{"id":564,"date":"2026-08-05T21:41:16","date_gmt":"2026-08-05T21:41:16","guid":{"rendered":"https:\/\/mycoinpartner.com\/o-que-uma-auditoria-de-contrato-inteligente-diz\/"},"modified":"2026-08-05T21:41:16","modified_gmt":"2026-08-05T21:41:16","slug":"o-que-uma-auditoria-de-contrato-inteligente-diz","status":"publish","type":"post","link":"https:\/\/mycoinpartner.com\/pt-br\/o-que-uma-auditoria-de-contrato-inteligente-diz\/","title":{"rendered":"O que uma auditoria de contrato inteligente diz \u2014 e o que n\u00e3o diz"},"content":{"rendered":"<p>\u201cAuditado\u201d aparece em p\u00e1ginas de destino como se fosse uma certifica\u00e7\u00e3o com significado definido. N\u00e3o \u00e9. \u00c9 um servi\u00e7o profissional de escopo vari\u00e1vel, e a diferen\u00e7a entre uma revis\u00e3o minuciosa e uma superficial \u00e9 invis\u00edvel a partir do selo.<\/p>\n<h2>O que uma auditoria realmente \u00e9<\/h2>\n<p>Uma empresa \u00e9 contratada para revisar um conjunto especificado de contratos, em um commit especificado, durante um per\u00edodo especificado, procurando defeitos em rela\u00e7\u00e3o a um modelo de amea\u00e7as especificado. Ela produz um relat\u00f3rio listando os achados por gravidade, o projeto responde, e um relat\u00f3rio final normalmente registra o que foi corrigido.<\/p>\n<p>Cada uso da palavra \u201cespecificado\u201d ali est\u00e1 fazendo um trabalho real. O escopo \u00e9 negociado, e um relat\u00f3rio sobre tr\u00eas contratos n\u00e3o diz nada sobre o quarto, que \u00e9 o que guarda os fundos.<\/p>\n<h2>Leia primeiro a se\u00e7\u00e3o de escopo<\/h2>\n<p>O escopo informa quais arquivos foram revisados e em qual hash de commit. Duas perguntas seguem da\u00ed, e ambas podem ser respondidas em poucos minutos.<\/p>\n<p>O escopo inclui os contratos que realmente guardam ou movimentam valor, ou apenas contratos perif\u00e9ricos? E o commit revisado corresponde ao que est\u00e1 implantado? O c\u00f3digo muda depois de uma auditoria, e um relat\u00f3rio sobre um commit anterior a v\u00e1rias atualiza\u00e7\u00f5es descreve um software que j\u00e1 n\u00e3o existe. Verificar o bytecode implantado contra o c\u00f3digo-fonte auditado \u00e9 a checagem que fecha essa lacuna, e raramente \u00e9 feita por quem apenas l\u00ea o selo.<\/p>\n<h2>Os achados e sua resolu\u00e7\u00e3o<\/h2>\n<p>Os relat\u00f3rios classificam os achados por gravidade. Mais importante do que a contagem \u00e9 a resolu\u00e7\u00e3o: corrigido, reconhecido ou contestado.<\/p>\n<p>\u201cReconhecido\u201d significa que o projeto leu o achado e optou por n\u00e3o mudar nada. Isso pode ser inteiramente razo\u00e1vel \u2014 o achado pode descrever uma troca aceita \u2014 mas significa que um problema conhecido est\u00e1 ativo em produ\u00e7\u00e3o, e isso n\u00e3o vai aparecer em um resumo que s\u00f3 menciona o selo.<\/p>\n<p>Um relat\u00f3rio sem nenhum achado n\u00e3o \u00e9 um triunfo. Em geral significa um escopo estreito ou uma revis\u00e3o superficial. Revis\u00f5es competentes de sistemas n\u00e3o triviais encontram coisas.<\/p>\n<h2>Naquilo em que auditorias s\u00e3o estruturalmente fracas<\/h2>\n<p>Certas categorias s\u00e3o dif\u00edceis de capturar apenas revisando c\u00f3digo:<\/p>\n<ul>\n<li><strong>Falhas de desenho econ\u00f4mico.<\/strong> C\u00f3digo que se comporta exatamente como escrito, mas cujos incentivos criados s\u00e3o explor\u00e1veis. Isso exige modelar a economia do sistema, o que \u00e9 uma disciplina diferente e frequentemente fica fora do escopo.