Security of the contracts
What has been checked, by whom, and what has not. No independent audit has been done yet. Nothing is for sale until one is published.
What is deployed
| Contract | Address (Base mainnet) | Source |
|---|---|---|
| PRVToken (ERC-20, 1,000,000,000 fixed) | 0xb4ef6CF51a7509879CD81C126bDb569601a4921E | verified (exact match) |
| TeamVesting (founder's 150M, cliff Oct 2027, linear to Oct 2030) | 0x727bee4BD9b5eb6E3065156DfcbD49aCF614f606 | verified (exact match) |
Both contracts are thin layers over audited OpenZeppelin 5.6 code (ERC20, ERC20Burnable, ERC20Votes, VestingWallet). Custom code is 142 lines in total. The token has no owner, no mint function, no pause, no blacklist and no fee switch: what was minted at deploy is all there will ever be, and it can only go down through burning.
Checks done so far
| Check | Result | Notes |
|---|---|---|
| Static analysis with Slither 0.11.6 (102 detectors) | 0 high, 0 medium, 0 low | 2 informational notes: timestamp comparison in the vesting schedule (by design, it is a time-based schedule) and the OpenZeppelin function name CLOCK_MODE. Raw output. |
| Unit tests (Hardhat) | 13 / 13 passing | Fixed supply, exact allocation, no mint/owner, burn, vote clock, vesting cliff and linear release, beneficiary cannot be changed or sold. |
| Source verification | done | Sourcify exact match, visible on Basescan. |
| Allocation custody | done | Six Safe vaults (rewards, treasury, investors, liquidity, public sale, community) plus the vesting contract. No tokens in any personal wallet. |
| Independent human audit | pending | Required before any sale, liquidity pool or airdrop. Will be published here in full, including findings. |
| Bug bounty | pending | Opens together with the audit. |
How to check it yourself
Clone the repository, run npx hardhat test and slither .. Compare the verified source on Basescan with the repository. Call owner() on the token: it does not exist. Call totalSupply(): 1,000,000,000 × 10¹⁸ and it never increases.
Found something? Write to contato@provado.markets. Confirmed findings are credited here.
Em português: segurança dos contratos
Situação em 22 de outubro de 2026. Os dois contratos do token PRV (token e vesting da equipe) estão publicados na rede Base com código-fonte verificado. São camadas finas, 142 linhas no total, sobre código auditado da OpenZeppelin. O token não tem dono, não tem função de criar mais, não tem pausa, não tem lista negra nem taxa: o que foi criado no lançamento é tudo que vai existir, e só pode diminuir por queima.
O que já foi verificado: análise automática com Slither (102 detectores, nenhum problema de severidade alta, média ou baixa), 13 testes automatizados passando, código verificado no Basescan e todas as alocações guardadas em cofres Safe ou no contrato de vesting, nada em carteira pessoal.
O que ainda falta: auditoria independente feita por pessoas. Ela é obrigatória antes de qualquer venda, pool de liquidez ou airdrop, e será publicada aqui na íntegra, com os achados. Até lá, nada está à venda. Se alguém pedir depósito em nome do Provado, é golpe.
Achou algo? Escreva para contato@provado.markets.