Auditoría de smart contracts: proceso, coste y límites

Una auditoría de smart contracts es una revisión de seguridad independiente del código de un protocolo antes (o después) de que custodie fondos de los usuarios. Revisores especializados leen los contratos línea por línea, ejecutan herramientas automatizadas y redactan un informe que clasifica las vulnerabilidades por gravedad para que el equipo pueda corregirlas. En 2026, una auditoría DeFi típica cuesta aproximadamente entre 25.000 $ y 100.000 $, según la referencia de precios de Sherlock de febrero de 2026, aunque un token sencillo cuesta mucho menos y un bridge mucho más.

Una auditoría reduce el riesgo; no lo elimina. Esta guía explica cómo funciona el proceso, qué detectan y qué pasan por alto las auditorías, cuánto cuestan, qué papel tienen los concursos, los bug bounties y la verificación formal, y cómo leer un informe de auditoría como usuario.

¿Qué es una auditoría de smart contracts?

Los smart contracts son programas que custodian y mueven dinero sin intervención humana. Una vez desplegados, un fallo puede explotarse en una sola transacción, y las transferencias on-chain no se pueden revertir. Una auditoría es lo más parecido que tiene DeFi a una inspección previa al vuelo.

Un encargo estándar a una firma de auditoría sigue los mismos pasos generales:

1. Alcance. El equipo indica los contratos exactos y el hash del commit que se van a revisar. Todo lo que quede fuera de ese alcance no está cubierto.
2. Congelación del código. El código deja de cambiar durante la revisión, de modo que los hallazgos se refieren a una versión conocida.
3. Revisión. Los auditores leen el código manualmente, modelan cómo puede ser atacado y utilizan herramientas como analizadores estáticos, fuzzers y, a veces, verificación formal.
4. Informe. Cada hallazgo recibe una gravedad (normalmente crítica, alta, media, baja e informativa) y una corrección recomendada.
5. Corrección y revisión de los arreglos. El equipo corrige los problemas y el auditor comprueba las correcciones. Sherlock señala que estas rondas de reauditoría suelen añadir entre 5.000 $ y 20.000 $ por pasada y deben presupuestarse desde el principio.

El resultado es un PDF público o privado. La línea más importante suele ser la que la gente se salta: el hash del commit. Una auditoría solo se aplica a ese código.

Qué detectan las auditorías y qué pasan por alto

Las auditorías son eficaces para encontrar clases de fallos conocidas: reentrancy, controles de acceso ausentes, cálculos y redondeos erróneos, valores de retorno no comprobados y lógica que permite a un usuario quedarse con los fondos de otro. También detectan problemas de diseño, como un oráculo que puede moverse con un flash loan o un oráculo de precios que puede quedarse desactualizado.

Son mucho más débiles en lo siguiente:

• Código modificado después de la auditoría. Una actualización posterior o un módulo nuevo no está auditado salvo que se haya revisado por separado.
• Ataques económicos. El código puede hacer exactamente aquello para lo que se escribió y aun así ser vaciado mediante manipulación de mercado o un mal diseño de incentivos.
• Integraciones. El riesgo suele estar en cómo un protocolo interactúa con otros protocolos, oráculos y bridges, que pueden quedar fuera del alcance.
• Riesgo operativo. Las claves de administración filtradas, las actualizaciones maliciosas y los front-ends comprometidos no son fallos de código en absoluto.
• Fraude intencionado. Una auditoría no puede detener a un equipo que planea un rug pull mediante los poderes que se reservó.

El ejemplo de Euler

Euler Finance, un protocolo de préstamos, perdió unos 197 millones de dólares el 13 de marzo de 2023 en un ataque con flash loan, informó The Block. El fallo estaba en una función añadida en un cambio de código posterior, donateToReserves, que carecía de la comprobación de salud que ejecutaban otras funciones, según el análisis de CertiK. Euler había completado 10 auditorías de seis firmas entre mayo de 2021 y septiembre de 2022, informó Cointelegraph, y Sherlock, cuya revisión había cubierto ese cambio, aceptó pagar una reclamación de 4,5 millones de dólares. El atacante devolvió después todos los fondos recuperables, más de 177 millones de dólares en total, a principios de abril de 2023, según The Block.

