Auditoria de contratos inteligentes
Revisão linha a linha antes da publicação em rede principal. Identificamos reentrância, falhas de controle de acesso e erros de lógica de negócio, com relatório técnico e plano de correção.
Detalhes →
Segurança aplicada a Web3
Confiança em redes descentralizadas começa no código.
Revisamos contratos inteligentes, arquiteturas de protocolo e aplicações on-chain antes que qualquer valor esteja em circulação. Trabalho técnico, documentado e verificável.
Infraestrutura · Verificação on-chain
Linguagens e redes que cobrimos
Solidity
Rust
EVM
Move
Vyper
Layer 2
O que fazemos
Segurança em cada camada do projeto.
Da primeira linha do contrato ao monitoramento depois do lançamento. Cada frente de trabalho entrega documentação que sua equipe pode ler, auditar e repassar aos envolvidos.
Revisão de arquitetura de protocolos
Avaliamos o desenho do protocolo antes da implementação: modelo econômico, permissões, oráculos e pontos de dependência externa. Problemas estruturais custam menos quando aparecem cedo.
Detalhes →Resposta a incidentes
Quando algo acontece em produção, montamos a linha do tempo, contemos a exposição e documentamos a causa. Atendimento coordenado com sua equipe técnica e jurídica.
Detalhes →Monitoramento contínuo on-chain
Acompanhamento de eventos, carteiras administrativas e padrões anômalos após o lançamento. Alertas configurados para o que realmente importa no seu contrato.
Detalhes →Testes de intrusão em aplicações Web3
Análise da camada que conecta o usuário à rede: carteiras integradas, assinaturas, front-end e APIs. Testamos o caminho real que um visitante percorre.
Detalhes →Gestão de chaves e acessos
Desenho de custódia, carteiras com múltiplas assinaturas e políticas de permissão. Reduzimos o número de pontos em que um único acesso compromete o projeto inteiro.
Detalhes →
“
Confiança em uma rede descentralizada não se declara em um comunicado. Ela se verifica — linha por linha, antes de qualquer valor estar em jogo.
Princípio de trabalho · Quimbrelio
Como trabalhamos
Três etapas, sem caixa-preta.
Você acompanha cada fase com acesso ao material técnico. Nada de relatório genérico entregue no último dia.
01
Escopo e diagnóstico
Mapeamos o contrato, as dependências e o que está em risco. Definimos juntos o alcance do trabalho e o que será entregue ao final.
02
Análise e testes
Revisão manual combinada com ferramentas de análise estática e dinâmica. Cada achado é reproduzido e classificado por severidade real.
03
Relatório e remediação
Entregamos o relatório, discutimos as correções e revisamos de novo o que foi ajustado. O acompanhamento não termina na entrega do documento.
Trabalhos recentes
Projetos que passaram pela nossa revisão.
Exemplos representativos do tipo de trabalho que conduzimos. Nomes e detalhes sensíveis são preservados por acordo de confidencialidade.
Protocolo de pagamentos
Revisão completa antes do lançamento
Auditoria de um conjunto de contratos de liquidação com integração a oráculos externos. Duas falhas de severidade alta corrigidas antes da publicação.
- Solidity
- Oráculos
- Camada 2
Marketplace de ativos digitais
Acompanhamento contínuo on-chain
Monitoramento de carteiras administrativas e eventos de transferência após o lançamento, com alertas configurados para padrões fora do comportamento esperado.
- EVM
- Monitoramento
- Custódia
Infraestrutura de custódia
Desenho de carteiras com múltiplas assinaturas
Revisão de política de acessos e implementação de aprovação por várias partes para operações críticas de tesouraria.
- Gestão de chaves
- Governança
- Permissões
Rede de identidade descentralizada
Teste de intrusão na camada de aplicação
Avaliação do fluxo de assinatura e integração de carteiras no front-end, com reprodução dos caminhos reais percorridos por um usuário.
- Front-end
- Assinaturas
- APIs
Formatos de trabalho
Escolha o engajamento que faz sentido.
Cada projeto começa com uma conversa sobre escopo. Os formatos abaixo são pontos de partida, ajustados ao seu estágio e à sua equipe.
Auditoria avulsa
Para equipes que precisam de uma revisão completa antes de um lançamento específico.
- Revisão manual do código
- Relatório técnico com severidades
- Uma rodada de reavaliação
- Sessão de alinhamento final
Acompanhamento
Para projetos em evolução, com novas versões e atualizações frequentes do contrato.
- Revisões recorrentes por versão
- Monitoramento on-chain ativo
- Canal direto com a equipe técnica
- Relatórios periódicos de postura
Resposta a incidentes
Para quando algo já aconteceu em produção e você precisa de apoio imediato.
- Contenção coordenada
- Linha do tempo e análise de causa
- Documentação para partes envolvidas
- Plano de recuperação
Na voz de quem contratou
O que as equipes relatam.
Depoimentos representativos de projetos atendidos. Marcados como texto de referência enquanto novos clientes autorizam a divulgação.
A revisão reduziu nosso ciclo de lançamento de seis para três semanas, sem abrir mão da análise completa do contrato.
O relatório apontou duas falhas de reentrância que nossa equipe interna não havia identificado. A clareza da documentação fez diferença.
O acompanhamento depois do lançamento nos deu visibilidade real sobre eventos on-chain. Deixou de ser um ponto cego.
Perguntas frequentes
Antes de começarmos.
Em quanto tempo uma auditoria é concluída?
Depende do tamanho e da complexidade do código. Um conjunto de contratos de porte médio costuma levar de duas a quatro semanas, incluindo a rodada de reavaliação. Na proposta você recebe um prazo estimado após a definição do escopo.
Vocês atendem projetos fora do Brasil?
Sim. Atendemos equipes em outros fusos e conduzimos o trabalho em português ou inglês. A operação é registrada no Brasil, mas o alcance dos projetos não tem fronteira definida.
Como a contratação se compara a manter uma equipe interna de segurança?
Uma equipe interna faz sentido para projetos com demanda constante e escala. Para a maioria das equipes, trazer uma revisão externa em momentos-chave — lançamento, atualização relevante, resposta a um incidente — cobre o essencial sem o custo fixo de uma estrutura dedicada. Discutimos os dois cenários na primeira conversa.
Quais redes e linguagens vocês cobrem?
Trabalhamos com Solidity, Vyper e Rust, em redes compatíveis com EVM, soluções de camada 2 e ambientes baseados em Move. Se a sua pilha não estiver na lista, conte o que você usa e avaliamos a aderência antes de aceitar o projeto.
O que acontece se uma falha for encontrada depois do relatório?
A reavaliação de correções já está incluída no trabalho. Se um ponto relacionado ao escopo original aparecer depois, retomamos a análise. Para situações em produção, o formato de resposta a incidentes entra em ação.
Vocês assinam acordo de confidencialidade?
Sim. Assinamos acordo de confidencialidade antes de ter acesso a qualquer material. Nomes de clientes e detalhes técnicos só aparecem publicamente com autorização expressa.
A empresa é registrada para operar no Brasil?
Sim. A Quimbrelio está registrada em São Paulo sob o CNPJ 42.318.655/0001-09 e segue a Lei Geral de Proteção de Dados (Lei 13.709/2018) no tratamento das informações recebidas.
Vamos olhar o seu contrato antes que a rede olhe.
Conte em que estágio o projeto está. Respondemos com um escopo claro e um prazo realista, sem compromisso de fechamento.