O que fazemos, descrito sem rodeios.
Cinco serviços que cobrem o ciclo de vida de um projeto Web3 — do primeiro contrato à resposta de madrugada. Cada um com escopo claro, entregáveis definidos e prazos reais.
Auditoria de contratos inteligentes
Revisamos o seu código com leitura manual e ferramentas de análise estática e simbólica. Procuramos as falhas que importam: reentrância, erros de arredondamento, controle de acesso frágil e manipulação de oráculos.
- A
Revisão manual linha por linha
Dois engenheiros leem o código de forma independente antes de cruzar os achados.
- B
Prova de conceito por achado
Cada vulnerabilidade vem com um teste que a reproduz no ambiente de desenvolvimento.
- C
Relatório priorizado
Riscos classificados por impacto, com recomendação de correção e nova rodada de verificação.
Defesa de carteiras e custódia
Projetamos a guarda dos seus ativos para que nenhuma pessoa, sozinha, consiga movimentar fundos. Múltiplas assinaturas, repartição de segredos e políticas de aprovação que acompanham o tamanho do seu time.
- A
Arquitetura de múltiplas assinaturas
Definição de quóruns por valor e por tipo de operação, com trilha de auditoria.
- B
Repartição de chaves
Segredos divididos entre responsáveis e guardados sem ponto único de falha.
- C
Procedimento de recuperação
Plano documentado para perda de dispositivo ou saída de um responsável.
Monitoramento on-chain
Depois que o código entra no ar, o trabalho muda de natureza. Acompanhamos as transações do seu protocolo em tempo real e avisamos quando algo foge do padrão — antes que o padrão vire manchete.
- A
Painéis sob medida
Métricas de reservas, fluxos e endereços observados, ajustadas ao seu contrato.
- B
Alertas onde você trabalha
Notificações integradas aos canais que a sua equipe já usa no dia a dia.
- C
Regras de anomalia
Gatilhos calibrados para reduzir ruído e sinalizar o que realmente pede atenção.
Quando o incidente chega e quando a base precisa segurar
Plantão técnico para conter ataques em andamento
Equipe disponível para agir no momento certo: contenção imediata, preservação de evidências on-chain e comunicação com a sua comunidade. Ao final, um relatório que explica o que aconteceu e o que muda daqui para frente. Contratos de plantão disponíveis para projetos em produção.
Nós, pipelines e segredos tratados com disciplina
Revisão da infraestrutura que sustenta a sua operação: isolamento de nós validadores, cifragem de dados em repouso, gestão de credenciais e integração de verificações de segurança ao processo de implantação. Práticas de DevSecOps aplicadas a um ambiente que não pode parar.
Quatro etapas, do primeiro e-mail ao reteste
Escopo
Entendemos o que você precisa proteger e definimos juntos o que entra na revisão. Prazo e entregáveis combinados por escrito.
Execução
A equipe trabalha o código e a infraestrutura, com pontos de contato ao longo do caminho, não só no final.
Relatório
Entregamos os achados priorizados, com provas de conceito e recomendações de correção claras.
Reteste
Depois das correções, verificamos novamente os pontos tratados e registramos o que foi resolvido.
Antes de começar, o que costumam perguntar
Quanto tempo leva uma auditoria de contratos?
Depende do tamanho e da complexidade do código. Um contrato de porte médio costuma levar de uma a três semanas, incluindo a rodada de reteste. Na devolutiva de escopo, que entregamos em até 48 horas, informamos o prazo estimado para o seu caso específico.
Como os seus honorários se comparam a manter uma equipe interna?
Para a maioria dos projetos, contratar uma revisão pontual sai bem abaixo do custo de manter especialistas de segurança em tempo integral. Montamos a proposta por escopo, não por hora aberta, para que você saiba o valor antes de assinar. Em projetos com necessidade contínua, oferecemos contratos de acompanhamento mensal.
Vocês atendem projetos fora do Brasil?
Sim. Atendemos equipes em nove países da América Latina e trabalhamos em português, espanhol e inglês. O contrato e as notas fiscais são emitidos pela nossa empresa registrada em São Paulo, sob o CNPJ 48.219.735/0001-62.
Vocês assinam acordo de confidencialidade?
Sempre. Tratamos código não publicado e dados sensíveis com sigilo, e assinamos o acordo de confidencialidade antes de receber qualquer material. Também seguimos a LGPD no tratamento de dados pessoais que porventura cheguem até nós.
O que acontece se vocês não encontrarem nenhuma falha grave?
O relatório registra isso com clareza, descrevendo o que foi examinado e com qual profundidade. Uma auditoria que não aponta falhas graves tem valor: documenta o estado do código e sustenta decisões junto a parceiros e à sua comunidade. Não inflamos achados para parecer mais produtivos.
Vocês conseguem agir durante um ataque que já começou?
Para clientes com contrato de plantão, sim, com tempo médio de primeira contenção abaixo de 30 minutos. Para quem nos procura no meio de um incidente sem contrato prévio, atendemos conforme a disponibilidade da equipe e priorizamos a contenção imediata.
Vocês estão habilitados a operar com empresas brasileiras?
Estamos. A Cavrixune é uma sociedade registrada em São Paulo, emite nota fiscal de serviços e atende às obrigações fiscais locais. Isso facilita a contratação por empresas que precisam de documentação formal.
Pronto para definir o escopo do seu projeto?
Conte em poucas linhas o que você precisa proteger. Respondemos com uma estimativa de prazo e os próximos passos em até dois dias úteis.