Разработка децентрализованных приложений: смарт-контракты, аудит, деплой
Мы часто сталкиваемся с ситуацией, когда клиент приходит с идеей "запустить блокчейн-проект", но не может чётко сформулировать, зачем ему блокчейн. Главный вопрос: что именно блокчейн решает в вашем продукте, чего не решает традиционная база данных? Если ответ размытый — скорее всего, вам нужна просто распределённая система, а не блокчейн. Если ответ чёткий — trustless исполнение логики, верифицируемость данных, токенизация активов, permissionless участие — мы начинаем проектировать. Наша команда имеет 10+ лет опыта в блокчейн-разработке и реализовала более 50 проектов — от NFT-маркетплейсов до DeFi-протоколов с TVL более $10M. Мы предлагаем полный цикл разработки под ключ: от архитектуры до деплоя и аудита. Оценка бюджета — первый шаг в любом проекте, и мы всегда её проводим на начальной консультации.
Как выбрать блокчейн для вашего проекта?
Не существует "лучшего блокчейна" — есть правильный для конкретного use case.
EVM-совместимые сети
Ethereum mainnet — максимальная decentralization и security, development tooling первого уровня (Foundry, Hardhat, Slither, Echidna). Оправдан для: протоколов с большими TVL, где безопасность > стоимости; финансовых примитивов, которые должны быть composable с DeFi экосистемой.
Arbitrum / Optimism — Optimistic Rollups. EVM-эквивалентность (Arbitrum One) или EVM-совместимость (OP Stack). Gas в 10–50x дешевле mainnet, finality ~7 дней для withdrawals (fraud proof window). Оправдан для приложений с высокой частотой транзакций: trading, gaming, социальные приложения.
Base — OP Stack L2 от Coinbase. Быстро растущая экосистема, хороший onramp через Coinbase. Подходит для consumer-facing приложений.
Polygon PoS — не L2, а sidechain с мостом к Ethereum. Быстро, дёшево, но иная модель безопасности. Хорош для NFT-проектов с частыми транзакциями.
zkSync Era / Polygon zkEVM / Scroll — ZK Rollups. Более строгие гарантии безопасности чем Optimistic (нет fraud window), но ZK proofs создают overhead на execution. zkSync имеет Native Account Abstraction (AA) на уровне протокола — это important архитектурное преимущество для UX.
| Параметр | Arbitrum One | Optimism | zkSync Era | Polygon zkEVM |
|---|---|---|---|---|
| Тип | Optimistic Rollup | Optimistic Rollup | ZK Rollup | ZK Rollup |
| Gas (ETH mainnet=1) | 0.05–0.1 | 0.05–0.1 | 0.01–0.05 | 0.01–0.05 |
| Security | Fraud proofs | Fraud proofs | ZK proofs | ZK proofs |
| EVM-эквивалентность | Полная | Полная | Частичная | Полная |
| Экосистема | Большая | Средняя | Растущая | Растущая |
Не-EVM
Solana — high throughput (65k TPS теоретически, ~3–5k TPS реально), параллельное выполнение транзакций через Sealevel, низкие комиссии. Программирование на Rust через Anchor framework. Tooling значительно менее зрелый чем EVM, debugger примитивный, ошибки хуже читаются. Оправдан для: high-frequency trading, gaming с real-time механиками, приложений где gas cost критичен.
TON — нативная интеграция с Telegram (900M MAU). FunC/Tact для смарт-контрактов. Если ваша аудитория в Telegram — серьёзный аргумент в пользу TON.
Cosmos SDK — для случаев, когда нужен собственный blockchain (application-specific chain). IBC для межсетевого взаимодействия. Высокий порог входа, но полный контроль над консенсусом, governance, gas token.
Типичные ошибки при выборе блокчейна
1. Выбор сети по модности, а не по требованиям проекта. 2. Игнорирование вопросов ликвидности для DeFi — сеть должна иметь активные пулы. 3. Неучёт юрисдикционных ограничений (например, законодательство США может влиять на выбор).Какие уязвимости смарт-контрактов встречаются чаще всего?
За годы работы с аудитами, вот что встречается чаще всего:
Reentrancy — классика. До сих пор встречается. Защита: ReentrancyGuard от OpenZeppelin + CEI паттерн (Checks-Effects-Interactions):
// НЕПРАВИЛЬНО: function withdraw(uint256 amount) external { token.transfer(msg.sender, amount); // interaction до effect balances[msg.sender] -= amount; // effect после } // ПРАВИЛЬНО: function withdraw(uint256 amount) external nonReentrant { balances[msg.sender] -= amount; // effect token.transfer(msg.sender, amount); // interaction } Price manipulation через flash loans — если контракт читает цену из Uniswap spot price. Решение: TWAP (Time-Weighted Average Price) через IUniswapV3Pool.observe() или Chainlink Price Feed.