<\/li>\n<li><strong>Composabilidade.<\/strong> Um contrato pode ser s\u00f3lido isoladamente e inseguro quando combinado com outro protocolo que ningu\u00e9m previu.<\/li>\n<li><strong>Premissas sobre or\u00e1culos.<\/strong> Contratos que dependem de dados de pre\u00e7o externos herdam a confiabilidade desses dados, e o or\u00e1culo geralmente fica fora do escopo.<\/li>\n<li><strong>Governan\u00e7a e chaves.<\/strong> Um contrato atualiz\u00e1vel controlado por uma multisig pequena tem um risco que nenhuma revis\u00e3o de c\u00f3digo resolve, porque o pr\u00f3prio c\u00f3digo permite a atualiza\u00e7\u00e3o por design.<\/li>\n<\/ul>\n<p>Esse \u00faltimo ponto merece destaque. Se um contrato pode ser atualizado, a auditoria descreve a implementa\u00e7\u00e3o atual, e os detentores das chaves de atualiza\u00e7\u00e3o podem substitu\u00ed-la. O que importa ent\u00e3o \u00e9 quem s\u00e3o esses detentores e qual processo os governa \u2014 uma quest\u00e3o de governan\u00e7a disfar\u00e7ada de selo t\u00e9cnico.<\/p>\n<h2>Como \u00e9 um bom relat\u00f3rio<\/h2>\n<p>Publicado na \u00edntegra, n\u00e3o resumido. Escopo declarado com hashes de commit. Achados com gravidade, descri\u00e7\u00e3o e resolu\u00e7\u00e3o. Uma se\u00e7\u00e3o de metodologia descrevendo o que foi e o que n\u00e3o foi examinado. E uma data, para que se possa comparar com o hist\u00f3rico de implanta\u00e7\u00f5es.<\/p>\n<p>Um projeto que publica tudo isso est\u00e1 fazendo algo bem diferente de um que apenas exibe um logotipo. O logotipo \u00e9 a parte mais barata.<\/p>\n<h2>Como usar uma auditoria<\/h2>\n<p>Trate uma auditoria como evid\u00eancia de que um projeto gastou dinheiro com escrut\u00ednio e se disp\u00f4s a publicar o resultado, o que \u00e9 um sinal real sobre como ele opera. N\u00e3o a trate como garantia de seguran\u00e7a, porque o relat\u00f3rio n\u00e3o afirma ser isso \u2014 o aviso legal nele geralmente diz isso de forma expl\u00edcita, na se\u00e7\u00e3o que ningu\u00e9m cita.<\/p>\n<p>As perguntas pr\u00e1ticas permanecem: que propor\u00e7\u00e3o do seu patrim\u00f4nio est\u00e1 exposta a esse contrato, voc\u00ea toleraria perd\u00ea-la, e o rendimento oferecido \u00e9 plausivelmente uma compensa\u00e7\u00e3o por esse risco? Nada disso muda com a exist\u00eancia de um relat\u00f3rio, e \u00e9 exatamente por isso que o selo \u00e9 usado da forma como \u00e9.<\/p>\n<h2>Nem todas as revis\u00f5es t\u00eam a mesma profundidade<\/h2>\n<p>\u201cAuditoria\u201d abrange uma gama de atividades com custo e rigor muito diferentes, e o relat\u00f3rio nem sempre deixa essa distin\u00e7\u00e3o clara.<\/p>\n<p>Uma revis\u00e3o manual feita por engenheiros experientes lendo o c\u00f3digo \u00e9 a ponta mais cara. A an\u00e1lise automatizada capta padr\u00f5es conhecidos com baixo custo e deixa passar qualquer coisa nova. A verifica\u00e7\u00e3o formal prova matematicamente que o c\u00f3digo satisfaz uma especifica\u00e7\u00e3o, o que \u00e9 poderoso e vale exatamente o que vale a especifica\u00e7\u00e3o. Plataformas de auditoria competitiva terceirizam a revis\u00e3o para uma multid\u00e3o, o que encontra uma ampla gama de problemas mas produz uma cobertura menos consistente.<\/p>\n<p>Cada abordagem tem seu papel. O que importa \u00e9 saber qual delas voc\u00ea est\u00e1 vendo, e a se\u00e7\u00e3o de metodologia diz isso. Um relat\u00f3rio que n\u00e3o descreve seu m\u00e9todo est\u00e1 pedindo para ser aceito apenas com base na for\u00e7a do logotipo.