Cómo verificar un contrato inteligente antes de invertir: guía paso a paso para evitar estafas

Aprender a verificar un contrato inteligente antes de invertir es probablemente la habilidad más útil para cualquiera que compre tokens fuera de los exchanges grandes. Un token nuevo puede tener una web impecable, miles de seguidores en X y un grupo de Telegram muy activo. Nada de eso dice si podrás venderlo mañana.

Lo que sí lo dice es el código. Y no hace falta ser programador para revisarlo: buena parte de las trampas más comunes (tokens que no se pueden vender, comisiones que el creador sube al 99 %, funciones para crear monedas de la nada) se detectan con un explorador de bloques, un par de herramientas gratuitas y algo de método.

Publicidad

Estabilidad respaldada en Bitcoin

Descubre Dollar on Chain →

En esta guía vas a encontrar un proceso paso a paso para revisar un contrato, qué permisos deberían preocuparte, cómo leer una auditoría sin dejarte impresionar por el logo de la empresa que la firma y una lista de señales de alarma que conviene tener a mano. Ninguna revisión elimina el riesgo por completo, pero sí descarta una gran cantidad de proyectos que nunca debieron llegar a tu wallet.

Qué es un contrato inteligente y por qué revisarlo

Un contrato inteligente (smart contract) es un programa que vive en una blockchain como Ethereum, BNB Chain, Polygon o Solana. Cuando compras un token, haces staking en un protocolo o aportas liquidez en DeFi (finanzas descentralizadas), estás interactuando con uno de estos programas. Él decide quién puede mover fondos, cuánto se cobra en cada transacción y qué puede hacer el creador después del lanzamiento.

El problema es que el código hace exactamente lo que dice, aunque lo que dice sea «solo el dueño puede vender». Por eso verificar el contrato no es un paso opcional para perfiles técnicos. Es la diferencia entre comprar algo con reglas conocidas y confiar a ciegas en un desconocido.

En Latinoamérica este punto pesa especialmente: muchos usuarios operan en redes de comisiones bajas como BNB Chain, Solana o Polygon, justo donde lanzar un token cuesta muy poco y abundan las copias y los proyectos de un día. Las promociones en grupos de WhatsApp o Telegram en español, con promesas de multiplicar el dinero, suelen apuntar precisamente a este tipo de tokens.

Qué necesitas antes de empezar

La lista es corta:

• La dirección del contrato del token (una cadena que empieza por «0x» en redes compatibles con Ethereum). Sácala de la web oficial del proyecto y contrástala con fuentes como CoinGecko o CoinMarketCap. Nunca la copies de un mensaje privado.
• Saber en qué red está desplegado, porque cada una tiene su propio explorador.
• Unos 20 o 30 minutos sin prisa. La urgencia es aliada de los estafadores.

No necesitas conectar tu wallet para nada de lo que sigue. Si alguna herramienta «de verificación» te lo pide para empezar, desconfía.

Cómo verificar un contrato inteligente paso a paso

Este es el recorrido que siguen muchos usuarios con experiencia. Puedes hacerlo en este orden o saltar directamente a las señales de alarma si buscas una revisión rápida.