Integer overflow/underflow — в Solidity 0.8.x встроенная защита, но при unchecked блоках и при кастомной математике с downcast — всё ещё актуально.
Signature replay — при использовании ecrecover без nonce или chain ID в подписанном сообщении. EIP-712 + EIP-2612 (Permit) решают это стандартным способом.
Front-running — MEV. Для AMM-подобных контрактов: deadline + slippage tolerance. Для сенситивных операций: commit-reveal схема.
Какие инструменты мы используем?
Foundry — предпочтительный инструмент для серьёзной разработки. Тесты на Solidity, fuzz testing из коробки, форки mainnet в один флаг:
forge test --fork-url $ETH_RPC --fork-block-number 19000000 -vvv Fuzz тестирование находит edge cases, которые ручные тесты пропускают:
function testFuzz_deposit(uint256 amount) public { amount = bound(amount, 1, type(uint128).max); // разумные границы deal(address(token), user, amount); vm.prank(user); vault.deposit(amount, user); assertEq(vault.totalAssets(), amount); } Slither — статический анализатор. Запускаем в CI на каждый PR, критические находки блокируют мерж.
Echidna — property-based fuzzer. Для инвариантов: "totalSupply всегда равен сумме всех балансов", "здоровье протокола никогда не уходит в минус".
OpenZeppelin Security Audits рекомендуют комбинировать несколько инструментов для покрытия разных типов уязвимостей.
Как выглядит типовой стек для деплоя?
Никаких деплоев с EOA в production. Схема:
Developer EOA → Gnosis Safe 3/5 multisig → Timelock (48h delay) → Contract Timelock даёт пользователям время среагировать на вредоносный апгрейд. Для DeFi протоколов с TVL > $1M — обязателен.
Hardhat Ignition или Foundry Deploy Scripts для воспроизводимых деплоев. Все параметры деплоя — в version control, не в головах разработчиков.
Аудит — не финальный шаг, а часть процесса. Для серьёзных протоколов: внутренний review (Slither + Echidna + ручной анализ) → предварительный аудит от одной фирмы → основной аудит → исправление находок → повторный аудит изменений. Сроки: 4–8 недель для типичного DeFi протокола средней сложности. Бюджет рассчитывается индивидуально.
Как мы разрабатываем: пошагово
- Анализ требований и выбор сети. Определяем, какой блокчейн лучше всего подходит под ваш use case, учитывая токеномику, ожидаемую нагрузку и юридические аспекты.
- Проектирование архитектуры контрактов. Разрабатываем диаграммы взаимодействия, спецификации интерфейсов и схему данных.
- Разработка смарт-контрактов. Пишем код на Solidity или Rust, покрываем unit-тестами (100% coverage).
- Интеграционное тестирование. Запускаем форк mainnet и проверяем сценарии полностью.
- Внешний аудит. Передаем код проверенной фирме, исправляем замечания, повторный аудит.
- Деплой в testnet и mainnet. Используем мультисиг-кошельки и временные задержки.
- Мониторинг и поддержка. Настраиваем Tenderly, OpenZeppelin Defender, даём 30 дней после деплоя.
Этапы проекта
| Фаза | Содержание | Срок |
|---|---|---|
| Architecture & design | Выбор сети, архитектура контрактов, tokenomics | 1–2 нед |
| Core contracts | Разработка и unit тесты | 2–6 нед |
| Integration testing | Fork tests, integration сценарии | 1–2 нед |
| Frontend | dApp, wallet integration | 2–6 нед |
| Audit | Внешний аудит + исправления | 4–8 нед |
| Testnet deployment | Публичный тестнет, bug bounty | 2–4 нед |
| Mainnet | Деплой, мониторинг | 1 нед |
Реалистичный срок от идеи до mainnet: 3–6 месяцев для протокола средней сложности. Проекты, которые "запускаются за 2 недели", обычно имеют незакрытые критические уязвимости.
Что входит в работу
- Архитектурная документация с обоснованием выбора сети и паттернов.
- Исходные коды смарт-контрактов с комментариями и unit-тестами (100% coverage).
- Интеграционные тесты на форке mainnet.
- Отчёт внешнего аудита с рекомендациями.
- Развёртывание в testnet и mainnet (при необходимости).
- Инструкции по эксплуатации и поддержка в течение 30 дней после деплоя.
- Доступ к инструментам мониторинга (Tenderly, OpenZeppelin Defender).
Свяжитесь с нами для оценки вашего проекта. Мы проанализируем требования, предложим оптимальную блокчейн-архитектуру и рассчитаем сроки. Получите консультацию — это поможет избежать дорогостоящих ошибок на старте.