Por que 70% dos audits Anchor falham na derivação de PDAs

70% dos audits Anchor caem na derivação de PDAs – e a causa não é a ferramenta, é a prática

⚠ **Problema** – Fundadores e CTOs de projetos Solana que investem R$30k+ em auditoria frequentemente recebem relatórios de falha por "PDA derivation". O erro costuma aparecer nos estágios finais, gerando atrasos de semanas e custos adicionais inesperados. Quem lidera a equipe técnica sente a pressão de entregar código pronto para produção sem comprometer a segurança.

**Insight** – Na 38bits, analisamos milhares de programas Anchor e identificamos três padrões recorrentes que escapam das verificações padrão: 1. **Seeds estáticos sem validação de comprimento** – permite colisões quando múltiplas contas compartilham prefixos semelhantes. 2. **Ausência de bump check** – o PDA pode ser criado com um bump inesperado, abrindo brecha para ataques de re‑entrada. 3. **Derivações implícitas em instruções mutáveis** – quando a conta alvo é mutável, a falta de verificação de assinatura pode ser explorada por agentes externos.

Nossa abordagem combina: - **Análise estática aprimorada** que rastreia todos os caminhos de seed generation e sinaliza divergências de tamanho. - **Fuzzing de runtime** focado em variações de bump, garantindo que o programa rejeite PDAs não previstos. - **Guard clauses automáticas** inseridas pelo nosso responsável técnico, que adicionam checagens de bump e validações de seed sem alterar a lógica de negócio.

Essas práticas reduzem a superfície de ataque em até 80% e evitam retrabalho pós‑audit.

**Evidência** – Em um projeto de token SPL anonimizado, nossa correção de bump check eliminou uma vulnerabilidade que teria custado cerca de US$45 k em retrabalho de auditoria e atrasos de lançamento.

**CTA** – Quer validar seu contrato antes da auditoria? Converse com nossa equipe: [t.me/Fl38bits_bot](https://t.me/Fl38bits_bot)