Escáner DeFi

¿Qué es un escáner DeFi?

Un escáner DeFi es una herramienta de análisis de criptomonedas que examina contratos inteligentes, tokens, permisos de carteras, transacciones blockchain, condiciones de liquidez, dependencias de protocolos u otros datos on-chain para detectar posibles riesgos.

Ayuda a usuarios y desarrolladores a identificar señales de alerta antes de interactuar con un protocolo de finanzas descentralizadas o aprobar una transacción blockchain.

Un escáner DeFi puede analizar el código fuente de los contratos, el bytecode desplegado, los saldos de las carteras, las autorizaciones de tokens, los permisos de administrador, los mecanismos de actualización, las simulaciones de transacciones, los pools de liquidez, los sistemas de oráculos y la actividad histórica.

Algunos escáneres se centran en vulnerabilidades técnicas, mientras que otros analizan comportamientos fraudulentos de tokens, exposición de carteras, riesgo de mercado o estado del protocolo.

Un escáner DeFi no garantiza que un token, un contrato inteligente o una inversión en criptomonedas sea seguro.

Las herramientas automatizadas pueden pasar por alto fallos complejos de lógica empresarial, ataques nuevos, sitios web comprometidos, administradores deshonestos y debilidades económicas que no coincidan con patrones conocidos.

La forma más fiable de utilizar un escáner DeFi es como parte de una revisión más amplia que incluya código fuente verificado, auditorías independientes, simulación de transacciones, documentación del protocolo, análisis de gobernanza y gestión personal del riesgo.

¿Por qué son importantes los escáneres DeFi?

Las aplicaciones DeFi permiten a los usuarios de criptomonedas prestar, pedir prestado, operar, hacer staking, utilizar bridges, aportar liquidez y usar derivados mediante contratos inteligentes.

Estos contratos pueden controlar grandes cantidades de criptomonedas y ejecutar transacciones automáticamente tras recibir instrucciones válidas.

Un error de programación, un permiso malicioso, un oráculo de precios débil, una clave de administrador comprometida o una restricción de transferencia oculta pueden provocar pérdidas graves.

La mayoría de las transacciones blockchain son difíciles o imposibles de revertir para un usuario corriente una vez confirmadas.

Un escáner puede proporcionar una capa adicional de revisión antes de que el usuario deposite activos o firme una transacción.

La versión actual de OWASP Smart Contract Top 10 utiliza datos de incidentes de 2025 y las aportaciones de profesionales de seguridad para identificar categorías importantes de riesgos de contratos inteligentes que previsiblemente seguirán siendo relevantes en 2026.

Un escáner puede comparar contratos y transacciones con patrones de riesgo conocidos, pero no puede demostrar que todos los comportamientos desconocidos sean inocuos.

¿Cómo funciona un escáner DeFi?

Un escáner DeFi recopila información pública de la blockchain a través de nodos, endpoints de llamadas a procedimientos remotos (RPC), bases de datos indexadas, repositorios de código fuente verificado y registros de transacciones.

Puede recuperar el bytecode desplegado del contrato y compararlo con el código fuente disponible públicamente.

El escáner puede inspeccionar funciones, variables de almacenamiento, registros de eventos, saldos de tokens, roles de propiedad, direcciones de proxy y transacciones históricas.

A continuación, puede ejecutar reglas automatizadas para buscar patrones de vulnerabilidades conocidos o comportamientos económicos inusuales.

También puede simular una transacción propuesta sobre el estado actual de la blockchain para estimar qué activos, autorizaciones o permisos de cuenta cambiarían.

Los resultados pueden presentarse como hallazgos individuales, etiquetas de advertencia, niveles de gravedad, puntuaciones de confianza o una única puntuación de riesgo simplificada.

La puntuación final depende de los datos, las hipótesis, las reglas de detección y el sistema de ponderación de la herramienta.

Tipos de escáneres DeFi

Los escáneres DeFi pueden clasificarse según la información que analizan y los usuarios a los que están diseñados para proteger.

Un escáner de contratos inteligentes analiza el código y el bytecode desplegado para detectar debilidades técnicas.

Un escáner de tokens examina los permisos, controles de oferta, reglas de transferencia, impuestos, liquidez y concentración de titulares de un token.

Un escáner de carteras revisa activos, autorizaciones, firmas, delegaciones y exposición a contratos de riesgo.

Un escáner de transacciones estima el efecto de una transacción antes de que el usuario la firme o la envíe.

Un escáner de protocolos evalúa los contratos, activos, sistemas de gobernanza, oráculos e integraciones que utiliza una aplicación DeFi.

Un escáner de mercado monitoriza la liquidez, la actividad de trading, los movimientos de precios, las reservas de los pools y posibles manipulaciones.

Un escáner de bridges examina contratos cross-chain, activos de respaldo, mensajes, validadores y la oferta de activos wrapped.

Un mismo producto puede combinar varias de estas funciones, pero ningún escáner cubre todos los riesgos con la misma eficacia.

Escáneres de contratos inteligentes

Un escáner de contratos inteligentes busca vulnerabilidades, permisos peligrosos y decisiones de implementación inusuales en el código o el bytecode.

El análisis estático evalúa el código sin ejecutarlo sobre el estado de una blockchain activa.

El framework de análisis estático de código abierto Slither analiza contratos Solidity y Vyper mediante detectores de vulnerabilidades e información sobre la estructura de los contratos.

El análisis estático puede procesar muchas funciones rápidamente e identificar patrones como llamadas no seguras, controles de acceso incorrectos, riesgos de reentrancia y cambios de estado inesperados.

También puede generar falsos positivos: advertencias que no representan vulnerabilidades explotables en el protocolo completo.

El análisis estático puede generar falsos negativos cuando una debilidad importante es demasiado compleja o depende demasiado del contexto para que el detector la identifique.

Análisis dinámico

El análisis dinámico ejecuta el código del contrato en un entorno controlado y observa el comportamiento resultante.

El escáner puede llamar a funciones con distintas entradas, saldos de cuenta, remitentes, marcas de tiempo y estados de la blockchain.

