O que significa de verdade "o protocolo passou por auditoria"

"Passou por auditoria" é o principal carimbo tranquilizante do DeFi. A lista de protocolos "auditados" hackeados, no entanto, ocupa páginas. Vamos ver o que a auditoria realmente é.

O que o auditor faz

Uma equipe lê o código num tempo limitado contra classes conhecidas de vulnerabilidades e escreve um relatório: achados críticos/altos/médios e a resposta da equipe. Isso reduz a probabilidade de erros conhecidos - e só.

O que a auditoria NÃO cobre

• O código depois da auditoria: um "fix pequeno" depois do relatório - e você está de novo num contrato não auditado. Verifique se o bytecode implantado bate com o commit auditado.
• Os ataques econômicos: manipulações de oráculos, espirais tokenômicas, capturas de governança - quase sempre fora do escopo.
• A operação: chaves, multisigs, phishing da equipe - a auditoria de código se cala sobre o principal vetor dos roubos modernos.
• As dependências: o protocolo está limpo, mas o oráculo/ponte/token na integração não.

Como ler o sinal

A hierarquia de confiança: várias auditorias de firmas diferentes sobre o código fresco + um bug bounty vivo com teto sério + meses de operação sob TVL > uma auditoria "que existiu em algum lugar" > o selo audited sem link para o relatório (= nada). E leia os próprios relatórios: a quantidade de achados críticos e a reação da equipe dizem mais sobre a cultura que o fato da auditoria. Nossas análises de protocolos - na seção DeFi.