01
Auditoria de contratos inteligentes
Revisão manual linha a linha combinada com análise automatizada. Entregamos um relatório com severidade classificada, prova de conceito para cada achado e acompanhamento das correções.
Agência de segurança · Web3
Defesa de ativos digitais para quem opera on-chain.
Auditamos contratos inteligentes, monitoramos protocolos em produção e conduzimos a resposta quando o risco aparece. Segurança tratada como parte da engenharia, não como um relatório no fim do caminho.
140+Contratos auditados
9 anosEm segurança ofensiva
24/7Monitoramento on-chain
SPBase em São Paulo
O que fazemos
Um protocolo bem escrito ainda pode falhar. Nosso trabalho é encontrar onde antes que alguém o faça.
A maior parte das perdas em Web3 não vem de falhas de cifragem. Vem de lógica de negócio mal especificada, permissões frouxas e integrações que ninguém revisou com atenção. É aí que concentramos o olhar.
Serviços
Quatro frentes de trabalho, uma mesma disciplina.
Atuamos antes, durante e depois do deploy. Cada frente entrega documentação que sua equipe consegue ler, repetir e manter.
02
Teste de intrusão de aplicações
Simulamos um adversário real contra sua dApp, APIs e infraestrutura de nós. Do front-end à carteira de assinatura, mapeamos o caminho que um atacante percorreria.
03
Monitoramento e detecção on-chain
Regras sob medida que observam transações suspeitas, variações de liquidez e mudanças de permissão em tempo real. Alerta chega à sua equipe antes de virar manchete.
04
Resposta a incidentes
Quando algo acontece, o relógio importa. Conduzimos contenção, análise forense da cadeia e comunicação com a comunidade com a cabeça fria e método definido.
“
Segurança não é um selo que se aplica no lançamento. É uma decisão que se repete em cada commit, em cada atualização de permissão e em cada integração nova que entra no protocolo.
Princípio de trabalho — Cavo Mirza
Trabalhos recentes
Projetos em que entramos cedo e ficamos até o fim.
Nomes sob acordo de confidencialidade. Os números são reais; os detalhes, resumidos para publicação.
Auditoria DeFi
Protocolo de empréstimo com cofre automatizado
Revisão completa antes do deploy em rede principal. Dois achados críticos de manipulação de oráculo corrigidos antes do lançamento.
Resposta a incidente
Contenção de drenagem em ponte de ativos
Acionados às 3h da manhã. Fundos remanescentes pausados em 40 minutos e relatório forense entregue à comunidade em 72 horas.
Monitoramento
Camada de detecção para marketplace NFT
Regras de observação on-chain que reduziram o tempo médio de detecção de incidentes de horas para poucos minutos ao longo de seis meses.
Teste de intrusão
Carteira institucional com assinatura múltipla
Exercício adversarial sobre a infraestrutura de custódia. Caminho de escalonamento de privilégio identificado e fechado antes da produção.
Em números
O trabalho medido, não prometido.
140+Contratos revisados desde 2017
40 minTempo médio de contenção em plantão
6Redes principais sob monitoramento ativo
0Achados críticos ocultos em relatório final
Como trabalhamos
Um método que cabe no seu ciclo de desenvolvimento.
01
Escopo e modelagem de ameaças
Começamos entendendo o que o protocolo faz e o que ele nunca deveria permitir. A partir daí definimos o que será testado e com que profundidade.
02
Revisão manual e automatizada
Leitura humana do código linha a linha, apoiada por fuzzing e análise simbólica. As ferramentas apontam caminhos; a pessoa decide o que importa.
03
Prova de conceito e relatório
Cada achado vem com uma demonstração reproduzível e uma recomendação concreta. Nada de severidade sem evidência.
04
Reteste e acompanhamento
Depois das correções, voltamos. Confirmamos o que foi resolvido e registramos o que permanece como risco aceito pela equipe.
Depoimento
“Reduziram nosso tempo de revisão de segurança de três semanas para oito dias, sem abrir mão da profundidade. O relatório entrou direto no nosso backlog e a equipe entendeu cada item.”
Renata Tavares — PLACEHOLDER
Líder de engenharia · Protocolo DeFi (sob confidencialidade)
Dúvidas frequentes
O que costumam perguntar antes de começar.
Se a sua pergunta não estiver aqui, escreva para [email protected].
Depende da complexidade e do tamanho da base de código. Um protocolo enxuto costuma levar de uma a duas semanas; sistemas com muitos módulos interligados pedem mais. No escopo inicial damos uma estimativa realista, com datas, antes de qualquer compromisso.
Uma equipe interna de segurança faz sentido quando há demanda contínua e volume para justificá-la. Para a maioria dos protocolos, contratar revisão sob demanda sai mais previsível: você paga pelo trabalho definido no escopo e recebe um olhar externo que não se acostuma com o próprio código.
Sim. Nossa base fica na Avenida Paulista, mas o trabalho é majoritariamente remoto e atendemos equipes em todo o Brasil e no exterior. Para resposta a incidentes, operamos em regime de plantão independentemente do fuso.
Um relatório com cada achado classificado por severidade, prova de conceito reproduzível, recomendação de correção e um reteste após os ajustes. Também fazemos uma sessão de leitura conjunta para que a sua equipe entenda o raciocínio por trás de cada ponto.
Sempre. Antes de ver qualquer linha de código, formalizamos o sigilo. Tratamos chaves, credenciais e detalhes de arquitetura sob a Lei Geral de Proteção de Dados (Lei 13.709/2018) e destruímos o material de trabalho ao encerrar o projeto, salvo obrigação legal de retenção.
Preferimos. Quanto mais cedo entramos, mais barato sai corrigir. Acompanhamos equipes desde o desenho da arquitetura, revisando decisões antes que virem código difícil de mudar.
Vamos olhar o seu protocolo antes que um estranho olhe.
Conte o que você está construindo. Respondemos com um escopo claro, prazo e o próximo passo — sem rodeios.