Este método puede identificar fallos que solo aparecen durante la ejecución del código.

El análisis dinámico está limitado por los escenarios seleccionados para las pruebas.

Un contrato puede comportarse correctamente en miles de transacciones probadas y fallar en una secuencia que no se haya probado.

Las aplicaciones DeFi reales también dependen de otros contratos, precios externos, decisiones de gobernanza y condiciones de mercado que pueden ser difíciles de reproducir por completo.

Pruebas fuzz

Las pruebas fuzz envían numerosas entradas generadas o semialeatorias a un contrato inteligente para buscar errores, cambios de estado inesperados y supuestos que no se cumplen.

Los desarrolladores pueden definir propiedades que siempre deberían cumplirse, como que el total de activos sea igual o superior al total de derechos de los usuarios.

El sistema de pruebas llama repetidamente a las funciones del contrato y comprueba si alguna secuencia generada incumple esas propiedades.

La documentación de Foundry sobre pruebas de invariantes explica cómo probar contratos en distintos estados del protocolo y mediante llamadas repetidas a funciones.

El fuzzing resulta más útil cuando las propiedades probadas describen con precisión el comportamiento económico previsto del protocolo.

Una invariante mal diseñada puede superarse aunque el protocolo contenga una vulnerabilidad grave.

Ejecución simbólica

La ejecución simbólica analiza posibles rutas del programa tratando las entradas de las transacciones como valores simbólicos, en lugar de probar únicamente ejemplos fijos.

Intenta determinar qué condiciones podrían provocar un estado vulnerable, una aserción fallida o una transferencia inesperada.

Este método puede encontrar casos límite difíciles, pero puede requerir muchos recursos informáticos.

El número de rutas posibles puede crecer rápidamente a medida que aumenta la complejidad del contrato.

Las llamadas externas y las interacciones entre numerosos contratos pueden hacer que un análisis simbólico completo resulte inviable.

Verificación del código fuente

Un escáner ofrece mejores resultados cuando el código fuente publicado corresponde al bytecode desplegado en la blockchain.

La verificación del código fuente vuelve a compilar el código presentado y compara el resultado con el bytecode desplegado.

La documentación de Sourcify sobre coincidencias exactas explica que una coincidencia exacta exige que el bytecode desplegado coincida byte a byte con el resultado del compilador, teniendo en cuenta las diferencias de despliegue especificadas.

El código fuente verificado facilita el análisis del contrato a desarrolladores, auditores y escáneres automatizados.

La verificación no demuestra que el código sea seguro, justo o económicamente sostenible.

Un desarrollador malicioso puede publicar código perfectamente verificado que incluya claramente funciones perjudiciales.

Un contrato no verificado genera más incertidumbre porque los usuarios no pueden confirmar fácilmente qué hace el programa desplegado.

Análisis del bytecode desplegado

El bytecode es el código del contrato legible por máquina que ejecuta la blockchain.

Un escáner puede analizar bytecode aunque no esté disponible el código fuente legible para las personas.

El análisis del bytecode puede identificar selectores de funciones, llamadas externas, acceso al almacenamiento, llamadas delegate y patrones de contratos conocidos.

Por lo general, resulta más difícil de entender que el código fuente verificado, ya que pueden faltar nombres, comentarios, estructuras de datos y explicaciones del diseño original.

Puede resultar difícil reconstruir con precisión una lógica empresarial compleja únicamente a partir del bytecode.

Escáneres de tokens

Un escáner de tokens evalúa el contrato inteligente y el comportamiento de mercado de un token de criptomoneda.

Puede comprobar la oferta total y en circulación, los derechos de acuñación, las funciones de quema, la propiedad, la distribución entre titulares, las restricciones de transferencia, las comisiones, las listas negras y la liquidez.

El escáner puede buscar condiciones que permitan a determinadas cuentas transferir tokens mientras los usuarios corrientes no pueden venderlos.

También puede comprobar si un administrador puede cambiar el impuesto de transacción después de que los usuarios compren el token.

Un token que obtiene una puntuación automatizada favorable aún puede perder la mayor parte de su valor debido a una demanda débil, una propiedad concentrada, poca liquidez o una promoción deshonesta.

Comprobaciones de la autoridad de acuñación

La autoridad de acuñación permite que una cuenta o un contrato inteligente cree tokens adicionales.

La acuñación ilimitada puede diluir a los titulares actuales o crear activos que se vendan con la liquidez disponible.

Un escáner puede identificar las funciones que aumentan la oferta y los roles autorizados para ejecutarlas.

La documentación de OpenZeppelin sobre control de acceso explica cómo los contratos inteligentes utilizan la propiedad y los permisos basados en roles para controlar acciones sensibles.

El escáner también debería comprobar si una actualización puede añadir más adelante una nueva función de acuñación.

Un token que no tenga activa ninguna función de acuñación aún puede sufrir dilución a través de bridges, migraciones, representaciones de derivados o contratos de sustitución controlados por administradores.

Comprobaciones de propiedad y administración

Muchos contratos inteligentes tienen un propietario o administrador con permisos especiales.

El administrador puede pausar el protocolo, actualizar el código, cambiar las comisiones, añadir operadores, congelar cuentas o retirar activos.

Estos permisos pueden ayudar a los desarrolladores a responder ante emergencias.

También pueden permitir que una única cuenta comprometida o deshonesta perjudique a los usuarios.

Un escáner puede comprobar si el administrador es una sola cartera, una cuenta multifirma, un contrato de gobernanza o un sistema con timelock.

La exigencia de varias firmas reduce el riesgo de una sola clave, pero no impide la colusión entre firmantes ni que se vean comprometidos de forma coordinada.

Análisis de proxies y capacidad de actualización

Un proxy actualizable almacena los activos o el estado de los usuarios y dirige la ejecución a un contrato de implementación independiente.

La implementación puede sustituirse sin cambiar la dirección principal que utilizan los usuarios.

Este diseño permite a los desarrolladores corregir errores y añadir funciones.