1. Abre el explorador de bloques correcto. Para Ethereum, Etherscan; para BNB Chain, BscScan; para Polygon, PolygonScan; para Base, BaseScan; para Solana, Solscan o Solana Explorer. Pega la dirección en el buscador y confirma que el nombre y el símbolo del token coinciden con lo que esperabas. Los estafadores lanzan tokens con nombres idénticos a proyectos conocidos, así que el nombre por sí solo no prueba nada.
2. Comprueba que el código fuente esté verificado. En la pestaña «Contract» de los exploradores tipo Etherscan debería aparecer un indicador de «Contract Source Code Verified». Significa que el creador publicó el código legible y el explorador confirmó que coincide con lo que realmente se ejecuta en la blockchain. Si solo ves bytecode (un bloque de caracteres ilegible), nadie puede revisar qué hace ese contrato. Para un token que pide tu dinero, eso ya es motivo suficiente para alejarse.
3. Revisa quién es el dueño. En la sección «Read Contract» busca funciones como owner o getOwner. Si devuelve una dirección normal, una sola persona controla las funciones administrativas. Si devuelve la dirección cero (0x000…000), la propiedad fue renunciada. Si apunta a otro contrato, puede tratarse de una multifirma (por ejemplo, Safe) o de un timelock, que retrasa los cambios durante un período para que la comunidad pueda reaccionar.
4. Examina las funciones de escritura. En «Write Contract» verás todo lo que se puede ejecutar. No vas a ejecutar nada, solo leer los nombres. Funciones como mint, setFee, setTax, blacklist, pause o setMaxTx dan pistas claras del poder que conserva el creador. Más abajo te explicamos cuáles preocupan y por qué.
5. Detecta si es un contrato proxy. Si el explorador muestra opciones como «Read as Proxy» o «Write as Proxy», el contrato es actualizable: la lógica real vive en otro contrato que el administrador puede reemplazar. Muchos protocolos serios usan proxies para corregir errores. Aun así, implica que el código que revisas hoy podría no ser el de mañana, salvo que la actualización esté protegida por un timelock o una multifirma.
6. Analiza la distribución de holders. En la pestaña «Holders» mira qué porcentaje concentran las primeras direcciones. Descuenta los contratos de liquidez, los de bloqueo y las wallets de exchanges. Si una o dos direcciones personales controlan una parte enorme del suministro, pueden hundir el precio vendiendo de golpe. Herramientas como Bubblemaps muestran visualmente si varias wallets «distintas» están conectadas entre sí.
7. Verifica la liquidez y si está bloqueada. En DexScreener o DEXTools busca el par de trading del token y revisa cuánta liquidez tiene. Luego comprueba si los tokens LP (los que representan esa liquidez) están bloqueados en servicios como UNCX o Team Finance, o quemados. Una liquidez sin bloquear permite el clásico rug pull: el creador retira el dinero del pool y el token queda sin compradores.
8. Pasa el contrato por escáneres automáticos. Honeypot.is, Token Sniffer, GoPlus Security o De.Fi Scanner analizan el contrato y simulan compras y ventas. Te avisan si el token es un honeypot (se puede comprar pero no vender), si hay comisiones modificables o funciones ocultas. Úsalos como segunda opinión, no como veredicto: pueden fallar con contratos nuevos o con trampas bien disimuladas.
9. Busca auditorías y compruébalas en la fuente. Si el proyecto dice estar auditado, entra en la web de la firma auditora y busca el informe allí. No te fíes de un PDF compartido en el Telegram del proyecto. En la siguiente sección vemos cómo leerlo.
10. Mira la actividad del deployer. Haz clic en la dirección que creó el contrato (aparece como «Contract Creator»). Si esa wallet ha lanzado decenas de tokens que hoy valen cero, ya sabes qué esperar del siguiente.

Permisos del contrato que deberían preocuparte

No todos los permisos administrativos son malos. Un protocolo de préstamos necesita poder pausarse ante un hackeo, por ejemplo. La pregunta clave es otra: ¿quién tiene ese poder y qué límites tiene?

Mint sin límite

Una función mint permite crear tokens nuevos. Si el dueño puede acuñar cantidades ilimitadas, puede imprimir millones de unidades y venderlas sobre los compradores. En algunos tokens tiene sentido (recompensas programadas, por ejemplo), pero debería estar acotada por un suministro máximo o controlada por un contrato con reglas claras.

Comisiones modificables

Muchos tokens cobran un impuesto por compra o venta. Mientras sea bajo y fijo, el problema es menor. El peligro aparece cuando el dueño puede cambiarlo sin tope: hoy es un 2 % y mañana un 100 % en las ventas, lo que en la práctica convierte el token en un honeypot. Revisa si el código establece un máximo para la comisión.

Listas negras y pausas

Las funciones blacklist o excludeFromTrading permiten bloquear direcciones concretas. Combinadas con un dueño anónimo, sirven para impedir que vendas tú mientras ellos sí pueden. La pausa global del trading tiene usos legítimos en stablecoins reguladas o protocolos grandes, aunque en un memecoin recién lanzado rara vez se justifica.

Límites de transacción y wallet

Parámetros como maxTxAmount o maxWallet suelen usarse en los primeros minutos del lanzamiento para frenar bots. Si el dueño puede bajarlos a casi cero cuando quiera, también puede bloquear las ventas de todo el mundo.

¿Y la famosa propiedad renunciada? Es una buena señal en muchos casos, porque nadie puede tocar estas funciones. Pero no es una garantía. Hay contratos que renuncian a la propiedad «oficial» y dejan otro rol oculto con los mismos poderes, o que retienen la liquidez en una wallet propia. Renunciar al owner no sirve de mucho si la liquidez sigue sin bloquear.

Cómo leer una auditoría de contrato inteligente

Una auditoría es una revisión del código hecha por una empresa especializada. Entre las firmas con más trayectoria están OpenZeppelin, Trail of Bits, ConsenSys Diligence, CertiK, Hacken y PeckShield, aunque hay muchas más, con niveles de rigor muy distintos.

