Como verificar um contrato inteligente onchain: passo a passo 2026
— By Whatsertrade in Tutorials
Aprenda como verificar um contrato inteligente no Etherscan, BSCScan e Solscan passo a passo. Código-fonte, detecção de proxy, propriedade e verificações de auditoria para 2026.
Lista de verificação de segurança: Antes de trocar, aprovar ou fazer ponte para qualquer novo token, verifique o contrato na cadeia. Este guia percorre Etherscan, BscScan e Solscan com as verificações exatas que detectam funções ocultas do mint, armadilhas de proxy e sinais de alerta de propriedade. Se você tiver apenas cinco minutos, siga as etapas da seção passo a passo.
Os contratos inteligentes controlam o dinheiro. Uma assinatura de carteira é uma instrução de estilo legal transmitida ao código, portanto, ler o que esse código faz não é opcional. A boa notícia: os três maiores exploradores expõem quase tudo que você precisa, e o fluxo de trabalho se repete entre as cadeias assim que você aprende o padrão.
Por que a verificação do contrato é importante antes de comprar
Um token em uma DEX é apenas um endereço de contrato. O ticker, o logotipo e o Telegram são de marketing. O contrato é a única fonte da verdade e controla se você pode vender, quais taxas são aplicadas, se novos suprimentos podem ser cunhados e qual carteira pode pausar tudo.
A verificação responde a duas perguntas. O processual: o implantador publicou a fonte que compila para o bytecode implantado. O editorial: o código publicado é algo com o qual você concordaria. Você precisa de ambos. Um contrato pode ser verificado e ainda assim ser malicioso por natureza.
Código-fonte verificado pelo Etherscan: o que o cheque verde realmente significa
Abra o Etherscan, cole o endereço do contrato e clique na aba Contrato. Uma marca verde ao lado de Contrato significa que o Etherscan compilou o Solidity público e confirmou que o bytecode corresponde ao que está implantado na rede principal.
A verificação é necessária, mas não suficiente. Isso apenas prova que o código que você está prestes a ler é o código executado. Não diz nada sobre se o código é justo.
Dentro da aba Contrato você encontrará sub-abas para Código, Ler Contrato e Escrever Contrato. O código mostra a Solidez. Listas de leitura visualizam funções consultáveis sem gás. Escreva listas de funções de mudança de estado que você pode chamar através de sua carteira. Juntos, eles descrevem toda a superfície do contrato.
Leitura da fonte do contrato: funções de construtor, casa da moeda, proprietário e taxa
Você não está auditando linha por linha. Você está procurando as cinco coisas que decidem se o token é justo. Use a pesquisa dentro da guia Código para essas palavras-chave.
Detectando contratos de proxy e slots de armazenamento EIP-1967
Muitos tokens modernos são contratos de procuração. O endereço com o qual você interage delega chamadas para uma implementação separada que um administrador pode trocar. Não há garantia de que a lógica que você lê hoje será a lógica que será executada amanhã.
Etherscan sinaliza isso diretamente. Na aba Contrato procure um banner dizendo Este contrato é uma procuração. O Etherscan lê o slot de armazenamento EIP-1967 em 0x360894a13ba1a3210667c828492db98dca3e2076cc3735a920a3ca505d382bbc para encontrar o endereço de implementação.
Ao ver um proxy, faça duas coisas extras. Leia a fonte do contrato de implementação em vez do proxy em si, já que o proxy é principalmente uma lógica de delegação. Em seguida, verifique o slot de administrador em 0xb53127684a568b3173ae13b9f8a6016e243e63b6e8ee1178d6a717850b5d6103 para identificar a carteira de atualização. Administrador renunciado ou com endereço zero é o mais seguro. Multisig é aceitável. Uma nova EOA é uma bandeira amarela.
Nosso guia de contrato de procuração cobre em profundidade proxies transparentes versus UUPS.
Fluxo de trabalho BscScan: superfície semelhante, ambiente mais movimentado
BscScan espelha o Etherscan porque ambos são construídos pela mesma equipe. A guia Contrato, as subguias Ler e Gravar, a verificação verde e o detector de proxy se comportam da mesma maneira. A cadeia é diferente; o fluxo de trabalho de verificação é idêntico.
O que muda na Rede BNB é a velocidade do ambiente. As listagens são mais rápidas, os tokens copy-cat são mais comuns e os contratos de baixo esforço são mais elevados. Espere evitar mais verificações BscScan do que verificações Etherscan. A barra é a mesma. A taxa de acerto é diferente.
Se você já usa o Etherscan com confiança, o BscScan é o mesmo manual. Nosso Tutorial BscScan cobre os detalhes da cadeia BNB, incluindo peculiaridades do BEP-20 e as armadilhas mais comuns para imitadores.
Verificação de contrato Solscan e Solana: um paradigma diferente
Solana não usa Solidity e não armazena o estado da conta dentro de um contrato. Os programas são compilados em bytecode BPF e os saldos dos usuários residem em contas de token de propriedade do Programa SPL Token. Isso muda o que significa verificação no Solscan.
