Sicherheit & Testing

Semgrep is a pattern-based static analysis tool with rulesets for Solidity vulnerabilities. Builders run those rules over a codebase to catch known vulnerable patterns and style issues before review.

heimdall-rs is a Rust EVM toolkit that disassembles bytecode, decompiles contracts, generates control flow graphs, and decodes calldata and traces. Builders reach for it when they need to understand a contract that has no published source.

sol2uml generates UML class and storage-layout diagrams from Solidity source or from verified contracts. Builders run it to see contract relationships and how state variables are packed into storage.

CodeTracer ist ein benutzerfreundlicher Time-Traveling-Debugger, der entwickelt wurde, um eine breite Palette von Web3-Programmiersprachen zu unterstützen.

The Tenderly CLI is the command line client for Tenderly, pushing contracts for verification and driving error tracking, monitoring, and alerting. Builders install it to run those steps from a terminal or a continuous integration job.

EDB ist ein Source-Level-Debugger für die Solidity-Ausführung mit Stepping, lokalen Variablen, Watches und Haltepunkten, wenn Sie IDE-ähnliche Sichtbarkeit in das Vertragsverhalten onchain oder in Tests benötigen.

EVMConnector is a browser workspace for calling contract functions on any EVM chain, with saved contracts and shareable call links. Builders use it to drive a contract without writing a script.

A calldata decoder that also unwraps nested function calls. Builders open it when a flat decoder leaves the inner calls of a batched or forwarded transaction unreadable.

SmartContractGUI turns an uploaded ABI into an interface for reading from and writing to that contract on any EVM chain. Builders use it when they have an ABI but no frontend.

Tenderly provides transaction simulation, trace debugging, alerting, and Virtual TestNets for contracts. Builders use it to replay a failing transaction, watch deployed contracts, and test against a forked network.

Web3Client is a browser tool for creating, testing, and sharing contract ABIs and the calls made against them. Builders use it to work out a call and hand the result to someone else.

revm-inspectors is a Rust crate of EVM execution hooks and tracing built on revm, and it powers call tracing in Reth and Foundry. Rust builders import it to build their own tracers and debuggers.

pyevmasm is a Python disassembler and assembler for EVM bytecode from Trail of Bits. Analysis scripts import it to turn bytecode into instructions and back.

Simbolik ist ein leistungsstarker Solidity-Debugger, der traditionelles Breakpoint-Debugging mit symbolischer Ausführung kombiniert und es Entwicklern ermöglicht, jeden möglichen Ausführungspfad zu erkunden und Schwachstellen präzise aufzudecken. Simbolik ist als VSCode-Erweiterung verfügbar und lässt sich nahtlos in bestehende Workflows integrieren. Es bietet Breakpoint-Debugging, Inspektion auf Solidity- und EVM-Ebene sowie Funktionen zur formalen Verifikation.

EVMole extracts function selectors, arguments, and control flow from raw EVM bytecode, including contracts with no verified source. Builders point it at an unknown contract to work out what its functions take.

Ein hardhat-Plugin, das Gasverbrauchsanalysen für Smart-Contract-Test-Suites bereitstellt. Es bietet dedizierte Unterstützung für OPStack-Chains, ist eine Abhängigkeit in > 150k Github-Repos und wird > 100k pro Woche von NPM heruntergeladen.

Abi Ninja ist eine Browser-Benutzeroberfläche zum Aufrufen von Verträgen mit bekannten ABIs, eingefügten ABIs oder dekompiliertem Bytecode, mit Proxy-fähigen Lesevorgängen über viele Netzwerke hinweg, einschließlich Ihres lokal ausgeführten Hardhat- oder Anvil-Knotens.

hardhat-tracer is a Hardhat plugin that prints internal calls, events, and storage operations for a transaction in the console. Hardhat users install it to see what actually happened inside a failing test transaction.

Radar, from Auditware, is a static analysis tool that covers Solidity as well as Rust, Anchor, and Stylus contracts. Auditors run it to get findings across a mixed contract codebase.

geas, the Good Ethereum Assembler, is an assembler for writing raw EVM bytecode by hand, maintained by a go-ethereum core developer. It is used for EIP test cases and other low-level contract work.

evm-storage turns a transaction hash into readable state diffs and can list a contract's full storage. Builders install the command line tool when they need to see exactly which storage slots a call changed.

