{"id":622,"date":"2026-08-06T17:43:49","date_gmt":"2026-08-06T17:43:49","guid":{"rendered":"https:\/\/mycoinpartner.com\/what-a-smart-contract-audit-tells-you-2\/"},"modified":"2026-08-06T17:43:49","modified_gmt":"2026-08-06T17:43:49","slug":"what-a-smart-contract-audit-tells-you","status":"publish","type":"post","link":"https:\/\/mycoinpartner.com\/pt-br\/what-a-smart-contract-audit-tells-you\/","title":{"rendered":"O que uma auditoria de contrato inteligente diz e o que n\u00e3o diz"},"content":{"rendered":"<p>\u201cAuditado\u201d aparece em p\u00e1ginas de destino como se fosse uma certifica\u00e7\u00e3o com significado definido. N\u00e3o \u00e9. \u00c9 um servi\u00e7o profissional de escopo vari\u00e1vel, e a diferen\u00e7a entre uma revis\u00e3o minuciosa e uma superficial \u00e9 invis\u00edvel a partir do selo.<\/p>\n<h2>O que uma auditoria realmente \u00e9<\/h2>\n<p>Uma empresa \u00e9 contratada para revisar um conjunto especificado de contratos em um commit especificado, ao longo de um per\u00edodo especificado, procurando defeitos diante de um modelo de amea\u00e7as especificado. Ela produz um relat\u00f3rio que lista os achados por severidade, o projeto responde, e um relat\u00f3rio final normalmente registra o que foi corrigido.<\/p>\n<p>Cada ocorr\u00eancia de \u201cespecificado\u201d ali est\u00e1 cumprindo uma fun\u00e7\u00e3o. O escopo \u00e9 negociado, e um relat\u00f3rio sobre tr\u00eas contratos n\u00e3o diz nada sobre o quarto, aquele que guarda os fundos.<\/p>\n<h2>Leia primeiro a se\u00e7\u00e3o de escopo<\/h2>\n<p>O escopo diz quais arquivos foram revisados e em qual hash de commit. Da\u00ed seguem duas perguntas, e ambas podem ser respondidas em poucos minutos.<\/p>\n<p>O escopo inclui os contratos que de fato guardam ou movem valor, ou apenas os perif\u00e9ricos? E o commit revisado corresponde ao que est\u00e1 implantado? O c\u00f3digo muda depois de uma auditoria, e um relat\u00f3rio contra um commit anterior a v\u00e1rias atualiza\u00e7\u00f5es descreve um software que n\u00e3o existe mais. Verificar o bytecode implantado contra o c\u00f3digo-fonte auditado \u00e9 a checagem que fecha essa lacuna, e ela raramente \u00e9 feita por quem l\u00ea o selo.<\/p>\n<h2>Os achados e a sua resolu\u00e7\u00e3o<\/h2>\n<p>Os relat\u00f3rios classificam os achados por severidade. O que importa mais do que as contagens \u00e9 a resolu\u00e7\u00e3o: corrigido, reconhecido ou contestado.<\/p>\n<p>\u201cReconhecido\u201d significa que o projeto leu o achado e escolheu n\u00e3o mudar nada. Isso pode ser inteiramente razo\u00e1vel \u2014 o achado pode descrever uma contrapartida aceita \u2014 mas significa que um problema conhecido est\u00e1 no ar, e ele n\u00e3o vai aparecer num resumo que s\u00f3 reporta o selo.<\/p>\n<p>Um relat\u00f3rio sem nenhum achado n\u00e3o \u00e9 um triunfo. Normalmente significa um escopo estreito ou uma revis\u00e3o rasa. Revis\u00f5es competentes de sistemas n\u00e3o triviais encontram coisas.<\/p>\n<h2>Em que as auditorias s\u00e3o estruturalmente ruins<\/h2>\n<p>Certas categorias s\u00e3o dif\u00edceis de captar revisando c\u00f3digo:<\/p>\n<ul>\n<li><strong>Falhas de desenho econ\u00f4mico.<\/strong> C\u00f3digo que se comporta exatamente como foi escrito, em que os incentivos que ele cria s\u00e3o explor\u00e1veis. Isso exige modelar a economia do sistema, que \u00e9 uma disciplina diferente e frequentemente est\u00e1 fora do escopo.