PANAMA CITY, 2 september 2026 — HashCow, een Web3-gamestudio en bedrijf voor provably-fair infrastructuur, maakte de voltooiing bekend van een tweede auditronde voor smart contracts met SolidProof voor al zijn zes contracten. Beide auditrondes zijn volledig gepubliceerd op een openbaar projectpagina, inclusief de vijfentwintig bevindingen die nog openstaan.

Het openbaar maken van de open bevindingen is het ongebruikelijke deel, en daar zit een cijfer achter. Ongeveer 60% van de crypto-platforms die tussen januari 2025 en juli 2026 werden uitgebuit, had al een onafhankelijke beveiligingsaudit afgerond. Dat zijn 147 van de 245 incidenten, en die geaudit platformen waren goed voor 88.44% van de $3.63 miljard die in die periode werd weggesluisd, volgens CoinGecko’s 2026 State of Crypto Security Report.

Datzelfde rapport legt uit waarom, en die verklaring is niet dat auditors tekortschieten. Slechts ongeveer 11% van de incidenten betrof een fout binnen de gebruikelijke auditomvang. De rest kwam binnen via deuren waar een audit nooit op was gericht. Dat laat een lezer achter met een probleem dat niets te maken heeft met de kwaliteit van de audit: een audit-badge op een landingspagina vertelt dat er een beoordeling heeft plaatsgevonden. Het vertelt niet wat is beoordeeld, wat de beoordelaar heeft gevonden of wat nog openstaat.

Wat de rapporten daadwerkelijk zeggen

Aan het einde van de tweede ronde vermelden de rapporten geen bevindingen van Critical, High of Medium ernst. Vijfentwintig bevindingen blijven open. Ze zijn allemaal van Low severity of Informational, en ze zijn allemaal zichtbaar in het gepubliceerde rapport met hun actuele status, in plaats van samengevat te worden weggelaten.

De scope wordt op dezelfde manier omschreven. De audit was gekoppeld aan specifieke commits in HashCow’s openbare repositories in plaats van aan een bewegende branch, zodat een lezer exact de bron kan compileren die de auditors hebben bekeken in plaats van wat de repository vandaag bevat. De contracten zijn geschreven in Solidity 0.8.34 tegen OpenZeppelin 5.0.2, zonder proxy en zonder upgradepad.

Dat laatste detail noemt het bedrijf wanneer het wordt gevraagd waarom het bevindingen zou publiceren die het nog niet heeft gesloten, zeker in een markt waarin wijzigingen na de audit lastig uit een samenvatting alleen te volgen zijn.

Onze contracten kunnen niet worden geüpgraded, dus committeren wij ons blijvend aan code die iedereen kan lezen. Als een lezer onze samenvatting van de audit moet vertrouwen in plaats van de audit zelf, hebben we hen in feite niets gegeven. Het publiceren van de bevindingen die we nog niet hebben gesloten kost ons een nettere kop en levert ons een lezer op die kan controleren.

— Mark Lee, oprichter en CEO, HashCow

Ook de tests zijn gepubliceerd

Naast de audit publiceert HashCow ook zijn eigen testresultaten: 694 test assertions, 105 statische-analyseresultaten beoordeeld zonder dat er een High severity tussen zat, en 49 van 49 mutatietests gedetecteerd.

Het derde cijfer komt het minst vaak voor in de sector en is het meest veelzeggend. Mutatietesten verwijdert telkens één beschermende controle in de contracten en voert de testset opnieuw uit, uitgaande van het principe dat een testset die nog steeds slaagt wanneer een beveiliging wordt verwijderd, die beveiliging nooit echt testte. Twee assertions in HashCow’s eigen repository bleken op die manier om de verkeerde reden te slagen en zijn herschreven.

Wat de engine bewijst, en wat niet

De geauditeerde contracten vormen de basis van VegasLedger, HashCow’s fairness engine. Een random number generator bepaalt de speluitkomst en een verifiable random function levert het cryptografische bewijs dat de uitkomst niet is gewijzigd. Resultaten worden gehasht in een Merkle root die is verankerd op BNB Chain, zodat elke afzonderlijke uitkomst na afloop van de sessie kan worden gecontroleerd tegen dat anker. De engine kan als zelfstandig product aan externe studio’s worden gelicentieerd.

HashCow is ongebruikelijk specifiek over de grenzen daarvan. Het anker stelt vast dat een record niet is gewijzigd nadat het is geschreven. Het stelt niet vast dat de set verankerde records volledig is, en het zegt niets over hoe een speler heeft gespeeld. Beide beperkingen staan in de eigen documentatie van het bedrijf en worden dus niet aan de lezer overgelaten om zelf te ontdekken.

Waar het project staat

Team-KYC is voltooid met SolidProof op Tier Gold. HCOW is een BEP-20-token op BNB Chain met een vaste voorraad van 200,000,000 en geen mint-functie in het contract. De token is nog niet uitgegeven en is nooit op een beurs genoteerd. De uitrol op mainnet is nog in afwachting.

Geen van dit alles maakt een project veilig, en HashCow beweert dat ook niet. De cijfers van CoinGecko herinneren eraan dat het merendeel van de verliezen via routes komt die geen enkele audit volledig kon afdekken. Wat volledige publicatie verandert, is kleiner en praktischer: het verschuift de vraag van of een lezer het project vertrouwt naar of een lezer het project kan controleren, en dat is de enige versie van die vraag die een exploit overleeft.

Over HashCow

HashCow is een Web3-gamestudio en bedrijf voor provably-fair infrastructuur. Het bouwt games en de fairness engine daaronder, en licentieert die engine aan externe studio’s. HashCow wordt geëxploiteerd door HASHCOW LABS INC., een sociedad anonima geregistreerd in Panama onder Public Registry Folio No. 155787645.

Links

Audit reports:

Website:

Documentation:

X: https://x.com/HCOW_Official

Telegram: https://t.me/HASHCOWOfficial

Media contact: work@hash-cow.io

Bron voor de cijfers in de openingsalinea’s: CoinGecko, 2026 State of Crypto Security Report (245 incidenten, januari 2025 tot juli 2026).

Dit is geen aanbod om effecten te verkopen en houdt geen verklaring in over prijs of rendement.