O que uma auditoria a contratos inteligentes prova e não prova

Auditado é uma das afirmações mais comuns em cripto e uma das menos examinadas. Uma auditoria é uma revisão paga em que uma empresa de segurança lê um código, procura defeitos e publica conclusões. É um exercício genuíno e valioso. Não é uma garantia, e é na distância entre o que estabelece e o que um selo sugere que assenta a maior parte do dano.

O que é uma auditoria

Contrata-se uma empresa para um âmbito definido durante um período definido. Revê contratos específicos num commit específico, reporta problemas por severidade e publica normalmente uma versão final indicando o que a equipa corrigiu, o que reconheceu e deixou, e o que contestou. O relatório é o artefacto. O selo é marketing.

As quatro perguntas que o selo não responde

O que estava no âmbito. Uma auditoria cobre os contratos entregues ao auditor. Contratos implantados depois, scripts de administração, a interface e qualquer componente fora da cadeia podem ficar totalmente de fora.

Que versão. O código muda. Auditar um commit nada diz sobre o código implantado depois, e nova auditoria após alterações significativas é um custo que às vezes se salta.

O que foi encontrado e não corrigido. Os relatórios listam habitualmente problemas reconhecidos que a equipa decidiu aceitar. São riscos divulgados, e lê-los é a coisa mais informativa que um leitor não técnico pode fazer.

Que poderes se mantêm. Muitos contratos guardam uma chave de atualização, uma função de pausa ou um papel privilegiado. Uma auditoria pode confirmar que existem e funcionam como documentado — o que não é o mesmo que serem seguros para si.