<\/li>\n<li><strong>Componibilidade.<\/strong> Um contrato pode ser s\u00f3lido sozinho e inseguro quando combinado com outro protocolo que ningu\u00e9m antecipou.<\/li>\n<li><strong>Premissas do or\u00e1culo.<\/strong> Contratos que dependem de dados externos de pre\u00e7o herdam a confiabilidade desses dados, e o or\u00e1culo geralmente fica fora do escopo.<\/li>\n<li><strong>Governan\u00e7a e chaves.<\/strong> Um contrato atualiz\u00e1vel controlado por uma multiassinatura pequena tem um risco que nenhuma revis\u00e3o de c\u00f3digo aborda, porque o c\u00f3digo permite a atualiza\u00e7\u00e3o por projeto.<\/li>\n<\/ul>\n<p>Esse \u00faltimo merece \u00eanfase. Se um contrato pode ser atualizado, a auditoria descreve a implementa\u00e7\u00e3o atual e quem det\u00e9m as chaves de atualiza\u00e7\u00e3o pode substitu\u00ed-la. O que importa ent\u00e3o \u00e9 quem s\u00e3o essas pessoas e que processo as governa \u2014 uma quest\u00e3o de governan\u00e7a usando um selo t\u00e9cnico.<\/p>\n<h2>Como \u00e9 um bom relat\u00f3rio<\/h2>\n<p>Publicado na \u00edntegra em vez de resumido. Escopo declarado com hashes de commit. Achados com severidade, descri\u00e7\u00e3o e resolu\u00e7\u00e3o. Uma se\u00e7\u00e3o de metodologia descrevendo o que foi e o que n\u00e3o foi examinado. E uma data, para que voc\u00ea possa compar\u00e1-lo com o hist\u00f3rico de implanta\u00e7\u00e3o.<\/p>\n<p>Um projeto que publica tudo isso est\u00e1 fazendo algo sensivelmente diferente de um que exibe um logotipo. O logotipo \u00e9 a parte que custa menos.<\/p>\n<h2>Como usar uma<\/h2>\n<p>Trate uma auditoria como evid\u00eancia de que um projeto gastou dinheiro com escrut\u00ednio e se disp\u00f4s a publicar o resultado, o que \u00e9 um sinal real sobre como ele opera. N\u00e3o a trate como garantia de seguran\u00e7a, porque o relat\u00f3rio n\u00e3o alega ser uma \u2014 o aviso legal nele geralmente diz isso explicitamente, na se\u00e7\u00e3o que ningu\u00e9m cita.<\/p>\n<p>As perguntas pr\u00e1ticas permanecem: que propor\u00e7\u00e3o das suas posi\u00e7\u00f5es est\u00e1 exposta a este contrato, voc\u00ea toleraria perd\u00ea-la, e o rendimento oferecido \u00e9 plausivelmente uma compensa\u00e7\u00e3o por esse risco? Nada disso muda com a presen\u00e7a de um relat\u00f3rio, que \u00e9 exatamente por que o selo \u00e9 usado do jeito que \u00e9.<\/p>\n<h2>Nem todas as revis\u00f5es t\u00eam a mesma profundidade<\/h2>\n<p>\u201cAuditoria\u201d cobre uma gama de atividades com custo e rigor muito diferentes, e o relat\u00f3rio nem sempre torna a distin\u00e7\u00e3o \u00f3bvia.<\/p>\n<p>Uma revis\u00e3o manual feita por profissionais de engenharia experientes que leem o c\u00f3digo \u00e9 o extremo caro. A an\u00e1lise automatizada capta padr\u00f5es conhecidos de forma barata e deixa passar qualquer coisa nova. A verifica\u00e7\u00e3o formal prova matematicamente que o c\u00f3digo satisfaz uma especifica\u00e7\u00e3o, o que \u00e9 poderoso e vale tanto quanto a especifica\u00e7\u00e3o. Plataformas de auditoria competitiva distribuem a revis\u00e3o para uma multid\u00e3o, o que encontra uma ampla gama de problemas mas produz uma cobertura menos consistente.<\/p>\n<p>Cada uma tem o seu papel. O que importa \u00e9 saber qual voc\u00ea est\u00e1 olhando, e a se\u00e7\u00e3o de metodologia diz isso. Um relat\u00f3rio que n\u00e3o descreve o seu m\u00e9todo est\u00e1 pedindo para ser aceito pela for\u00e7a do logotipo.