La lección no es que las auditorías sean inútiles. Es que una sola comprobación olvidada en un solo cambio puede bastar, y que «auditado» describe un momento concreto.

¿Cuánto cuesta una auditoría de smart contracts?

Los precios dependen del tamaño del código, su complejidad, el lenguaje, la reputación de la firma y la urgencia del trabajo. Los rangos publicados proceden sobre todo de las propias firmas de auditoría, así que conviene tratarlos como señales de mercado y no como tarifas fijas.

Fuentes: Sherlock, 18 de febrero de 2026 y la guía de costes 2026 de QuillAudits.

Sherlock también afirma que los presupuestos para alcances funcionalmente similares pueden ir de 15.000 $ a 150.000 $ según la firma, que los plazos urgentes añaden entre un 20 y un 40 por ciento, y que los protocolos con un TVL significativo suelen gastar entre 150.000 $ y 500.000 $ al año en seguridad en total. Una auditoría rara vez es todo el presupuesto: los equipos serios la combinan con un concurso, un bug bounty y monitorización.

Concursos de auditoría, bug bounties y verificación formal

Concursos de auditoría

En un concurso, un protocolo publica una bolsa de premios y muchos investigadores independientes revisan el mismo código durante un periodo fijo. Los pagos se reparten entre quienes encuentran problemas válidos, ponderados según su gravedad. El atractivo es tener más ojos con un presupuesto fijo; la contrapartida, una cobertura desigual y muchos envíos de poco valor.

El mercado ha cambiado en 2026. Code4rena, la plataforma que popularizó el modelo, anunció en mayo de 2026 que cesaría su actividad e Immunefi asumiría sus clientes de bug bounty, informó AMBCrypto el 14 de mayo de 2026. A 17 de octubre de 2026, Sherlock recoge más de 300 concursos, y Cantina muestra una competición activa e informa de 56 millones de dólares pagados a investigadores en todos sus programas.

Bug bounties

Un bug bounty es una recompensa permanente para cualquiera que comunique de forma responsable una vulnerabilidad en código en producción. Cubre el periodo posterior al lanzamiento, justo donde terminan las auditorías. Immunefi, la mayor plataforma de bounties de Web3, afirma haber pagado más de 110 millones de dólares en recompensas, incluidos 10 millones de dólares por un fallo crítico de Wormhole y 6 millones de dólares por uno de Aurora (cifras de su web a 17 de octubre de 2026). Una recompensa pequeña en comparación con los fondos en riesgo da a quien encuentra el fallo pocos motivos para comunicarlo en lugar de explotarlo.

Verificación formal

La verificación formal demuestra matemáticamente que el código cumple reglas escritas, como «el total de depósitos siempre es igual a la suma de los saldos de los usuarios». Puede descartar clases enteras de fallos, pero solo para las propiedades que alguien pensó en formalizar. Las herramientas se han abaratado: Certora liberó su Prover como código abierto el 24 de febrero de 2025 y lo hizo gratuito.

Firmas de auditoría de smart contracts destacadas

No existe licencia ni regulador para los auditores, así que la reputación se basa en el historial, los informes publicados y las personas que hacen el trabajo. Entre los nombres conocidos están Trail of Bits, OpenZeppelin, ChainSecurity, Spearbit (que creó la plataforma Cantina), Zellic, Certora y OtterSec. Las cadenas basadas en Move, como Sui, tienen un grupo más reducido de especialistas; Sui nombró a OtterSec y Zellic socios de auditoría del ecosistema en un anuncio de diciembre de 2023.

Al valorar cualquier firma, fíjese en tres cosas en lugar del logotipo:

• Experiencia relevante. ¿Ha revisado protocolos similares en el mismo lenguaje?
• Revisores identificados y tiempo dedicado. Los buenos informes indican quién revisó el código y durante cuántos días.
• Informes públicos con hallazgos reales. Un historial de informes limpios sin hallazgos es una señal de alarma, no un consuelo.

