Auditoría de contratos inteligentes

Los contratos inteligentes son un software poco común. Guardan dinero directamente, se ejecutan en público, donde cualquiera puede estudiarlos, y una vez desplegados son difíciles o imposibles de cambiar. Una línea pasada por alto puede permitir que un atacante vacíe un protocolo en una sola transacción. La auditoría es la principal defensa antes del lanzamiento: especialistas leen el código antes que los atacantes.

Qué buscan los auditores

• Errores de lógica: código que hace lo que dice pero no lo que se pretendía, como una fórmula de recompensas que paga dos veces.
• Control de acceso: funciones que cualquiera puede llamar y que deberían estar restringidas a un administrador.
• Reentrada: una llamada externa que permite a un atacante volver a entrar en una función antes de que termine la primera llamada, el error detrás del hackeo de The DAO en 2016.
• Manipulación de precios: lógica que confía en un precio que puede moverse dentro de una transacción, a menudo a través de un oráculo débil.
• Diseño económico: incentivos que un actor con mucho capital podría aprovechar aunque cada línea funcione tal como está escrita.

Los auditores combinan la revisión manual con herramientas automatizadas y, cada vez más, con verificación formal, que demuestra matemáticamente que el código cumple una especificación escrita.

Dos modelos de auditoría

En una auditoría tradicional de firma, un equipo pequeño de ingenieros de seguridad estudia el código durante un período fijo y entrega un informe. En una auditoría competitiva, muchos investigadores independientes revisan el mismo código a la vez y cobran según los problemas que encuentran. Los dos modelos tienden a detectar cosas distintas, por eso los protocolos a menudo usan ambos.

Cómo leer un informe de auditoría

Empieza por el alcance: qué contratos, qué versión del código y qué fechas. Una auditoría de la versión uno dice poco sobre la versión dos. Después lee los hallazgos por severidad. Los hallazgos críticos y altos pueden llevar a la pérdida de fondos; los medios suelen requerir condiciones específicas; los bajos e informativos tienen que ver con buenas prácticas. Para cada hallazgo, revisa si figura como corregido, reconocido o disputado, y si la corrección se volvió a revisar.

Un ejemplo sencillo

Un informe lista un hallazgo de severidad alta: un error de redondeo permite que un usuario retire un poco más de lo que puso, y repetirlo en miles de transacciones podría vaciar un vault. El equipo lo corrige antes del lanzamiento y los auditores confirman la corrección. Nadie de afuera se entera del error. Eso es una auditoría haciendo su trabajo, y por eso la sección de hallazgos importa más que el logo de la portada.

Riesgos y límites

Una auditoría es una foto. El código cambia después de la revisión, nuevos contratos interactúan con él y las técnicas de ataque mejoran. Algunos exploits costosos en DeFi afectaron a protocolos auditados, a menudo a través de código fuera del alcance o de la forma en que interactuaban varios protocolos. Las auditorías tampoco pueden evaluar las partes offchain de un sistema, como la gestión de las claves o la composición de las reservas. Por eso una auditoría es más útil como una capa entre varias: un bug bounty que sigue recompensando a investigadores después del lanzamiento, monitoreo en tiempo de ejecución que vigila las transacciones en vivo y prueba de reservas para los propios activos.

Los contratos inteligentes de Tori Finance están auditados por Sherlock y Nethermind. Las auditorías son una capa de su seguridad, junto con el monitoreo en tiempo de ejecución de Hypernative y la prueba de reservas de Accountable.