<\/p>\n<h2>Programas de recompensa por bugs dizem algo que um relat\u00f3rio n\u00e3o consegue<\/h2>\n<p>Uma auditoria \u00e9 um retrato de um momento; um programa de recompensa por bugs \u00e9 cont\u00ednuo. Um projeto que mant\u00e9m um programa substancial e bem delimitado, com hist\u00f3rico p\u00fablico de pagamentos, est\u00e1 exposto a um escrut\u00ednio permanente que uma revis\u00e3o pontual n\u00e3o oferece.<\/p>\n<p>O tamanho importa. Um pagamento m\u00e1ximo muito abaixo do que uma explora\u00e7\u00e3o renderia n\u00e3o \u00e9 um incentivo, \u00e9 um gesto \u2014 um pesquisador que encontra uma falha cr\u00edtica em um contrato que guarda uma soma grande enfrenta um problema aritm\u00e9tico \u00f3bvio se a recompensa for irris\u00f3ria em compara\u00e7\u00e3o. Recompensas proporcionais ao valor em risco s\u00e3o um sinal genu\u00edno de qu\u00e3o a s\u00e9rio um projeto leva a possibilidade de estar errado.<\/p>\n<h2>Tempo em produ\u00e7\u00e3o tamb\u00e9m \u00e9 evid\u00eancia<\/h2>\n<p>Contratos que mantiveram valor significativo por um longo per\u00edodo sem incidentes foram submetidos \u00e0 revis\u00e3o mais rigorosa dispon\u00edvel: aten\u00e7\u00e3o sustentada de pessoas financeiramente motivadas a quebr\u00e1-los.<\/p>\n<p>Isso n\u00e3o \u00e9 prova \u2014 falhas adormecidas existem, e v\u00e1rios protocolos de longa exist\u00eancia falharam tardiamente. Mas um contrato rec\u00e9m-implantado, com um relat\u00f3rio e nenhum hist\u00f3rico de opera\u00e7\u00e3o, foi revisado por uma \u00fanica empresa durante algumas semanas. Um contrato mais antigo com o mesmo relat\u00f3rio tamb\u00e9m sobreviveu a anos de interesse adversarial, e isso \u00e9 um tipo de evid\u00eancia diferente.<\/p>\n<p>Combinar as duas coisas \u00e9 a abordagem pr\u00e1tica: leia o relat\u00f3rio para saber o que foi examinado, e avalie o hist\u00f3rico de implanta\u00e7\u00e3o para o que o relat\u00f3rio n\u00e3o conseguiu cobrir.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>\u201cAuditado\u201d \u00e9 usado como sin\u00f4nimo de seguro. Uma auditoria \u00e9 uma revis\u00e3o com prazo definido de um c\u00f3digo espec\u00edfico contra riscos espec\u00edficos, e a se\u00e7\u00e3o de escopo \u00e9 a parte que vale a pena ler.<\/p>\n","protected":false},"author":3,"featured_media":697,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[105],"tags":[],"class_list":["post-564","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-defi-web3"],"_links":{"self":[{"href":"https:\/\/mycoinpartner.com\/pt-br\/wp-json\/wp\/v2\/posts\/564","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/mycoinpartner.com\/pt-br\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/mycoinpartner.com\/pt-br\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/mycoinpartner.com\/pt-br\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/mycoinpartner.com\/pt-br\/wp-json\/wp\/v2\/comments?post=564"}],"version-history":[{"count":0,"href":"https:\/\/mycoinpartner.com\/pt-br\/wp-json\/wp\/v2\/posts\/564\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/mycoinpartner.com\/pt-br\/wp-json\/wp\/v2\/media\/697"}],"wp:attachment":[{"href":"https:\/\/mycoinpartner.com\/pt-br\/wp-json\/wp\/v2\/media?parent=564"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/mycoinpartner.com\/pt-br\/wp-json\/wp\/v2\/categories?post=564"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/mycoinpartner.com\/pt-br\/wp-json\/wp\/v2\/tags?post=564"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}