ПАНАМА-СИТИ, 2 сентября 2026 — HashCow, Web3-студия игр и компания, создающая инфраструктуру доказуемой справедливости, объявила о завершении второго раунда аудита смарт-контрактов с SolidProof по всем шести своим контрактам. Оба раунда аудита опубликованы полностью на публичной странице проекта, включая двадцать пять замечаний, которые остаются открытыми.

Публикация открытых замечаний — необычная часть этой истории, и за этим решением стоит конкретная статистика. Примерно 60% криптоплатформ, подвергшихся взлому в период с января 2025 года по июль 2026 года, уже прошли независимый аудит безопасности. Это 147 из 245 инцидентов, и на эти прошедшие аудит платформы пришлось 88.44% из $3.63 billion, выведенных за этот период, согласно отчету CoinGecko 2026 State of Crypto Security Report.

Тот же отчет объясняет, почему так происходит, и дело не в том, что аудиторы работают плохо. Лишь около 11% инцидентов были связаны с уязвимостью, попавшей в обычную область аудита. Остальные произошли через двери, на которые аудит изначально не был нацелен. Это создает для читателя проблему, не связанную с качеством аудита: значок аудита на лендинге сообщает лишь о том, что проверка была проведена. Он не говорит, что именно проверяли, что обнаружил проверяющий и что остается открытым.

Что на самом деле говорят отчеты

По итогам второго раунда в отчетах не зафиксировано замечаний критического, высокого или среднего уровня. Открытыми остаются двадцать пять замечаний. Все они относятся к низкому уровню или носят информационный характер, и все они видны в опубликованном отчете с текущим статусом, а не сглажены в кратком пересказе.

Область проверки сформулирована так же конкретно. Аудит был привязан к определенным commit в публичных репозиториях HashCow, а не к изменяющейся ветке, поэтому читатель может собрать именно тот исходный код, который видели аудиторы, а не то, что находится в репозитории сейчас. Контракты написаны на Solidity 0.8.34 с использованием OpenZeppelin 5.0.2, без proxy и без пути обновления.

Именно на этот последний момент компания указывает, когда ее спрашивают, почему она публикует замечания, которые пока не закрыла, особенно на рынке, где изменения после аудита бывает трудно отследить только по краткому изложению.

Наши контракты нельзя обновить, поэтому мы навсегда фиксируемся на коде, который может прочитать каждый. Если читатель должен доверять нашему пересказу аудита, а не самому аудиту, значит мы на самом деле ничего ему не дали. Публикация не закрытых нами замечаний стоит нам более привлекательного заголовка, но дает читателю возможность проверить.

— Mark Lee, Founder and CEO, HashCow

Публикуются и результаты тестирования

Вместе с аудитом HashCow публикует и собственные результаты тестирования: 694 проверочных утверждения, 105 результатов статического анализа, среди которых не было ни одного замечания высокого уровня, и 49 из 49 mutation tests были обнаружены.

Третий показатель — один из самых редких в отрасли и самый показательный. Mutation testing поочередно удаляет каждую защитную проверку в контрактах и заново запускает набор тестов, исходя из принципа, что набор тестов, который продолжает проходить после удаления защиты, никогда не проверял эту защиту. Таким образом в собственном репозитории HashCow были обнаружены два утверждения, проходившие по неверной причине, и они были переписаны.

Что доказывает движок, а что — нет

Проверенные контракты лежат в основе VegasLedger — механизма справедливости HashCow. Генератор случайных чисел определяет исход игры, а verifiable random function создает криптографическое доказательство того, что исход не был изменен. Результаты хэшируются в Merkle root, якорь которого закреплен в BNB Chain, поэтому любой отдельный результат можно проверить по этому якорю после завершения сессии. Движок может лицензироваться сторонним студиям как отдельный продукт.

HashCow необычно точно описывает и ограничения этого механизма. Якорь подтверждает, что запись не была изменена после создания. Он не подтверждает, что набор заякоренных записей полон, и ничего не говорит о том, как именно играл пользователь. Оба ограничения отражены в документации компании, а не оставлены на усмотрение читателя.

Текущий статус проекта

Проверка команды KYC завершена с SolidProof на уровне Tier Gold. HCOW — это токен BEP-20 в BNB Chain с фиксированным объемом 200,000,000 и без функции mint в контракте. Токен еще не выпущен и никогда не листился ни на одной бирже. Развертывание в mainnet пока ожидается.

Все это не делает проект безопасным, и HashCow этого не утверждает. Цифры CoinGecko напоминают, что большая часть потерь возникает по путям, которые не входили в рамки аудита. Более узкий и полезный эффект полной публикации заключается в другом: вопрос смещается с того, доверяет ли читатель проекту, на то, может ли читатель его проверить — а это единственная формулировка вопроса, которая выдерживает столкновение с эксплойтом.

О HashCow

HashCow — Web3-студия игр и компания, создающая инфраструктуру доказуемой справедливости. Она разрабатывает игры и лежащий в их основе движок справедливости, а также лицензирует этот движок сторонним студиям. HashCow управляется HASHCOW LABS INC., sociedad anonima, зарегистрированной в Панаме под Public Registry Folio No. 155787645.

Ссылки

Отчеты аудита:

Сайт:

Документация:

X: https://x.com/HCOW_Official

Telegram: https://t.me/HASHCOWOfficial

Контакт для СМИ: work@hash-cow.io

Источник данных в первых абзацах: CoinGecko, 2026 State of Crypto Security Report (245 incidents, January 2025 to July 2026).

Это не является предложением о продаже ценных бумаг и не содержит заявлений относительно цены или доходности.