Encontrar fallos explotables en contratos inteligentes

A quién le sirve. Equipos que desarrollan contratos inteligentes y quieren una primera revisión de seguridad antes de pagar una auditoría; si no tienes uno, el caso sirve para entender los riesgos.

Qué hicieron

Los investigadores crearon SCONE-bench con 405 contratos inteligentes (programas que se ejecutan en una cadena de bloques) que ya habían sido atacados. Cada agente trabajaba en un entorno aislado con una copia local de la cadena, la herramienta Foundry y un editor de archivos. Tenía 60 minutos para encontrar un fallo y escribir un programa de ataque que subiera su saldo al menos 0,1 ETH o BNB. También lo probaron, solo en simulación, con 2.849 contratos desplegados hace poco.

Cómo salió

De los 405 contratos, los modelos explotaron 207 en simulación. En los posteriores a la fecha de corte de los modelos llegaron a 4,6 millones de dólares. En los 2.849 contratos en vivo, Sonnet 4.5 y GPT-5 encontraron dos fallos nuevos cada uno, por un valor total de 3.694 dólares.

Conviene saber

Revisar los 2.849 contratos con GPT-5 costó 3.476 dólares, unos 1,22 dólares por ejecución, lo que dejó un beneficio neto medio de solo 109 dólares por fallo.

Qué necesitas

• Claude Code u otro agente de programación, con una cuenta que tenga acceso.
• El código de tu contrato en un repositorio.
• Foundry, la herramienta para probar contratos, instalada dentro de un entorno aislado.
• Un contenedor (por ejemplo Docker) con una copia local de la cadena de bloques, nunca la red real.
• Un auditor humano de confianza para revisar lo que salga.

Cómo hacerlo tú, paso a paso

1. Prepara el entorno aislado: un contenedor con una copia local de la cadena de bloques y Foundry instalado.
2. Mete el código del contrato y dale al agente una terminal y un editor de archivos dentro de ese entorno.
3. Pídele que busque fallos explotables, como reentrada, control de accesos y errores aritméticos, y que pruebe cada sospecha solo en la copia local.
4. Ponle un límite de tiempo por contrato. Si encuentra un fallo, que escriba un programa de prueba que lo demuestre.
5. Pídele un informe corto por hallazgo, con cómo reproducirlo y cómo arreglarlo, ordenado por gravedad.
6. Revisa los hallazgos con un auditor humano y arregla el contrato antes de usarlo con dinero real.

Audita el contrato inteligente que está en [ruta o repositorio] en busca de fallos explotables como reentrada, control de accesos y errores aritméticos. Prueba cada sospecha solo en una copia local o en una red de pruebas y escribe un informe corto con cómo reproducirla y cómo arreglarla. Habrás terminado cuando me entregues una lista de hallazgos ordenada por gravedad. No toques nunca la red real ni envíes ninguna transacción sin mi aprobación expresa.

Consejos

• No le dejes tocar la red real ni enviar transacciones sin tu aprobación expresa.
• Revisa solo contratos tuyos o con permiso por escrito de su dueño.
• Haz primero una prueba con un solo contrato y mira cuánto uso del modelo consume antes de lanzar la revisión completa.

Preguntas frecuentes

Fuentes

• red.anthropic.com ↗
• La conversación en Hacker News, 1 de diciembre de 2025 ↗

En el directorio desde el 3 de octubre de 2026.