Безпека та тестування

Semgrep is a pattern-based static analysis tool with rulesets for Solidity vulnerabilities. Builders run those rules over a codebase to catch known vulnerable patterns and style issues before review.

heimdall-rs is a Rust EVM toolkit that disassembles bytecode, decompiles contracts, generates control flow graphs, and decodes calldata and traces. Builders reach for it when they need to understand a contract that has no published source.

sol2uml generates UML class and storage-layout diagrams from Solidity source or from verified contracts. Builders run it to see contract relationships and how state variables are packed into storage.

CodeTracer — це зручний відлагоджувач із можливістю подорожі в часі, розроблений для підтримки широкого спектру мов програмування web3.

EDB — це відлагоджувач на рівні вихідного коду для виконання Solidity з покроковим виконанням, локальними змінними, спостереженнями та точками зупину, коли вам потрібна видимість поведінки контракту ончейн або в тестах на рівні IDE.

The ABI Calldata Layout Visualizer decodes ABI calldata and draws its byte layout, showing where heads, tails, and offsets sit in the encoded payload. Builders open it when a plain decoder does not explain why an encoding is wrong.

EVMConnector is a browser workspace for calling contract functions on any EVM chain, with saved contracts and shareable call links. Builders use it to drive a contract without writing a script.

The HashEx ABI Encoder is a web form that ABI-encodes constructor and function arguments from a pasted signature and values. Builders use it when they need encoded arguments and are not at a terminal.

Radar, from Auditware, is a static analysis tool that covers Solidity as well as Rust, Anchor, and Stylus contracts. Auditors run it to get findings across a mixed contract codebase.

A calldata decoder that also unwraps nested function calls. Builders open it when a flat decoder leaves the inner calls of a batched or forwarded transaction unreadable.

SmartContractGUI turns an uploaded ABI into an interface for reading from and writing to that contract on any EVM chain. Builders use it when they have an ABI but no frontend.

sol-profiler is a command line tool that lists a Solidity contract's methods with their visibility, mutability and modifiers. Reviewers run it to see the surface of a contract at a glance.

Tenderly provides transaction simulation, trace debugging, alerting, and Virtual TestNets for contracts. Builders use it to replay a failing transaction, watch deployed contracts, and test against a forked network.

The Tenderly CLI is the command line client for Tenderly, pushing contracts for verification and driving error tracking, monitoring, and alerting. Builders install it to run those steps from a terminal or a continuous integration job.

Web3Client is a browser tool for creating, testing, and sharing contract ABIs and the calls made against them. Builders use it to work out a call and hand the result to someone else.

revm-inspectors is a Rust crate of EVM execution hooks and tracing built on revm, and it powers call tracing in Reth and Foundry. Rust builders import it to build their own tracers and debuggers.

Simbolik — це потужний відлагоджувач Solidity, який поєднує традиційне відлагодження за точками зупину із символьним виконанням, дозволяючи розробникам досліджувати кожен можливий шлях виконання та з точністю виявляти вразливості. Доступний як розширення для VSCode, Simbolik легко інтегрується в існуючі робочі процеси, пропонуючи відлагодження в стилі точок зупину, перевірку на рівні Solidity та EVM, а також можливості формальної верифікації.

pyevmasm is a Python disassembler and assembler for EVM bytecode from Trail of Bits. Analysis scripts import it to turn bytecode into instructions and back.

EVMole extracts function selectors, arguments, and control flow from raw EVM bytecode, including contracts with no verified source. Builders point it at an unknown contract to work out what its functions take.

Abi Ninja — це браузерний інтерфейс користувача для виклику контрактів з відомими ABI, вставленими ABI або декомпільованим байт-кодом, зі зчитуванням з урахуванням проксі у багатьох мережах, включаючи ваш локально запущений вузол Hardhat або Anvil.

hardhat-tracer is a Hardhat plugin that prints internal calls, events, and storage operations for a transaction in the console. Hardhat users install it to see what actually happened inside a failing test transaction.

geas, the Good Ethereum Assembler, is an assembler for writing raw EVM bytecode by hand, maintained by a go-ethereum core developer. It is used for EIP test cases and other low-level contract work.

evm-storage turns a transaction hash into readable state diffs and can list a contract's full storage. Builders install the command line tool when they need to see exactly which storage slots a call changed.

scopelint is an opinionated formatter and linter for Foundry Solidity projects. Builders install it to hold a codebase to the ScopeLift conventions.

Вебвідлагоджувач та симулятор транзакцій для EVM. З відкритим вихідним кодом та можливістю самостійного хостингу. Перевіряйте стани змінних на кожному кроці, симулюйте транзакції перед розгортанням та профілюйте використання газу. Підтримує будь-якого провайдера RPC.

forky is a fork choice viewer for the Ethereum beacon chain. Consensus client developers self-host it or use the public instances to see and debug fork choice behavior on mainnet and testnets.

tracoor is an explorer for beacon states and execution traces. Client and protocol developers self-host it to inspect block and state traces on devnets and testnets.

4byte.directory maps four-byte function selectors and 32-byte event-signature hashes to their human-readable signatures. Builders query it when decoding calldata or logs from contracts without a published ABI.

viem-tracer доповнює клієнт Viem, щоб невдалі виклики ethestimateGas та ethsendTransaction автоматично включали зрозумілий для людини вивід трасування, декодований за допомогою sourcify.dev, і додає типізовані помічники навколо debug_traceCall, щоб розробники могли перевіряти виконання, не залишаючи свій існуючий стек RPC.

