La seguridad es un estado dinámico, no una certificación en papel. Muchos de los proyectos hackeados este año habían sido auditados, y algunos habían sido auditados múltiples veces. Esto no significa que las auditorías no tengan valor; solo significa que las preguntas que las auditorías pueden responder son mucho más limitadas de lo que la mayoría de la gente supone.
Un informe de auditoría describe una determinada versión que un determinado equipo revisó en un determinado día. Pero los contratos se actualizan, los permisos cambian, los oráculos y puentes entre cadenas de los que dependen los proyectos cambian, y cada semana surgen nuevas técnicas de ataque. En el momento en que se entrega el informe, este comienza a caducar. Lo que es aún más problemático es que los contratos antiguos desplegados hace años que pasaron las auditorías sin problemas en su momento ahora están siendo reescaneados en lotes, y las vulnerabilidades profundas en un contrato que ha estado activo durante años pueden encontrarse en poco más de diez minutos.
Esta es la tercera entrega del especial de Gate "Curso de Seguridad de Gate". Invitamos al proveedor de servicios de seguridad Web3 GoPlus Security y al equipo de seguridad de Gate a discutir las auditorías y la detección de vulnerabilidades desde las perspectivas de un proveedor de servicios de seguridad y una plataforma de trading: por qué los proyectos auditados todavía tienen problemas, cómo leer un informe, qué verificaciones realiza la plataforma antes y después del listado, y cómo los usuarios comunes pueden hacer una ronda de autoverificación antes de firmar.
Perfiles de los invitados
Socio de GoPlus, Adam: Adam es socio de GoPlus y director de su instituto de investigación de seguridad.
GoPlus Security está construyendo la primera capa de seguridad descentralizada para Web3 y la IA. Aprovechando la blockchain y soluciones de seguridad de IA de vanguardia, proporciona a los usuarios productos y servicios de seguridad inteligentes, eficientes y descentralizados. Desde 2022, GoPlus ha logrado un crecimiento exponencial, alcanzando 30 millones de llamadas diarias a la API y previniendo casi 100 mil millones de dólares en pérdidas potenciales para los usuarios.
Equipo de Seguridad de Gate: El departamento de seguridad de Gate es responsable de construir los sistemas de seguridad de cuentas, trading y activos de la plataforma, y también se encarga a largo plazo de las apelaciones de usuarios y solicitudes de asistencia relacionadas con cuentas anómalas.
Fundada en 2013, Gate es la primera plataforma de trading de la industria en lanzar una prueba de reservas del 100% y actualmente atiende a más de 60 millones de usuarios en todo el mundo. La seguridad es el requisito previo para que este negocio sea viable, y a través de "Curso de Seguridad de Gate", esperamos explicar claramente los mecanismos comunes detrás de estos riesgos reales.
P1. ¿Por qué muchos proyectos todavía son hackeados y todavía sufren abuso de permisos después de pasar las auditorías?
Socio de GoPlus, Adam: "Una auditoría única" no equivale a "siempre seguro". Los servicios tradicionales de auditoría de contratos ahora sufren cuatro fallas estructurales:
1) Inspección tipo instantánea. Una auditoría es esencialmente una inspección semimanual realizada por ingenieros de auditoría en un momento determinado, y su eficacia depende de la calidad de las herramientas, la habilidad individual y el estado de trabajo. Pero el código del contrato se actualiza, los permisos administrativos cambian y las configuraciones de parámetros se ajustan. Desde el momento en que se entrega un informe de auditoría único, este está "caducando".
2) Incapacidad para predecir el futuro. Nuevos tipos de vulnerabilidades y nuevas técnicas de ataque siguen surgiendo, y las auditorías históricas no pueden cubrir los riesgos futuros.
3) Dependencias externas no controladas. Los proyectos comúnmente dependen de oráculos, puentes entre cadenas y protocolos de terceros, y los cambios de riesgo en estas dependencias quedan fuera del alcance de las auditorías tradicionales.
