Cómo Verificar un Contrato Inteligente Onchain: Paso a Paso 2026
— By Whatsertrade in Tutorials
Aprenda cómo verificar un contrato inteligente en Etherscan, BSCScan y Solscan paso a paso. Código fuente, detección de proxy, propiedad y controles de auditoría para 2026.
Lista de verificación de seguridad: Antes de intercambiar, aprobar o realizar un puente hacia cualquier token nuevo, verifique el contrato en cadena. Esta guía recorre Etherscan, BscScan y Solscan con las comprobaciones exactas que detectan funciones mint ocultas, trampas de proxy y señales de alerta de propiedad. Si solo tiene cinco minutos, siga los pasos de la sección de tutorial.
Los contratos inteligentes hacen funcionar el dinero. La firma de una billetera es una instrucción de estilo legal entregada al código, por lo que leer lo que hace ese código no es opcional. La buena noticia: los tres exploradores más importantes exponen casi todo lo que necesita y el flujo de trabajo se repite en las cadenas una vez que aprende el patrón.
Por qué es importante la verificación del contrato antes de comprar
Un token en un DEX es solo una dirección de contrato. El ticker, el logo y Telegram son marketing. El contrato es la única fuente de verdad y controla si se puede vender, qué tarifas se aplican, si se pueden acuñar nuevos suministros y qué billetera puede pausar todo.
La verificación responde dos preguntas. El de procedimiento: ¿el implementador publicó la fuente que se compila en el código de bytes implementado? La editorial: ¿el código publicado es algo con lo que usted estaría de acuerdo? Necesitas ambos. Un contrato puede verificarse y aun así ser malicioso por diseño.
Código fuente verificado por Etherscan: lo que realmente significa la marca verde
Abra Etherscan, pegue la dirección del contrato y haga clic en la pestaña Contrato. Una marca verde junto a Contrato significa que Etherscan compiló el Solidity público y confirmó que el código de bytes coincide con el implementado en la red principal.
La verificación es necesaria pero no suficiente. Sólo prueba que el código que está a punto de leer es el código que se ejecuta. No dice nada sobre si el código es justo.
Dentro de la pestaña Contrato encontrará subpestañas para Código, Leer contrato y Escribir contrato. El código muestra la solidez. Leer listas ver funciones consultables sin gas. Escribir enumera funciones de cambio de estado a las que puede llamar a través de su billetera. Juntos describen toda la superficie del contrato.
Lectura de la fuente del contrato: funciones de constructor, ceca, propietario y tarifa
No estás auditando línea por línea. Estás buscando las cinco cosas que deciden si el token es justo. Utilice la búsqueda dentro de la pestaña Código para estas palabras clave.
Detección de contratos de proxy y ranuras de almacenamiento EIP-1967
Muchos tokens modernos son contratos de proxy. La dirección con la que interactúa delega llamadas a una implementación separada que un administrador puede intercambiar. No se garantiza que la lógica que lea hoy sea la lógica que se ejecutará mañana.
Etherscan marca esto directamente. En la pestaña Contrato busque un cartel que diga Este contrato es un proxy. Etherscan lee la ranura de almacenamiento EIP-1967 en 0x360894a13ba1a3210667c828492db98dca3e2076cc3735a920a3ca505d382bbc para encontrar la dirección de implementación.
Cuando veas un proxy, haz dos cosas adicionales. Lea la fuente del contrato de implementación en lugar del proxy en sí, ya que el proxy es principalmente lógica delegada. Luego verifique la ranura de administración en 0xb53127684a568b3173ae13b9f8a6016e243e63b6e8ee1178d6a717850b5d6103 para identificar la billetera de actualización. El administrador renunciado o sin dirección es el más seguro. Multifirma es aceptable. Una nueva EOA es una señal de alerta.
Nuestro guía de contrato de apoderado cubre en profundidad los proxies transparentes versus UUPS.
Flujo de trabajo BscScan: superficie similar, entorno más ocupado
BscScan refleja Etherscan porque ambos están construidos por el mismo equipo. La pestaña Contrato, las subpestañas Leer y Escribir, la marca verde y el detector de proxy se comportan de la misma manera. La cadena es diferente; el flujo de trabajo de verificación es idéntico.
Lo que cambia en BNB Chain es la velocidad del entorno. Los listados son más rápidos, los tokens de imitación son más comunes y los contratos de bajo esfuerzo son más altos. Espere alejarse de más controles BscScan que controles Etherscan. La barra es la misma. La tasa de aciertos es diferente.
Si ya usa Etherscan con confianza, BscScan es el mismo manual. Nuestro Tutorial de BscScan cubre los detalles de la cadena BNB, incluidas las peculiaridades de BEP-20 y las trampas de imitación más comunes.
Verificación de contratos Solscan y Solana: un paradigma diferente
Solana no utiliza Solidity y no almacena el estado de la cuenta dentro de un contrato. Los programas se compilan en el código de bytes BPF y los saldos de los usuarios se encuentran en cuentas simbólicas propiedad del programa SPL Token. Eso cambia lo que significa la verificación en Solscan.
No puedes leer la fuente de Solidity porque no la hay. En su lugar, verifica tres cosas: si el programa se puede actualizar y quién controla las actualizaciones, cuál es la autoridad de acuñación en la cuenta simbólica y si todavía existe una autoridad de congelación.
