En el mundo de los activos digitales, la seguridad no es un requisito más: es la condición para operar. Una falla en un smart contract o en la custodia de un exchange no genera una alerta para revisar con calma, genera una pérdida de fondos irreversible en cuestión de segundos. Por eso tanto los reguladores como el mercado exigen evidencia de seguridad antes de confiar en una plataforma.
¿Por qué auditar una plataforma cripto?
Por tres motivos que se potencian: el riesgo técnico (los fondos son el objetivo directo del atacante), el riesgo regulatorio (las licencias de activos digitales piden un pentest independiente) y el riesgo reputacional (un solo incidente puede terminar con la confianza de todos los usuarios). A diferencia de otros rubros, acá no hay 'deshacer'.
Smart contracts: dónde se pierden los fondos
La mayoría de los grandes robos en Web3 no explotan la criptografía, sino errores de programación en los contratos. Las clases de falla más costosas son conocidas:
- Reentrancy: el contrato permite que una llamada externa vuelva a entrar y retire fondos varias veces antes de actualizar el saldo.
- Control de acceso roto: funciones críticas (acuñar, retirar, cambiar de dueño) sin la protección adecuada.
- Dependencia de oráculos: precios manipulables que permiten vaciar pools o liquidar de forma indebida.
- Lógica de retiro y upgrade: errores en los flujos de depósito, retiro o actualización del contrato.
Exchanges, custodios y billeteras
Más allá del contrato, el pentest de una plataforma se enfoca en lo que un atacante usaría para mover dinero: la gestión de llaves privadas y la custodia, el aislamiento entre cuentas de clientes (que un usuario no pueda ver ni tocar los fondos de otro), la lógica de retiros y aprobaciones, y la API y el back office. Son los mismos principios de una auditoría web y de API, aplicados a un entorno donde el activo es dinero líquido.
Licencias y cumplimiento: VASP, DASP y MiCA
Los reguladores de activos digitales exigen una evaluación de seguridad independiente como parte del expediente de licencia. Lo piden los marcos VASP alineados a las recomendaciones del GAFI, la licencia DASP de la CNAD en El Salvador y el reglamento MiCA en la Unión Europea. El informe debe detallar alcance, metodología, hallazgos con su severidad y la evidencia de remediación, y suele requerirse en español e inglés.
En cripto, el pentest no solo encuentra fallas: produce el informe independiente que habilita la licencia y acompaña el listado en un exchange o una ronda de inversión.
¿Cuándo conviene hacerlo?
Antes de salir a mainnet con un contrato nuevo, antes de presentar la solicitud de licencia, antes de un listado o una integración, y después de cada cambio importante en la plataforma o los contratos. Como en cualquier pentest serio, se ejecuta bajo contrato, con autorización escrita del dueño del activo y sobre un entorno de staging o testnet.