4) Explosiones concentradas de contratos antiguos. Los contratos desplegados hace años que fueron "auditados" en su momento están siendo redescubiertos en lotes por herramientas automatizadas, como vulnerabilidades profundas en Balancer, Yearn y proyectos similares que pasaron años sin ser descubiertas después de entrar en funcionamiento.
En cuanto al abuso de permisos, ocurre más en la fase operativa que en el propio código del contrato. Las razones incluyen: permisos excesivos del Owner (capacidad de acuñar, incluir en lista negra o pausar el trading arbitrariamente), filtración de claves privadas del administrador, gestión inadecuada de multifirmas, propuestas maliciosas y ataques de gobernanza... Todos estos son problemas de seguridad que surgen fácilmente en la fase operativa. Incluso si un informe de auditoría señala riesgos de permisos, ¿quién seguirá vigilando después? Si las operaciones son seguras y razonables no se puede responder.
Pasar a producción tras una auditoría de contrato es solo el punto de partida del trabajo de seguridad, no el final. Lo que los proyectos necesitan es seguridad continua que cubra todo el ciclo de vida del contrato, no un informe de auditoría único.
Equipo de Seguridad de Gate: Las auditorías pueden decir a los usuarios qué puede hacer el código, pero no pueden decirles qué pretende hacer el equipo del proyecto.
Este es el punto que hemos sentido más profundamente en nuestros años realizando revisiones de listado. La causa raíz de muchos incidentes radica en las intenciones del equipo del proyecto. Un contrato puede ser técnicamente totalmente conforme, y el diseño de los permisos del propietario puede estar dentro del rango normal, pero el equipo del proyecto aún puede elegir un momento para usar esos permisos: cambiar las reglas de negociación, habilitar listas negras o acuñar tokens adicionales. Estas acciones son todas legales a nivel de código, y los informes de auditoría no las señalarán como vulnerabilidades porque forman parte del diseño desde el principio.
Por lo tanto, más allá de las auditorías técnicas, debe haber otra capa de restricción. El enfoque de Gate es realizar una selección y revisión estricta de proyectos durante el proceso de listado, y al mismo tiempo firmar declaraciones de no maleficencia con los equipos de proyecto y supervisar su cumplimiento. Esta capa está destinada a resolver la parte que las auditorías no pueden resolver: la ausencia de vulnerabilidades en el código no significa que el equipo no vaya a tomar decisiones que perjudiquen a los usuarios.
Para los proyectos listados, realizamos auditorías de seguridad periódicas y utilizamos el monitoreo de eventos en cadena para rastrear el estado del contrato. Los usuarios también pueden consultar en cualquier momento los elementos de riesgo actuales de un contrato determinado.
P2. Dado que una auditoría única no equivale a seguridad continua, ¿cómo deben ajustarse los equipos de proyecto y la industria en su conjunto?
Equipo de Seguridad de Gate: La industria cripto tiene una característica estructural: una gran parte de su negocio, especialmente DeFi, opera en un modo cercano a las finanzas modulares. Diversas plataformas se construyen a partir de componentes compartidos: contratos, bibliotecas de software, billeteras, oráculos de precios, puentes entre cadenas, proveedores de servicios de conectividad, interfaces web y sistemas utilizados para enviar actualizaciones.
Así que más allá de si sus propios contratos son seguros, la pregunta más importante es si cada eslabón del que depende sigue siendo confiable. Si un componente aguas arriba falla, las pérdidas se propagan en cadena. Al revisar los principales ataques, el problema a menudo reside en eslabones anteriores a la lógica del protocolo: proveedores, herramientas de desarrollo, la forma en que el software llega a los usuarios o el proceso mediante el cual los usuarios aprueban transferencias.
