Auditoría línea a línea de contratos inteligentes y de la lógica del protocolo antes del despliegue: revisión manual, pruebas de invariantes y revisión de las correcciones.
Un contrato desplegado no se puede parchear una tarde tranquila. Su código es público, sus fondos están a una transacción de distancia y un fallo lo explota quien lo lee primero. La auditoría tiene que hacerse antes del despliegue y tienen que hacerla personas que lean cada línea.
Dos auditores revisan el código de forma independiente y después comparan los resultados. El análisis automatizado y el fuzzing les sirven de apoyo, pero los hallazgos importantes surgen de entender qué promete el protocolo y de buscar el estado en el que esa promesa se rompe. Los contratos son una parte del riesgo: las claves, los derechos de actualización y los componentes off-chain se revisan junto con ellos.
01Alcance
Qué ponemos a prueba
Control de acceso, propiedad y funciones privilegiadas
Reentrada, llamadas externas no comprobadas y comportamiento de los callbacks
Aritmética, redondeo, pérdida de precisión y manejo de unidades
Lógica económica: oráculos de precios, flash loans, slippage, liquidación, contabilidad de recompensas
Actualizabilidad: proxies, disposición del almacenamiento, inicializadores
Firmas: repetición, maleabilidad, flujos permit, separación de dominios
Mensajería entre cadenas y puentes
Denegación de servicio: límites de gas, bucles sin límite, griefing
Scripts de despliegue, claves administrativas y configuración multifirma
02Enfoque
Cómo se realiza el trabajo
01
Especificación
Establecemos qué debe garantizar el protocolo. Cuando no existe una especificación, ponemos por escrito los invariantes y los acordamos con usted.
02
Revisión manual independiente
Dos auditores leen el código línea a línea, por separado. Sus notas solo se combinan cuando ambos han terminado.
03
Análisis automatizado
El análisis estático, el fuzzing y las pruebas de invariantes se ejecutan contra las propiedades acordadas. Las pruebas escritas durante la auditoría se le entregan.
04
Revisión de las correcciones
Sus correcciones se revisan frente a los hallazgos originales. El informe final indica el commit auditado y el commit en el que se resolvió cada problema.
¿Garantiza una auditoría que el contrato es seguro?
No, y nadie puede dar honestamente esa garantía. Una auditoría es una revisión de duración limitada de un commit concreto. Reduce el riesgo de forma sustancial y documenta lo que se revisó. El informe lo dice con palabras claras.
¿Con qué lenguajes y cadenas trabajan?
Solidity y Vyper en cadenas EVM son el núcleo del trabajo. Para otros lenguajes y máquinas virtuales confirmamos durante la definición del alcance si contamos con los especialistas adecuados, y declinamos el trabajo si no es así.
¿Puede cambiar el código durante la auditoría?
La auditoría está vinculada a un commit congelado. Los cambios hechos durante la auditoría se revisan como un alcance aparte; de lo contrario, el informe describiría un código que ya no existe.
¿Publicarán el informe?
Solo si nos lo pide. Un informe publicado contiene la lista completa de hallazgos con su estado final; no emitimos versiones abreviadas que omitan problemas.