Loop Decoder ist eine TypeScript-Bibliothek mit minimalen externen Abhängigkeiten, die Blockchain-Daten in ein für Menschen lesbares Format umwandelt.

scopelint is an opinionated formatter and linter for Foundry Solidity projects. Builders install it to hold a codebase to the ScopeLift conventions.

Webbasierter Transaktions-Debugger und Simulator für die EVM. Quelloffen und selbst hostbar. Überprüfen Sie Variablenzustände bei jedem Schritt, simulieren Sie Transaktionen vor der Bereitstellung und erstellen Sie Profile des Gasverbrauchs. Unterstützt jeden RPC-Anbieter.

forky is a fork choice viewer for the Ethereum beacon chain. Consensus client developers self-host it or use the public instances to see and debug fork choice behavior on mainnet and testnets.

sol-profiler is a command line tool that lists a Solidity contract's methods with their visibility, mutability and modifiers. Reviewers run it to see the surface of a contract at a glance.

tracoor is an explorer for beacon states and execution traces. Client and protocol developers self-host it to inspect block and state traces on devnets and testnets.

Slippy is a Solidity linter for static analysis of smart contracts. Teams install the npm package to lint contracts as part of a build.

4byte.directory maps four-byte function selectors and 32-byte event-signature hashes to their human-readable signatures. Builders query it when decoding calldata or logs from contracts without a published ABI.

viem-tracer erweitert einen Viem-Client, sodass fehlgeschlagene Aufrufe von ethestimateGas und ethsendTransaction automatisch eine für Menschen lesbare Trace-Ausgabe enthalten, die mit sourcify.dev decodiert wurde. Zudem fügt es typisierte Helfer rund um debug_traceCall hinzu, damit Entwickler die Ausführung überprüfen können, ohne ihren bestehenden RPC-Stack zu verlassen.

Chimera ist ein Framework, um Solidity-Tests in foundry zu schreiben und sie mit anderen Open-Source-Tools wie Echidna, Medusa, Halmos und Kontrol wiederverwenden zu können

Slither ist die statische Python-Analyse-Engine von Trail of Bits für Solidity und Vyper: Führen Sie sie in der CI aus, um Detektoren auszulösen, Strukturansichten von Verträgen zu drucken oder benutzerdefinierte Prüfungen über ganze Codebasen hinweg zu skripten.

Echidna is a property-based and grammar fuzzer for Ethereum smart contracts. Builders and auditors write properties with it to find inputs that break contract invariants.

Synpress kombiniert Playwright mit Ethereum-fähiger Browser-Automatisierung, sodass Sie dezentrale Anwendungen (Dapps) einschließlich Wallet-Popups und Chain-Wechseln in der CI durchgängig testen können.

ItyFuzz is a bytecode-level smart-contract fuzzer that combines fuzzing with symbolic analysis. Builders and auditors run it against EVM bytecode when source-level fuzzing is not enough or no source is available.

Aderyn ist Cyfrins quelloffener, Rust-basierter statischer Analysator für Solidity-Smart-Contracts, der Protokoll-Ingenieuren und Sicherheitsforschern helfen soll, Schwachstellen in Solidity-Codebasen zu finden.

Medusa ist ein zustandsbehafteter Smart-Contract-Fuzzer, der von Echidna inspiriert wurde. Er bietet parallelisiertes Fuzz-Testing von Smart Contracts und die Verifizierung fortgeschrittener Smart-Contract-Invarianten.

eth-tester is a pluggable in-memory Ethereum backend used by web3.py for fast unit tests. Python builders import it when tests should run against a simulated chain instead of a node.

Titanoboa ist ein interaktiver Vyper-Interpreter und eine Testumgebung für schnelle Feedbackschleifen, wenn Sie mit Verträgen außerhalb einer vollständigen Foundry-Schleife experimentieren.

