Bảo mật & kiểm thử

Semgrep is a pattern-based static analysis tool with rulesets for Solidity vulnerabilities. Builders run those rules over a codebase to catch known vulnerable patterns and style issues before review.

heimdall-rs is a Rust EVM toolkit that disassembles bytecode, decompiles contracts, generates control flow graphs, and decodes calldata and traces. Builders reach for it when they need to understand a contract that has no published source.

sol2uml generates UML class and storage-layout diagrams from Solidity source or from verified contracts. Builders run it to see contract relationships and how state variables are packed into storage.

CodeTracer là một trình gỡ lỗi du hành thời gian (time-traveling debugger) thân thiện với người dùng, được thiết kế để hỗ trợ nhiều ngôn ngữ lập trình web3.

The Tenderly CLI is the command line client for Tenderly, pushing contracts for verification and driving error tracking, monitoring, and alerting. Builders install it to run those steps from a terminal or a continuous integration job.

EDB là một trình gỡ lỗi cấp độ mã nguồn cho việc thực thi Solidity với các tính năng từng bước, biến cục bộ, theo dõi và điểm dừng khi bạn cần khả năng hiển thị cấp độ IDE vào hành vi của hợp đồng trên chuỗi hoặc trong các bài kiểm tra.

EVMConnector is a browser workspace for calling contract functions on any EVM chain, with saved contracts and shareable call links. Builders use it to drive a contract without writing a script.

A calldata decoder that also unwraps nested function calls. Builders open it when a flat decoder leaves the inner calls of a batched or forwarded transaction unreadable.

SmartContractGUI turns an uploaded ABI into an interface for reading from and writing to that contract on any EVM chain. Builders use it when they have an ABI but no frontend.

Tenderly provides transaction simulation, trace debugging, alerting, and Virtual TestNets for contracts. Builders use it to replay a failing transaction, watch deployed contracts, and test against a forked network.

Web3Client is a browser tool for creating, testing, and sharing contract ABIs and the calls made against them. Builders use it to work out a call and hand the result to someone else.

revm-inspectors is a Rust crate of EVM execution hooks and tracing built on revm, and it powers call tracing in Reth and Foundry. Rust builders import it to build their own tracers and debuggers.

Simbolik là một trình gỡ lỗi Solidity mạnh mẽ kết hợp gỡ lỗi điểm dừng truyền thống với thực thi tượng trưng, cho phép các nhà phát triển khám phá mọi đường dẫn thực thi có thể và phát hiện các lỗ hổng với độ chính xác cao. Có sẵn dưới dạng tiện ích mở rộng VSCode, Simbolik tích hợp liền mạch vào các quy trình làm việc hiện có, cung cấp khả năng gỡ lỗi kiểu điểm dừng, kiểm tra cấp độ Solidity và EVM, cùng với các khả năng xác minh hình thức.

pyevmasm is a Python disassembler and assembler for EVM bytecode from Trail of Bits. Analysis scripts import it to turn bytecode into instructions and back.

Một plugin hardhat cung cấp phân tích mức sử dụng gas cho các bộ kiểm thử smart contract. Nó có hỗ trợ chuyên dụng cho các chain OPStack, là một phần phụ thuộc trong > 150 nghìn repo Github và được tải xuống từ NPM > 100 nghìn lần mỗi tuần.

EVMole extracts function selectors, arguments, and control flow from raw EVM bytecode, including contracts with no verified source. Builders point it at an unknown contract to work out what its functions take.

Abi Ninja là một giao diện người dùng trình duyệt để gọi các hợp đồng với các ABI đã biết, các ABI được dán hoặc mã byte được dịch ngược, với các lần đọc nhận biết proxy trên nhiều mạng lưới bao gồm cả nút Hardhat hoặc Anvil đang chạy cục bộ của bạn.

hardhat-tracer is a Hardhat plugin that prints internal calls, events, and storage operations for a transaction in the console. Hardhat users install it to see what actually happened inside a failing test transaction.

The HashEx ABI Encoder is a web form that ABI-encodes constructor and function arguments from a pasted signature and values. Builders use it when they need encoded arguments and are not at a terminal.