También implica que el código revisado hoy podría no ser el que controle los activos mañana.

Un escáner puede identificar la dirección de implementación, el administrador del proxy, el retraso de actualización, el estado de inicialización y la disposición del almacenamiento.

Las comprobaciones de capacidad de actualización son importantes porque una implementación segura puede sustituirse más adelante por código malicioso o defectuoso.

Análisis del impuesto de transferencia

Un token con impuesto de transferencia deduce una parte de una transferencia, compra o venta.

El escáner puede estimar los impuestos de compra y venta simulando transferencias del token a través de los contratos pertinentes.

Incluso un impuesto moderado puede perjudicar las integraciones que esperan recibir la totalidad del importe transferido.

Un administrador podría tener la capacidad de aumentar el impuesto después de que un usuario compre el token.

Un impuesto cercano al valor total de venta puede hacer que, desde el punto de vista económico, resulte imposible vender el token.

Los resultados de la simulación pueden quedar desactualizados si el impuesto depende de cambios en el estado del contrato o en los ajustes del administrador.

Detección de honeypots

Un token honeypot permite comprar, pero impide que los titulares corrientes vendan correctamente.

El contrato puede bloquear determinados remitentes, limitar las transferencias a cuentas aprobadas, imponer un impuesto de venta extremo o utilizar condiciones ocultas basadas en el estado de la transacción.

Un escáner puede intentar simular una compra y una venta para comprobar si ambas operaciones se completan.

Un contrato puede comportarse con normalidad durante la simulación y activar restricciones más adelante.

Un administrador también puede eximir la dirección de prueba del escáner y bloquear a los usuarios corrientes.

Por tanto, que una venta simulada se complete correctamente es una prueba útil, pero no demuestra de forma permanente que todas las ventas futuras vayan a funcionar.

Análisis de liquidez

Un escáner de liquidez examina cuántas criptomonedas hay disponibles en los pools utilizados para comprar o vender un token.

Puede analizar las reservas de los pools, la profundidad de trading, los swaps recientes, las posiciones de los proveedores de liquidez y quién posee los tokens de liquidez.

Una liquidez profunda suele permitir transacciones de mayor tamaño con un menor impacto en el precio.

Una liquidez declarada elevada puede resultar engañosa si un único administrador puede retirarla de inmediato.

Un escáner puede comprobar si las posiciones de liquidez están bloqueadas, se han quemado, están controladas por una tesorería o se concentran en un número reducido de carteras.

Bloquear la liquidez reduce un riesgo de retirada, pero no impide la acuñación de tokens, los exploits del protocolo, el desplome del precio ni la creación de otro pool.

Análisis de la concentración de titulares

La concentración de titulares mide qué parte de la oferta del token controlan las direcciones más grandes.

Un token muy concentrado puede sufrir una presión vendedora repentina si un titular importante sale del mercado.

Varias carteras podrían pertenecer al mismo titular, por lo que la concentración real podría ser mayor de lo que parece.

Los contratos inteligentes, bridges, tesorerías, pools de liquidez y direcciones de quema deben clasificarse por separado de los titulares corrientes.

Un escáner puede informar sobre la distribución por direcciones, pero quizá desconozca qué direcciones tienen un propietario común.

Escáneres de carteras

Un escáner de carteras revisa una dirección pública de blockchain para analizar sus activos, permisos, interacciones sospechosas y exposición a contratos inteligentes.

Puede enumerar saldos de tokens, posiciones de liquidez, activos en staking, préstamos, garantías, autorizaciones abiertas y transacciones anteriores.

Un escáner de carteras no necesita la clave privada ni la frase de recuperación del usuario para leer datos públicos de la blockchain.

Una herramienta que solicite una frase semilla únicamente para analizar una dirección pública debe considerarse maliciosa.

Conectar una cartera puede facilitar la selección de la dirección correcta, pero el usuario debería revisar todos los permisos que se soliciten durante la conexión.

Análisis de autorizaciones de tokens

Una autorización ERC-20 concede a un tercero permiso para transferir una cantidad determinada de tokens desde la cuenta de un titular.

Un escáner puede consultar las autorizaciones activas e identificar contratos con permisos elevados o ilimitados.

La guía actual de Ethereum para revocar el acceso a tokens advierte de que los permisos ilimitados pueden seguir utilizándose aunque el usuario retire sus activos de la aplicación relacionada.

Desconectar una cartera de un sitio web no elimina las autorizaciones registradas en la blockchain.

Revocar una autorización requiere una nueva transacción blockchain y normalmente conlleva una comisión de red.

La revocación no protege una cartera si ya han robado su clave privada o frase de recuperación.

Análisis de firmas Permit

Una firma Permit puede autorizar el gasto de tokens mediante un mensaje firmado, en lugar de una transacción de aprobación independiente.

El estándar Permit ERC-2612 define cambios de autorizaciones firmados que contienen información como el titular, el tercero autorizado, la cantidad, el nonce y la fecha límite.

Una firma Permit puede existir antes de enviarse on-chain.

Por ello, a los escáneres blockchain corrientes les resulta más difícil detectar permisos firmados que aún no se han utilizado.

Un escáner de carteras puede identificar permisos que ya han cambiado el estado de la blockchain, pero quizá desconozca la existencia de una firma perjudicial que un atacante conserve en privado.

Trasladar los tokens afectados a una cartera limpia puede ser más seguro que esperar a que caduque una firma desconocida.

Análisis de la delegación de cuentas

Las cuentas programables pueden autorizar código que realice acciones en nombre del usuario.

Conforme a EIP-7702, una cuenta Ethereum de propiedad externa puede delegar el comportamiento de ejecución en código de un contrato inteligente.

Una cuenta delegada puede admitir funciones útiles, como agrupar transacciones, pagar comisiones por cuenta de terceros, ofrecer recuperación personalizada y programar permisos.

También puede resultar peligrosa si el código delegado es malicioso o está mal implementado.