Você não pode ler a fonte do Solidity porque não há nenhuma. Em vez disso, você verifica três coisas: o programa pode ser atualizado e quem controla as atualizações, qual é a autoridade mint na conta do token e se ainda existe uma autoridade de congelamento.
Solscan expõe todos os quatro na página do token. Nulo nos campos de autoridade mais distribuição saudável significa que o token é estruturalmente mais seguro. Qualquer autoridade ainda ativa em um memecoin sem justificativa é uma questão que vale a pena responder antes de avaliar.
Sinais de alerta comuns: moeda oculta, listas negras e taxas de transferência
A maioria dos tapetes não requer novas explorações. Eles reutilizam os mesmos padrões. Reconhecê-los no explorador é a maior parte da defesa.
Uma única bandeira vermelha nem sempre é desqualificante. Geralmente é uma combinação. Mint ativo mais taxas ajustáveis mais um novo proprietário EOA é a configuração clássica do honeypot.
Ferramentas que automatizam as verificações: TokenSniffer, GoPlus, auditoria DEXTools
A leitura manual do explorador é o padrão ouro. Ferramentas automatizadas são o filtro rápido que sinaliza problemas óbvios antes de você dedicar tempo a um contrato.
Fluxo de trabalho mais rápido: comece com a auditoria do DEXTools no par, passe para o explorador se algo estiver amarelo, verifique com TokenSniffer ou RugCheck. Três sinais de três fontes são suficientes para agir.
Passo a passo: verificando um token em cinco minutos
Sequência exata antes de qualquer troca de novo token.
Se todas as etapas forem aprovadas, você não provou que o token é seguro; você provou que não é obviamente manipulado, o que é uma barreira mais alta do que a maioria dos traders consegue superar antes de clicar em trocar. Combine isso com nosso lista de verificação de segurança da carteira para remover a maioria dos vetores de perda.
Após a negociação: revogar aprovações e ficar atento a atualizações
A verificação na entrada é metade do trabalho. Depois de negociar, você geralmente deixa um token de aprovação. Essa aprovação é uma permissão permanente para o contrato gastar esse token e, se o contrato for posteriormente atualizado com lógica maliciosa, os fundos poderão ser drenados sem uma nova assinatura.
A higienização da aprovação faz parte do fluxo de trabalho. Nosso Tutorial de revogação de aprovações de token cobre ferramentas e cadência. Emparelhar com Proteção MEV para dimensionamento de token volátil.
Perguntas frequentes
A verificação prova que o bytecode implantado corresponde à fonte do Solidity que o implantador publicou. Não prova que o código é justo, seguro ou alinhado com o marketing do projeto. Você ainda precisa ler a fonte para funções arriscadas.
Sim, facilmente. Muitos honeypots são verificados porque o implementador deseja o cheque verde para credibilidade. O comportamento malicioso é gravado de forma transparente em funções como setFee ou pauseTransfers e controlado pelo proprietário.
Um proxy delega chamadas para um contrato de implementação separado que um administrador pode trocar. Se o administrador for uma única carteira, toda a lógica do token poderá ser substituída após o lançamento. Sempre verifique o slot de administrador e prefira administradores multisig ou renunciados.
Os programas Solana são compilados em BPF em vez de Solidity, portanto não há código-fonte para ler diretamente. Solscan concentra-se no status de autoridade, na distribuição do titular e na capacidade de atualização do programa, em vez da verificação da fonte.
São endereços de slots padronizados onde os proxies armazenam os ponteiros de implementação e administração. Etherscan lê o slot 0x36089...d382bbc para a implementação e 0xb53127...0b5d6103 para o administrador exibir informações de proxy.
Não automaticamente. Stablecoins, tokens de governança e recompensas de apostas precisam legitimamente de cunhagem. A questão é quem o controla e se a concepção do projecto justifica manter esse poder activo.
Um token que você pode comprar, mas não pode vender. O bloqueio à venda geralmente é implementado por meio de taxas de transferência definidas perto de 100%, uma lista negra que visa os vendedores ou um gancho de transferência que reverte. Simulações de capacidade de venda capturam a maioria deles.
Remove uma classe de risco, mas não elimina proxies, taxas imutáveis ou carteiras pré-financiadas. A renúncia é positiva, mas você ainda precisa ler o código que roda quando ninguém o controla.
No Etherscan ou BscScan, abra a página do token LP e veja os principais detentores. A liquidez bloqueada está em um contrato de bloqueio conhecido, como Unicrypt ou Team.Finance. A liquidez queimada fica no endereço zero.
Para revelar as verificações mais comuns sem sair do gráfico. Ele obtém verificação de contrato, propriedade, capacidade de venda, taxas de impostos e status de bloqueio de liquidez para que os traders possam dimensionar as posições com essas informações já carregadas.
Para posições pequenas e tokens conhecidos, sim. Para novos lançamentos e tamanho significativo, não. Os scanners detectam modelos e padrões óbvios. Golpes personalizados que passam por modelos exigem inspeção humana da fonte.
Fonte verificada mais um padrão de propriedade limpo. Se esses dois estiverem faltando, nada mais importa. Se ambos estiverem presentes, o restante das verificações será sobre a precificação do risco residual, em vez de perguntar se é necessário se envolver.