Segurança e testes

Semgrep is a pattern-based static analysis tool with rulesets for Solidity vulnerabilities. Builders run those rules over a codebase to catch known vulnerable patterns and style issues before review.

heimdall-rs is a Rust EVM toolkit that disassembles bytecode, decompiles contracts, generates control flow graphs, and decodes calldata and traces. Builders reach for it when they need to understand a contract that has no published source.

sol2uml generates UML class and storage-layout diagrams from Solidity source or from verified contracts. Builders run it to see contract relationships and how state variables are packed into storage.

O CodeTracer é um depurador de viagem no tempo fácil de usar, projetado para suportar uma ampla gama de linguagens de programação web3.

The Tenderly CLI is the command line client for Tenderly, pushing contracts for verification and driving error tracking, monitoring, and alerting. Builders install it to run those steps from a terminal or a continuous integration job.

O EDB é um depurador de nível de código-fonte para execução em Solidity com stepping, variáveis locais, watches e pontos de interrupção quando você precisa de visibilidade de nível de IDE no comportamento do contrato onchain ou em testes.

EVMConnector is a browser workspace for calling contract functions on any EVM chain, with saved contracts and shareable call links. Builders use it to drive a contract without writing a script.

A calldata decoder that also unwraps nested function calls. Builders open it when a flat decoder leaves the inner calls of a batched or forwarded transaction unreadable.

SmartContractGUI turns an uploaded ABI into an interface for reading from and writing to that contract on any EVM chain. Builders use it when they have an ABI but no frontend.

Tenderly provides transaction simulation, trace debugging, alerting, and Virtual TestNets for contracts. Builders use it to replay a failing transaction, watch deployed contracts, and test against a forked network.

Web3Client is a browser tool for creating, testing, and sharing contract ABIs and the calls made against them. Builders use it to work out a call and hand the result to someone else.

revm-inspectors is a Rust crate of EVM execution hooks and tracing built on revm, and it powers call tracing in Reth and Foundry. Rust builders import it to build their own tracers and debuggers.

O Simbolik é um poderoso depurador de Solidity que combina a depuração tradicional de pontos de interrupção (breakpoints) com a execução simbólica, permitindo que os desenvolvedores explorem todos os caminhos de execução possíveis e descubram vulnerabilidades com precisão. Disponível como uma extensão do VSCode, o Simbolik se integra perfeitamente aos fluxos de trabalho existentes, oferecendo depuração no estilo de ponto de interrupção, inspeção em nível de Solidity e EVM, e recursos de verificação formal.

pyevmasm is a Python disassembler and assembler for EVM bytecode from Trail of Bits. Analysis scripts import it to turn bytecode into instructions and back.

EVMole extracts function selectors, arguments, and control flow from raw EVM bytecode, including contracts with no verified source. Builders point it at an unknown contract to work out what its functions take.

Um plugin do Hardhat que fornece análises de uso de gás para suítes de testes de contratos inteligentes. Ele tem suporte dedicado para redes OP Stack, é uma dependência em mais de 150 mil repositórios do Github e é baixado do NPM mais de 100 mil vezes por semana.

O Abi Ninja é uma interface de usuário de navegador para chamar contratos com ABIs conhecidas, ABIs coladas ou bytecode descompilado, com leituras cientes de proxy em muitas redes, incluindo seu nó Hardhat ou Anvil em execução local.

hardhat-tracer is a Hardhat plugin that prints internal calls, events, and storage operations for a transaction in the console. Hardhat users install it to see what actually happened inside a failing test transaction.

Radar, from Auditware, is a static analysis tool that covers Solidity as well as Rust, Anchor, and Stylus contracts. Auditors run it to get findings across a mixed contract codebase.

geas, the Good Ethereum Assembler, is an assembler for writing raw EVM bytecode by hand, maintained by a go-ethereum core developer. It is used for EIP test cases and other low-level contract work.

evm-storage turns a transaction hash into readable state diffs and can list a contract's full storage. Builders install the command line tool when they need to see exactly which storage slots a call changed.

O Loop Decoder é uma biblioteca TypeScript com dependências externas mínimas que transforma dados da blockchain em um formato legível por humanos.

scopelint is an opinionated formatter and linter for Foundry Solidity projects. Builders install it to hold a codebase to the ScopeLift conventions.

Depurador e simulador de transação baseado na web para a EVM. De código aberto e auto-hospedável. Inspecione os estados das variáveis em cada etapa, simule transações antes de implantar e crie perfis de uso de gás. Suporta qualquer provedor RPC.

forky is a fork choice viewer for the Ethereum beacon chain. Consensus client developers self-host it or use the public instances to see and debug fork choice behavior on mainnet and testnets.

sol-profiler is a command line tool that lists a Solidity contract's methods with their visibility, mutability and modifiers. Reviewers run it to see the surface of a contract at a glance.

tracoor is an explorer for beacon states and execution traces. Client and protocol developers self-host it to inspect block and state traces on devnets and testnets.

Slippy is a Solidity linter for static analysis of smart contracts. Teams install the npm package to lint contracts as part of a build.

4byte.directory maps four-byte function selectors and 32-byte event-signature hashes to their human-readable signatures. Builders query it when decoding calldata or logs from contracts without a published ABI.

O viem-tracer aprimora um cliente Viem para que as chamadas ethestimateGas e ethsendTransaction que falharam incluam automaticamente uma saída de rastreamento legível por humanos decodificada com sourcify.dev, e adiciona auxiliares tipados em torno de debug_traceCall para que os desenvolvedores possam inspecionar a execução sem sair de sua pilha RPC existente.