Las consideraciones de seguridad de la EIP advierten de que un delegado no seguro puede obtener un control casi completo de la cuenta del firmante.

Los escáneres DeFi modernos deberían identificar si una cuenta tiene código delegado, qué implementación utiliza y si esta se ha revisado.

Los escáneres antiguos, diseñados únicamente para aprobaciones básicas de tokens, pueden no mostrar esta autoridad más amplia a nivel de cuenta.

Escáneres de transacciones

Un escáner de transacciones analiza una transacción blockchain propuesta o ya completada.

Antes de firmarla, puede decodificar la función del contrato, identificar transferencias, enumerar cambios en las autorizaciones y estimar el efecto sobre los saldos.

Después de su ejecución, puede mostrar llamadas internas, movimientos de tokens, eventos, consumo de gas y cambios de estado.

Un escáner de transacciones puede ayudar a detectar solicitudes que transfieren activos en lugar de realizar la acción descrita por un sitio web.

El escáner debería analizar la transacción codificada real, en lugar de confiar en la etiqueta del botón del sitio web.

Simulación de transacciones

La simulación de transacciones ejecuta una acción propuesta sobre una copia o estimación del estado actual de la blockchain.

La simulación puede mostrar qué tokens se prevé que salgan de la cartera y cuáles entren en ella.

También puede revelar nuevas autorizaciones, permisos revocados, delegaciones de smart accounts, llamadas fallidas y el consumo de gas previsto.

La simulación no puede garantizar el resultado final porque el estado de la blockchain puede cambiar antes de que se ejecute la transacción real.

Además, un atacante puede diseñar un comportamiento que dependa del remitente, el número de bloque, un precio externo, una transacción anterior o un ajuste cambiante del administrador.

La simulación debería combinarse con la verificación de contratos y el análisis de permisos.

Firma clara y escáneres DeFi

La firma clara presenta una transacción en un lenguaje que explica con precisión sus efectos antes de que el usuario la apruebe.

La iniciativa de firma clara de la Ethereum Foundation, anunciada en mayo de 2026, destaca que muchas pérdidas importantes culminan cuando un usuario aprueba una transacción cuyos efectos no pueden entenderse a partir de la información mostrada.

Un escáner DeFi puede facilitar la firma clara mediante la decodificación de funciones, cantidades de tokens, destinatarios, autorizaciones y permisos a nivel de cuenta.

Una advertencia legible solo resulta útil si el usuario la revisa atentamente.

Un escáner no puede proteger a un usuario que ignora una transferencia inesperada o aprueba una advertencia sin comprenderla.

Escáneres de protocolos

Un escáner de protocolos evalúa un sistema DeFi completo, en lugar de un contrato aislado.

Un protocolo de préstamos puede depender de varios contratos de activos, módulos de garantías, modelos de tipos de interés, oráculos de precios, sistemas de liquidación, contratos de gobernanza y cuentas de administrador.

Puede que cada componente parezca seguro por separado mientras su comportamiento económico conjunto presenta una debilidad grave.

Un escáner de protocolos puede trazar dependencias e identificar qué componentes controlan fondos o decisiones críticas.

La cartografía automatizada de dependencias resulta útil, pero quizá no revele procesos off-chain no documentados ni infraestructura controlada de forma privada.

Valor total bloqueado

El valor total bloqueado estima las criptomonedas depositadas en un protocolo o una categoría DeFi.

Un escáner puede utilizarlo como indicador de la adopción del protocolo y de su exposición financiera.

Un valor total bloqueado elevado no demuestra que el protocolo sea seguro.

La cifra puede contabilizar activos prestados, tokens de recibo, activos puenteados o el mismo valor económico en varios protocolos conectados.

Las subidas del precio de los tokens pueden elevar el valor declarado sin que se produzcan nuevos depósitos de usuarios.

El valor total bloqueado debería analizarse junto con los pasivos, la liquidez, la concentración de usuarios, los ingresos y la capacidad de retirada.

Análisis de oráculos

Los protocolos DeFi utilizan oráculos para obtener precios y otra información que no existe directamente en sus contratos inteligentes.

Un escáner puede comprobar las fuentes de precios, la frecuencia de actualización, los métodos alternativos, los controles de desviación y la liquidez que respalda un oráculo.

Un oráculo débil puede permitir que un atacante manipule el valor de las garantías, los swaps, las liquidaciones o los límites de préstamo.

El escáner debería analizar si el protocolo depende de un único pool de poca liquidez o de un cálculo de precios más amplio.

La seguridad de un oráculo puede cambiar si se desplaza la liquidez o deja de estar activo un mercado de referencia.

Análisis del riesgo de flash loans

Un flash loan permite pedir prestadas criptomonedas y devolverlas dentro de una única transacción blockchain atómica.

El préstamo en sí es una herramienta financiera neutral.

Un atacante puede utilizar capital temporal para manipular precios, gobernanza, liquidez o contabilidad si existe otra debilidad en el protocolo.

Un escáner puede comprobar si los cálculos importantes pueden alterarse sustancialmente dentro de una sola transacción.

Etiquetar todos los usos de flash loans como maliciosos generaría numerosos falsos avisos.

La cuestión importante es si el capital temporal puede vulnerar los supuestos económicos del protocolo.

Vulnerabilidades de lógica empresarial

Una vulnerabilidad de lógica empresarial se produce cuando se puede abusar del comportamiento financiero previsto de un protocolo aunque las comprobaciones básicas de programación parezcan correctas.

La guía de OWASP sobre vulnerabilidades de lógica empresarial explica que un código válido a bajo nivel aún puede permitir comportamientos económicos no previstos.

Algunos ejemplos son cálculos incorrectos de recompensas, reclamaciones repetidas, contabilidad defectuosa de garantías o interacciones que vulneran los supuestos de los diseñadores.

Los fallos de lógica empresarial son de los más difíciles de detectar con escáneres automatizados, ya que cada protocolo DeFi puede aplicar reglas económicas distintas.

La revisión humana, las especificaciones formales, las pruebas de invariantes y el análisis económico adversarial siguen siendo importantes.

