{"id":619,"date":"2026-08-06T17:43:49","date_gmt":"2026-08-06T17:43:49","guid":{"rendered":"https:\/\/mycoinpartner.com\/what-a-smart-contract-audit-tells-you-2\/"},"modified":"2026-08-06T17:43:49","modified_gmt":"2026-08-06T17:43:49","slug":"what-a-smart-contract-audit-tells-you","status":"publish","type":"post","link":"https:\/\/mycoinpartner.com\/es\/what-a-smart-contract-audit-tells-you\/","title":{"rendered":"Qu\u00e9 te dice y qu\u00e9 no te dice una auditor\u00eda de contrato inteligente"},"content":{"rendered":"<p>\u00abAuditado\u00bb aparece en las p\u00e1ginas de aterrizaje como si fuera una certificaci\u00f3n con un significado definido. No lo es. Es un servicio profesional de alcance variable, y la diferencia entre una revisi\u00f3n exhaustiva y una superficial es invisible desde el distintivo.<\/p>\n<h2>Qu\u00e9 es en realidad una auditor\u00eda<\/h2>\n<p>Se contrata a una firma para revisar un conjunto especificado de contratos en un commit especificado, durante un periodo especificado, buscando defectos frente a un modelo de amenazas especificado. La firma produce un informe que enumera los hallazgos por severidad, el proyecto responde y un informe final suele dejar constancia de qu\u00e9 se corrigi\u00f3.<\/p>\n<p>Cada aparici\u00f3n de \u00abespecificado\u00bb ah\u00ed est\u00e1 cumpliendo una funci\u00f3n. El alcance se negocia, y un informe sobre tres contratos no dice nada del cuarto, el que guarda los fondos.<\/p>\n<h2>Lee primero el apartado de alcance<\/h2>\n<p>El alcance te dice qu\u00e9 archivos se revisaron y en qu\u00e9 hash de commit. De ah\u00ed salen dos preguntas, y ambas se pueden responder en unos minutos.<\/p>\n<p>\u00bfIncluye el alcance los contratos que realmente guardan o mueven valor, o solo los perif\u00e9ricos? \u00bfY coincide el commit revisado con lo que est\u00e1 desplegado? El c\u00f3digo cambia despu\u00e9s de una auditor\u00eda, y un informe contra un commit anterior a varias actualizaciones describe un software que ya no existe. Verificar el bytecode desplegado frente al c\u00f3digo fuente auditado es la comprobaci\u00f3n que cierra esa brecha, y rara vez la hace quien lee el distintivo.<\/p>\n<h2>Los hallazgos y su resoluci\u00f3n<\/h2>\n<p>Los informes clasifican los hallazgos por severidad. Lo que importa m\u00e1s que los recuentos es la resoluci\u00f3n: corregido, reconocido o disputado.<\/p>\n<p>\u00abReconocido\u00bb significa que el proyecto ley\u00f3 el hallazgo y opt\u00f3 por no cambiar nada. Eso puede ser del todo razonable \u2014 el hallazgo puede describir una contrapartida aceptada \u2014 pero significa que hay un problema conocido en producci\u00f3n, y no aparecer\u00e1 en un resumen que solo informa del distintivo.<\/p>\n<p>Un informe sin ning\u00fan hallazgo no es un triunfo. Normalmente significa un alcance estrecho o una revisi\u00f3n superficial. Las revisiones competentes de sistemas no triviales encuentran cosas.<\/p>\n<h2>En qu\u00e9 son estructuralmente malas las auditor\u00edas<\/h2>\n<p>Ciertas categor\u00edas son dif\u00edciles de detectar revisando c\u00f3digo:<\/p>\n<ul>\n<li><strong>Fallos de dise\u00f1o econ\u00f3mico.<\/strong> C\u00f3digo que se comporta exactamente como est\u00e1 escrito, donde los incentivos que crea son explotables. Esto exige modelar la econom\u00eda del sistema, que es una disciplina distinta y con frecuencia queda fuera del alcance.<\/li>\n<li><strong>Componibilidad.<\/strong> Un contrato puede ser s\u00f3lido por s\u00ed solo e inseguro al combinarse con otro protocolo que nadie previ\u00f3.<\/li>\n<li><strong>Supuestos del or\u00e1culo.<\/strong> Los contratos que dependen de datos de precio externos heredan la fiabilidad de esos datos, y el or\u00e1culo suele quedar fuera del alcance.<\/li>\n<li><strong>Gobernanza y claves.<\/strong> Un contrato actualizable controlado por una multifirma peque\u00f1a tiene un riesgo que ninguna revisi\u00f3n de c\u00f3digo aborda, porque el c\u00f3digo permite la actualizaci\u00f3n por dise\u00f1o.<\/li>\n<\/ul>\n<p>Este \u00faltimo merece \u00e9nfasis. Si un contrato se puede actualizar, la auditor\u00eda describe la implementaci\u00f3n actual y quienes tienen las claves de actualizaci\u00f3n pueden sustituirla. Lo que importa entonces es qui\u00e9nes son esas personas y qu\u00e9 proceso las gobierna \u2014 una cuesti\u00f3n de gobernanza vestida de distintivo t\u00e9cnico.<\/p>\n<h2>Qu\u00e9 aspecto tiene un buen informe<\/h2>\n<p>Publicado \u00edntegro en lugar de resumido. Alcance declarado con hashes de commit. Hallazgos con severidad, descripci\u00f3n y resoluci\u00f3n. Un apartado de metodolog\u00eda que describe qu\u00e9 se examin\u00f3 y qu\u00e9 no. Y una fecha, para que puedas compararlo con el historial de despliegues.<\/p>\n<p>Un proyecto que publica todo eso est\u00e1 haciendo algo apreciablemente distinto de uno que muestra un logotipo. El logotipo es la parte que menos cuesta.