Radar, from Auditware, is a static analysis tool that covers Solidity as well as Rust, Anchor, and Stylus contracts. Auditors run it to get findings across a mixed contract codebase.

geas, the Good Ethereum Assembler, is an assembler for writing raw EVM bytecode by hand, maintained by a go-ethereum core developer. It is used for EIP test cases and other low-level contract work.

evm-storage turns a transaction hash into readable state diffs and can list a contract's full storage. Builders install the command line tool when they need to see exactly which storage slots a call changed.

scopelint is an opinionated formatter and linter for Foundry Solidity projects. Builders install it to hold a codebase to the ScopeLift conventions.

Trình gỡ lỗi và mô phỏng giao dịch dựa trên web cho EVM. Mã nguồn mở và có thể tự lưu trữ. Kiểm tra các trạng thái biến ở mỗi bước, mô phỏng các giao dịch trước khi triển khai và lập hồ sơ mức sử dụng Gas. Hỗ trợ bất kỳ nhà cung cấp RPC nào.

forky is a fork choice viewer for the Ethereum beacon chain. Consensus client developers self-host it or use the public instances to see and debug fork choice behavior on mainnet and testnets.

tracoor is an explorer for beacon states and execution traces. Client and protocol developers self-host it to inspect block and state traces on devnets and testnets.

sol-profiler is a command line tool that lists a Solidity contract's methods with their visibility, mutability and modifiers. Reviewers run it to see the surface of a contract at a glance.

Slippy is a Solidity linter for static analysis of smart contracts. Teams install the npm package to lint contracts as part of a build.

4byte.directory maps four-byte function selectors and 32-byte event-signature hashes to their human-readable signatures. Builders query it when decoding calldata or logs from contracts without a published ABI.

viem-tracer tăng cường một client Viem để các lệnh gọi ethestimateGas và ethsendTransaction bị lỗi tự động bao gồm đầu ra theo dõi dễ đọc đối với con người được giải mã bằng sourcify.dev, và nó thêm các trình trợ giúp có kiểu dữ liệu xung quanh debug_traceCall để các nhà phát triển có thể kiểm tra việc thực thi mà không cần rời khỏi ngăn xếp RPC hiện tại của họ.

The ABI Calldata Layout Visualizer decodes ABI calldata and draws its byte layout, showing where heads, tails, and offsets sit in the encoded payload. Builders open it when a plain decoder does not explain why an encoding is wrong.

Chimera là một framework để viết các bài kiểm tra Solidity trong foundry và có thể tái sử dụng chúng với các Công cụ Mã nguồn mở khác như Echidna, Medusa, Halmos và Kontrol

Slither là công cụ phân tích tĩnh bằng Python của Trail of Bits dành cho Solidity và Vyper: chạy nó trong CI để kích hoạt các trình phát hiện, in các chế độ xem cấu trúc của hợp đồng hoặc viết kịch bản cho các kiểm tra tùy chỉnh trên toàn bộ cơ sở mã.

Echidna is a property-based and grammar fuzzer for Ethereum smart contracts. Builders and auditors write properties with it to find inputs that break contract invariants.

Synpress kết hợp Playwright với tự động hóa trình duyệt nhận biết Ethereum để bạn có thể kiểm thử end-to-end các dapp, bao gồm các cửa sổ bật lên của ví và chuyển đổi Chuỗi, trong CI.

ItyFuzz is a bytecode-level smart-contract fuzzer that combines fuzzing with symbolic analysis. Builders and auditors run it against EVM bytecode when source-level fuzzing is not enough or no source is available.

Aderyn là trình phân tích tĩnh hợp đồng thông minh Solidity mã nguồn mở, dựa trên Rust của Cyfrin, được thiết kế để giúp các kỹ sư giao thức và nhà nghiên cứu bảo mật tìm ra các lỗ hổng trong các cơ sở mã Solidity.

Medusa là một fuzzer hợp đồng thông minh có trạng thái (stateful) lấy cảm hứng từ Echidna. Nó cung cấp thử nghiệm fuzz song song cho các hợp đồng thông minh và xác minh các bất biến hợp đồng thông minh nâng cao.

eth-tester is a pluggable in-memory Ethereum backend used by web3.py for fast unit tests. Python builders import it when tests should run against a simulated chain instead of a node.

