Agência de segurança · Web3
A Iskandruq revisa o código, acompanha a infraestrutura on-chain e organiza a resposta a incidentes para equipes que operam ativos digitais em blockchain.
Auditorias de contratos entregues desde 2017
Monitoramento de carteiras e protocolos sob contrato
Tempo médio para conter um incidente reportado
Em ativos sob perímetro de proteção dos clientes
O que fazemos
Cada frente cobre um momento diferente do ciclo: antes do lançamento, durante a operação e no momento em que algo foge do esperado. Você contrata só o que o seu estágio exige.
Revisão linha a linha do código Solidity antes do deploy, com relatório priorizado por severidade e sessão de correção junto ao seu time.
Sensores que observam transações, mudanças de permissão e movimentos de tesouraria em tempo real, com alertas calibrados para reduzir ruído.
Plantão para o momento crítico: contenção, análise da causa raiz e orientação de comunicação enquanto a situação ainda está em curso.
Leitura do desenho do protocolo antes de uma linha de código: modelo de permissões, chaves, oráculos e pontos únicos de falha.
Simulação controlada de ataque sobre aplicação, carteira e integrações, do front-end ao contrato, para encontrar a brecha antes que outro encontre.
Oficinas práticas para desenvolvedores e operação aprenderem a reconhecer padrões de risco e a escrever código mais resistente no dia a dia.
Casos selecionados
Uma amostra de projetos concluídos. Nomes de clientes foram preservados por acordo de confidencialidade; os números refletem o que foi medido na entrega.
Caso em detalhe
A equipe ia tornar o contrato público e queria chegar ao lançamento com a certeza de que cada caminho de execução tinha sido olhado por quem ataca, não só por quem constrói. Trabalhamos oito semanas em três ciclos de revisão e reteste.
Como pensamos
Segurança não é um selo no fim do projeto. É uma decisão de engenharia tomada em cada commit.
— Iskandruq, princípio de trabalho nº 1
Como trabalhamos
Você sabe o que estamos olhando em cada semana e por quê. O relatório não chega como surpresa no final — ele vai sendo construído com o seu time.
Definimos juntos o que entra na revisão, o modelo de ameaça e os critérios de severidade. Sem isso, qualquer laudo é opinião.
Leitura manual do código somada a ferramentas de análise. Cada achado recebe impacto, probabilidade e caminho de reprodução.
Sentamos com os desenvolvedores para discutir cada correção. A prioridade é resolver a causa, não apenas o sintoma apontado.
Confirmamos que o que foi corrigido realmente fechou. O laudo final só sai depois dessa checagem, com histórico de versões.
Depoimentos de clientes (exemplos ilustrativos)
Reduzimos o tempo entre o alerta e a decisão de congelar o contrato de cerca de uma hora para quinze minutos. O painel passou a ser a primeira coisa que o time abre de manhã.
O laudo não ficou guardado numa gaveta. Cada item virou tarefa com responsável e prazo, e a sessão de correção poupou semanas de ida e volta por mensagem.
Contratamos para a auditoria pré-lançamento e mantivemos o monitoramento depois. A continuidade fez diferença: quem revisou o código é quem lê os alertas hoje.
Perguntas frequentes
Se a sua dúvida não estiver aqui, escreva para a equipe. Respondemos com o engenheiro que cuidaria do seu projeto, não com um atendimento genérico.
Depende do tamanho e da complexidade do código. Um contrato isolado costuma levar de uma a duas semanas; um protocolo com vários módulos e integrações pode chegar a seis ou oito. No orçamento você recebe um cronograma com as datas de cada ciclo de revisão.
Auditorias têm valor fechado por escopo, definido depois de olharmos o repositório. Monitoramento e plantão de resposta funcionam em contrato mensal. Não trabalhamos com percentual sobre ativos nem cobrança por achado, porque isso distorce a prioridade.
As duas coisas convivem. Um time interno conhece o produto a fundo; uma revisão externa traz o olhar de quem não participou das decisões e por isso enxerga suposições que passaram batido. Muitos clientes nos usam justamente para auditar o que o time interno construiu.
Sim. Somos uma empresa constituída em São Paulo, com CNPJ ativo, e emitimos nota fiscal de serviço. Atuamos em conformidade com a LGPD (Lei 13.709/2018) no tratamento de dados dos projetos e assinamos acordo de confidencialidade antes de qualquer acesso ao código.
Comunicamos de imediato, por canal reservado, antes mesmo de fechar o relatório. Falha de severidade alta não espera o laudo final: ela é sinalizada no dia em que aparece, com a descrição suficiente para o seu time agir ainda naquela semana.
Atendemos, e quanto antes melhor. A revisão de arquitetura, feita antes da primeira linha de contrato, costuma ser o trabalho de maior retorno: corrigir um desenho no papel custa muito menos do que refatorar um protocolo já publicado.
Próximo passo
Uma conversa inicial de trinta minutos, sem compromisso, para entender o escopo e indicar qual frente faz sentido para o seu momento.