O Chimera é um framework para escrever testes Solidity no Foundry e poder reutilizá-los com outras ferramentas de código aberto, como Echidna, Medusa, Halmos e Kontrol

O Slither é o mecanismo de análise estática em Python da Trail of Bits para Solidity e Vyper: execute-o em CI para acionar detectores, imprimir visualizações estruturais de contratos ou criar scripts de verificações personalizadas em bases de código inteiras.

Echidna is a property-based and grammar fuzzer for Ethereum smart contracts. Builders and auditors write properties with it to find inputs that break contract invariants.

O Synpress sobrepõe o Playwright com automação de navegador ciente do Ethereum para que você possa testar aplicativos descentralizados (dapps) de ponta a ponta, incluindo pop-ups de carteira e trocas de cadeia, em CI.

O Aderyn é o analisador estático de contratos inteligentes em Solidity de código aberto e baseado em Rust da Cyfrin, projetado para ajudar engenheiros de protocolo e pesquisadores de segurança a encontrar vulnerabilidades em bases de código Solidity.

ItyFuzz is a bytecode-level smart-contract fuzzer that combines fuzzing with symbolic analysis. Builders and auditors run it against EVM bytecode when source-level fuzzing is not enough or no source is available.

O Medusa é um fuzzer de contratos inteligentes com estado (stateful) inspirado no Echidna. Ele fornece testes de fuzzing paralelizados de contratos inteligentes e a verificação de invariantes avançados de contratos inteligentes.

eth-tester is a pluggable in-memory Ethereum backend used by web3.py for fast unit tests. Python builders import it when tests should run against a simulated chain instead of a node.

O Titanoboa é um interpretador Vyper interativo e ambiente de teste para ciclos de feedback rápidos quando você está experimentando contratos fora de um ciclo completo do Foundry.

Hive is an end-to-end integration test harness that runs Ethereum clients in Docker across simulator scenarios. Client teams use it to check that implementations agree with each other.

goevmlab is an EVM fuzzing and differential testing lab built by a go-ethereum core developer. EVM implementers use it to fuzz their own implementation and compare its behavior against others to find divergences.

O solidity-coverage fornece cobertura de código de contrato inteligente para a plataforma de desenvolvedor Hardhat. É altamente preciso, suporta compilação completa de Solidity viaIR e um grande conjunto de padrões de ramificação de código específicos do Solidity. Está instalado em ~230 mil projetos do Github e é baixado ~100 mil vezes por semana do NPM.

O hevm é um mecanismo de execução da EVM simbólico e concreto, rápido, de código aberto e de última geração, que pode encontrar problemas em contratos inteligentes. Por meio de seu sistema de execução e análise simbólica, o hevm pode executar contratos de forma simbólica, semiconcreta ou concreta para encontrar bugs, ou comparar dois contratos diferentes em busca de discrepâncias, realizando a verificação de equivalência.

O Crytic-Properties é um conjunto de testes de segurança reutilizáveis para alguns dos padrões de token mais amplamente utilizados, como ERC-20, ERC-721, ERC-4626 e muito mais.

AuditHub is Veridise's hosted security platform that connects to a GitHub repository and runs automated checks on every commit. It bundles Vanguard (static analysis for Solidity 0.8.4 and newer, in Hardhat and Foundry projects), OrCa (a specification-driven fuzzer for multi-contract DeFi protocols), Picus (determinism verification for ZK circuits) and ZK Vanguard (static analysis for ZK circuits). Smart contract and ZK teams use it to catch reentrancy, specification violations and underconstrained circuits during development, before an external audit.

contender from Flashbots is a load-testing tool that floods EVM execution nodes over JSON-RPC and benchmarks the results. Teams benchmarking a client point it at an endpoint to generate load and measure throughput.

Um gerador de testes de contratos inteligentes baseado na Técnica de Árvore de Ramificação (Branching Tree Technique).

spamoor is a configurable Ethereum transaction generator for load-testing testnets and devnets with realistic traffic. Teams point it at a network to see how it behaves under sustained transaction volume.

Assertoor runs configurable checks and assertions against a live Ethereum devnet to validate its behavior. Client and devnet teams use it to confirm a running network is healthy, in the same family as Hive.

A KEVM é a semântica executável do K-framework da EVM: aponte-a para o bytecode quando precisar de execução com verificação de conformidade, exploração simbólica, raciocínio de gás ou provas que acompanhem de perto as regras do Ethereum.

O hax é uma ferramenta para traduções de alta garantia de um grande subconjunto de Rust para linguagens formais como F* ou Rocq.

Certora Prover is a cloud formal-verification service that checks specifications written in CVL against deployed contract code. Verification engineers use it to prove that a contract holds stated properties for all inputs.

O Kontrol eleva os testes de propriedade do Foundry a provas apoiadas pela KEVM para que você possa buscar garantias formais com menos trabalho de especificação manual do que apenas com a KEVM bruta.

O Act é a linguagem de especificação declarativa e o conjunto de ferramentas do Ethereum para descrever todos os comportamentos de um programa EVM, para que solucionadores SMT, provadores de teoremas ou ferramentas de análise econômica possam raciocinar sobre a correção no nível do bytecode e a compatibilidade de incentivos, incluindo provas de refinamento automático contra implementações concretas.

O Verifereum conecta contratos inteligentes do Ethereum à prova de teoremas apoiada por HOL4 para que você possa buscar alegações de correção muito fortes quando as abordagens SMT automatizadas não forem suficientes.

Certora AutoProver is an AI bot that automates parts of formal verification for smart contracts. Verification engineers use it to generate and run checks with less manual specification work.