Sicurezza e testing

Semgrep is a pattern-based static analysis tool with rulesets for Solidity vulnerabilities. Builders run those rules over a codebase to catch known vulnerable patterns and style issues before review.

heimdall-rs is a Rust EVM toolkit that disassembles bytecode, decompiles contracts, generates control flow graphs, and decodes calldata and traces. Builders reach for it when they need to understand a contract that has no published source.

sol2uml generates UML class and storage-layout diagrams from Solidity source or from verified contracts. Builders run it to see contract relationships and how state variables are packed into storage.

CodeTracer è un debugger con viaggio nel tempo intuitivo progettato per supportare un'ampia gamma di linguaggi di programmazione del Web3.

The Tenderly CLI is the command line client for Tenderly, pushing contracts for verification and driving error tracking, monitoring, and alerting. Builders install it to run those steps from a terminal or a continuous integration job.

EDB è un debugger a livello di codice sorgente per l'esecuzione di Solidity con esecuzione passo-passo, variabili locali, espressioni di controllo e punti di interruzione quando hai bisogno di una visibilità di livello IDE nel comportamento del contratto onchain o nei test.

EVMConnector is a browser workspace for calling contract functions on any EVM chain, with saved contracts and shareable call links. Builders use it to drive a contract without writing a script.

A calldata decoder that also unwraps nested function calls. Builders open it when a flat decoder leaves the inner calls of a batched or forwarded transaction unreadable.

SmartContractGUI turns an uploaded ABI into an interface for reading from and writing to that contract on any EVM chain. Builders use it when they have an ABI but no frontend.

Tenderly provides transaction simulation, trace debugging, alerting, and Virtual TestNets for contracts. Builders use it to replay a failing transaction, watch deployed contracts, and test against a forked network.

Web3Client is a browser tool for creating, testing, and sharing contract ABIs and the calls made against them. Builders use it to work out a call and hand the result to someone else.

revm-inspectors is a Rust crate of EVM execution hooks and tracing built on revm, and it powers call tracing in Reth and Foundry. Rust builders import it to build their own tracers and debuggers.

pyevmasm is a Python disassembler and assembler for EVM bytecode from Trail of Bits. Analysis scripts import it to turn bytecode into instructions and back.

Simbolik è un potente debugger per Solidity che combina il tradizionale debug con breakpoint con l'esecuzione simbolica, consentendo agli sviluppatori di esplorare ogni possibile percorso di esecuzione e scoprire le vulnerabilità con precisione. Disponibile come estensione per VSCode, Simbolik si integra perfettamente nei flussi di lavoro esistenti, offrendo debug in stile breakpoint, ispezione a livello di Solidity ed EVM e funzionalità di verifica formale.

EVMole extracts function selectors, arguments, and control flow from raw EVM bytecode, including contracts with no verified source. Builders point it at an unknown contract to work out what its functions take.

Un plugin per Hardhat che fornisce analisi sull'utilizzo del gas per le suite di test degli smart contract. Ha un supporto dedicato per le catene OPStack, è una dipendenza in oltre 150.000 repository GitHub e viene scaricato da NPM oltre 100.000 volte a settimana.

Abi Ninja è un'interfaccia utente per browser per chiamare contratti con ABI note, ABI incollate o bytecode decompilato, con letture sensibili ai proxy su molte reti, incluso il tuo nodo Hardhat o Anvil in esecuzione locale.

hardhat-tracer is a Hardhat plugin that prints internal calls, events, and storage operations for a transaction in the console. Hardhat users install it to see what actually happened inside a failing test transaction.

Radar, from Auditware, is a static analysis tool that covers Solidity as well as Rust, Anchor, and Stylus contracts. Auditors run it to get findings across a mixed contract codebase.

geas, the Good Ethereum Assembler, is an assembler for writing raw EVM bytecode by hand, maintained by a go-ethereum core developer. It is used for EIP test cases and other low-level contract work.

evm-storage turns a transaction hash into readable state diffs and can list a contract's full storage. Builders install the command line tool when they need to see exactly which storage slots a call changed.

Loop Decoder è una libreria TypeScript con dipendenze esterne minime che trasforma i dati della blockchain in un formato leggibile dall'uomo.

scopelint is an opinionated formatter and linter for Foundry Solidity projects. Builders install it to hold a codebase to the ScopeLift conventions.

Debugger e simulatore di transazioni basato sul web per l'EVM. Open source e self-hostable. Ispeziona gli stati delle variabili in ogni fase, simula le transazioni prima di distribuirle e analizza l'utilizzo del gas. Supporta qualsiasi provider RPC.

forky is a fork choice viewer for the Ethereum beacon chain. Consensus client developers self-host it or use the public instances to see and debug fork choice behavior on mainnet and testnets.

sol-profiler is a command line tool that lists a Solidity contract's methods with their visibility, mutability and modifiers. Reviewers run it to see the surface of a contract at a glance.

tracoor is an explorer for beacon states and execution traces. Client and protocol developers self-host it to inspect block and state traces on devnets and testnets.

Slippy is a Solidity linter for static analysis of smart contracts. Teams install the npm package to lint contracts as part of a build.

4byte.directory maps four-byte function selectors and 32-byte event-signature hashes to their human-readable signatures. Builders query it when decoding calldata or logs from contracts without a published ABI.

viem-tracer potenzia un client Viem in modo che le chiamate ethestimateGas ed ethsendTransaction non riuscite includano automaticamente un output di tracciamento leggibile dall'uomo decodificato con sourcify.dev, e aggiunge assistenti tipizzati attorno a debug_traceCall in modo che gli sviluppatori possano ispezionare l'esecuzione senza abbandonare il loro stack RPC esistente.

