Auditoría de smart contracts: qué comprueba y qué demuestra
Una auditoría de contratos inteligentes revisa el código en busca de errores y fallos de seguridad antes del lanzamiento. El informe clasifica los problemas y muestra las correcciones, pero no es una garantía.
Vahe HakobyanDirector editorial
Actualizado el 6 oct 20263 min de lecturaVerificado
En esta página
- Los auditores clasifican los hallazgos por gravedad y señalan las correcciones posteriores.
- Los informes suelen aparecer en la web o la documentación de un proyecto.
- Una auditoría no es una garantía, y el código auditado puede seguir siendo hackeado.
Una auditoría de contratos inteligentes es una revisión del código de la cadena de bloques en busca de errores y fallos de seguridad antes del lanzamiento. Los auditores inspeccionan el código a mano y con herramientas, y después publican un informe para el proyecto.
Ethereum se lanzó en julio 2015 y hizo comunes estos programas. Un proyecto suele pagar a una empresa externa antes del lanzamiento o de una actualización importante.
¿Qué revisa una auditoría?
Los auditores leen el código a mano y ejecutan herramientas para encontrar fallos. Revisan el dinero, los permisos y las llamadas externas. El informe clasifica cada problema por gravedad y muestra si el equipo lo ha corregido.
¿Cómo utiliza la gente los informes de auditoría?
Los proyectos suelen publicar los informes de auditoría en sus webs o en su documentación. El informe muestra qué revisaron los auditores, qué encontraron y cómo respondió el equipo.
Lo que una auditoría no puede garantizar
Una auditoría es una revisión en un momento concreto, no una garantía de seguridad. Los contratos auditados pueden seguir siendo hackeados si los auditores pasan por alto un fallo o si el equipo cambia el código después. Un informe no es una aprobación gubernamental.
Auditoría frente a verificación formal
La verificación formal utiliza las matemáticas para demostrar que un contrato se comporta según lo previsto bajo reglas definidas. Una auditoría de smart contracts es una revisión humana que combina la lectura manual con herramientas. Ambas pueden usarse juntas, pero no son lo mismo.
Preguntas frecuentes
Depende del tamaño y la complejidad del código. Un contrato pequeño puede llevar días, mientras que un proyecto grande puede llevar semanas o meses.
Normalmente las realizan empresas de seguridad y auditores independientes. Algunos proyectos también ejecutan programas de recompensas por errores para que más gente busque fallos.
Sí, un equipo puede encargar una auditoría después del lanzamiento. La revisión cubre entonces el código desplegado.