Análisis de reentrancia

La reentrancia se produce cuando una llamada externa permite que otro contrato vuelva a llamar al contrato original antes de que la primera operación haya finalizado de forma segura.

La llamada repetida puede utilizar un saldo desactualizado o un estado todavía incompleto.

Los escáneres pueden buscar llamadas externas que se produzcan antes de actualizaciones de estado importantes.

La reentrancia moderna puede darse entre funciones, contratos, tokens y módulos de protocolo, y no solo mediante una retirada repetida evidente.

Un simple bloqueo de reentrancia no demuestra que todas las dependencias de estado entre contratos sean seguras.

Análisis del control de acceso

Las vulnerabilidades de control de acceso permiten que una dirección no autorizada realice una acción restringida.

Un escáner puede inspeccionar las comprobaciones de propiedad, las asignaciones de roles, las funciones de inicialización, los permisos de actualización y las funciones de emergencia.

La falta de autorización puede permitir acuñaciones, retiradas, actualizaciones o cambios de parámetros no autorizados.

Los contratos proxy inicializados incorrectamente son especialmente peligrosos porque un atacante puede apropiarse del rol de administrador.

Un contrato también puede estar técnicamente restringido mientras el rol autorizado depende de una única clave privada insegura.

Escáneres de precios y mercados

Un escáner de mercados DeFi monitoriza precios de criptomonedas, liquidez, volumen de trading, volatilidad, reservas de pools y actividad de transacciones.

Puede alertar a los usuarios de retiradas repentinas de liquidez, creación inusual de tokens, grandes movimientos de carteras o diferencias extremas de precio.

Los escáneres de mercados pueden ayudar a detectar condiciones que requieren una investigación adicional.

No pueden determinar si cada transferencia grande es una venta, un movimiento interno, una transacción de bridge, un cambio de custodia o una operación del protocolo.

Los datos on-chain deben interpretarse teniendo en cuenta el contexto económico y técnico de la transacción.

Escáneres de bridges

Un escáner de bridges examina sistemas que transfieren o representan criptomonedas entre redes blockchain.

Puede comparar los tokens bloqueados en una red de origen con las representaciones emitidas en una red de destino.

El escáner puede revisar administradores de bridges, validadores, verificación de mensajes, retrasos de retirada, mecanismos de actualización y discrepancias de oferta.

Una proporción de oferta de uno a uno no demuestra que los activos bloqueados sigan siendo recuperables.

La seguridad de un bridge también depende del código del contrato, la integridad de los firmantes, la finalidad de la red y los controles de emergencia.

Escáneres de gobernanza

Un escáner de gobernanza analiza propuestas, poder de voto, delegados, timelocks, contratos de ejecución y permisos de tesorería.

Puede advertir cuando una dirección o un grupo coordinado puede aprobar propuestas sin una participación amplia.

Una propuesta de gobernanza puede cambiar las comisiones del protocolo, las reglas de las garantías, los roles de administrador o las implementaciones de contratos inteligentes.

Una propuesta maliciosa puede parecer inofensiva por su título mientras ejecuta código peligroso.

Antes de votar o confiar en el resumen presentado, hay que decodificar la carga útil completa de la propuesta y sus destinos de ejecución.

Puntuaciones de riesgo

Muchos escáneres DeFi convierten varios hallazgos en una única puntuación de riesgo.

Una puntuación puede facilitar la comprensión rápida de una revisión compleja.

También puede ocultar diferencias importantes entre riesgos técnicos, económicos, de gobernanza, de liquidez y de cartera.

Dos tokens pueden recibir la misma puntuación aunque uno tenga poca liquidez y el otro conceda peligrosos permisos de administrador.

Los usuarios deberían consultar los hallazgos individuales en lugar de confiar únicamente en una etiqueta verde, amarilla o roja.

Una puntuación numérica de riesgo baja no debe interpretarse como la probabilidad de que el usuario evite pérdidas.

Falsos positivos

Un falso positivo se produce cuando un escáner señala un problema que no puede explotarse teniendo en cuenta el diseño completo del protocolo.

Una llamada externa puede parecer peligrosa aunque otro control haga imposible la reentrancia.

Una función de administrador puede parecer centralizada aunque un timelock prolongado y una gobernanza distribuida proporcionen una protección significativa.

Los falsos positivos pueden hacer perder tiempo a los desarrolladores, pero no deberían descartarse sin investigar.

Una advertencia debe revisarse en el contexto del sistema completo.

Falsos negativos

Un falso negativo se produce cuando el escáner no identifica una vulnerabilidad real.

La ausencia de una advertencia puede deberse a código fuente incompleto, funciones de lenguaje no compatibles, un diseño de contrato inusual o un ataque de reciente creación.

Los exploits económicos suelen requerir varios protocolos y condiciones de mercado que un escáner aislado de código no modela.

Un análisis sin alertas solo significa que el escáner no ha encontrado problemas dentro de su ámbito de detección.

No significa que no existan problemas.

Riesgo de instantánea

Un análisis DeFi suele evaluar la blockchain y el software en un momento concreto.

Más adelante, los administradores del protocolo pueden actualizar contratos, cambiar comisiones, sustituir oráculos, añadir garantías o conceder nuevos roles.

La liquidez y la concentración de titulares también pueden cambiar rápidamente.

Los usuarios deberían comprobar cuándo se realizó el análisis y si la implementación analizada sigue activa.

La monitorización continua resulta más útil que depender indefinidamente de un informe antiguo.

Escáner frente a auditoría de contratos inteligentes

Un escáner DeFi realiza análisis automatizados o semiautomatizados.

Una auditoría de contratos inteligentes implica que especialistas humanos en seguridad revisen el código, la arquitectura, los supuestos y los resultados de las pruebas.

Los escáneres pueden procesar patrones conocidos con rapidez y de forma coherente.

Los auditores pueden razonar sobre la lógica empresarial específica del protocolo y las interacciones que quizá pasen por alto las reglas automatizadas.

Una auditoría tampoco puede garantizar que el protocolo sea seguro.

