En DeFi, los depósitos, los préstamos y los intercambios se realizan automáticamente mediante contratos inteligentes, sin revisión manual ni atención al cliente que pueda recuperar el dinero enviado por error. Si el contrato está bien escrito, es la regla más fiable; si está mal escrito, sus vulnerabilidades también se «ejecutarán» al pie de la letra.
Token correspondiente: $ETH cotiza a 2384.45 (24 h: -3.87%).
📌 El código dicta las reglas, y las vulnerabilidades también
Una vez que los contratos inteligentes se despliegan en la cadena de bloques, se ejecutan automáticamente según el código. Esto aporta transparencia y previsibilidad: cualquiera puede leer el código y, si el contrato no se puede actualizar, las reglas no cambiarán porque alguien cambie de opinión.
Por el contrario, si alguien descubre y aprovecha una vulnerabilidad en el código, los fondos pueden transferirse en unas pocas transacciones y ser muy difíciles de recuperar. The DAO, en 2016, es un ejemplo: atacaron el contrato aprovechando una vulnerabilidad de reentrada y, posteriormente, Ethereum respondió con una bifurcación dura. La cadena original que no se bifurcó continuó como Ethereum Classic (ETC).
📌 ¿Qué se audita exactamente?
Una auditoría de seguridad es una revisión que un equipo de seguridad externo realiza al código de una versión específica en un momento determinado. El informe de auditoría suele enumerar los problemas detectados, la gravedad de cada uno y si el proyecto ya los ha corregido.
Entre los aspectos que suelen revisarse están la reentrada, los errores en el control de permisos, los problemas de precisión en los cálculos y la posibilidad de manipular oráculos. Las auditorías ayudan a detectar y reducir este tipo de vulnerabilidades comunes, pero están limitadas por el tiempo, los recursos humanos y el alcance de la revisión.
📌 Por qué puede haber problemas incluso después de una auditoría
En primer lugar, la auditoría solo cubre el código incluido en el alcance especificado; los contratos que quedan fuera y las funciones añadidas posteriormente no se revisan. Si el código cambia después de la auditoría o la versión desplegada no coincide con la auditada, no se pueden aplicar directamente sus conclusiones.
En segundo lugar, algunos riesgos no están en el propio código: los oráculos u otros protocolos de los que depende el protocolo pueden fallar; pueden robar la clave de administrador que permite las actualizaciones; o pueden manipular la interfaz web para inducir a los usuarios a firmar transacciones maliciosas. Todo esto puede causar pérdidas.
📌 Qué pueden hacer los usuarios comunes
Al leer un informe de auditoría, fíjate en la fecha, el alcance y los problemas que aún no se han corregido; no te quedes solo con las palabras «auditado». También puedes comprobar si el contrato se puede actualizar de forma unilateral y si los permisos de actualización están controlados mediante firmas múltiples y un bloqueo temporal.
Los protocolos que llevan mucho tiempo funcionando y han gestionado grandes cantidades de fondos suelen considerarse más fiables, pero eso no significa que no tengan vulnerabilidades. Por eso, en DeFi solo deberías depositar fondos cuya pérdida puedas soportar, repartir las cantidades grandes entre distintos protocolos y revocar los permisos de los protocolos que ya no uses.
📌 En resumen
La auditoría es el punto de partida de la seguridad, no el final. Es más realista considerar los riesgos de los contratos inteligentes como un costo inevitable de participar en DeFi que confiar en las palabras «auditado». Infórmate bien sobre las reglas antes de empezar y no tomes decisiones impulsivas.
Si te ha resultado útil, guárdalo para volver a consultarlo más adelante.