El escáner responde a «qué está mal en este código». La pregunta que se hace antes de lanzar es otra: ¿cuál de esas cosas puede usar de verdad un atacante? Esta herramienta toma los hallazgos del escaneo e intenta ordenarlos en un camino que funcione — y para cada camino que construye le dice cuánto está probado y cuánto es inferencia.
Las cifras de abajo se miden de la propia tabla de patrones del simulador mientras se genera esta página. Si una familia se quedara vacía, la página no seguiría anunciándola: fallaría durante la generación.
Una función que concede permisos y se olvida de comprobar quién la llama. La familia más frecuente y la más barata de cerrar.
Volver a entrar antes de que el contrato haya terminado de anotar en el libro lo que usted se ha llevado.
Ataques que no requieren capital: el capital se toma prestado y se devuelve dentro de la misma transacción.
El contrato le pregunta a otro cuánto vale algo, y esa respuesta se vuelve elegible.
Mover el mercado que el contrato usa para poner precio, o operar delante y detrás de quien lo va a mover.
Una firma que debía funcionar una sola vez funciona varias, en varias redes o para varios fines.
El código que hay detrás de la dirección no es el código auditado. Cada hallazgo del informe hablaba de un código que ya no está ahí.
El camino que va del llamante corriente al propietario, y del propietario a algo más que el propietario.
Cada línea es correcta y la regla que forman entre todas es falsa. Donde el análisis estático es más débil y la persona más fuerte.
No hay nada roto. Los incentivos le pagan más al atacante que a usted.
Las herramientas en sí (el escáner, los paneles, el espacio de trabajo de SAFI) funcionan por ahora con interfaz en inglés. Estas páginas se lo explican todo en español antes de que entre en ellas.
Tres pasos: el escaneo en su navegador, el envío únicamente de los hallazgos y un nivel de prueba declarado con claridad para cada eslabón.
El código fuente es o bien el texto que usted pega o bien el código verificado que se lee del explorador; el análisis se ejecuta en este navegador. No se construye, ni se firma, ni se envía ninguna transacción.
Aun así la página le pide que confirme que tiene autorización. Esa casilla por sí sola no demuestra nada — pero deja constancia de la intención, y esa es exactamente la diferencia entre esta herramienta y una que dibuja bajo pedido cómo atacar el contrato de un desconocido.
El motor con 201 detectores se ejecuta en su navegador y su código no sale de ahí. Lo único que va al servidor para montar las cadenas es la estructura que produce el escaneo: identificadores de detector, la tabla de funciones y los indicadores de control de acceso.
Para comprobarlo no hace falta que confíe en nosotros — abra la pestaña de red de su navegador y mire el cuerpo de la petición que sale.
Es un techo puesto a propósito, no una carencia que se nos haya olvidado quitar. Leyendo el código se puede decir que un camino está abierto; no se puede decir que ese camino se haya recorrido.
Cada cadena del playbook declara ella misma qué condiciones tienen que ser ciertas antes de informarse contra su código. Si no se cumplen a la vez «el contrato hace delegatecall» y «la dirección de destino puede verse influida por el llamante», esa cadena no entra en su informe.
Un hallazgo crítico falso cuesta más de lo que ganan diez hallazgos medios ciertos. El producto está calibrado según esa frase.
Pegue la dirección del contrato y vea los poderes del propietario, la liquidez y el resultado de la simulación de venta antes de arriesgar nada. La pequeña tarifa por escaneo se le muestra antes de firmar — y con cualquier suscripción está incluida sin límite.