El código auditado puede diferir del código desplegado, y las actualizaciones posteriores pueden introducir nuevas debilidades.

Los programas de seguridad sólidos combinan escáneres automatizados, auditorías humanas, pruebas, métodos formales, monitorización y planes de respuesta a incidentes.

Escáner frente a explorador de blockchain

Un explorador de blockchain organiza información pública, como direcciones, bloques, transacciones, tokens y eventos de contratos.

Un escáner DeFi interpreta esos datos e intenta identificar riesgos o patrones inusuales.

Un explorador puede mostrar que un administrador ha cambiado una comisión, mientras que un escáner puede clasificar el cambio como una advertencia.

Ambas herramientas dependen de que los datos de la blockchain sean precisos.

La interpretación del escáner puede ser incorrecta aunque la información subyacente de la transacción sea correcta.

Escáner frente a rastreador de cartera

Un rastreador de cartera estima los saldos y las posiciones de una cartera en distintos activos y protocolos.

Un escáner DeFi se centra en riesgos técnicos, de permisos, de mercado o de fraude.

Una misma interfaz puede incluir funciones de cartera y de análisis.

El valor de cartera que se muestra no demuestra que el activo pueda venderse o retirarse por ese importe.

Los tokens sin valor o manipulados pueden generar valoraciones engañosas de la cartera.

Cómo utilizar un escáner DeFi de forma segura

Accede al escáner desde una fuente oficial verificada.

Si no es necesario conectar una cartera, introduce manualmente una dirección pública de cartera o contrato.

Confirma la red blockchain, ya que puede haber direcciones y tokens de aspecto idéntico en varias redes.

Revisa los hallazgos individuales en lugar de aceptar únicamente la puntuación general.

Compara la dirección del contrato del escáner con la que figura en la documentación oficial del protocolo.

Comprueba si el contrato analizado es un proxy y si la implementación ha cambiado.

Para transacciones de gran valor, utiliza un segundo método de análisis.

No reveles nunca una frase de recuperación ni una clave privada a un escáner.

Cómo analizar un token DeFi

Confirma la blockchain exacta del token y la dirección de su contrato.

Comprueba si el código fuente está verificado y si coincide con el bytecode desplegado.

Revisa las funciones de acuñación, quema, pausa, lista negra, imposición de impuestos, propiedad y actualización.

Inspecciona a los titulares principales y clasifica correctamente los pools de liquidez, las tesorerías, los bridges y las direcciones de quema.

Examina la profundidad de liquidez y si una sola parte puede retirar la mayor parte.

Cuando sea posible, simula tanto una compra como una venta.

Comprueba si los administradores pueden cambiar las condiciones de transferencia después del análisis.

Investiga la utilidad y la demanda reales, porque un token que puede venderse técnicamente aún puede carecer de valor económico.

Cómo analizar una cartera

Revisa las autorizaciones de tokens en todas las blockchains utilizadas por la cartera.

Identifica las autorizaciones ilimitadas y los contratos que ya no sean necesarios.

Además de las autorizaciones ordinarias de tokens, comprueba las delegaciones a nivel de cuenta y los permisos de smart wallets.

Revisa las firmas y transacciones recientes para detectar terceros autorizados o destinatarios inesperados.

Examina las posiciones de garantías, préstamos, bridges y tokens de recibo de staking para identificar dependencias de protocolos.

No des por segura una cartera sin transferencias sospechosas si todavía no se ha utilizado una frase semilla robada.

Cómo analizar un protocolo DeFi

Identifica todos los contratos que controlan depósitos, retiradas, precios, gobernanza, actualizaciones y activos de tesorería.

Verifica la implementación actual de cada proxy.

Revisa auditorías, código fuente, pruebas, informes de errores e incidentes de seguridad.

Examina el diseño de los oráculos, los límites de garantías, la lógica de liquidación, las comisiones, la capacidad de retirada y los controles de emergencia.

Comprueba si el protocolo depende de bridges, tokens de recibo externos o la liquidez de otro protocolo.

Analiza la concentración de poder entre administradores y en la gobernanza.

Compara los pasivos con los activos que los usuarios pueden retirar realmente.

Señales de alerta habituales en los escáneres DeFi

El código fuente no verificado genera una incertidumbre considerable.

Un proxy sin inicializar puede permitir que un atacante se apropie del control privilegiado.

La autoridad de acuñación ilimitada puede diluir rápidamente a los titulares.

Un impuesto de venta ajustable puede impedir que los usuarios salgan de la posición.

Que un solo administrador controle las actualizaciones y las retiradas de tesorería concentra el riesgo de claves.

La escasa liquidez hace que el precio mostrado no sea fiable para transacciones grandes.

Un oráculo de precios que utiliza un único pool fácil de manipular puede generar riesgo de liquidación.

Las autorizaciones ilimitadas de carteras siguen siendo peligrosas después de cerrar la posición DeFi original.

Una delegación EIP-7702 no reconocida puede exponer la cuenta completa, no solo un token.

Un informe automatizado sin incidencias que no incluya código verificado ni una metodología documentada no debería generar confianza.

¿Puede un escáner DeFi detectar todas las estafas?

Ningún escáner DeFi puede detectar todas las estafas.

Una estafa puede basarse en ingeniería social y no en código malicioso de contratos inteligentes.

Un sitio web o una cuenta de administrador legítimos pueden verse comprometidos después del análisis.

Los desarrolladores pueden actuar de forma honesta al lanzar el proyecto y abusar más adelante de sus permisos de actualización.

La manipulación del mercado y la propiedad coordinada de carteras pueden ser difíciles de identificar únicamente a partir de datos públicos.

Un escáner puede reducir la incertidumbre, pero no eliminarla.

Riesgos de phishing relacionados con los escáneres DeFi

Los estafadores pueden copiar una interfaz de análisis popular y anunciarla como una comprobación gratuita de la seguridad de carteras.

La herramienta falsa puede pedir al usuario que conecte una cartera y firme una autorización maliciosa.