<\/p>\n<h2>C\u00f3mo usar una<\/h2>\n<p>Trata una auditor\u00eda como prueba de que un proyecto gast\u00f3 dinero en escrutinio y estuvo dispuesto a publicar el resultado, lo cual es una se\u00f1al real sobre c\u00f3mo opera. No la trates como una garant\u00eda de seguridad, porque el informe no pretende serlo \u2014 el descargo de responsabilidad que contiene suele decirlo de forma expl\u00edcita, en el apartado que nadie cita.<\/p>\n<p>Las preguntas pr\u00e1cticas siguen siendo: \u00bfqu\u00e9 proporci\u00f3n de tus tenencias est\u00e1 expuesta a este contrato, podr\u00edas tolerar perderla y es el rendimiento ofrecido plausiblemente una compensaci\u00f3n por ese riesgo? La presencia de un informe no las altera, que es exactamente por lo que el distintivo se usa como se usa.<\/p>\n<h2>No todas las revisiones tienen la misma profundidad<\/h2>\n<p>\u00abAuditor\u00eda\u00bb cubre un abanico de actividades con costes y rigor muy distintos, y el informe no siempre deja la distinci\u00f3n a la vista.<\/p>\n<p>Una revisi\u00f3n manual a cargo de profesionales de ingenier\u00eda con experiencia que leen el c\u00f3digo es el extremo caro. El an\u00e1lisis automatizado detecta patrones conocidos de forma barata y se le escapa cualquier cosa novedosa. La verificaci\u00f3n formal demuestra matem\u00e1ticamente que el c\u00f3digo satisface una especificaci\u00f3n, lo cual es potente y tan bueno como la especificaci\u00f3n. Las plataformas de auditor\u00eda competitiva reparten la revisi\u00f3n entre una multitud, lo que encuentra un abanico amplio de problemas pero produce una cobertura menos consistente.<\/p>\n<p>Cada una tiene su papel. Lo que importa es saber cu\u00e1l est\u00e1s mirando, y el apartado de metodolog\u00eda lo dice. Un informe que no describe su m\u00e9todo est\u00e1 pidiendo que se le crea por la fuerza del logotipo.<\/p>\n<h2>Los programas de recompensas por errores dicen algo que un informe no puede<\/h2>\n<p>Una auditor\u00eda es una instant\u00e1nea; un programa de recompensas es continuo. Un proyecto que mantiene un programa sustancial y bien delimitado con un historial p\u00fablico de pagos est\u00e1 expuesto a un escrutinio continuo que una revisi\u00f3n puntual no proporciona.<\/p>\n<p>El tama\u00f1o importa. Un pago m\u00e1ximo muy por debajo de lo que rendir\u00eda un exploit no es un incentivo, es un gesto \u2014 quien encuentre un fallo cr\u00edtico en un contrato que guarda una suma grande se enfrenta a un problema aritm\u00e9tico obvio si la recompensa es trivial en comparaci\u00f3n. Las recompensas escaladas al valor en riesgo son una se\u00f1al genuina de lo en serio que un proyecto se toma la posibilidad de estar equivocado.<\/p>\n<h2>El tiempo en producci\u00f3n tambi\u00e9n es prueba<\/h2>\n<p>Los contratos que han custodiado un valor significativo durante mucho tiempo sin incidentes han pasado por la revisi\u00f3n m\u00e1s rigurosa disponible: la atenci\u00f3n sostenida de gente con motivaci\u00f3n financiera para romperlos.<\/p>\n<p>Esto no es una demostraci\u00f3n \u2014 existen fallos latentes y varios protocolos longevos han fallado tarde. Pero un contrato desplegado hace poco, con un informe y sin historial operativo, ha sido revisado por una firma durante unas semanas. Uno m\u00e1s antiguo con el mismo informe ha sobrevivido adem\u00e1s a a\u00f1os de inter\u00e9s adversario, y eso es una calidad de prueba distinta.<\/p>\n<p>Combinar ambas cosas es el enfoque pr\u00e1ctico: lee el informe por lo que se examin\u00f3 y sopesa el historial de despliegue por lo que el informe no pudo cubrir.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>\u00abAuditado\u00bb se usa como sin\u00f3nimo de seguro. Una auditor\u00eda es una revisi\u00f3n con plazo acotado de un c\u00f3digo concreto frente a preocupaciones concretas, y su apartado de alcance es la parte que merece la pena leer.<\/p>\n","protected":false},"author":3,"featured_media":168,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[12],"tags":[],"class_list":["post-619","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-defi-web3"],"_links":{"self":[{"href":"https:\/\/mycoinpartner.com\/es\/wp-json\/wp\/v2\/posts\/619","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/mycoinpartner.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/mycoinpartner.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/mycoinpartner.com\/es\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/mycoinpartner.com\/es\/wp-json\/wp\/v2\/comments?post=619"}],"version-history":[{"count":0,"href":"https:\/\/mycoinpartner.com\/es\/wp-json\/wp\/v2\/posts\/619\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/mycoinpartner.com\/es\/wp-json\/wp\/v2\/media\/168"}],"wp:attachment":[{"href":"https:\/\/mycoinpartner.com\/es\/wp-json\/wp\/v2\/media?parent=619"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/mycoinpartner.com\/es\/wp-json\/wp\/v2\/categories?post=619"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/mycoinpartner.com\/es\/wp-json\/wp\/v2\/tags?post=619"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}