HashCow 公開兩輪 SolidProof 稽核完整報告，包含所有未結案發現
重點速覽
- •HashCow 完成了 SolidProof 對其全部六份合約的第二輪智慧合約稽核。
- •已發布的報告列出 25 項未結案發現，全部為 Low severity 或 Informational，且沒有 Critical、High 或 Medium 發現。
- •HashCow 也公布了內部測試結果：694 項測試斷言、105 筆靜態分析結果中沒有 High 嚴重度問題，以及 49/49 的 mutation tests 被攔截。
- •接受稽核的合約支撐 VegasLedger，該系統使用隨機數產生器、可驗證隨機函數，以及錨定於 BNB Chain 的 Merkle root 來協助驗證遊戲結果。
- •HCOW 是 BNB Chain 上的 BEP-20 代幣，總供應量固定為 200,000,000，尚未發行或上架，主網部署仍待進行。
PANAMA CITY, September 2, 2026 — HashCow，一家 Web3 遊戲工作室與可證明公平性基礎設施公司，今天宣布已完成與 SolidProof 的第二輪智慧合約稽核，涵蓋其全部六份合約。兩輪稽核報告均已在公開專案頁面完整發布，其中包括 25 項仍未結案的發現。
公開這些未結案發現是較不尋常之處，而這項決定背後有數據支撐。根據 CoinGecko 的《2026 State of Crypto Security Report》，在 2025 年 1 月至 2026 年 7 月間遭駭的加密平台中，約 60% 已完成獨立安全稽核。也就是 245 起事件中的 147 起，而這些已稽核平台占該期間被盜走 36.3 億美元中的 88.44%。
同一份報告也解釋了原因，而且原因並不是稽核人員失職。只有約 11% 的事件涉及傳統稽核範圍內的缺陷，其餘多是從稽核從未對準的入口進入。這讓讀者面臨一個與稽核品質無關的問題：首頁上的稽核徽章只能告訴你曾經有審查發生，卻無法告訴你審查了什麼、審查者發現了什麼，或仍有哪些項目尚未結案。
報告實際說了什麼
在第二輪結束時，報告記錄中沒有 Critical、High 或 Medium 嚴重度的發現。共有 25 項發現仍處於開放狀態。它們全都屬於 Low severity 或 Informational，且都在已發布報告中以當前狀態完整呈現，而不是被概括帶過。
稽核範圍的說明方式也相同。這次稽核鎖定的是 HashCow 公開儲存庫中的特定 commit，而不是會持續變動的分支，因此讀者可以編譯稽核人員實際查看的精確原始碼，而不是儲存庫今天所保留的內容。這些合約以 Solidity 0.8.34 撰寫，基於 OpenZeppelin 5.0.2，沒有 proxy，也沒有升級路徑。
正是這最後一點，成為公司被問到為何要公開尚未結案發現時所強調的理由。
我們的合約無法升級，因此我們是在永久承諾任何人都能閱讀的程式碼。如果讀者必須相信我們對稽核的摘要，而不是稽核本身，那麼我們其實什麼都沒有真正提供。公開那些尚未結案的發現，代價是少了一個更漂亮的標題，換來的是一位可以自行查核的讀者。
我們的合約無法升級，因此我們是在永久承諾任何人都能閱讀的程式碼。如果讀者必須相信我們對稽核的摘要，而不是稽核本身，那麼我們其實什麼都沒有真正提供。公開那些尚未結案的發現，代價是少了一個更漂亮的標題，換來的是一位可以自行查核的讀者。
— Mark Lee，HashCow 創辦人暨執行長
測試結果也一併公開
除了稽核之外，HashCow 也公布了自身的測試結果：694 項測試斷言、105 筆靜態分析結果經分流處理且其中沒有 High 嚴重度，以及 49/49 的 mutation tests 全數被攔截。
第三個數字在業界最不常見，也最具揭示性。Mutation testing 會逐一刪除合約中的每一個防護檢查並重新執行測試套件，其原則是：如果移除保護機制後測試仍然通過，那麼該測試從來就沒有真正測到那個保護機制。HashCow 自家儲存庫中有兩項斷言因此被發現是在錯誤原因下通過，並已重新撰寫。
引擎證明了什麼，以及不能證明什麼
接受稽核的合約位於 HashCow 的公平性引擎 VegasLedger 之下。隨機數產生器產生遊戲結果，而可驗證隨機函數則產生該結果未被竄改的加密證明。結果會被雜湊成錨定於 BNB Chain 的 Merkle root，因此單一結果在回合結束後都可對照該錨點進行查驗。這套引擎可作為獨立產品授權給外部工作室。
HashCow 對此的限制說明得格外明確。錨點只能證明紀錄在寫入後未被變更，不能證明被錨定的紀錄集合是完整的，也完全不能說明玩家是如何遊玩的。這兩項限制都寫在公司的官方文件中，而不是留給讀者自行發現。
專案目前進度
團隊 KYC 已由 SolidProof 以 Tier Gold 完成。HCOW 是 BNB Chain 上的 BEP-20 代幣，總供應量固定為 200,000,000，且合約中沒有 mint 功能。該代幣尚未發行，也從未在任何交易所上架。主網部署仍在等待中。
這些內容都不能讓專案變得安全，而 HashCow 也沒有這樣宣稱。CoinGecko 的數據提醒人們，多數損失來自任何稽核都未納入範圍的路徑。完整公開所改變的面向更窄但更實用：它把問題從讀者是否信任專案，轉變為讀者是否能查核專案，而這是面對實際攻擊時仍能成立的唯一問法。
關於 HashCow
HashCow 是一家 Web3 遊戲工作室與可證明公平性基礎設施公司。它開發遊戲與其底層公平性引擎，並將該引擎授權給外部工作室。HashCow 由 HASHCOW LABS INC. 營運，該公司為在巴拿馬註冊、登記於 Public Registry Folio No. 155787645 的 sociedad anonima。
連結
稽核報告:
網站:
文件:
X: https://x.com/HCOW_Official
Telegram: https://t.me/HASHCOWOfficial
媒體聯絡: work@hash-cow.io
開頭段落數據來源：CoinGecko，《2026 State of Crypto Security Report》（245 起事件，2025 年 1 月至 2026 年 7 月）。
此內容並非出售證券之要約，亦不對價格或報酬作出任何表示。
