Su billetera le enseña «0xa9059cbb…» y espera su aprobación. El laboratorio lo traduce a una frase que se entiende: qué función se está llamando y con qué argumentos. Al lado hay otras seis herramientas de análisis para preguntas difíciles de responder a mano.
Cada herramienta de aquí responde a una sola pregunta — y también le dice qué no puede responder.
Pegue el calldata, un selector de cuatro bytes o un nombre de función. Cuatro bytes pueden coincidir con más de una firma — a veces a propósito — así que no le mostramos un resultado, se los mostramos todos.
Las transacciones modernas devuelven un error personalizado de cuatro bytes que nadie puede leer. Lo traducimos al mensaje real y llamamos al código de panic por su nombre en lugar de dejarlo como un número hexadecimal.
La mayoría de los ERC-20 son OpenZeppelin más unas decenas de líneas. Primero apartamos las huellas de las bibliotecas; lo que queda es lo que el dueño del proyecto escribió de verdad — que es donde se esconden los cambios.
Cambiar los nombres de las variables y reformatear el archivo no oculta nada: la comparación trabaja sobre la estructura de tokens, no sobre el texto. Informa del tamaño del solapamiento; nunca dice quién copió a quién.
Retrocede hasta tres saltos hacia quien financió por primera vez una dirección y muestra la transacción que prueba cada salto. La proximidad no es un delito, y la página lo dice con todas las letras.
Las dos direcciones las trae usted; aquí no hay ninguna lista ni ninguna acusación. Está limitado a tres saltos — «no se ha encontrado camino dentro de estos límites» es una frase correcta; «no hay camino» es una frase que esta herramienta no puede construir.
La lista de archivos la resolvemos nosotros; quien descarga los archivos de GitHub y los analiza en local es su navegador — el código no pasa por nuestros servidores. Solo repositorios públicos: no se envía ninguna cabecera de autorización.
Las herramientas en sí (el escáner, los paneles, el espacio de trabajo de SAFI) funcionan por ahora con interfaz en inglés. Estas páginas se lo explican todo en español antes de que entre en ellas.
Es fácil que una herramienta de rastreo se convierta en una máquina de acusar. Esta está construida para negarse a eso.
Un solo salto entre dos direcciones describe una red, no a las personas. Cualquier billetera que haya retirado de un exchange grande está a un salto de decenas de miles de direcciones — y entre ellas hay, inevitablemente, algunas malas.
Por eso la herramienta muestra la transacción que prueba cada salto y le deja a usted la conclusión. No llama «estafador» a ninguna dirección, porque eso es una inferencia sobre la intención y la cadena no registra intenciones.
Un selector de cuatro bytes puede coincidir con varias firmas, y esa colisión a veces se fabrica a propósito para engañar a quien lee deprisa. Por eso mostramos todas las coincidencias: enseñar una sola con aire de seguridad es exactamente el error del que se aprovecha el atacante.
La búsqueda de camino está limitada a tres saltos y a un número determinado de consultas. Cuando no encontramos algo, la frase correcta es que no lo hemos encontrado dentro de esos límites.
La diferencia entre esas dos frases es la diferencia entre una herramienta en la que puede confiar y una herramienta que le dice lo que quiere oír.
La puntuación bruta de similitud entre dos ERC-20 mide sobre todo lo extendido que está OpenZeppelin. Primero apartamos las huellas de las bibliotecas para que el resultado hable del código escrito de verdad para este proyecto.
Y aun así la herramienta solo informa del tamaño del solapamiento. Cuál copió a cuál no es una pregunta que responda el código — la responden las fechas, y quien las lee es usted.
Pegue la dirección del contrato y vea los poderes del propietario, la liquidez y el resultado de la simulación de venta antes de arriesgar nada. La pequeña tarifa por escaneo se le muestra antes de firmar — y con cualquier suscripción está incluida sin límite.
