Ein einziges (bool ok, ) = msg.sender.call{value: amount}("") vor balances[msg.sender] = 0 oder ein einziges initialize() ohne den Modifikator initializer reicht aus, damit jemand das Guthaben eines Vertrags leeren oder die Kontrolle darüber übernehmen kann. Dieser Skill findet diese und neun weitere Solidity-Fehler vor dem Deployment und erklärt, wie Sie jeden davon beheben. Er ersetzt kein Smart-Contract-Audit: Nutzen Sie ihn, um bekannte Fehler frühzeitig zu erkennen, bevor ein Auditor den Code prüft.

Ihr Agent führt einen Scanner für Ihre .sol-Dateien aus. Er überspringt Kommentare, Tests, Skripte, Mocks und Abhängigkeiten (node_modules, Foundry lib/, Remix .deps), teilt jeden Vertrag in Funktionen auf, liest deren Sichtbarkeit und Modifikatoren, erkennt Zustandsvariablen und verfolgt Parameter bis zu delegatecall. Übliche OpenZeppelin-Muster werden nicht beanstandet: Ownable- und AccessControl-Modifikatoren, ReentrancyGuard nonReentrant, Checks-Effects-Interactions, SafeERC20, Initializable mit initializer, ECDSA.recover und die geprüfte Arithmetik von Solidity 0.8. Der Scanner kompiliert, deployt oder startet nichts. Er gibt BLOCK, REVIEW oder NOT FLAGGED mit Datei, Zeile, Begründung und einem sichereren Vorgehen zurück.

Was geprüft wird

BLOCK (vor der Veröffentlichung beheben)

• SC01: tx.origin zur Autorisierung (require(tx.origin == owner), admins[tx.origin])

• SC02: delegatecall an eine Adresse aus Funktionsparametern oder msg.sender ohne Zugriffskontrolle

• SC03: selfdestruct, das jeder aufrufen kann

• SC04: initialize-Funktionen ohne initializer oder anderen Schutz sowie UUPS _authorizeUpgrade ohne Zugriffskontrolle

• SC05: Schreiben des Zustands nach einer ETH-Übertragung oder einem Low-Level-Aufruf ohne nonReentrant (Reentrancy)

REVIEW (vor dem Release prüfen)

• SC11: nicht festgelegte Pragma-Versionen (^0.8.20, >=0.8.0) in Dateien mit einem deploybaren Vertrag

• SC12: ignorierte Rückgabewerte von call, delegatecall, staticcall und send

• SC13: Auswahl von Gewinnern, Indizes und Ergebnissen anhand von block.prevrandao, block.timestamp oder blockhash, auch über lokale Variablen (Zeitberechnungen wie % 1 weeks werden nicht gemeldet)

• SC14: Compiler vor Version 0.8.0 ohne SafeMath (unbemerktes Überlaufen)

• SC15: mint-, set...-, pause-, upgrade-, sweep- und withdraw-all-Funktionen ohne onlyOwner, onlyRole oder eine msg.sender-Prüfung

• SC16: ecrecover ohne Prüfung auf address(0)

Lieferumfang

• Der Scanner (Python 3.9+, ausschließlich Standardbibliothek)

• Ein Regelhandbuch mit Begründung und sichererem Vorgehen für jede Regel

• Ein unsicheres und ein sicheres Foundry-Beispielprojekt sowie der tatsächliche Scannerbericht zum unsicheren Beispiel

Einschränkungen

Der Code wird als Text analysiert, ohne Solidity-Compiler. Vererbung aus anderen Dateien wird anhand der Modifikatornamen beurteilt. Interne Aufrufe, Storage-Zeiger, Assembly (außer delegatecall), funktionsübergreifende und schreibgeschützte Reentrancy, Token-Callbacks, Oracle-Manipulation, Front-Running und Geschäftslogik werden nicht geprüft. Das Tool ersetzt kein Smart-Contract-Audit. NOT FLAGGED ist keine Sicherheitsgarantie.

Inhalt

Ein ZIP-Archiv mit 19 Dateien: SKILL.md, der Scanner unter scripts/ (4 Python-Dateien), references/rules.md (jede Regel mit Begründung und sichererem Vorgehen) und examples/ (12 Beispieldateien sowie report.md, die tatsächliche Scannerausgabe zum unsicheren Beispiel).

Verwendung: Dies ist ein Agenten-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Programmieragent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacken Sie das Archiv in den Skills-Ordner Ihres Agenten (für Claude Code: ~/.claude/skills/) und bitten Sie Ihren Agenten, Ihr Projekt zu prüfen. Die Skripte lassen sich auch eigenständig mit Python 3.9 oder neuer ausführen, ohne zusätzliche Installation. Sie lesen ausschließlich Ihre Dateien: kein Netzwerkzugriff und keine Datenübertragung.