Concurso de auditoría

En una auditoría tradicional, el protocolo contrata a una firma y un equipo pequeño revisa el código por una tarifa fija. Un concurso de auditoría abre el código a muchos participantes. Durante una o varias semanas, investigadores de plataformas como Code4rena, Sherlock o Cantina estudian los contratos y envían sus hallazgos. Unos jueces los validan y clasifican por gravedad, y una bolsa de premios se reparte entre quienes encontraron problemas reales; los hallazgos únicos valen más que los que reportó mucha gente.

Los concursos aportan muchos ojos y técnicas distintas sobre el mismo código y se han convertido en un paso habitual antes de lanzar en la red principal o de grandes actualizaciones, a menudo junto a una auditoría privada. También han permitido a auditores independientes construirse un historial público, y algunas plataformas añaden una cobertura que paga si se explota un fallo que se les pasó.

La calidad depende del tamaño de la bolsa y de la complejidad del código, y los concursos populares atraen muchos informes duplicados o de poco valor que los jueces deben filtrar. Además, son una foto fija: el código que cambie después queda fuera, y ningún número de hallazgos garantiza que no queden errores. Tras el lanzamiento siguen haciendo falta bug bounties y monitorización.