, но хотя бы понимать, где что находится — уже огромный шаг. Так и со смарт-контрактом: он может казаться безобидным, но если не знать, какие «рычаги» где и кто к ним имеет доступ, — можно случайно оказаться в тёмной комнате и без денег.

Функция owner() показывает, какому адресу переданы права управления контрактом — будь то человек, мультиподпись или другой смарт-контракт.

Этот адрес может иметь:

Проверь:

mint() — кто имеет право создавать новые токены и запускать их в оборот?

withdraw() / withdrawAll() — кто может всё забрать?

set...() — можно ли менять настройки контракта вручную?

pause() — кто может остановить всё?

renounceOwnership() — разработчики отпустили контроль... или сделали вид?

Простой принцип:

Если ты видишь функции, которые можно использовать для того, чтобы всё поменять, выключить или украсть — задай себе вопрос:

«Кто может это сделать?»

Прокси-контракт — это не сам контракт, а его обложка.

Ты смотришь на одно, но работает совсем другое. Потому что логика находится в другом контракте — который можно поменять в любой момент.

Как распознать прокси:

...и в этом новом контракте уже будет всё, что угодно: от скрытого вывода средств до ********************rugPullNow().

(Такой функции, конечно, не существует — но если бы существовала, она бы делала ровно то, о чём ты подумал.)

Кстати, если ты не в курсе, что такое rug pull — это когда создатели проекта просто выдёргивают ковёр из-под ног всех пользователей. Проект обещает децентрализацию, токеномика честная, сайт красивый, команда в твиттере.

А потом — вжух! — вся ликвидность исчезает, деньги выводятся, сайт умирает, а ты остаёшься с токенами, которые стоят, как обёртка от шоколадки.

Transactions — всё, что происходило: кто вызывал функции, когда, на какую сумму.

Internal Txns — действия внутри: автоматические переводы, скрытые движения денег.

Ищи:

Это как история браузера: на экране — рабочий стол и папка «Проекты». А потом смотришь лог — и видишь, что большую часть дня человек читал отзывы о микроволновках. Так и с контрактом: по действиям видно гораздо больше, чем по обещаниям.

1. Контракт верифицирован?

Есть код — хорошо. Нет — уходи.

2. Кто владелец (owner()************************************)?

3. Есть ли опасные функции?

4. Прокси?

5. Что контракт уже делал?

6. Проверка на сторонних сервисах:

Смарт-контракты пугают, потому что написаны не для людей.

Но теперь ты знаешь, где смотреть.

Ты не обязан уметь читать каждую строчку, но теперь у тебя есть карта.

Ты знаешь, кто владеет контрактом.

Ты умеешь распознавать кнопки, за которыми может быть ловушка.

Ты можешь отличить фасад от настоящего кода.

Ты видишь действия, а не только обещания.

В мире, где кнопка pause() может остановить проект, а mint() — обрушить цену,способность читать контракт — это твой криптокомпас.

А видеть — это уже очень много.

Если хочешь узнать больше о криптовалюте и обмене, подписывайся на наш канал в Telegram, где мы делимся полезной информацией и обновлениями.