Smart Contract Engineer

En smart contract engineer bygger kode, der ligger på en blockchain og udfører sig selv. Koden styrer typisk penge, tokens, adgangsrettigheder eller ejerskab. Når en kontrakt er udrullet på mainnet, kan den som regel ikke rettes bagefter. En fejl på tre linjer kan koste brugerne alt, hvad der står i kontrakten. Derfor bruger de fleste i faget mere tid på test og gennemgang end på at skrive ny kode.

Typiske opgaver

• Skrive kontrakter i Solidity til Ethereum og andre EVM-kæder
• Skrive unit-tests, invariant-tests og fuzz-tests i Foundry
• Optimere gasforbrug, så en transaktion bliver billigere for brugeren
• Lede efter kendte fejltyper: reentrancy, manglende adgangskontrol, prisoracle-manipulation, integer-fejl
• Bygge opgraderbare kontrakter med proxy-mønstre som UUPS, når produktet skal kunne ændres
• Klargøre udrulning og få en multisig-wallet til at godkende transaktionen
• Svare på fund fra eksterne auditorer og rette dem
• Overvåge kontrakter i drift og kunne sætte dem på pause under et angreb
• Skrive den tekniske dokumentation, som revisorer og auditorer læser

En almindelig arbejdsdag

Dagen starter tit med at kigge på alarmer fra overvågningen. Har en kontrakt fået usædvanligt mange kald i nat? Er der en stor udbetaling, der ser forkert ud? Derefter går der typisk et par timer med kodegennemgang af en kollegas pull request. Om formiddagen skriver man test til en ny funktion, for eksempel udbetaling af belønninger. Testen køres først lokalt mod en kopi af mainnet.

Efter frokost er der ofte møde med produktfolk eller jurister. Her handler snakken om, hvad kontrakten må og ikke må gøre automatisk. Sidst på dagen udruller man til et testnet som Sepolia og beder teamet prøve at bryde det. Selve udrulningen til mainnet sker sjældent og altid planlagt, gerne med en checkliste og to par øjne.

Hvor arbejder de i Danmark?

Feltet er lille herhjemme, men det findes. Kryptobørser og betalingsvirksomheder som Coinify har brug for kontraktforståelse. Concordium, der er grundlagt af Lars Seier Christensen, arbejder med sin egen blockchain og med identitet på kæden. Chainalysis, som har udviklingskontor i København, analyserer transaktioner og kontrakter for banker og myndigheder. Dertil kommer fintech og banker, der eksperimenterer med tokenisering af værdipapirer, samt spilfirmaer og konsulenthuse. Mange danskere i faget arbejder desuden fjernt for udenlandske protokoller eller lever af at finde fejl i auditkonkurrencer.

Hvilken lovgivning dækker denne rolle?

Faget kræver ingen autorisation i Danmark. Til gengæld stiller EU's dataforordning, Data Act, direkte krav til smart contracts, der bruges til at dele data mellem parter. Kravene handler om robusthed, adgangskontrol, arkivering af data og om, at kontrakten kan afbrydes sikkert. Leverandøren skal desuden kunne udstede en EU-overensstemmelseserklæring på den slags kontrakter. Arbejder man med tokens eller en kryptobørs, gælder MiCA-forordningen og hvidvaskloven oveni, og Finanstilsynet fører tilsyn. I banker og forsikring stiller DORA-forordningen krav til test, drift og leverandørstyring, også for systemer på en blockchain.

Der findes ingen dansk uddannelse, der hedder smart contract engineer. Stort set alle kommer fra en almindelig it-uddannelse og specialiserer sig bagefter. De fleste har arbejdet et par år som backend-udvikler først.

