Auditoría o peritaje de smart contracts

Una auditoría es un servicio privado y preventivo: el equipo de un proyecto contrata a revisores para encontrar vulnerabilidades en su código antes de publicarlo o actualizarlo. Su objetivo es mejorar el contrato, no acreditar hechos.

Un peritaje es un dictamen técnico para un procedimiento: explica a un juez qué ocurrió, por qué y con qué grado de certeza. Lo firma un perito que declara bajo juramento o promesa que actúa con la mayor objetividad posible, como exige el artículo 335.2 de la Ley de Enjuiciamiento Civil, y que puede ser llamado a explicarlo en el juicio.

Por eso un informe de auditoría aportado a un pleito suele valer como documento de parte: dice lo que el auditor encontró en un momento y con un alcance pactado, pero no responde a las preguntas concretas del litigio.

Lo primero es asegurar que hablamos del código correcto. Compruebo que el código fuente que se analiza corresponde al bytecode desplegado en la dirección y en el bloque relevantes; si el código no está verificado públicamente, trabajo sobre el bytecode.

Después respondo a las preguntas del caso, no a una lista genérica de vulnerabilidades. Las más habituales son estas.

Si vas a lanzar o actualizar un contrato y quieres reducir riesgos, necesitas una revisión de seguridad o una auditoría. Si ya hay una pérdida, una disputa o un procedimiento, necesitas un peritaje.

A veces se combinan: un protocolo que ha sufrido un ataque necesita entender la causa raíz para corregirla y, a la vez, un informe defendible para su aseguradora o para el juzgado. En ese caso conviene separar los dos encargos para que el informe pericial mantenga su independencia.