Adam, Socio de GoPlus: El paradigma de ataque en el que los hackers utilizan herramientas automatizadas para minar vulnerabilidades de manera eficiente ya ha tomado forma y se está extendiendo rápidamente. Los ataques han pasado de la "investigación manual experta" a una "línea de montaje". Si el pensamiento de la industria sigue estancado en "buscar una firma de auditoría que emita un informe antes del lanzamiento" o "buscar una empresa de seguridad para arreglar las cosas después de que se descubra un riesgo", es como usar arcos y flechas contra ametralladoras. Utilizar herramientas igualmente eficientes para contrarrestar los ataques es el único camino eficaz.
La dirección del ajuste a nivel de la industria es pasar de "auditorías únicas" o "buscar expertos después de que surjan problemas" a "seguridad continua en todo el ciclo de vida". Tomemos como ejemplo el "trío de seguridad de contratos" de GoPlus DeepScan; este es un circuito cerrado que se puede implementar:
Antes del lanzamiento, autoverificación de seguridad del token: autoverificar rápidamente en minutos riesgos de puerta trasera como honeypots, acuñación maliciosa, listas negras, impuestos de transacción anómalos y permisos de Owner;
En el lanzamiento, auditoría de contrato con IA: analizar en profundidad el código fuente, la gestión de permisos y la lógica de negocio, escanear vulnerabilidades en la capa de sintaxis y en la capa de lógica de negocio, y entregar un informe de auditoría estructurado;
Después del lanzamiento, monitoreo de seguridad continuo y verificaciones de salud periódicas: rastrear en tiempo real nueva inteligencia sobre vulnerabilidades, incidentes de ataque y riesgos de dependencias externas (oráculos, puentes entre cadenas, protocolos de terceros), determinar continuamente si el proyecto se ve afectado y proporcionar alertas rutinarias. Realizar verificaciones de salud de seguridad periódicas y auditorías continuas de los contratos.
P3. ¿Cómo han cambiado los métodos de descubrimiento de vulnerabilidades en los últimos dos años? Para un mismo activo, ¿cuál es la diferencia en el modelo de seguridad entre mantenerlo en cadena y mantenerlo en un exchange?
Adam, Socio de GoPlus: Francamente hablando, a corto plazo, los métodos de los atacantes para encontrar vulnerabilidades se han vuelto más diversos. Hay tres razones:
1) Las herramientas automatizadas han reducido enormemente el umbral para encontrar vulnerabilidades. El trabajo que antes requería semanas de investigadores de seguridad de primer nivel ahora puede ejecutarse a través de una línea de ataque en minutos;
2) Una enorme cantidad de contratos antiguos que fueron "auditados en su momento" se ha acumulado en cadena, convirtiéndolos en una "mina de oro" con enormes reservas para los atacantes;
3) Los ataques son una monetización unidireccional: encontrar "una" vulnerabilidad es suficiente, mientras que los defensores deben protegerse contra "todas" las vulnerabilidades.
A los hackers les toma solo unos minutos extraer este dinero, y en realidad a los defensores también les toma solo unos minutos encontrar la misma vulnerabilidad. La única diferencia es si el equipo del proyecto ha puesto correctamente las herramientas en uso antes que los hackers.
Más críticamente, los defensores tienen tres ventajas estructurales que los atacantes no tienen:
1) Ventaja de ser el primero en actuar: los defensores pueden revisar ilimitadas veces antes del lanzamiento y durante las operaciones, mientras que los atacantes solo pueden apostar a que los defensores no han hecho la revisión;
2) Ventaja de costos: las auditorías de IA se cobran por uso o anualmente, con costos lo suficientemente bajos como para ser rutinarios y a gran escala;
3) Acumulación de conocimiento: la base de conocimiento de seguridad continúa evolucionando con cada nuevo incidente de ataque, y el sistema de defensa se vuelve más fuerte cuanto más se usa.
En los dos modelos, on-chain y off-chain, "quién está protegiendo tus activos" y "los tipos de riesgos que enfrentas" son completamente diferentes.