Puede afirmar que los activos corren un peligro inmediato y que deben transferirse a una dirección segura.

La guía de CISA sobre phishing recomienda actuar con cautela ante solicitudes urgentes, enlaces inesperados y peticiones de información confidencial.

Se puede analizar una dirección pública sin revelar su clave privada.

Ningún análisis de seguridad legítimo requiere una frase semilla.

Qué hacer si un escáner detecta una autorización peligrosa

Confirma la dirección del tercero autorizado y la autorización en la blockchain correcta.

Utiliza un método fiable para reducir a cero la autorización si ya no es necesaria.

Comprueba que la transacción de revocación se haya confirmado correctamente.

Revisa otras autorizaciones de tokens, ya que un mismo sitio web malicioso puede haber solicitado varios permisos.

Traslada los activos a una cartera nueva si es posible que se hayan comprometido la clave privada, la frase semilla o una delegación amplia de la cuenta.

Conserva los hashes de las transacciones y las capturas de pantalla si puede haberse producido un fraude.

Ventajas de un escáner DeFi

Un escáner puede analizar rápidamente grandes cantidades de datos de contratos y blockchain.

Puede facilitar que usuarios sin conocimientos técnicos detecten riesgos complejos.

La monitorización automatizada puede identificar actualizaciones de contratos, cambios de permisos, transacciones inusuales y movimientos de liquidez.

Los desarrolladores pueden utilizar escáneres durante el desarrollo y antes del despliegue.

Los usuarios de carteras pueden revisar autorizaciones antiguas y su exposición a protocolos.

Las metodologías abiertas y los hallazgos reproducibles pueden facilitar la verificación independiente.

Limitaciones de un escáner DeFi

Un escáner puede producir falsos positivos y falsos negativos.

Puede no comprender la lógica empresarial particular de un protocolo.

Los resultados pueden quedar desactualizados tras actualizaciones, decisiones de gobernanza o cambios de liquidez.

Las puntuaciones de riesgo pueden simplificar en exceso problemas muy distintos.

Las firmas privadas y las frases semilla robadas pueden no ser visibles on-chain antes de un ataque.

El código fuente no verificado limita la precisión del análisis.

Un escáner no puede garantizar la demanda de inversión, la rentabilidad, la liquidez ni una gestión honesta.

Los usuarios siguen siendo responsables de comprender y aprobar sus transacciones blockchain.

Preguntas frecuentes

¿Qué es un escáner DeFi, explicado de forma sencilla?

Un escáner DeFi es una herramienta que examina contratos, tokens, carteras, transacciones y protocolos de criptomonedas para detectar posibles riesgos.

¿Un escáner DeFi es una blockchain?

No. Es una herramienta de análisis que lee información de una o varias blockchains.

¿Un escáner DeFi es una cartera?

No, aunque una cartera puede incluir funciones de análisis y simulación de transacciones.

¿Un escáner DeFi necesita mi frase semilla?

Ningún escáner legítimo necesita una frase semilla para analizar datos públicos de la blockchain.

¿Tengo que conectar mi cartera?

No siempre, ya que muchos análisis pueden realizarse introduciendo una dirección pública.

¿Es seguro conectar una cartera a un escáner?

Puede serlo si la herramienta es auténtica y solo solicita una conexión básica, pero hay que revisar todas las firmas o transacciones posteriores.

¿Puede un escáner mover mis criptomonedas?

Un escáner no puede mover fondos simplemente leyendo una dirección pública, pero una herramienta maliciosa puede solicitar una transacción o una autorización de gasto.

¿Puede un escáner DeFi detectar un token fraudulento?

Puede detectar señales de alerta, pero no demostrar que todos los tokens no señalados sean legítimos.

¿Puede un escáner detectar un honeypot?

Puede simular compras y ventas, aunque un contrato puede cambiar de comportamiento o tratar de forma distinta las direcciones de prueba.

¿Puede un escáner detectar un rug pull?

Puede identificar liquidez retirable, concentración de propiedad o permisos peligrosos de administrador, pero no predecir todas las decisiones futuras.

¿Qué es un análisis de contrato inteligente?

Es un análisis automatizado o semiautomatizado del código, el bytecode, los permisos y el comportamiento de un contrato.

¿Qué es el análisis estático?

El análisis estático examina el código sin ejecutarlo sobre el estado de una blockchain activa.

¿Qué es el análisis dinámico?

El análisis dinámico ejecuta el código en escenarios controlados y observa su comportamiento.

¿Qué son las pruebas fuzz?

Las pruebas fuzz utilizan numerosas entradas y secuencias de transacciones generadas para buscar comportamientos inesperados.

¿Qué es la simulación de transacciones?

La simulación de transacciones estima cómo podrían cambiar los saldos, los permisos y el estado de los contratos si se ejecutara una transacción propuesta.

¿La simulación de transacciones garantiza el resultado?

No. El estado real de la blockchain puede cambiar antes de que se procese la transacción.

¿Qué es la verificación del código fuente?

Compara el código fuente compilado con el bytecode desplegado en la blockchain para confirmar que se corresponden.

¿El código fuente verificado significa que un contrato es seguro?

No. El código verificado aún puede contener vulnerabilidades o funciones deliberadamente perjudiciales.

¿Puede ser seguro un contrato no verificado?

Podría serlo, pero la falta de código fuente verificable dificulta su revisión independiente.

¿Qué es una puntuación de riesgo DeFi?

Es una valoración simplificada que combina varios hallazgos técnicos, de mercado o de permisos.

¿Una puntuación de seguridad alta garantiza que no perderé dinero?

No. Una puntuación no puede garantizar la seguridad, la liquidez, la demanda, la rentabilidad ni una gestión honesta.

¿Qué es un falso positivo?

Es una advertencia del escáner que no representa un problema explotable en el sistema completo.

¿Qué es un falso negativo?

Se produce cuando no se detecta una vulnerabilidad real.

¿Puede un escáner detectar la acuñación ilimitada?