Titanoboa là một trình thông dịch Vyper tương tác và bộ khung kiểm thử cho các vòng lặp phản hồi nhanh khi bạn đang thử nghiệm với các hợp đồng bên ngoài một vòng lặp Foundry đầy đủ.

Hive is an end-to-end integration test harness that runs Ethereum clients in Docker across simulator scenarios. Client teams use it to check that implementations agree with each other.

goevmlab is an EVM fuzzing and differential testing lab built by a go-ethereum core developer. EVM implementers use it to fuzz their own implementation and compare its behavior against others to find divergences.

solidity-coverage cung cấp độ bao phủ mã hợp đồng thông minh cho nền tảng nhà phát triển Hardhat. Nó có độ chính xác cao, hỗ trợ biên dịch solidity viaIR đầy đủ và một tập hợp lớn các mẫu nhánh mã dành riêng cho solidity. Nó được cài đặt trên ~230 nghìn dự án Github và được tải xuống ~100 nghìn lần một tuần từ NPM.

hevm là một công cụ thực thi EVM tượng trưng và cụ thể, nhanh chóng, hiện đại, mã nguồn mở có thể tìm các vấn đề trong hợp đồng thông minh. Thông qua hệ thống phân tích và thực thi tượng trưng, hevm có thể thực thi hợp đồng một cách tượng trưng, bán cụ thể hoặc cụ thể để tìm lỗi, hoặc so sánh hai hợp đồng khác nhau để tìm sự khác biệt, thực hiện kiểm tra tính tương đương.

Crytic-Properties là một bộ các bài kiểm tra bảo mật có thể tái sử dụng cho một số tiêu chuẩn token được sử dụng rộng rãi nhất như ERC-20, ERC-721, ERC-4626 và nhiều tiêu chuẩn khác.

contender from Flashbots is a load-testing tool that floods EVM execution nodes over JSON-RPC and benchmarks the results. Teams benchmarking a client point it at an endpoint to generate load and measure throughput.

Một trình tạo bài kiểm tra smart contract dựa trên Kỹ thuật Cây phân nhánh (Branching Tree Technique).

spamoor is a configurable Ethereum transaction generator for load-testing testnets and devnets with realistic traffic. Teams point it at a network to see how it behaves under sustained transaction volume.

Assertoor runs configurable checks and assertions against a live Ethereum devnet to validate its behavior. Client and devnet teams use it to confirm a running network is healthy, in the same family as Hive.

KEVM là ngữ nghĩa thực thi K-framework của EVM: hãy trỏ nó vào mã byte khi bạn cần thực thi được kiểm tra sự tuân thủ, khám phá tượng trưng, lập luận về gas hoặc các bằng chứng theo dõi chặt chẽ các quy tắc của Ethereum.

hax là một công cụ để dịch với độ đảm bảo cao một tập hợp con lớn của Rust sang các ngôn ngữ hình thức như F* hoặc Rocq.

Certora Prover is a cloud formal-verification service that checks specifications written in CVL against deployed contract code. Verification engineers use it to prove that a contract holds stated properties for all inputs.

Kontrol nâng tầm các bài kiểm thử thuộc tính của Foundry thành các bằng chứng được hỗ trợ bởi KEVM để bạn có thể theo đuổi các đảm bảo hình thức với ít công việc viết đặc tả thủ công hơn so với chỉ dùng KEVM thô.

Act là ngôn ngữ đặc tả khai báo và chuỗi công cụ của Ethereum để mô tả tất cả các hành vi của một chương trình EVM để các bộ giải SMT, trình chứng minh định lý hoặc các công cụ phân tích kinh tế có thể lập luận về tính đúng đắn ở cấp độ mã byte và khả năng tương thích khuyến khích, bao gồm các bằng chứng tinh chỉnh tự động đối với các triển khai cụ thể.

Verifereum kết nối các hợp đồng thông minh Ethereum với việc chứng minh định lý được hỗ trợ bởi HOL4 để bạn có thể nhắm đến các tuyên bố về tính đúng đắn rất mạnh mẽ khi các phương pháp SMT tự động là không đủ.

Certora AutoProver is an AI bot that automates parts of formal verification for smart contracts. Verification engineers use it to generate and run checks with less manual specification work.