Guia · D2
Como auditar um smart contract: guia de segurança em português
Antes de subir um contrato pra mainnet, vale entender o que uma auditoria procura. Este guia explica, em português, o que é uma auditoria de smart contract, as falhas mais comuns e quando faz sentido auditar.
O que é uma auditoria de smart contract
É a revisão sistemática do código de um contrato — manual, automatizada, ou as duas — pra encontrar falhas de segurança antes que dinheiro real passe por ele. Uma vez na blockchain, o código é imutável: o que estava errado no deploy continua errado. Por isso a auditoria acontece antes.
As vulnerabilidades mais comuns
A maior parte dos prejuízos em smart contract vem de um punhado de padrões conhecidos. Conhecê-los é metade do trabalho:
Reentrância
O contrato chama um endereço externo antes de atualizar o próprio estado — e esse endereço chama o contrato de volta no meio da operação, drenando saldo. Foi o padrão do The DAO (2016).
Overflow / underflow de inteiros
Uma conta que passa do limite do tipo numérico e dá a volta. Em versões antigas de Solidity, subtrair de um saldo zero podia virar um número gigante. Hoje o compilador protege, mas matemática sem checagem ainda aparece.
Falha de controle de acesso
Uma função sensível (sacar, pausar, mintar) sem a restrição de quem pode chamá-la — ou com a restrição no lugar errado. Qualquer um executa o que era pra ser só do dono.
Manipulação de oráculo
O contrato confia num preço externo que pode ser distorcido (por exemplo, o spot de uma pool com pouca liquidez). O atacante move o preço, lucra na operação, e devolve — tudo na mesma transação.
Como a auditoria do Predators funciona
Você sobe o .sol. O motor roda análise estática (Slither) e fuzzing dinâmico (Echidna), e cada achado é verificado antes de entrar no laudo — pra não te entregar falso-positivo. O laudo sai por severidade, em português, com um disclaimer explícito do que ficou de fora.
Quando vale auditar
Sempre que o contrato vai guardar ou mover valor de terceiros. Quanto mais dinheiro e mais usuários, mais cedo — e mais de uma vez (a cada mudança relevante de código). Um laudo automatizado pega a maior parte dos padrões conhecidos rápido; deploy de alto valor ainda pede revisão manual de firma por cima.
Pronto pra auditar o seu contrato?
Suba o .sol e receba o laudo por severidade, em português, cobrável em PIX.
Este guia é educacional e não substitui revisão de segurança do seu contrato específico. Nenhuma ferramenta ou auditoria garante ausência de vulnerabilidades; uma auditoria reduz risco, não o elimina.