Transparencia de contratos inteligentes: código, permisos y cambios

Qué comprobar antes de confiar en un contrato

1. Dirección y red: confirma que estás consultando la red correcta y que la dirección coincide con la publicada por una fuente oficial del proyecto.
2. Código fuente y versión: busca un repositorio con historial, versiones y proceso de publicación. Comprueba si el código fuente corresponde al contrato desplegado y qué versión fue auditada.
3. Permisos privilegiados: identifica administradores, claves de actualización, pausas de emergencia, límites y funciones de recuperación.
4. Dependencias e integraciones: los oráculos, puentes, tokens y otros contratos también pueden afectar al resultado.
5. Actividad observable: consulta transacciones y eventos en un explorador fiable, entendiendo que no todos los datos de una interfaz tienen el mismo significado.

Cómo leer una auditoría

Una auditoría es un informe sobre un alcance determinado, no una certificación universal. Revisa quién la realizó, cuándo, qué versión del código examinó, qué componentes quedaron fuera y si los hallazgos críticos se corrigieron. Después comprueba que las correcciones están en la versión actualmente desplegada. Un informe antiguo puede ser útil como antecedente, pero no cubre automáticamente cambios posteriores.

La gobernanza también forma parte de la transparencia

El código puede ser abierto mientras una sola clave conserva la capacidad de actualizarlo. Busca si las operaciones administrativas requieren varias firmas, si hay demoras antes de aplicar cambios, quién participa en la gobernanza y cómo se anuncian las actualizaciones. Una pausa de emergencia puede proteger frente a un ataque, pero también puede impedir temporalmente operaciones; conoce sus límites y quién puede activarla.

Qué puede y qué no puede demostrar una blockchain

Un registro público puede ayudar a verificar que una transacción ocurrió, qué dirección la envió y qué datos quedaron registrados. No demuestra por sí mismo que la información fuera verdadera antes de registrarse, que el emisor tenga reservas suficientes, que una aplicación no oculte información ni que las claves administrativas estén protegidas.

Las obligaciones citadas del régimen piloto DLT y de MiCA se aplican solo a infraestructuras, criptoactivos y entidades comprendidos en su ámbito. No crean una obligación universal de publicar el código fuente ni convierten la divulgación en garantía de seguridad.

Usa una lista de comprobación en vez de una sola etiqueta. Si no puedes encontrar la dirección, los permisos, la versión y los informes relevantes, trata esa falta de información como una incógnita, no como prueba de seguridad. Para conocer las responsabilidades entre wallet y contrato, consulta arquitectura no custodial.