Autocustodia on-chain: Seguridad = seguridad de la clave privada + seguridad del contrato. Eres la única parte responsable de la seguridad—si tu clave privada se pierde o es robada, no hay "servicio al cliente" al que apelar; cada interacción conlleva riesgo on-chain (vulnerabilidades de aprobación, firmas de phishing, estafas de honeypot); la ventaja es que tus activos no dependen de la solvencia de ninguna plataforma.
Custodia en exchange: Seguridad = seguridad de la plataforma + seguridad de la cuenta. Las claves privadas son gestionadas por la plataforma (separación de hot/cold wallet, multisig, controles de riesgo), lo que equivale a externalizar la "seguridad técnica" al exchange; pero también necesitas proteger adecuadamente la seguridad de tu propia cuenta del exchange (contraseña, 2FA, phishing, API Key, etc.), y al mismo tiempo asegurarte de elegir un exchange con solvencia de plataforma confiable.
En general, on-chain es "protección de clave privada + riesgo de autooperación", mientras que los exchanges son "solvencia de la plataforma + riesgo de infraestructura de seguridad". El primero pone a prueba tu conciencia de seguridad Web3, mientras que el segundo pone a prueba la infraestructura de la plataforma del exchange y tus hábitos de seguridad de cuenta.
P4. Como plataforma de trading, ¿qué mejoras de seguridad ha realizado Gate?
Equipo de Seguridad de Gate: Primero, realizamos auditorías de seguridad regulares de los proyectos listados, mientras rastreamos continuamente el estado de los contratos a través del monitoreo de eventos on-chain. Si un contrato ha sido actualizado, si los permisos han cambiado y si han ocurrido operaciones anormales de gran valor—todo esto necesita monitoreo continuo, porque una conclusión de verificación en el momento del listado, como los informes de auditoría que mencionó Adam, también tiene fecha de caducidad. Los usuarios también pueden consultar en cualquier momento los elementos de riesgo actuales de un contrato determinado.
Ahora respecto a la plataforma en sí. El programa de recompensas por vulnerabilidades de seguridad de Gate siempre ha estado abierto, y los investigadores de seguridad de todo el mundo pueden enviarnos los problemas que encuentren a través de tres canales: [email protected], tickets de soporte y la plataforma HackenProof. Exigimos que los equipos de proyecto se sometan a inspección, y nosotros mismos también debemos someternos a inspección—esto no debería ser un requisito unilateral.
Habiendo cubierto las monedas y la plataforma, ahora hablemos de las cuentas.
Nuestro consejo es no buscar ese "lugar más seguro", sino dividir tu dinero según la frecuencia de uso, lo cual es más práctico: mantén los fondos que operas con frecuencia en tu cuenta spot para acceso en todo momento; coloca los fondos que no tocarás durante seis meses a un año en Gate Vault.
La Vault utiliza MPC más firmas 2-de-3. La clave privada se divide en tres fragmentos, custodiados respectivamente por el dispositivo del usuario, Gate y un tercero independiente. La clave privada completa nunca se ensambla en ningún momento, y ni Gate ni ese tercero pueden iniciar una transacción por sí solos. Todos los retiros también requieren un período de espera de 48 horas antes de que lleguen los fondos—estas 48 horas sirven como un colchón de seguridad para los usuarios, durante el cual el retiro puede congelarse en cualquier momento. En la mayoría de los casos de robo, los usuarios notan que algo anda mal más tarde que el atacante, y una vez que una transferencia on-chain sale no puede revertirse—pero durante estas 48 horas en Gate Vault, los usuarios pueden congelarla en cualquier momento. Incluso si algo sale mal, el retraso de 48 horas te da tiempo para descubrirlo y congelarlo.
Ahora el segundo punto: el Programa de Protección de Seguridad de Cuentas de Gate.