Chimera è un framework per scrivere test Solidity in Foundry e poterli riutilizzare con altri strumenti open source come Echidna, Medusa, Halmos e Kontrol

Slither è il motore di analisi statica in Python di Trail of Bits per Solidity e Vyper: eseguilo in CI per attivare rilevatori, stampare viste strutturali dei contratti o creare script per controlli personalizzati su intere codebase.

Echidna is a property-based and grammar fuzzer for Ethereum smart contracts. Builders and auditors write properties with it to find inputs that break contract invariants.

Synpress sovrappone Playwright con l'automazione del browser compatibile con Ethereum in modo da poter testare le dapp end-to-end, inclusi i popup del portafoglio e i cambi di catena, in CI.

ItyFuzz is a bytecode-level smart-contract fuzzer that combines fuzzing with symbolic analysis. Builders and auditors run it against EVM bytecode when source-level fuzzing is not enough or no source is available.

Aderyn è l'analizzatore statico open source di smart contract Solidity basato su Rust di Cyfrin, progettato per aiutare gli ingegneri di protocollo e i ricercatori di sicurezza a trovare vulnerabilità nelle basi di codice Solidity

Medusa è un fuzzer di smart contract con stato ispirato a Echidna. Fornisce test di fuzzing parallelizzati degli smart contract e la verifica di invarianti avanzati degli smart contract.

eth-tester is a pluggable in-memory Ethereum backend used by web3.py for fast unit tests. Python builders import it when tests should run against a simulated chain instead of a node.

Titanoboa è un interprete Vyper interattivo e un ambiente di test per cicli di feedback rapidi quando sperimenti con i contratti al di fuori di un ciclo Foundry completo.

Hive is an end-to-end integration test harness that runs Ethereum clients in Docker across simulator scenarios. Client teams use it to check that implementations agree with each other.

goevmlab is an EVM fuzzing and differential testing lab built by a go-ethereum core developer. EVM implementers use it to fuzz their own implementation and compare its behavior against others to find divergences.

solidity-coverage fornisce la copertura del codice degli smart contract per la piattaforma per sviluppatori Hardhat. È altamente accurato, supporta la compilazione completa di Solidity viaIR e un ampio set di pattern di rami di codice specifici per Solidity. È installato su circa 230.000 progetti GitHub e viene scaricato circa 100.000 volte a settimana da NPM.

hevm è un motore di esecuzione EVM simbolico e concreto, veloce, all'avanguardia e open source, in grado di trovare problemi negli smart contract. Attraverso il suo sistema di esecuzione e analisi simbolica, hevm può eseguire contratti in modo simbolico, semi-concreto o concreto per trovare bug, o confrontare due contratti diversi per individuare discrepanze, eseguendo un controllo di equivalenza.

Crytic-Properties è una suite di test di sicurezza riutilizzabili per alcuni degli standard di token più ampiamente utilizzati come ERC-20, ERC-721, ERC-4626 e altri.

AuditHub is Veridise's hosted security platform that connects to a GitHub repository and runs automated checks on every commit. It bundles Vanguard (static analysis for Solidity 0.8.4 and newer, in Hardhat and Foundry projects), OrCa (a specification-driven fuzzer for multi-contract DeFi protocols), Picus (determinism verification for ZK circuits) and ZK Vanguard (static analysis for ZK circuits). Smart contract and ZK teams use it to catch reentrancy, specification violations and underconstrained circuits during development, before an external audit.

contender from Flashbots is a load-testing tool that floods EVM execution nodes over JSON-RPC and benchmarks the results. Teams benchmarking a client point it at an endpoint to generate load and measure throughput.

Un generatore di test per smart contract basato sulla Branching Tree Technique.

spamoor is a configurable Ethereum transaction generator for load-testing testnets and devnets with realistic traffic. Teams point it at a network to see how it behaves under sustained transaction volume.

Assertoor runs configurable checks and assertions against a live Ethereum devnet to validate its behavior. Client and devnet teams use it to confirm a running network is healthy, in the same family as Hive.

KEVM è la semantica eseguibile del K-framework dell'EVM: puntalo al bytecode quando hai bisogno di un'esecuzione con controllo di conformità, esplorazione simbolica, ragionamento sul gas o prove che seguono da vicino le regole di Ethereum.

hax è uno strumento per traduzioni ad alta garanzia di un ampio sottoinsieme di Rust in linguaggi formali come F* o Rocq.

Certora Prover is a cloud formal-verification service that checks specifications written in CVL against deployed contract code. Verification engineers use it to prove that a contract holds stated properties for all inputs.

Kontrol eleva i test delle proprietà di Foundry in prove supportate da KEVM, in modo da poter perseguire garanzie formali con meno lavoro di specifica scritto a mano rispetto al solo KEVM grezzo.

Act è il linguaggio di specifica dichiarativa e la toolchain di Ethereum per descrivere tutti i comportamenti di un programma EVM, in modo che i risolutori SMT, i dimostratori di teoremi o gli strumenti di analisi economica possano ragionare sulla correttezza a livello di bytecode e sulla compatibilità degli incentivi, incluse le prove di raffinamento automatico rispetto a implementazioni concrete.

Verifereum connette gli smart contract di Ethereum alla dimostrazione di teoremi supportata da HOL4, in modo da poter puntare a dichiarazioni di correttezza molto forti quando gli approcci SMT automatizzati non sono sufficienti.

Certora AutoProver is an AI bot that automates parts of formal verification for smart contracts. Verification engineers use it to generate and run checks with less manual specification work.