Auditoria de contratos
Revisão linha a linha do código Solidity ou Rust, com foco em controle de acesso, aritmética, reentrância e lógica econômica. Relatório com severidade, prova de conceito e correção sugerida.
Agência de segurança Web3 · São Paulo
Role para ver o trabalho
Confiança verificável para contratos e protocolos.
A Lumbraqi audita o código que move ativos digitais, acompanha protocolos em produção e responde quando algo sai do esperado. Cada achado é documentado, reproduzível e revisado por mais de uma pessoa.
180+
Contratos inteligentes revisados desde 2019
R$ 2,4 bi
Em valor bloqueado sob monitoramento ativo
4h
Tempo médio para a primeira resposta em incidentes críticos
09
Pessoas de engenharia, pesquisa e segurança de protocolos
Em Web3, o código publicado é a regra final. Nosso trabalho é ler essa regra antes dos outros e confirmar que ela diz exatamente o que a equipe pretende.
Lumbraqi — princípio de trabalho
O que entregamos
Um conjunto de serviços para o ciclo de vida do protocolo.
Do primeiro commit à operação contínua. Você contrata uma frente ou todas; o método de registro e revisão é o mesmo em qualquer uma delas.
Verificação formal
Para invariantes que não podem falhar, escrevemos especificações e provamos matematicamente que o contrato as respeita. Indicado para cofres, pontes e mecanismos de governança.
Monitoramento contínuo
Sensores na mempool e nos eventos em cadeia que avisam quando um padrão sai da faixa esperada. Alertas chegam à sua equipe antes de o problema virar notícia.
Resposta a incidentes
Quando um protocolo é atacado, cada minuto tem custo. Montamos a linha do tempo, contemos a perda e coordenamos a comunicação com a comunidade e com as plataformas envolvidas.
Revisão de arquitetura
Antes de escrever a primeira função, revisamos o desenho: modelo de confiança, pontos de centralização, dependências externas e caminhos de atualização. É mais barato corrigir no quadro branco.
Programa de recompensas
Estruturamos e operamos seu programa de divulgação responsável: regras claras, triagem técnica dos relatos recebidos e mediação justa entre a equipe e os pesquisadores externos.
Operação em produção
Vigilância sobre o que já está no ar.
A auditoria encerra, o protocolo continua. Mantemos uma leitura constante do comportamento em cadeia para que a equipe durma sabendo que alguém observa o contrato enquanto ele guarda valor.
Ver como o monitoramento funciona
Como conduzimos uma auditoria
Cinco etapas, do escopo ao retorno.
Nenhuma etapa é pulada para ganhar prazo. A sequência existe para que cada decisão fique registrada e possa ser revisitada depois.
01
Semana 1 · Escopo
Leitura do terreno
Reunimos o código no commit exato, a documentação e as suposições da equipe. Delimitamos o que entra na revisão e, igualmente importante, o que fica de fora e por quê.
02
Semana 1 · Modelagem
Mapa de ameaças
Antes de procurar falhas, desenhamos onde elas doeriam mais. Quem pode chamar o quê, qual ator é confiável e qual não é, e que valor está exposto em cada caminho.
03
Semanas 2–3 · Revisão
Leitura manual e ferramentas
Duas pessoas leem o código de forma independente. Em paralelo, rodamos análise estática e testes de propriedade. As ferramentas apontam; a leitura humana decide o que importa.
04
Semana 3 · Validação
Prova de conceito
Todo achado relevante vem com um teste que o reproduz. Sem isso, não há achado — só suspeita. A prova também serve para confirmar que a correção realmente resolveu.
05
Semana 4 · Retorno
Relatório e revisão da correção
Entregamos o relatório, discutimos cada ponto com a equipe e revisamos as correções aplicadas. Só encerramos quando o código corrigido passa pela mesma leitura.
Como pensamos o trabalho
Quatro posições que não negociamos.
i.
O relatório é do cliente, não nosso
Escrevemos para que a sua equipe de engenharia entenda e consiga agir, não para impressionar. Linguagem direta, severidade justificada e caminho de correção claro.
ii.
Nenhum achado sem prova
Se não conseguimos reproduzir, dizemos que é uma hipótese, não um risco confirmado. Essa honestidade evita que a equipe corra atrás de fantasmas.
iii.
Segredo sobre o que vemos
O código, as vulnerabilidades e o próprio vínculo permanecem confidenciais. Só mencionamos um trabalho com autorização escrita de quem o contratou.
iv.
Recusamos o que não conseguimos fazer bem
Se um projeto exige uma competência que não dominamos, dizemos antes e indicamos quem domina. Preferimos perder um contrato a assinar um laudo frágil.
A Lumbraqi encontrou uma falha de arredondamento que nossos próprios testes não pegavam. Reduziram o relatório a algo que a equipe conseguiu corrigir em dois dias, com prova de conceito anexada.
Depoimento de cliente · protocolo de empréstimo descentralizado (texto de exemplo)
Perguntas frequentes
O que costumam perguntar antes de começar.
Entre duas e quatro semanas para a maioria dos projetos de tamanho médio. O prazo depende da quantidade de linhas, da complexidade econômica e de quão madura está a documentação. No escopo inicial informamos uma janela realista antes de fechar.
Sim. Trabalhamos com equipes de todo o Brasil e também com projetos internacionais, de forma remota. O escritório fica na Faria Lima, em São Paulo, mas a revisão de código não depende de presença física. Contratos e notas fiscais seguem a legislação brasileira.
A auditoria é cobrada por projeto, com valor fechado após o escopo. Para quem compara com montar um time próprio, a diferença é que você paga pela revisão quando precisa dela, sem o custo fixo de manter especialistas de segurança no quadro o ano inteiro. O monitoramento contínuo tem mensalidade.
Comunicamos de imediato, fora do fluxo normal do relatório, para que a equipe possa agir antes do fim da auditoria. Se o contrato já estiver em produção, ajudamos a avaliar a contenção. A divulgação pública, quando houver, é combinada com você e segue prazos responsáveis.
Sim, e consideramos isso o mínimo. Assinamos o seu termo ou fornecemos o nosso. Todo o material recebido é tratado sob sigilo, armazenado de forma cifrada e descartado conforme o combinado ao fim do trabalho, em linha com a LGPD.
A primeira rodada de revisão das correções já está incluída no valor da auditoria. Verificamos se cada ponto foi resolvido e se a correção não introduziu um problema novo. Mudanças de escopo maiores, fora do que foi auditado, entram como um novo trabalho.
Antes do próximo deploy, deixe alguém ler o código.
Conte em poucas linhas o que você está construindo. Respondemos com uma estimativa de escopo e prazo, sem compromisso.