HashCow 完整公布 SolidProof 两轮审计，包括未关闭发现
要点速览
- •HashCow 已完成由 SolidProof 对其全部六份合约进行的第二轮智能合约审计。
- •公开报告列出 25 项未关闭发现，均为 Low severity 或 Informational，且未报告 Critical、High 或 Medium 问题。
- •HashCow 还公开了内部测试结果，包括 694 项测试断言、105 项静态分析结果无 High 严重性问题，以及 49/49 项变异测试被捕获。
- •接受审计的合约支撑 VegasLedger，该引擎使用随机数生成器、可验证随机函数以及锚定在 BNB Chain 上的 Merkle root，用于支持游戏结果核验。
- •HCOW 是部署在 BNB Chain 上的 BEP-20 代币，总供应量固定为 200,000,000，尚未发行或上市，主网部署仍待进行。
巴拿马城，2026年9月2日 — HashCow 一家 Web3 游戏工作室和可证明公平性基础设施公司，今天宣布已完成与 SolidProof 针对其全部六份合约进行的第二轮智能合约审计。两轮审计均已在公开项目页面上完整发布，其中包括仍未关闭的 25 项发现。
公开未关闭的发现是这次做法中不寻常的部分，而这一决定背后有数据支撑。2025年1月至2026年7月期间遭到攻击的加密平台中，约 60% 早已完成独立安全审计。也就是说，在 245 起事件中有 147 起属于这一情况；据 CoinGecko《2026 年加密安全状态报告》称，这些已审计平台在该期间被转移走的 36.3 亿美元中占比 88.44%。
同一份报告也解释了原因，而原因并不是审计人员失职。只有约 11% 的事件涉及传统审计范围内的缺陷。其余事件则是从审计从未指向的入口进入。这给读者留下了一个与审计质量无关的问题：落地页上的审计徽章只能告诉你发生过审查，却不能告诉你审查了什么、审查者发现了什么，以及还有什么尚未关闭。
报告实际写了什么
在第二轮结束时，报告记录为没有 Critical、没有 High、也没有 Medium 严重性发现。共有 25 项发现仍处于开放状态。它们全部为 Low severity 或 Informational，并且都在已公开的报告中以当前状态直接呈现，而不是被概括带过。
审计范围的表述方式也是如此。审计固定在 HashCow 公开仓库中的特定提交上，而不是某个会持续变化的分支，因此读者可以编译审计人员实际阅读的确切源代码，而不是仓库当下的内容。合约使用 Solidity 0.8.34 编写，基于 OpenZeppelin 5.0.2，没有代理合约，也没有升级路径。
正是最后这一点，成为公司被问及为何要公开尚未关闭发现时所强调的理由。
我们的合约无法升级，因此我们是在永久承诺一段任何人都可以阅读的代码。如果读者必须相信我们对审计的摘要，而不是相信审计本身，那么我们其实什么都没有真正给他们。公开我们尚未关闭的发现，代价是少了一个更漂亮的标题，但换来的是一位可以自行核查的读者。
我们的合约无法升级，因此我们是在永久承诺一段任何人都可以阅读的代码。如果读者必须相信我们对审计的摘要，而不是相信审计本身，那么我们其实什么都没有真正给他们。公开我们尚未关闭的发现，代价是少了一个更漂亮的标题，但换来的是一位可以自行核查的读者。
— Mark Lee，HashCow 创始人兼首席执行官
测试结果也一并公开
除审计外，HashCow 还公开了自身测试结果：694 项测试断言、105 项静态分析结果经初筛后均无 High 严重性，以及 49/49 项变异测试均被捕获。
第三个数字在业内最少见，也最具说明性。变异测试会一次删除合约中的每一项保护性检查并重新运行测试套件，其原理是：如果移除一项防护后测试仍能通过，那么这些测试从来就没有真正测试过这项防护。HashCow 自有仓库中有两项断言因此被发现是出于错误原因而通过，并已被重写。
引擎能证明什么，不能证明什么
接受审计的合约位于 VegasLedger 之下，后者是 HashCow 的公平性引擎。随机数生成器产生游戏结果，可验证随机函数生成该结果未被篡改的加密证明。结果会被哈希为锚定在 BNB Chain 上的 Merkle root，因此会话结束后，任何单项结果都可以对照该锚点进行核验。该引擎还可作为独立产品授权给外部工作室。
HashCow 对此类能力的边界说明得异常具体。锚点只能证明记录在写入后没有被更改。它不能证明被锚定的记录集合是完整的，也完全不能说明玩家是如何进行游戏的。这两项限制都写在公司的官方文档中，而不是留给读者自行发现。
项目目前进展
团队 KYC 已通过 SolidProof 的 Tier Gold 级别。HCOW 是部署在 BNB Chain 上的 BEP-20 代币，总供应量固定为 200,000,000，合约中没有 mint 功能。该代币尚未发行，也从未在任何交易所上市。主网部署仍在等待中。
这些都不能让项目变得安全，HashCow 也没有这样声称。CoinGecko 的数据提醒人们，大多数损失来自审计范围未覆盖的路径。完整公开报告的变化更窄也更实际：它把问题从“读者是否信任该项目”转变为“读者是否能够核查该项目”，而这才是能在遭遇漏洞时成立的唯一版本。
关于 HashCow
HashCow 是一家 Web3 游戏工作室和可证明公平性基础设施公司。它开发游戏及其底层公平性引擎，并将该引擎授权给外部工作室。HashCow 由 HASHCOW LABS INC. 运营，这是一家在巴拿马注册的 sociedad anonima，公共登记簿卷号为 No. 155787645。
链接
审计报告：
网站：
文档：
X： https://x.com/HCOW_Official
Telegram： https://t.me/HASHCOWOfficial
媒体联系： work@hash-cow.io
开头段落数据来源：CoinGecko，《2026 年加密安全状态报告》（245 起事件，2025年1月至2026年7月）。
这不是证券出售要约，对价格或回报不作任何陈述。
最初发表于 Crypto Adventure 的文章《HashCow 完整公布 SolidProof 两轮审计，包括所有未关闭发现》。
