Antes de la auditoría
Acordamos el alcance con la firma auditora, congelamos el código en un commit etiquetado y preparamos la documentación que necesitan los auditores.
Soporte de auditorías y corrección de hallazgos en smart contracts
Un informe de auditoría es una lista de problemas, no su solución. A partir de ahí nos encargamos nosotros. Coordinamos con la firma auditora, clasificamos cada hallazgo, corregimos los que lo necesitan con tests de regresión y acompañamos los cambios hasta la revisión de los auditores, con el despliegue preparado. Funciona tanto si hemos escrito el código como si no.
01 / PARA QUIÉN ES
Para quién es
- Equipos con una auditoría programada que quieren a alguien que se ocupe de su parte técnica
- Equipos con un informe de auditoría en la mano y sin capacidad para corregir bien los hallazgos
- Proyectos cuyos desarrolladores originales ya no están disponibles
02 / QUÉ HACEMOS
Qué hacemos
Durante la auditoría
Respondemos rápido a las preguntas de los auditores, para que dediquen su tiempo a encontrar problemas y no a entender el código.
Triaje
Clasificamos cada hallazgo como corregir, mitigar o asumir, con el razonamiento por escrito.
Corrección
Corregimos cada hallazgo con un cambio mínimo y un test de regresión que falla antes de la corrección y pasa después.
Revisión de correcciones
Preparamos la respuesta a cada hallazgo y apoyamos a los auditores mientras revisan las correcciones.
Preparación del despliegue
Una checklist y scripts de despliegue. El despliegue en mainnet se hace con tus claves y con nuestro apoyo.
Por qué mantenemos las correcciones pequeñas
Cada corrección es código nuevo que los auditores no revisaron en la primera pasada. Una refactorización grande en mitad de una auditoría puede introducir el siguiente bug, así que mantenemos cada cambio tan pequeño como permite el hallazgo, y te decimos claramente cuándo uno necesita un rediseño más profundo.
03 / QUÉ RECIBES
Qué recibes
| ENTREGABLE | FORMATO |
|---|---|
| Cada hallazgo corregido en su propio commit, con un test de regresión | Repositorio |
| Un documento de respuesta para todos los hallazgos, corregidos, mitigados o asumidos, y por qué | Documento |
| Documentación y NatSpec actualizadas | Repositorio |
| Una checklist y scripts de despliegue | Repositorio |
04 / TRABAJOS RELACIONADOS
Hallazgos de revisión corregidos con tests de regresión en nuestros repos open source:
05 / FAQ
Preguntas sobre el soporte de auditorías
¿Hacéis la auditoría?
No. La auditoría la hace una firma independiente. Nosotros nos ocupamos del trabajo que la rodea.
¿Podéis ayudarnos a elegir una firma auditora?
Podemos contarte en qué fijarte y ayudarte a comparar alcances y presupuestos. La decisión es tuya.
¿Y si un hallazgo necesita un rediseño?
Te lo decimos antes de tocar el código, con las opciones y su coste, para que decidas si corregirlo ahora, mitigarlo o mover la fecha de lanzamiento.
¿Trabajáis con código que no habéis escrito?
Sí. Empezamos leyendo el código, el informe y la documentación, y el precio cerrado tiene en cuenta lo bien documentado que esté el código.
¿Significa esto que el código es seguro para desplegar?
Nadie puede prometerlo. La corrección cierra los hallazgos de la auditoría, pero no demuestra que no existan otros bugs. Una segunda auditoría, un bug bounty o un lanzamiento por fases pueden reducir el riesgo que queda.