Solscan expone los cuatro en la página del token. Nulo en los campos de autoridad más una distribución saludable significa que el token es estructuralmente más seguro. Cualquier autoridad que siga activa en una memecoin sin justificación es una pregunta que vale la pena responder antes de evaluarla.
Señales de alerta comunes: mentas ocultas, listas negras y tarifas de transferencia
La mayoría de las alfombras no requieren nuevos exploits. Reutilizan los mismos patrones. Reconocerlos en el explorador es la mayor parte de la defensa.
Una sola bandera roja no siempre es descalificante. Una combinación suele serlo. La menta activa más tarifas ajustables más un nuevo propietario de EOA es la configuración clásica de honeypot.
Herramientas que automatizan las comprobaciones: TokenSniffer, GoPlus, DEXTools audit
La lectura manual del explorador es el estándar de oro. Las herramientas automatizadas son el filtro rápido que detecta problemas obvios antes de dedicar tiempo a un contrato.
Flujo de trabajo más rápido: comience con la auditoría de DEXTools en el par, escale al explorador si algo es amarillo, verifique con TokenSniffer o RugCheck. Tres señales de tres fuentes son suficientes para actuar.
Tutorial paso a paso: verificar un token en cinco minutos
Secuencia exacta antes de cualquier intercambio de token nuevo.
Si pasa cada paso no ha demostrado que el token sea seguro; ha demostrado que no está obviamente manipulado, lo cual es una barra más alta que la que la mayoría de los operadores superan antes de hacer clic en intercambiar. Combina esto con nuestro lista de verificación de seguridad de la billetera para eliminar la mayoría de los vectores de pérdida.
Después del intercambio: revocar aprobaciones y estar atento a las actualizaciones
La verificación al ingresar es la mitad del trabajo. Después de operar, normalmente deja una aprobación simbólica. Esa aprobación es un permiso permanente para que el contrato gaste ese token, y si el contrato se actualiza posteriormente con lógica maliciosa, los fondos pueden agotarse sin una nueva firma.
La higiene de aprobación es parte del flujo de trabajo. Nuestro tutorial sobre revocar aprobaciones de tokens cubre herramientas y cadencia. Emparejar con Protección MEV para dimensionar tokens volátiles.
Preguntas frecuentes
La verificación demuestra que el código de bytes implementado coincide con la fuente de Solidity que publicó el implementador. No prueba que el código sea justo, seguro o esté alineado con el marketing del proyecto. Aún tienes que leer la fuente para funciones riesgosas.
Sí, fácilmente. Muchos honeypots se verifican porque el implementador quiere el cheque verde de credibilidad. El comportamiento malicioso está escrito de forma transparente en funciones como setFee o pausaTransfers y está controlado por el propietario.
Un proxy delega llamadas a un contrato de implementación independiente que un administrador puede intercambiar. Si el administrador es una billetera única, toda la lógica del token se puede reemplazar después del lanzamiento. Siempre verifique la ranura de administrador y prefiera administradores multifirma o renunciados.
Los programas Solana se compilan en BPF en lugar de Solidity, por lo que no hay código fuente para leer directamente. Solscan se centra en el estado de la autoridad, la distribución del titular y la capacidad de actualización del programa en lugar de la verificación de la fuente.
Son direcciones de ranura estandarizadas donde los servidores proxy almacenan los punteros de implementación y administración. Etherscan lee la ranura 0x36089...d382bbc para la implementación y 0xb53127...0b5d6103 para que el administrador muestre información del proxy.
No automáticamente. Las monedas estables, los tokens de gobernanza y las recompensas de apuestas necesitan legítimamente ser acuñados. La pregunta es quién lo controla y si el diseño del proyecto justifica mantener activo ese poder.
Un token que puedes comprar pero no vender. El bloqueo de ventas generalmente se implementa mediante tarifas de transferencia cercanas al 100%, una lista negra dirigida a los vendedores o un gancho de transferencia que se revierte. Las simulaciones de capacidad de venta captan la mayoría de estos.
Elimina una clase de riesgo, pero no elimina los poderes, las tarifas inmutables ni las billeteras prefinanciadas. La renuncia es positiva pero aún falta leer el código que se ejecuta cuando nadie lo controla.
En Etherscan o BscScan, abra la página del token LP y observe los principales poseedores. La liquidez bloqueada se encuentra en un contrato de casillero conocido como Unicrypt o Team.Finance. La liquidez quemada se encuentra en la dirección cero.
Para mostrar las comprobaciones de verificación más comunes sin salir del gráfico. Obtiene la verificación del contrato, la propiedad, la vendibilidad, los impuestos sobre las tarifas y el estado de bloqueo de liquidez para que los operadores puedan dimensionar las posiciones con esa información ya cargada.
Para posiciones pequeñas y tokens conocidos, sí. Para nuevos lanzamientos y tamaño significativo, no. Los escáneres detectan plantillas y patrones obvios. Las estafas personalizadas que pasan por plantillas requieren una inspección humana de la fuente.
Fuente verificada más un patrón de propiedad limpio. Si faltan esos dos, nada más importa. Si ambos están presentes, el resto de las comprobaciones tienen que ver con valorar el riesgo residual en lugar de preguntar si es necesario participar o no.