Smart contracts (hasta 1.500 líneas)
Auditoría de smart contracts
Tu contrato custodia fondos, y en una blockchain una transacción no se deshace: si tiene una falla, el dinero sale y no vuelve. Lo auditamos antes de publicar y también ya publicado, para que salgas a producción sabiendo qué puede romperse.
Auditoría de seguridad de contratos en Solidity sobre redes EVM (Ethereum, Polygon, BNB Chain y compatibles). Cubrimos el ciclo entero: revisión antes de publicar y validación del contrato ya desplegado con fork testing sobre una copia del estado real de la cadena. Buscamos vectores explotables, no solo alertas de herramientas.
- Duración
- 2 semanas
- Inicio
- Coordinado con tu lanzamiento o actualización
desde US$4.900
Se contrata solo o sumado a una auditoría. Re-tests: sumado a una auditoría, los mismos que ella; solo, 3 meses sin cargo. El precio es desde: cubre hasta 1.500 líneas de Solidity sin contar comentarios ni blancos. Más líneas o varios contratos, precio cerrado a medida antes de firmar.
Auditar mi contrato¿Vas a publicar o actualizar el contrato pronto? Escríbenos y lo revisamos antes de que salga.
Es para ti si
- Estás por lanzar un contrato en Ethereum, Polygon, BNB Chain u otra red EVM.
- Ya tienes un contrato publicado y quieres una revisión independiente antes de una actualización.
- Un inversor, un exchange o un socio te pide una auditoría antes de seguir.
Qué revisamos
La lógica del dinero: depósitos, retiros y comisiones.Reentrancy (single-function, cross-function, cross-contract y read-only), contabilidad de saldos, errores de redondeo y truncamiento de enteros.
De quién depende tu contrato: oráculos de precio y otros protocolos.Manipulación de oráculos: precio spot de un solo bloque sin TWAP, agregación multifuente, bridges y contratos que pueden reemplazarse.
Que las cuentas cierren: que los saldos cuadren con el suministro y el colateral alcance.Invariantes del sistema: consistencia entre suministro y saldos, ratios de colateralización, inflación en ERC-4626, tokens con fee-on-transfer y límites de gobernanza.
Las fallas ya conocidas en el ecosistema, para que no caigas en las mismas.Verificación contra el SWC Registry y la guía OWASP de seguridad de smart contracts.
Cómo trabajamos
Semana 0
Alcance
Nos pasas el código y las redes donde corre. Confirmamos el límite de 1.500 líneas, sin contar comentarios ni blancos.
Inventario de contratos, redes y dependencias externas, conteo nSLOC y la autorización firmada para la auditoría.
Semana 1
Análisis
Leemos el código a mano y lo cruzamos con herramientas. Si encontramos algo grave, te avisamos el mismo día.
Análisis estático (Slither, Aderyn, Solhint), ejecución simbólica (Mythril), fuzzing e invariantes (Foundry, Echidna, Medusa) y verificación formal cuando el alcance lo pide (Halmos, Certora Prover).
Semana 2
Pruebas e informe
Demostramos cada falla grave con una prueba real y un segundo Lop revisa todo antes de entregarte el informe.
Para contratos ya publicados, fork testing: replicamos el estado de la cadena en un entorno local y simulamos ahí los ataques, nunca sobre la red real. Prueba de concepto reproducible en Foundry para hallazgos críticos y altos, revisión por un segundo Lop, informes técnico y ejecutivo, reunión de cierre.
Qué recibes
- Los hallazgos ordenados por gravedad, con una prueba de que cada uno se puede aprovechar.
- Severidad por impacto y probabilidad de explotación (crítico, alto, medio, bajo, informativo), con el código afectado, el vector y una prueba de concepto ejecutable en Foundry para críticos y altos.
- Cómo arreglar cada hallazgo, en orden de prioridad.
- Recomendación de mitigación por hallazgo, priorizada por impacto y esfuerzo.
- Un informe técnico completo y un resumen ejecutivo para quien firma.
- Informe técnico con el detalle, la prueba de concepto y el arreglo; informe ejecutivo con el impacto económico y legal.
- Cada arreglo probado de nuevo.
- Re-test sobre la versión corregida; plazo según cómo se contrata.
Límites del alcance
Incluye
- Hasta 1.500 líneas de Solidity en redes EVM.Hasta 1.500 líneas nSLOC (sin comentarios ni blancos), Solidity sobre Ethereum, Polygon, BNB Chain y compatibles EVM.
- Revisión antes de publicar y de contratos ya desplegados.Los contratos ya publicados se validan con fork testing sobre una copia local del estado, nunca sobre la red real.
No incluye
- No escribimos los arreglos en tu código: eso lo puede hacer Lop Fix.Sin remediación; disponible con Lop Fix.
- No revisamos lo que está fuera de la cadena: servidores, claves privadas ni el frontend.Sin auditoría de infraestructura off-chain; la dapp y su backend se cubren con una auditoría web.
- No revisamos contratos en Vyper, Yul o Cairo.Solo Solidity; otros lenguajes se cotizan aparte.
¿Más de 1.500 líneas o varios contratos? Te pasamos el precio cerrado antes de firmar.
Preguntas antes de contratar
¿Para qué auditar si ya uso herramientas automáticas?
Las herramientas marcan patrones, pero no entienden la lógica de tu negocio ni encadenan fallas chicas. Un Lop confirma cada hallazgo a mano y descarta los falsos positivos.
¿El fork testing puede afectar la red real?
No. El fork es una copia local del estado en un bloque. Todo corre en un nodo local y no firmamos ninguna transacción contra la red real.
¿El informe trae prueba de concepto?
Sí. Para los hallazgos críticos y altos entregamos una prueba reproducible en Foundry que demuestra que la falla se puede aprovechar, no solo que existe.
¿Y si mi contrato tiene más de 1.500 líneas?
Te cotizamos el excedente antes de firmar, con la misma metodología y las mismas herramientas.
¿Tu contrato custodia el dinero de tus usuarios?
En 2 semanas lo auditamos, antes de publicar o ya desplegado, con una prueba de concepto de cada falla grave.