Плагін hardhat, який надає аналітику використання газу для наборів тестів смарт-контрактів. Він має спеціальну підтримку для мереж OPStack, є залежністю у понад 150 тис. репозиторіїв Github і завантажується з NPM понад 100 тис. разів на тиждень.

Slippy is a Solidity linter for static analysis of smart contracts. Teams install the npm package to lint contracts as part of a build.

Chimera — це фреймворк для написання тестів Solidity у foundry з можливістю їх повторного використання з іншими інструментами з відкритим вихідним кодом, такими як Echidna, Medusa, Halmos та Kontrol

Слізер — це рушій статичного аналізу на Python від Trail of Bits для Solidity та Vyper: запускайте його в CI для активації детекторів, друку структурних виглядів контрактів або написання скриптів для користувацьких перевірок цілих кодових баз.

Echidna is a property-based and grammar fuzzer for Ethereum smart contracts. Builders and auditors write properties with it to find inputs that break contract invariants.

Synpress поєднує Playwright з автоматизацією браузера, що підтримує Етеріум, щоб ви могли проводити наскрізне тестування децентралізованих застосунків (dapps), включаючи спливаючі вікна гаманців та перемикання ланцюгів, у CI.

ItyFuzz is a bytecode-level smart-contract fuzzer that combines fuzzing with symbolic analysis. Builders and auditors run it against EVM bytecode when source-level fuzzing is not enough or no source is available.

Aderyn — це статичний аналізатор смарт-контрактів на Solidity з відкритим вихідним кодом на базі Rust від Cyfrin, розроблений, щоб допомогти інженерам протоколів та дослідникам безпеки знаходити вразливості в кодових базах на Solidity.

Medusa — це фазер смартконтрактів зі збереженням стану, натхненний Echidna. Він забезпечує паралельне фаз-тестування смартконтрактів та верифікацію складних інваріантів смартконтрактів.

eth-tester is a pluggable in-memory Ethereum backend used by web3.py for fast unit tests. Python builders import it when tests should run against a simulated chain instead of a node.

Titanoboa — це інтерактивний інтерпретатор Vyper та тестове середовище для швидкого зворотного зв'язку, коли ви експериментуєте з контрактами поза повним циклом Foundry.

Hive is an end-to-end integration test harness that runs Ethereum clients in Docker across simulator scenarios. Client teams use it to check that implementations agree with each other.

goevmlab is an EVM fuzzing and differential testing lab built by a go-ethereum core developer. EVM implementers use it to fuzz their own implementation and compare its behavior against others to find divergences.

solidity-coverage забезпечує покриття коду смартконтрактів для платформи розробників Hardhat. Він є високоточним, підтримує повну компіляцію Solidity viaIR та великий набір специфічних для Solidity патернів розгалуження коду. Він встановлений у ~230 тис. проєктів на Github і завантажується ~100 тис. разів на тиждень з NPM.

hevm — це сучасний, швидкий рушій символьного та конкретного виконання EVM з відкритим вихідним кодом, який може знаходити проблеми у смарт-контрактах. Завдяки своїй системі символьного виконання та аналізу, hevm може символьно, напівконкретно або конкретно виконувати контракти для пошуку помилок, або порівнювати два різні контракти на наявність розбіжностей, виконуючи перевірку еквівалентності.

Crytic-Properties — це набір тестів безпеки для багаторазового використання для деяких з найпоширеніших стандартів токенів, таких як ERC-20, ERC-721, ERC-4626 та інших.

contender from Flashbots is a load-testing tool that floods EVM execution nodes over JSON-RPC and benchmarks the results. Teams benchmarking a client point it at an endpoint to generate load and measure throughput.

Генератор тестів для смарт-контрактів на основі Branching Tree Technique.

spamoor is a configurable Ethereum transaction generator for load-testing testnets and devnets with realistic traffic. Teams point it at a network to see how it behaves under sustained transaction volume.

Assertoor runs configurable checks and assertions against a live Ethereum devnet to validate its behavior. Client and devnet teams use it to confirm a running network is healthy, in the same family as Hive.

KEVM — це виконувана семантика EVM у K-framework: вкажіть їй на байт-код, коли вам потрібне виконання з перевіркою відповідності, символьне дослідження, міркування щодо газу або доведення, які тісно відстежують правила Етеріуму.

hax — це інструмент для високонадійних перекладів великої підмножини Rust на формальні мови, такі як F* або Rocq.

Certora Prover is a cloud formal-verification service that checks specifications written in CVL against deployed contract code. Verification engineers use it to prove that a contract holds stated properties for all inputs.

Kontrol перетворює тести властивостей Foundry на доведення на базі KEVM, щоб ви могли досягати формальних гарантій з меншим обсягом написаних вручну специфікацій, ніж при використанні лише чистого KEVM.

Act — це декларативна мова специфікацій та набір інструментів Етеріуму для опису всіх способів поведінки програми EVM, щоб SMT-вирішувачі, системи доведення теорем або інструменти економічного аналізу могли аналізувати коректність на рівні байт-коду та сумісність стимулів, включаючи автоматичні доведення уточнень для конкретних реалізацій.

Verifereum підключає смарт-контракти Етеріуму до доведення теорем на базі HOL4, щоб ви могли прагнути до дуже сильних заяв про правильність, коли автоматизованих підходів SMT недостатньо.

Certora AutoProver is an AI bot that automates parts of formal verification for smart contracts. Verification engineers use it to generate and run checks with less manual specification work.