El Programa de Protección de la Seguridad de la Cuenta de Gate se basa en una puntuación de seguridad. Originalmente, la configuración de seguridad de la cuenta estaba dispersa en varias páginas —verificación de inicio de sesión, autenticador, verificación de dos factores, passkeys, límites de trading, límites de retiro— y era difícil para los usuarios saber exactamente qué pasos habían completado. La puntuación de seguridad convierte estos elementos en una puntuación de 0 a 100, para que puedas ver de un vistazo cuáles están habilitados y cuáles aún faltan; cuando la puntuación cambia, el sistema también recuerda a los usuarios que los completen.
Una vez que la puntuación de seguridad alcanza 80 y la cuenta está en estado normal, puedes activar el programa de protección. Tras la activación, significa que después de que los usuarios hayan realizado correctamente su propia protección, existe una capa adicional de respaldo: durante el período de protección, si los activos de la cuenta son transferidos sin autorización, los usuarios pueden solicitar una compensación si se cumplen las reglas, siendo el monto máximo actual por incidente de USD 200.000. Este límite se incrementará en el futuro, escalonado por nivel VIP hasta un máximo de USD 1 millón. Las solicitudes deben presentarse dentro de los 45 días posteriores al incidente a través de "Mi Protección" contactando con el servicio de atención al cliente de seguridad, con materiales que incluyen registros de denuncia policial y registros de transferencia de activos.
P5. ¿Qué debe contener un informe de auditoría completo? ¿Cómo deben utilizarse la puntuación de seguridad, los hallazgos clave y las recomendaciones de remediación?
Adam, Socio de GoPlus: Un informe de auditoría que pueda guiar la acción (en lugar de solo archivarse) debe contener al menos cuatro elementos:
1) Puntuación de seguridad (calificación cuantificable), utilizada para el "cribado rápido", no para "conclusiones finales". Los equipos de proyecto pueden usar la puntuación como ancla cuantitativa para las evaluaciones de seguridad internas, comparando los cambios tras cada iteración; los exchanges pueden usarla para el cribado inicial de listado para mantener fuera a los proyectos obviamente deficientes en la primera puerta; los usuarios comunes pueden tratar la puntuación como un "punto de entrada": evitar directamente las puntuaciones bajas y, para las puntuaciones altas, examinar más a fondo los hallazgos clave.
2) Hallazgos clave (problemas de alto riesgo y conclusiones centrales), utilizados para la "toma de decisiones". Este es el "resumen ejecutivo" del informe: qué problemas son de nivel bloqueante y deben corregirse antes del lanzamiento. Para los gestores con perfiles no técnicos y los equipos de revisión de listado, comprender los hallazgos clave es suficiente.
3) Detalles de los problemas (evidencia de vulnerabilidades y descripción del impacto), utilizados para "localizar problemas". Esta es la parte para el equipo técnico, que incluye la ubicación de la vulnerabilidad (precisa al contrato, función y línea de código), el tipo de vulnerabilidad, el nivel de gravedad, la descripción de la ruta de ataque y el análisis de la causa raíz. Unos buenos detalles de los problemas deben proporcionar una ruta de ejecución reproducible y condiciones de activación, no solo una lista de problemas.
4) Recomendaciones de remediación (planes de rectificación accionables), utilizados para "cerrar el ciclo". Las recomendaciones de remediación deben ser específicas a nivel de código, accionables, y tras la remediación debe realizarse una verificación de regresión mediante un nuevo escaneo, formando un ciclo completo de "puntuación, hallazgos clave, detalles de los problemas, remediación, nuevo escaneo".
Equipo de Seguridad de Gate: Nos gustaría añadir tres puntos desde nuestra práctica de construir funcionalidades de auditoría de contratos.
