En 2021 me vi afectado por un incidente de un hacker asociado a un acuerdo. Pero esa sensación de abrir la billetera y ver el saldo en cero… la recuerdo hasta hoy. Desde entonces, miro con descuento todas las promesas de seguridad de los protocolos. He visto demasiados informes de auditoría; casi todos los proyectos que fueron robados ya tenían un montón de auditorías antes. Recientemente revisé a fondo la configuración de seguridad de TermMax y, en algunas partes, no se parece mucho a la mayoría de los proyectos que he visto.
Primero, hablemos de la auditoría. Ojo: mi punto de atención no es la auditoría en sí, sino las auditorías de varias rondas. Cada vez que el contrato cambia una vez el código, el informe de auditoría anterior queda invalidado. En la industria hay demasiados proyectos que usan un informe de auditoría de hace un año para dar aval a un contrato nuevo; el código del informe y lo que realmente está corriendo on-chain ya no son lo mismo. Un equipo que sigue gastando para auditorías repetidas al menos demuestra dos cosas: que el proyecto avanza y que hay fondos asegurados. Esto dice más sobre la situación del proyecto que el informe en sí.
Luego, hablemos de las recompensas por vulnerabilidades en Immunefi. Este asunto es completamente diferente a la auditoría. La auditoría es pagarle a alguien para que la revise una vez y luego se acaba. La recompensa permanece ahí a largo plazo, haciendo que los white hats de todo el mundo te hagan pruebas de penetración día tras día; si encuentran un problema, obtienen la recompensa. Si no lo encuentran, significa que nadie entiende mejor ese contrato que ellos no han encontrado nada. El precio de las recompensas de un proyecto es la cotización pública que el equipo hace sobre la confianza que tiene en su propio código. Si se atreven a poner el precio ahí y siguen trabajando en ello, incluso cien frases de “la seguridad es lo primero” no lo convencerían tanto.
Pero hay dos cosas que obligatoriamente hay que “echar un balde de agua fría”. Primero: la recompensa justamente demuestra que el contrato podría tener agujeros. Si no los tuviera, no haría falta pagar para buscar fallas. El sentido de la recompensa es poner en claro, en público, el beneficio por encontrar vulnerabilidades: esto convierte la búsqueda en una subasta entre white hats y black hats. Es una medida para mitigar daños, no una inmunidad. Segundo: la seguridad del contrato y la seguridad de los fondos nunca son lo mismo. Los contratos auditados igual pueden salir mal por filtración de llaves privadas, manipulación de oráculos, o secuestro del frontend. TermMax además involucra el enrutamiento de ingresos de protocolos externos y la ruta de liquidación del intercambio de activos. La complejidad de estas etapas no la resuelven unas cuantas auditorías.
En resumen: si el equipo está dispuesto a seguir gastando en seguridad, eso merece un elogio, pero gastar no significa necesariamente estar seguro. El verdadero campo de pruebas con dinero real siempre está on-chain. El 25 de agosto TGE de $TMX: el TVL y la superficie de ataque crecerán juntos; ahí es cuando vendrá la verdadera prueba de esfuerzo.
#termmax @TermMax
Primero, hablemos de la auditoría. Ojo: mi punto de atención no es la auditoría en sí, sino las auditorías de varias rondas. Cada vez que el contrato cambia una vez el código, el informe de auditoría anterior queda invalidado. En la industria hay demasiados proyectos que usan un informe de auditoría de hace un año para dar aval a un contrato nuevo; el código del informe y lo que realmente está corriendo on-chain ya no son lo mismo. Un equipo que sigue gastando para auditorías repetidas al menos demuestra dos cosas: que el proyecto avanza y que hay fondos asegurados. Esto dice más sobre la situación del proyecto que el informe en sí.
Luego, hablemos de las recompensas por vulnerabilidades en Immunefi. Este asunto es completamente diferente a la auditoría. La auditoría es pagarle a alguien para que la revise una vez y luego se acaba. La recompensa permanece ahí a largo plazo, haciendo que los white hats de todo el mundo te hagan pruebas de penetración día tras día; si encuentran un problema, obtienen la recompensa. Si no lo encuentran, significa que nadie entiende mejor ese contrato que ellos no han encontrado nada. El precio de las recompensas de un proyecto es la cotización pública que el equipo hace sobre la confianza que tiene en su propio código. Si se atreven a poner el precio ahí y siguen trabajando en ello, incluso cien frases de “la seguridad es lo primero” no lo convencerían tanto.
Pero hay dos cosas que obligatoriamente hay que “echar un balde de agua fría”. Primero: la recompensa justamente demuestra que el contrato podría tener agujeros. Si no los tuviera, no haría falta pagar para buscar fallas. El sentido de la recompensa es poner en claro, en público, el beneficio por encontrar vulnerabilidades: esto convierte la búsqueda en una subasta entre white hats y black hats. Es una medida para mitigar daños, no una inmunidad. Segundo: la seguridad del contrato y la seguridad de los fondos nunca son lo mismo. Los contratos auditados igual pueden salir mal por filtración de llaves privadas, manipulación de oráculos, o secuestro del frontend. TermMax además involucra el enrutamiento de ingresos de protocolos externos y la ruta de liquidación del intercambio de activos. La complejidad de estas etapas no la resuelven unas cuantas auditorías.
En resumen: si el equipo está dispuesto a seguir gastando en seguridad, eso merece un elogio, pero gastar no significa necesariamente estar seguro. El verdadero campo de pruebas con dinero real siempre está on-chain. El 25 de agosto TGE de $TMX: el TVL y la superficie de ataque crecerán juntos; ahí es cuando vendrá la verdadera prueba de esfuerzo.
#termmax @TermMax