Puede identificar funciones de acuñación y roles autorizados cuando el código y los permisos pertinentes son visibles.

¿Puede un escáner detectar impuestos ajustables de tokens?

Puede identificar funciones que cambian las comisiones, pero quizá no pueda predecir cuándo o cómo las utilizará un administrador.

¿Puede un escáner detectar la liquidez de un token?

Puede medir las reservas visibles de los pools y la profundidad de mercado en el momento del análisis.

¿Bloquear la liquidez hace que un token sea seguro?

No. Bloquear la liquidez no impide la acuñación, los exploits de contratos, las restricciones de transferencia, la demanda débil ni el desplome del precio.

¿Qué es la concentración de titulares?

Mide qué parte de la oferta controlan las direcciones más grandes.

¿Puede una persona controlar varias carteras?

Sí. Por eso, la distribución por direcciones puede subestimar la concentración real de la propiedad.

¿Puede un escáner detectar autorizaciones de tokens?

Puede consultar las autorizaciones on-chain activas de los tokens y las redes compatibles.

¿Puede un escáner ver un permiso sin firmar o privado?

No. Una firma conservada en privado puede seguir siendo invisible hasta que se envíe o se revele de otro modo.

¿Desconectar una cartera revoca las autorizaciones?

No. Las autorizaciones de tokens permanecen on-chain hasta que se revocan, se utilizan o finalizan conforme a sus reglas específicas.

¿Qué es un análisis de delegación EIP-7702?

Comprueba si una cuenta Ethereum ha delegado su comportamiento a código de un contrato inteligente e identifica la implementación correspondiente.

¿Por qué es importante la delegación de cuentas?

El código delegado puede tener una autoridad más amplia que la autorización de un único token y realizar transferencias, aprobaciones o interacciones con aplicaciones en nombre de la cuenta.

¿Puede un escáner analizar un proxy actualizable?

Puede identificar estructuras de proxy conocidas y sus implementaciones actuales, pero las actualizaciones posteriores pueden cambiar el resultado.

¿Puede un escáner sustituir una auditoría de contratos inteligentes?

No. El análisis automatizado y la auditoría humana ofrecen tipos distintos de análisis y deberían utilizarse conjuntamente.

¿Una auditoría garantiza que un protocolo sea seguro?

No. Las auditorías tienen un alcance limitado, pueden pasar por alto problemas o quedar desactualizadas tras cambios en el código.

¿Puede un escáner detectar la manipulación de oráculos?

Puede identificar fuentes de precios débiles y probar escenarios de manipulación, pero no predecir todas las condiciones futuras del mercado.

¿Puede un escáner detectar ataques con flash loans?

Puede comprobar si el capital temporal vulnera supuestos conocidos del protocolo, pero un flash loan no constituye por sí solo una vulnerabilidad.

¿Qué es el riesgo de lógica empresarial?

Es el riesgo de que se utilice código válido de una manera no prevista que infrinja las reglas financieras del protocolo.

¿Puede un escáner analizar bridges cross-chain?

Puede comparar la oferta, los contratos, los firmantes, los mensajes y el respaldo, aunque está limitado por los procesos off-chain ocultos.

¿Puede un escáner DeFi detectar el phishing?

Puede advertir sobre dominios o transacciones maliciosos conocidos, pero pueden aparecer nuevos sitios de phishing antes de que se actualicen las bases de datos de advertencias.

¿Qué debería hacer si un análisis muestra una advertencia?

Lee el hallazgo individual, verifica el contrato y los datos de forma independiente y evita la transacción si no comprendes el riesgo.

¿Con qué frecuencia debería analizar mi cartera?

Los permisos de la cartera deberían revisarse periódicamente y después de utilizar protocolos desconocidos o firmar solicitudes inusuales.

¿Debería utilizar más de un escáner?

Utilizar métodos de análisis distintos puede revelar hallazgos que una sola herramienta pase por alto.

¿Qué debería comprobar antes de confiar en un escáner?

Comprueba su fuente oficial, metodología, redes compatibles, actualidad de los datos, direcciones de contratos, permisos y limitaciones.

¿Cuál es la mayor limitación de un escáner DeFi?

No puede comprender todos los ataques futuros, las decisiones humanas, las interacciones económicas ni los compromisos privados.

Conclusión

Un escáner DeFi es una herramienta de análisis de criptomonedas que examina contratos inteligentes, tokens, carteras, transacciones, liquidez, gobernanza y dependencias de protocolos para detectar posibles riesgos.

Los distintos escáneres se centran en vulnerabilidades de código, comportamiento de tokens, permisos de carteras, efectos de transacciones, condiciones de mercado o sistemas cross-chain.

El análisis estático, el análisis dinámico, las pruebas fuzz, la ejecución simbólica, la verificación del código fuente y la simulación de transacciones aportan distintos tipos de pruebas.

Ningún método por sí solo puede identificar todas las debilidades técnicas o económicas.

El código fuente verificado mejora la transparencia, pero no demuestra que un contrato sea seguro.

Los escáneres de tokens pueden identificar facultades de acuñación, impuestos ajustables, restricciones de transferencia, concentración de titulares y poca liquidez.

Los escáneres de carteras pueden revelar autorizaciones y delegaciones on-chain, pero quizá no detecten frases de recuperación robadas ni firmas privadas antes de un ataque.

Los escáneres modernos deberían evaluar los permisos a nivel de cuenta, como la delegación EIP-7702, además de las autorizaciones ordinarias de tokens.

Las puntuaciones de riesgo son resúmenes útiles, pero los usuarios deberían leer los hallazgos individuales y comprender la metodología del escáner.

Un análisis favorable no garantiza que una criptomoneda conserve su demanda, liquidez, seguridad o valor de mercado.

Los escáneres DeFi son más eficaces cuando se combinan con auditorías independientes, contratos verificados, firma clara, autorizaciones limitadas, investigación del protocolo y un tamaño de posición prudente.

La decisión más segura es rechazar cualquier transacción, contrato o token cuyos permisos y consecuencias financieras no se puedan comprender con claridad.