Een contract lezen zonder de README te vertrouwen

De X-ray leest de bytecode van een mainnet-adres rechtstreeks van publieke nodes en haalt daaruit de functieselectors, de proxy-slots volgens ERC-1967 en oudere Zeppelin-indelingen, de owner, de pauzestatus en de gevaarlijke opcodes: SELFDESTRUCT, DELEGATECALL en CREATE2. Sourcify laat zien of de gepubliceerde broncode overeenkomt met wat er is uitgerold.

De risicosignalen zijn precies dat: signalen. Een upgradeable proxy betekent dat de logica onder je voeten kan veranderen, een owner-sleutel betekent dat één private key de beheerfuncties aanstuurt, een mint-functie betekent dat de supply kan groeien. Bij het ene protocol is dat normaal, bij het andere fataal; de vraag is wie de sleutel in handen heeft en hoe het beheer is geregeld.

Niet-geverifieerde broncode is het enige signaal dat een transactie direct moet tegenhouden. Als de uitgerolde code niet aan leesbare broncode te koppelen is, weet niemand behalve de deployer wat die code doet.