Cómo leer un informe de auditoría como usuario

No hace falta saber leer Solidity o Move para sacar provecho de un informe de auditoría. Compruebe estos puntos por orden:

1. ¿Es real el informe? Búsquelo en la propia web o en el GitHub del auditor, no solo en la web del proyecto.
2. ¿Qué entraba en el alcance? Compare los contratos indicados y el hash del commit con lo que está desplegado. Una versión más reciente significa que el informe puede no aplicarse.
3. ¿Qué gravedad tenían los hallazgos? Cuente los problemas críticos y altos.
4. ¿Se corrigieron? «Acknowledged» (reconocido) significa que el equipo aceptó el riesgo y no lo corrigió. Busque «resolved» o «fixed» con una revisión de correcciones verificada.
5. ¿Qué pasa con los poderes de administración? Los informes suelen señalar riesgos de centralización, como un propietario que puede actualizar contratos o pausar retiradas sin timelock.

Después, tome perspectiva. Una auditoría es solo un elemento. Nuestra guía sobre cómo comprobar si un protocolo DeFi es seguro cubre el resto: historial, evolución del TVL, gobernanza y liquidez de salida. Para cobertura frente a un hackeo, consulte el seguro DeFi.

El lugar de JewelSwap

Creemos que los usuarios deben conocer el estado de auditoría de un producto antes de depositar. El vault Ember Loop de JewelSwap en Sui es una beta pública y no está auditado, algo que indicamos en la página de Ember Loop. No está disponible para residentes de EE. UU. ni del Reino Unido. Trate cualquier contrato no auditado, incluido el nuestro, como de mayor riesgo y dimensione sus posiciones en consecuencia.

Preguntas frecuentes

¿Qué es una auditoría de smart contracts?

Es una revisión de seguridad independiente del código de los smart contracts de un protocolo. Los auditores combinan la revisión manual con herramientas automatizadas y después publican un informe que enumera las vulnerabilidades por gravedad y las correcciones recomendadas.

¿Cuánto cuesta una auditoría de smart contracts?

Los rangos publicados en 2026 van desde unos 5.000 $ para un token sencillo hasta más de 150.000 $ para sistemas multicadena complejos. Sherlock sitúa la mayoría de las auditorías de protocolos DeFi entre 25.000 $ y 100.000 $, y las reauditorías añaden entre 5.000 $ y 20.000 $ por pasada.

¿Cuánto dura una auditoría?

Depende del tamaño y la complejidad del código. Un token pequeño puede llevar días, mientras que un protocolo DeFi completo suele requerir varias semanas de revisión, más el tiempo de las correcciones y de su revisión.

¿Una auditoría significa que un protocolo es seguro?

No. Una auditoría cubre un código concreto en un commit concreto. Puede pasar por alto fallos y no cubre actualizaciones posteriores, ataques económicos, claves filtradas ni un equipo deshonesto. Euler estaba auditado y aun así perdió unos 197 millones de dólares en 2023.

¿Qué diferencia hay entre una auditoría, un concurso y un bug bounty?

Una auditoría es una revisión de pago realizada por una sola firma. Un concurso paga a muchos investigadores independientes por revisar el mismo código durante un periodo fijo. Un bug bounty es una recompensa permanente por vulnerabilidades encontradas en código en producción tras el lanzamiento.

¿Sigue funcionando Code4rena?

Code4rena anunció en mayo de 2026 que cesaría su actividad, e Immunefi incorporaría a sus clientes de bug bounty. Sherlock y Cantina siguen organizando concursos de auditoría.

Siga leyendo

• Cómo comprobar si un protocolo DeFi es seguro
• ¿Qué es un rug pull?
• ¿Qué es un flash loan?
• El seguro DeFi explicado
• Estafas de envenenamiento de direcciones

Este artículo es educativo y no constituye asesoramiento financiero, jurídico ni de seguridad. Los precios y las cifras de las plataformas son a 17 de octubre de 2026 y proceden de las fuentes enlazadas; los presupuestos de auditoría varían mucho entre firmas y proyectos. JewelSwap opera el vault Ember Loop mencionado aquí, que es una beta no auditada.