Qué demuestra y qué no una auditoría de contratos inteligentes

Auditado es una de las afirmaciones más comunes en cripto y una de las menos examinadas. Una auditoría es una revisión pagada en la que una empresa de seguridad lee un código, busca defectos y publica hallazgos. Es un ejercicio real y valioso. No es una garantía, y en la distancia entre lo que establece y lo que sugiere un sello está la mayor parte del daño.

Qué es una auditoría

Se contrata a una empresa para un alcance definido durante un periodo definido. Revisa contratos concretos en un commit concreto, informa de problemas por severidad y suele publicar una versión final indicando qué corrigió el equipo, qué reconoció y dejó, y qué discutió. El informe es el artefacto. El sello es marketing.

Las cuatro preguntas que el sello no responde

Qué entraba en el alcance. Una auditoría cubre los contratos entregados al auditor. Los contratos desplegados después, los scripts de administración, la interfaz y cualquier componente fuera de la cadena pueden quedar del todo fuera.

Qué versión. El código cambia. Auditar un commit no dice nada del código desplegado después, y volver a auditar tras cambios importantes es un coste que a veces se omite.

Qué se encontró y no se arregló. Los informes suelen listar problemas reconocidos que el equipo decidió aceptar. Son riesgos divulgados, y leerlos es lo más informativo que puede hacer un lector no técnico.

Qué poderes quedan. Muchos contratos conservan una clave de actualización, una función de pausa o un rol privilegiado. Una auditoría puede confirmar que existen y funcionan como se documenta, lo que no equivale a que sean seguros para ti.