Peritatge i revisió de smart contracts
Analitzo què fa realment un smart contract escrit en Solidity o en Cairo davant del que es va prometre, per a un judici o abans de desplegar-lo.
Membre d'AEPEJU núm. 1556. Barcelona i tota Espanya.
Preu: pressupost a mida. Veure preus
Auditoria i peritatge són encàrrecs diferents
Una auditoria busca errors abans de desplegar; un peritatge explica, per a un jutjat, què va fer un contracte que ja està desplegat.
L'auditoria la contracta l'equip que desenvolupa, i el seu informe és una opinió tècnica per millorar el codi. El peritatge l'encarrega una part en un conflicte, se signa sota jurament d'objectivitat i es ratifica a la sala. Faig totes dues coses, però no les barrejo: qui m'encarrega una revisió sap que no és un dictamen pericial.
Què busco al codi
Busco el que permet a algú moure fons o canviar les regles sense que els usuaris ho sàpiguen.
- Funcions privilegiades: encunyar tokens, pausar, canviar comissions o retirar fons d'emergència.
- Contractes actualitzables (proxies): qui pot canviar el codi i amb quins controls.
- Dependències d'oracles i preus que es poden manipular.
- Errors clàssics: reentrancy, aritmètica, control d'accés i validació d'entrades.
- Diferències entre el que diu la documentació del projecte i el que fa el codi desplegat.
Rug pulls i tokens trampa: el que demostra el contracte
El contracte sol deixar per escrit la intenció: si el creador es va reservar la manera de buidar-lo, consta al codi.
En un rug pull analitzo quines funcions existien, qui les va cridar i quan, i com va sortir la liquiditat. En un token trampa (honeypot) demostro que comprar era possible però vendre no, o només per a algunes adreces. Tot amb transaccions que qualsevol pot verificar en un explorador públic.
Solidity i Cairo
Reviso contractes escrits en Solidity, el llenguatge d'Ethereum i de les seves L2, i en Cairo.
Tinc formació específica en seguretat de smart contracts (Cyfrin Updraft) i treballo cada dia amb dades de la xarxa Ethereum com a enginyer de dades blockchain a MigaLabs. Si el contracte no té el codi font verificat, analitzo el bytecode desplegat: és més laboriós, però també permet saber què fa.
Quan convé un peritatge de smart contract
Quan un contracte és al centre d'un conflicte i algú ha d'explicar al jutge què va fer el codi.
- Inversors que acusen el creador d'un token d'haver buidat la liquiditat.
- Un protocol que discuteix amb un proveïdor si l'error era al codi lliurat.
- Una plataforma que vol demostrar que el seu contracte va funcionar tal com estava documentat.
- Una revisió del peritatge que ha aportat l'altra part.
Què lliuro i els seus límits
Lliuro un informe amb cada troballa, la seva gravetat, la línia de codi o la transacció que la prova i el que significa en llenguatge clar.
Una revisió no garanteix que un contracte sigui segur: redueix el risc i documenta el que s'ha trobat. I un peritatge no diu qui és culpable: explica els fets tècnics perquè el jutge decideixi.
Preguntes freqüents
Dubtes habituals sobre aquest tipus de peritatge.
Una auditoria serveix com a prova pericial?
No per si sola. Es pot aportar com a document, però si s'impugna cal un perit que la defensi o un peritatge propi, signat sota jurament i ratificat a la sala.
Es pot analitzar un contracte sense el codi verificat?
Sí. S'analitza el bytecode desplegat i les seves transaccions; costa més feina, però permet saber quines funcions té i què fa.
Quines funcions delaten un possible rug pull?
Les que permeten al creador encunyar tokens sense límit, pausar les vendes, apujar les comissions o retirar la liquiditat. Que existeixin no prova l'estafa, però el seu ús queda registrat a la cadena.
Què necessites per pressupostar una revisió?
L'adreça del contracte o el repositori, la documentació del projecte i la xarxa on està o estarà desplegat.
Pots declarar sobre un rug pull en un judici?
Sí. Explico a la sala quines funcions tenia el contracte, qui les va fer servir i com va sortir la liquiditat, separant els fets registrats de les conclusions.
Revises contractes en Cairo?
Sí. A més de Solidity, reviso contractes escrits en Cairo.
Quant costa?
Depèn de la mida i de la complexitat del codi. La primera consulta de 30 minuts és gratuïta i el pressupost arriba en 24 h laborables.
Articles relacionats
Per entendre millor aquest tipus de cas.
Explica'm el teu cas
Consulta gratuïta de 30 minuts i pressupost gratuït en 24 h laborables.