Una auditor\u00eda de contrato inteligente suele tratarse como un sello de seguridad: auditado significa seguro, sin auditar significa arriesgado. La realidad es m\u00e1s limitada y, a la vez, m\u00e1s \u00fatil una vez que se entiende bien. Una auditor\u00eda es una revisi\u00f3n estructurada que detecta categor\u00edas espec\u00edficas y conocidas de errores; no es una garant\u00eda, y protocolos auditados han seguido perdiendo fondos de usuarios ante exploits. Este art\u00edculo explica qu\u00e9 hace realmente una auditor\u00eda y d\u00f3nde est\u00e1n sus l\u00edmites.<\/p>\n
Una auditor\u00eda de contrato inteligente es una revisi\u00f3n manual y automatizada del c\u00f3digo de un contrato, realizada normalmente antes del despliegue, que busca patrones de vulnerabilidad conocidos: errores de reentrancia, desbordamiento y subdesbordamiento de enteros (integer overflow\/underflow), fallos de control de acceso que permiten que una direcci\u00f3n equivocada llame a una funci\u00f3n privilegiada, y errores de l\u00f3gica que se apartan del prop\u00f3sito declarado del contrato. Los auditores tambi\u00e9n contrastan el contrato con la documentaci\u00f3n propia del proyecto, buscando puntos donde el c\u00f3digo hace algo distinto de lo que dice hacer.<\/p>\n
Dado que los contratos inteligentes se ejecutan exactamente como est\u00e1n escritos y son dif\u00edciles de modificar una vez desplegados, esta categor\u00eda de error resulta inusualmente grave: un fallo que una aplicaci\u00f3n tradicional podr\u00eda parchear discretamente puede, en un contrato en producci\u00f3n que gestiona valor real, ser explotado en el mismo momento en que se descubre. Esa es la raz\u00f3n principal por la que las auditor\u00edas existen como pr\u00e1ctica diferenciada en lugar de integrarse en la revisi\u00f3n de c\u00f3digo habitual.<\/p>\n
Las clases de vulnerabilidad establecidas y bien entendidas son donde las auditor\u00edas se ganan su reputaci\u00f3n. La reentrancia \u2014cuando un contrato malicioso vuelve a llamar al contrato auditado antes de que termine su primera llamada, vaciando fondos mediante retiros repetidos\u2014 es un caso de manual que los auditores experimentados comprueban de forma rutinaria, precisamente porque caus\u00f3 algunos de los exploits m\u00e1s tempranos y costosos del sector. Las brechas de control de acceso, las llamadas externas sin verificar y los problemas de aleatoriedad predecible entran en la misma categor\u00eda: modos de fallo conocidos con m\u00e9todos de detecci\u00f3n conocidos.<\/p>\n
Para estas categor\u00edas, una auditor\u00eda competente reduce el riesgo de forma significativa. Un contrato que ha pasado por la revisi\u00f3n de una firma de prestigio tiene, de forma medible, menos probabilidades de fallar ante un patr\u00f3n de ataque conocido que uno que no lo ha hecho.<\/p>\n
Las auditor\u00edas son mucho menos fiables frente a exploits novedosos, interacciones complejas entre varios contratos y fallos de dise\u00f1o econ\u00f3mico que no tienen nada que ver con un error de programaci\u00f3n. Un contrato puede estar implementado exactamente seg\u00fan su especificaci\u00f3n y aun as\u00ed ser explotable porque la propia especificaci\u00f3n tiene un fallo: un or\u00e1culo de precios que puede manipularse, una estructura de incentivos que premia un comportamiento que sus dise\u00f1adores no anticiparon, o un mecanismo de gobernanza que un atacante con suficientes recursos puede capturar temporalmente. Nada de esto son errores en el sentido tradicional, y ninguna cantidad de revisi\u00f3n de c\u00f3digo detecta un fallo de dise\u00f1o que el auditor no est\u00e9 buscando espec\u00edficamente.<\/p>\n
Las auditor\u00edas tambi\u00e9n son una fotograf\u00eda puntual. Un contrato puede auditarse y luego modificarse sin una revisi\u00f3n de seguimiento, o combinarse con otros contratos de formas que la auditor\u00eda original nunca consider\u00f3. La caracter\u00edstica central de DeFi \u2014la componibilidad sin permisos, donde cualquier contrato puede llamar a cualquier otro\u2014 es tambi\u00e9n la raz\u00f3n por la que la auditor\u00eda de un contrato aislado no puede garantizar la seguridad una vez que empieza a interactuar con contratos que nadie revis\u00f3 de forma conjunta.<\/p>\n
Conviene tratar una auditor\u00eda como una reducci\u00f3n significativa del riesgo frente a categor\u00edas conocidas de errores, no como una prueba de seguridad. Un informe de auditor\u00eda publicado merece leerse, no solo citarse: hay que comprobar qu\u00e9 alcance cubri\u00f3 realmente, si los hallazgos se resolvieron o solo se reconocieron, y con qu\u00e9 antig\u00fcedad se realiz\u00f3 en relaci\u00f3n con el c\u00f3digo actual, posiblemente modificado. Una auditor\u00eda reduce el riesgo; no lo elimina, y ning\u00fan proyecto leg\u00edtimo deber\u00eda dar a entender lo contrario.<\/p>\n","protected":false},"excerpt":{"rendered":"
Qu\u00e9 detectan realmente las auditor\u00edas de contratos inteligentes, qu\u00e9 se les escapa y por qu\u00e9 auditado no significa seguro.<\/p>\n","protected":false},"author":3,"featured_media":371,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[7],"tags":[],"class_list":["post-272","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-smart-contracts-explained"],"_links":{"self":[{"href":"https:\/\/cryptocurrencyminers.net\/es\/wp-json\/wp\/v2\/posts\/272","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cryptocurrencyminers.net\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cryptocurrencyminers.net\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cryptocurrencyminers.net\/es\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/cryptocurrencyminers.net\/es\/wp-json\/wp\/v2\/comments?post=272"}],"version-history":[{"count":1,"href":"https:\/\/cryptocurrencyminers.net\/es\/wp-json\/wp\/v2\/posts\/272\/revisions"}],"predecessor-version":[{"id":313,"href":"https:\/\/cryptocurrencyminers.net\/es\/wp-json\/wp\/v2\/posts\/272\/revisions\/313"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cryptocurrencyminers.net\/es\/wp-json\/wp\/v2\/media\/371"}],"wp:attachment":[{"href":"https:\/\/cryptocurrencyminers.net\/es\/wp-json\/wp\/v2\/media?parent=272"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cryptocurrencyminers.net\/es\/wp-json\/wp\/v2\/categories?post=272"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cryptocurrencyminers.net\/es\/wp-json\/wp\/v2\/tags?post=272"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}