Al abrir el informe, fíjate en estos puntos:

• Dirección o commit auditado. El informe debe indicar qué código se revisó. Comprueba que coincide con el contrato desplegado. Una auditoría de una versión anterior no cubre los cambios posteriores.
• Hallazgos y su severidad. Suelen clasificarse como críticos, altos, medios, bajos e informativos. Lo relevante es si los críticos y altos aparecen como «resueltos» o «reconocidos». «Reconocido» a veces significa que el equipo sabe del problema y decidió no corregirlo.
• Alcance. Muchas auditorías revisan solo ciertos contratos o excluyen expresamente los riesgos de centralización. Lee esa sección: ahí se esconde lo que no se revisó.
• Fecha. Una auditoría antigua de un contrato que se ha actualizado varias veces aporta poco.

Conviene tener expectativas realistas. Una auditoría reduce la probabilidad de errores técnicos, pero no impide que un equipo con control total sobre el contrato actúe de mala fe. Protocolos auditados han sufrido hackeos, y hay proyectos que pagan revisiones superficiales solo para lucir el sello en su web. Un informe que señala que «el dueño puede cambiar las comisiones sin límite» sigue siendo una auditoría, aunque no sea precisamente una recomendación.

Señales de alarma al revisar un contrato

Si te encuentras con varias de estas, lo prudente es no seguir adelante:

• Código fuente sin verificar en el explorador.
• Los escáneres detectan honeypot o no logran simular una venta.
• Comisiones de venta muy altas o modificables sin un tope en el código.
• Liquidez sin bloquear, o bloqueada por muy poco tiempo.
• Una o pocas wallets personales con un porcentaje desproporcionado del suministro.
• Funciones de mint, blacklist o pausa en manos de una única dirección anónima.
• Contrato actualizable sin timelock ni multifirma.
• El deployer tiene historial de tokens abandonados.
• Auditoría que no aparece en la web de la firma o que corresponde a otro contrato.
• Presión para comprar ya: «preventa exclusiva», «últimas horas», «x100 garantizado».

La última no está en el código, pero suele acompañar a todas las demás. Los proyectos que se pueden revisar con calma rara vez necesitan apurarte.

Después de invertir: revisa los permisos que otorgaste

La verificación no termina con la compra. Cada vez que interactúas con un protocolo, tu wallet suele firmar una aprobación (approve) que autoriza a ese contrato a mover tus tokens, a veces por una cantidad ilimitada. Si el contrato resulta malicioso o es hackeado, esas aprobaciones pueden usarse para vaciar tu saldo.

Herramientas como Revoke.cash, o la sección de aprobaciones que ofrecen algunos exploradores, muestran qué permisos tienes activos y permiten revocarlos. Revocar cuesta una pequeña comisión de red, así que no hace falta hacerlo a diario. Sí conviene revisarlo cada cierto tiempo y siempre que dejes de usar un protocolo.

Un par de hábitos que ayudan bastante: usa una wallet secundaria con poco saldo para probar tokens nuevos y guarda el grueso de tus fondos en otra, idealmente una wallet de hardware. Y lee lo que firmas. Si tu wallet te muestra una aprobación o una transferencia que no esperabas, cancela.

Preguntas frecuentes

¿Necesito saber programar para verificar un contrato inteligente?

No para una revisión básica. Con el explorador de bloques, los escáneres automáticos y la lista de señales de alarma puedes descartar la mayoría de estafas comunes. Entender Solidity ayuda a detectar trampas más sutiles, pero no es imprescindible para empezar.

¿Un contrato verificado en Etherscan es seguro?

No necesariamente. «Verificado» solo significa que el código publicado coincide con el que se ejecuta. Un contrato puede estar verificado y contener funciones abusivas a la vista de todos. La verificación te permite revisarlo; la seguridad depende de lo que encuentres.

¿Qué es un honeypot en cripto?

Es un token diseñado para que puedas comprar pero no vender, ya sea mediante comisiones de venta del 100 %, listas negras o restricciones ocultas en el código. Herramientas como Honeypot.is simulan una venta para detectarlo antes de que compres.

¿Si un proyecto tiene auditoría ya puedo confiar?

Una auditoría es una señal positiva, no una garantía. Comprueba que el informe esté publicado por la firma auditora, que corresponda al contrato desplegado y que los hallazgos graves estén resueltos. Tampoco cubre la honestidad del equipo.

¿Cómo verifico un token en Solana?

En Solana el proceso cambia un poco. En Solscan o Solana Explorer conviene revisar si la mint authority (capacidad de crear más tokens) y la freeze authority (capacidad de congelar cuentas) siguen activas o fueron revocadas. Escáneres como RugCheck están pensados específicamente para tokens de esta red.

Revisar un contrato puede parecer tedioso las primeras veces, pero con la práctica se convierte en una rutina de pocos minutos. No te va a convertir en adivino ni te dirá si un token va a subir; sí te ayudará a reconocer cuándo las reglas del juego están amañadas desde el principio. Y recuerda que, incluso con un contrato limpio, invertir en criptomonedas conlleva un riesgo alto, así que lo sensato es arriesgar solo lo que podrías perder sin que te quite el sueño.