De typiske uddannelsesveje

• Datamatiker på et erhvervsakademi. Uddannelsen tager 2 år og 3 måneder. Adgangskravet er en gymnasial eksamen med matematik på C-niveau eller en relevant erhvervsuddannelse.
• Professionsbachelor i softwareudvikling. Er en overbygning på datamatiker og tager halvandet år.
• Diplomingeniør i softwareteknologi. Tager tre et halvt år og indeholder et halvt års praktik.
• Datalogi eller software engineering på universitetet. Bachelor på tre år plus kandidat på to år. Datalogi på Københavns Universitet kræver matematik på A-niveau.

Kryptografi og distribuerede systemer er de fag, der betaler sig mest på den lange bane. På DTU og Aarhus Universitet er der stærke forskningsmiljøer i kryptografi, og det er en god vej ind i den tunge del af faget.

Vejen fra udvikler til kontraktudvikler

Selve specialiseringen sker næsten altid ved siden af jobbet. En typisk rækkefølge ser sådan ud:

• Lær Solidity og byg en simpel token- og en simpel escrow-kontrakt
• Løs sikkerhedsøvelser som Ethernaut og Damn Vulnerable DeFi
• Følg et gratis kursusforløb, for eksempel Cyfrin Updraft eller Secureum
• Deltag i en hackathon, typisk gennem ETHGlobal
• Prøv kræfter med auditkonkurrencer på Code4rena eller Sherlock
• Læs rigtige postmortems fra hacks, og forstå præcis hvad der gik galt

Det tager typisk seks til atten måneder ved siden af et fuldtidsjob at nå et niveau, hvor nogen vil betale for det.

Hvad kigger arbejdsgivere efter?

Karakterer betyder mindre her end i mange andre it-jobs. Et GitHub-repo med testdækning tæller. Verificeret kontraktkode på Etherscan tæller. Fund i en auditkonkurrence tæller allermest, fordi de er offentlige og kan efterprøves. Der findes ingen anerkendt dansk certificering i faget, så porteføljen er dit bevis.

Hvis du skal hyre en

Bed om at se rigtig kode og de test, der hører til. Spørg til en fejl, kandidaten selv har lavet eller fundet. Spørg hvordan de ville stoppe en kontrakt midt i et angreb. En kandidat, der taler om test, kanttilfælde og adgangskontrol før features, er som regel den rigtige.

Værktøjskassen er lille, men specialiseret. Skifter man kæde, skifter halvdelen af den ud.

Sprog

• Solidity er standarden på Ethereum og alle EVM-kæder
• Vyper bruges af projekter, der vil have enklere og mere læsbar kode
• Rust bruges på Solana, NEAR og Polkadot
• Move bruges på Aptos og Sui
• TypeScript til scripts, integration og frontend

Udvikling og test

• Foundry med forge, anvil og cast er i dag det mest brugte værktøjssæt
• Hardhat bruges stadig meget, især i ældre kodebaser
• Remix til hurtige eksperimenter direkte i browseren
• OpenZeppelin Contracts som gennemtestet standardbibliotek til tokens og adgangsstyring

Sikkerhed

• Slither og Mythril til statisk analyse
• Echidna og Medusa til fuzzing af invarianter
• Certora til formel verifikation, mest i store protokoller
• Tenderly til at afspille en transaktion og se præcis hvor den gik galt

Drift og overvågning

• Safe til multisig-godkendelse af udrulninger og ændringer
• OpenZeppelin Defender til automatisk overvågning og nødstop
• Etherscan til verificering af kode og opslag i transaktioner
• Dune til dashboards over, hvordan kontrakten faktisk bliver brugt
• Alchemy eller Infura som nodeudbyder, hvis man ikke kører sin egen
• Ledger eller anden hardware-wallet til nøgler, der rører rigtige penge

Netværk

Ud over Ethereum mainnet arbejder de fleste på layer 2-kæder som Arbitrum, Optimism og Base. Sepolia er det testnet, næsten alle bruger, før noget rører rigtige penge.

Dertil kommer det almindelige udviklerværktøj: Git, GitHub Actions til at køre testene automatisk, og Docker.