Hive is an end-to-end integration test harness that runs Ethereum clients in Docker across simulator scenarios. Client teams use it to check that implementations agree with each other.

goevmlab is an EVM fuzzing and differential testing lab built by a go-ethereum core developer. EVM implementers use it to fuzz their own implementation and compare its behavior against others to find divergences.

solidity-coverage bietet Smart-Contract-Codeabdeckung für die Hardhat-Entwicklerplattform. Es ist hochpräzise, unterstützt die vollständige viaIR-Solidity-Kompilierung und eine große Anzahl von Solidity-spezifischen Code-Branch-Mustern. Es ist in ~230k Github-Projekten installiert und wird ~100k Mal pro Woche von NPM heruntergeladen.

hevm ist eine quelloffene, hochmoderne, schnelle symbolische und konkrete EVM-Ausführungs-Engine, die Probleme in Smart Contracts finden kann. Durch sein symbolisches Ausführungs- und Analysesystem kann hevm Verträge symbolisch, halbkonkret oder konkret ausführen, um Fehler zu finden, oder zwei verschiedene Verträge auf Diskrepanzen vergleichen und eine Äquivalenzprüfung durchführen.

Crytic-Properties ist eine Suite wiederverwendbarer Sicherheitstests für einige der am weitesten verbreiteten Token-Standards wie ERC-20, ERC-721, ERC-4626 und mehr.

AuditHub is Veridise's hosted security platform that connects to a GitHub repository and runs automated checks on every commit. It bundles Vanguard (static analysis for Solidity 0.8.4 and newer, in Hardhat and Foundry projects), OrCa (a specification-driven fuzzer for multi-contract DeFi protocols), Picus (determinism verification for ZK circuits) and ZK Vanguard (static analysis for ZK circuits). Smart contract and ZK teams use it to catch reentrancy, specification violations and underconstrained circuits during development, before an external audit.

contender from Flashbots is a load-testing tool that floods EVM execution nodes over JSON-RPC and benchmarks the results. Teams benchmarking a client point it at an endpoint to generate load and measure throughput.

Ein Smart-Contract-Testgenerator basierend auf der Branching Tree Technique.

spamoor is a configurable Ethereum transaction generator for load-testing testnets and devnets with realistic traffic. Teams point it at a network to see how it behaves under sustained transaction volume.

Assertoor runs configurable checks and assertions against a live Ethereum devnet to validate its behavior. Client and devnet teams use it to confirm a running network is healthy, in the same family as Hive.

KEVM ist die ausführbare K-Framework-Semantik der EVM: Wenden Sie sie auf Bytecode an, wenn Sie konformitätsgeprüfte Ausführung, symbolische Erkundung, Gas-Analysen oder Beweise benötigen, die den Regeln von Ethereum genau folgen.

hax ist ein Tool für hochsichere Übersetzungen einer großen Teilmenge von Rust in formale Sprachen wie F* oder Rocq.

Certora Prover is a cloud formal-verification service that checks specifications written in CVL against deployed contract code. Verification engineers use it to prove that a contract holds stated properties for all inputs.

Kontrol hebt Foundry-Eigenschaftstests in KEVM-gestützte Beweise, sodass Sie formale Garantien mit weniger handgeschriebener Spezifikationsarbeit als mit reinem KEVM allein anstreben können.

Act ist Ethereums deklarative Spezifikationssprache und Toolchain zur Beschreibung aller Verhaltensweisen eines EVM-Programms, sodass SMT-Solver, Theorembeweiser oder wirtschaftliche Analysetools über die Korrektheit auf Bytecode-Ebene und die Anreizkompatibilität nachdenken können, einschließlich automatischer Verfeinerungsbeweise gegen konkrete Implementierungen.

Verifereum verbindet Ethereum-Smart-Contracts mit HOL4-gestütztem Theorembeweisen, sodass Sie sehr starke Korrektheitsansprüche anstreben können, wenn automatisierte SMT-Ansätze nicht ausreichen.

Certora AutoProver is an AI bot that automates parts of formal verification for smart contracts. Verification engineers use it to generate and run checks with less manual specification work.