<\/p>\n<h2>Programas de recompensa por bugs dizem algo que um relat\u00f3rio n\u00e3o pode<\/h2>\n<p>Uma auditoria \u00e9 um instant\u00e2neo; um programa de recompensa por bugs \u00e9 cont\u00ednuo. Um projeto que mant\u00e9m um programa substancial e bem delimitado, com hist\u00f3rico p\u00fablico de pagamentos, fica exposto a um escrut\u00ednio cont\u00ednuo que uma revis\u00e3o pontual n\u00e3o oferece.<\/p>\n<p>O tamanho importa. Um pagamento m\u00e1ximo muito abaixo do que um exploit renderia n\u00e3o \u00e9 um incentivo, \u00e9 um gesto \u2014 quem encontra uma falha cr\u00edtica num contrato que guarda uma soma grande enfrenta um problema aritm\u00e9tico \u00f3bvio se a recompensa for trivial em compara\u00e7\u00e3o. Recompensas dimensionadas ao valor em risco s\u00e3o um sinal genu\u00edno de qu\u00e3o a s\u00e9rio um projeto leva a possibilidade de estar errado.<\/p>\n<h2>Tempo em produ\u00e7\u00e3o tamb\u00e9m \u00e9 evid\u00eancia<\/h2>\n<p>Contratos que guardaram valor significativo por um longo per\u00edodo sem incidentes passaram pela revis\u00e3o mais rigorosa dispon\u00edvel: a aten\u00e7\u00e3o sustentada de pessoas com motiva\u00e7\u00e3o financeira para quebr\u00e1-los.<\/p>\n<p>Isso n\u00e3o \u00e9 prova \u2014 falhas dormentes existem e v\u00e1rios protocolos de longa data falharam tarde. Mas um contrato implantado recentemente, com um relat\u00f3rio e sem hist\u00f3rico de opera\u00e7\u00e3o, foi revisado por uma empresa durante algumas semanas. Um mais antigo com o mesmo relat\u00f3rio sobreviveu adicionalmente a anos de interesse hostil, e isso \u00e9 uma qualidade de evid\u00eancia diferente.<\/p>\n<p>Combinar os dois \u00e9 a abordagem pr\u00e1tica: leia o relat\u00f3rio pelo que foi examinado, e pese o hist\u00f3rico de implanta\u00e7\u00e3o pelo que o relat\u00f3rio n\u00e3o p\u00f4de cobrir.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>\u201cAuditado\u201d \u00e9 usado como sin\u00f4nimo de seguro. Uma auditoria \u00e9 uma revis\u00e3o com prazo delimitado de um c\u00f3digo espec\u00edfico diante de preocupa\u00e7\u00f5es espec\u00edficas, e a se\u00e7\u00e3o de escopo \u00e9 a parte que vale a pena ler.<\/p>\n","protected":false},"author":3,"featured_media":168,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[12],"tags":[],"class_list":["post-622","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-defi-web3"],"_links":{"self":[{"href":"https:\/\/mycoinpartner.com\/pt-br\/wp-json\/wp\/v2\/posts\/622","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/mycoinpartner.com\/pt-br\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/mycoinpartner.com\/pt-br\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/mycoinpartner.com\/pt-br\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/mycoinpartner.com\/pt-br\/wp-json\/wp\/v2\/comments?post=622"}],"version-history":[{"count":0,"href":"https:\/\/mycoinpartner.com\/pt-br\/wp-json\/wp\/v2\/posts\/622\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/mycoinpartner.com\/pt-br\/wp-json\/wp\/v2\/media\/168"}],"wp:attachment":[{"href":"https:\/\/mycoinpartner.com\/pt-br\/wp-json\/wp\/v2\/media?parent=622"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/mycoinpartner.com\/pt-br\/wp-json\/wp\/v2\/categories?post=622"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/mycoinpartner.com\/pt-br\/wp-json\/wp\/v2\/tags?post=622"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}