Auditor/a de seguridad de contratos y protocolos
← Rutas por rol · Matriz de trazabilidad · Revisión: 2026-10-12
Identidad y propósito
Denominaciones habituales en inglés: Smart Contract Security Auditor, Blockchain Security Engineer, Protocol Security Engineer.
Identifica vulnerabilidades y fallos de diseño, demuestra impacto con pruebas controladas y verifica remediaciones sin convertir una auditoría en garantía.
Propósito organizacional. Reducir riesgo antes del despliegue mediante revisión reproducible, propiedades explícitas y comunicación accionable.
Títulos y especializaciones agrupados: Smart Contract Security Auditor, Blockchain Security Engineer, Digital Asset Security Specialist.
Responsabilidades y trabajo cotidiano
Responsabilidades
- Definir alcance y amenaza
- revisión manual y automatizada
- fuzzing e invariantes
- PoC segura
- clasificación y retest
Actividades cotidianas
- Leer specs y código
- formular invariantes
- construir tests adversariales
- escribir y discutir hallazgos
Entornos de desempeño
- Firmas de auditoría
- equipos internos de seguridad
- protocolos DeFi
- bug bounty autorizado
Base de entrada
Conocimientos básicos
- EVM y Solidity
- patrones de contratos
- criptografía aplicada
- threat modeling
- ética y alcance
Requisitos previos
- Clases 1–20
- capacidad de escribir contratos y tests
- permiso y alcance por escrito
Competencias
Técnicas
- Reentrancia y permisos
- firmas y replay
- oráculos y MEV
- proxies y storage
- fuzzing, invariantes y verificación formal
No técnicas
- Redacción precisa
- gestión de conflicto
- priorización
- divulgación responsable
Herramientas y tecnologías
- Foundry
- Slither
- Echidna/Medusa como extensión
- Certora u otra herramienta formal como extensión
- OpenZeppelin
Recorrido curricular reutilizable
Clases obligatorias recomendadas
3. Hashes, integridad y compromisos · 4. Firmas, claves y ciclo de vida · 5. Replicación, latencia y fallas · 6. Redes P2P y adversarios · 7. Elegir un historial válido · 8. PoW, PoS y BFT bajo amenaza · 11. Cuentas, estado y transacciones Ethereum · 12. EVM, ABI y costo de ejecución · 13. Diseño de contratos e invariantes · 14. Pruebas profundas con Foundry · 15. Lecturas, RPC y estado de interfaz · 16. Firmas y experiencia transaccional · 17. Estándares y derechos del token · 18. Permisos, distribución y necesidad · 19. Modelado de amenazas y revisión manual · 20. Auditoría reproducible y remediación · 21. Oráculos y calidad del dato · 22. Eventos, indexación y disponibilidad · 23. Propuestas, voto y ejecución · 24. Captura y gobernanza de emergencia · 31. Cuentas programables y actualizaciones · 32. MEV y arquitectura de producción
Clases complementarias
25. Familias de escalabilidad · 26. Riesgo operativo de una L2 · 27. Mensajes y activos entre cadenas · 28. Modelo de amenazas de puentes · 29. Compromisos y pruebas de conocimiento cero · 30. SNARK, STARK y privacidad real · 39. AMM, liquidez y formación de precio · 40. Préstamo, colateral y riesgo DeFi · 53. Custodia institucional de claves · 54. Identidad y autorización verificable
Laboratorios esenciales
21. Anatomía de una transacción pública · 22. Selector ABI · 25. Storage, memory y calldata · 27. Vault: depósito y retiro · 28. Vault: fuzzing e invariantes · 32. ERC-20 con roles · 33. Allowance y permit · 36. Oráculo y dato obsoleto · 37. Reentrancia · 38. Control de acceso · 39. Manipulación de oráculo · 40. Repetición de firmas
Laboratorios avanzados
41. Front-running y commit-reveal · 42. Colisión de storage en proxy · 43. Auditoría completa del Vault · 44. Multisig y timelock · 47. Modelo de amenazas de puente · 48. Prueba ZK conceptual · 50. Capstone y defensa técnica
Niveles de desempeño demostrado
| Nivel | Evidencia observable |
|---|---|
| Fundamental | Reconoce clases de vulnerabilidad |
| Aplicado | Resuelve retos 37–40 |
| Autónomo | Audita un contrato sin checklist paso a paso |
| Avanzado | Diseña propiedades y combina técnicas |
| Profesional integrador | Entrega informe, parche y retest defendibles |
Estos niveles describen aprendizaje demostrado; no equivalen a antigüedad, seniority ni experiencia laboral real.
Proyecto profesional integrador
auditoría y remediación de un protocolo
Informe con alcance, invariantes, hallazgos, PoC local, parche y retest.
Criterios de aceptación
- alcance y limitaciones
- cada hallazgo reproduce impacto
- severidad justificada
- remediación comprobada sin regresión
Consideración ética y de seguridad. Solo objetivos autorizados; datos mínimos; divulgación coordinada.
Evidencias y evaluación
Evidencias de aprendizaje
- informe
- suite adversarial
- PoC local
- diff de remediación
- retest
Métodos de evaluación
- hallazgo ciego
- calidad de PoC
- falsos positivos
- defensa de severidad
Juicio profesional
Errores frecuentes
- Confiar solo en scanners
- exagerar severidad
- probar en producción
- llamar certificado a un informe
Seguridad, ética y normativa
- Autorización explícita
- no custodia de fondos
- reproducibilidad
- separación entre auditoría y garantía
Diferencias frente a roles relacionados
- Frente a developer: independencia de revisión
- Frente a forensics: previene y valida código; forensics reconstruye hechos
- Security engineer puede abarcar nodos e infraestructura además de contratos
Posibles especializaciones
- DeFi
- ZK y bridges
- Formal verification
- Wallets y account abstraction
- Protocol security
Evolución profesional posible
- Revisor guiado
- auditor autónomo
- líder de engagement o protocol security engineer
Cobertura y brechas
Cobertura actual: Completa y verificada.
- La verificación formal se documenta como ampliación; no existe laboratorio dedicado con una herramienta formal
La cobertura sólo se considera completa cuando hay contenido suficiente y evidencia evaluable; una mención temática no cuenta como dominio.