ERC20代币安全开发指南

导读： ERC 20这个标准在以太坊网络上, 是目前应用范围最广、被用得最多的代币开发规范。像USDT这样的稳定币, 它本身是与美元价值挂钩的资产品种...

ERC 20这个标准在以太坊网络上, 是目前应用范围最广、被用得最多的代币开发规范。像USDT这样的稳定币, 它本身是与美元价值挂钩的资产品种, 就是根据这个统一的规范来发行出去的。

当你打算去开发出属于你自己的ERC 20类型的代币时, 关键所在, 或者说最核心的部分, 在于你要能够透彻地去明白智能合约安全机制到底是怎么设计出来的。同时还要搞清楚代币的铸造权限控制该怎么设置。最后你把这些代码部署上去之后, 还需要掌握怎么在区块链上进行链下验证的工作流程。

ERC20代币如何开发

开发的起始环节是编写Solidity合约。通过继承OpenZeppelin框架里的ERC20模块, 能够大幅度减少底层代码出错的可能性。

其中有关键参数需要设定, 这些参数包括代币的名称、符号、精度以及初始供应量。这些关键参数一旦写入链上就是不可更改的, 所以必须在正式上线之前反复去确认数值逻辑方面的正确性。上线前必须反复确认数值逻辑。

权限模型是另一个核心部分。如果需要进行保留管理者的铸造权力这一操作, 就应该去加入Ownable这个修饰器, 并且要配合多签钱包来进行管理。这样的做法能够避免仅仅只有一个密钥发生泄露的情况出现而导致代币被恶意进行增发的结果产生。

开发ERC20需要注意什么

这个安全审计的关键环节是绝对不能被简化的，自研的合约必须至少要把那个叫 Slither 的静态扫描给做了, 并且要用手工去写测试用例来达到覆盖的要求, 像是资金冻结、整数溢出还有重入攻击这种边界场景, 都需要去做断言验证。

在部署阶段, 需要先在测试网上把完整的流程跑通, 然后再才去上主网, 合约一经部署便无法修改代码, 所以如果需求里面包含可升级逻辑的话, 只能通过代理模式来实现, 在进行选型的时候需要充分地去权衡gas成本与安全性。

开发人员和工程团队可以使用Remix这个工具, 也可以使用Hardhat这个工具, 还可以使用Tenderly这个工具, 这些工具基本上覆盖了从编写代码到排查错误的全流程, 如果大家再把etherscan提供的合约验证功能加进来, 那么整个工程的链路就能够形成一个完整的闭环。