Smart contract audit (Auditoria de smart contracts)

Uma auditoria é uma revisão paga onde investigadores de segurança analisam o código do smart contract de um projeto, realizam testes e elaboram um relatório com problemas classificados por gravidade. O objetivo é detetar bugs e falhas lógicas exploráveis antes dos atacantes. Os relatórios costumam classificar cada ponto como corrigido (fixed), reconhecido (acknowledged) ou em aberto (open).

Os auditores combinam revisão manual com ferramentas como analisadores estáticos, fuzzers e suites de testes. Procuram vulnerabilidades como reentrancy, erros de cálculo, falta de controlos de acesso, manipulação de oráculos e permissões perigosas do owner. O relatório aplica-se a uma versão específica do código, frequentemente identificada por um commit hash ou endereço de deployment. Algumas empresas oferecem ainda verificação formal ou monitorização contínua.

Para quem compra um token, uma auditoria mostra pelo menos que a equipa pagou a especialistas para verificar o código. Não garante que o projeto seja seguro ou honesto. Uma auditoria não impede a equipa de vender os seus tokens ou de remover liquidez desbloqueada, e vários protocolos explorados já tinham sido auditados. Em tokens de baixa capitalização, auditorias baratas são muitas vezes simples scans automáticos apresentados como análises reais, e alguns badges de auditoria são completamente falsos.

Lê o relatório na íntegra em vez de confiar apenas no badge. Confirma se o código ou o endereço auditado coincide com o que está em produção, já que um projeto pode auditar um contrato e lançar outro. Verifica quais os problemas críticos ou de alta gravidade deixados por resolver e se o auditor destacou poderes do owner como mint, alteração de taxas ou blacklists. Averigua quem realizou a auditoria e se o documento está alojado no site oficial da empresa de segurança, e não apenas no do projeto.