Primero, lo que más fácilmente se omite son precisamente los dos primeros elementos: los objetivos y limitaciones de la auditoría, y la descripción del alcance. Definimos ocho dimensiones para los informes —objetivos y limitaciones de la auditoría, descripción del alcance, matriz de gravedad, determinación de prioridades, detalles de vulnerabilidades, rutas de riesgo, modelo de amenazas, análisis de funciones clave y recomendaciones de remediación— y lo que determina si los lectores malinterpretarán todo el informe son precisamente los dos primeros elementos. Si no se declaran claramente las limitaciones, los lectores asumirán que cubre todo; si no se declara claramente el alcance, los lectores no pueden saber si solo se auditó el contrato principal o también el pool de liquidez, los contratos de estrategia, los oráculos y las dependencias externas. Muchas afirmaciones promocionales solo dicen "auditado" sin decir qué se auditó; tales declaraciones básicamente no aportan información.
Segundo, al examinar los hallazgos clave, los riesgos que individualmente no cuentan como vulnerabilidades deben considerarse en conjunto. Tomemos una combinación común en los informes: el propietario del contrato puede incluir direcciones en una lista negra para congelar activos, el par de trading puede restablecerse provocando que los usuarios comunes no puedan transferir, un requisito de tenencia mínima impide que los usuarios vendan por completo, y un único propietario puede cambiar múltiples reglas clave en cualquier momento. Vistos por separado, los cuatro son un diseño normal; considerados en conjunto, significan que el control de este contrato está altamente concentrado en manos de una sola persona.
Tercero, necesitas saber cómo se genera el informe, porque esto determina su límite de fiabilidad. Nuestra auditoría de contratos se desarrolla en tres pasos: primero, análisis estático para verificar riesgos básicos como control de permisos, reentrancy, manipulación de precios, préstamos flash y consistencia lógica; luego, modelado de escenarios de negocio, extrayendo los escenarios de interacción centrales del contrato, verificando las rutas de negocio y las condiciones límite, y encontrando problemas que el escaneo basado en reglas no puede cubrir; finalmente, verificación semántica, revisando las rutas de negocio clave elemento por elemento para confirmar si los riesgos identificados en los dos primeros pasos realmente se sostienen. El tercer paso sirve principalmente para reducir la tasa de falsos positivos. Un informe lleno de falsos positivos hará que los usuarios pierdan rápidamente la paciencia, y eventualmente se saltarán por completo el paso de inspección—por lo que la tasa de falsos positivos determina directamente si esta herramienta se usará realmente.
P6. Para los usuarios comunes, ¿qué acciones de endurecimiento se pueden hacer ahora mismo?
Adam, Socio de GoPlus:
1) Verifica la seguridad del Token antes de operar. Antes de comprar una nueva moneda, verifica la seguridad del propio Token, y presta atención a riesgos de puerta trasera como estafas de honeypot, acuñación maliciosa, listas negras, impuestos de transacción anormales y permisos excesivos del Owner.
2) Limpia regularmente las aprobaciones de contratos. Revoca las Aprobaciones de DApps que ya no uses, especialmente las aprobaciones ilimitadas—muchos robos provienen de que "contratos que alguna vez aprobaste" tienen problemas.
3) Refuerza a nivel de cuenta. Usa contraseñas fuertes y habilita 2FA; gestiona las API Keys con privilegio mínimo, y nunca otorgues permisos de retiro a herramientas no confiables.
4) Convierte la anti-phishing en memoria muscular. Verifica el dominio antes de firmar, no hagas clic en enlaces de mensajes privados, y por defecto desconfía de "airdrops/atención al cliente/staking de alto rendimiento"; el contenido de phishing es cada vez más convincente, así que mantente siempre racional.
5) Almacena los activos por capas según su propósito. Mantén solo una pequeña cantidad de fondos que necesites usar en carteras calientes; para grandes activos, usa carteras hardware—no pongas todos los huevos en la misma canasta.
6) Fíjate en la "actitud de seguridad" de un proyecto más que en su "informe de auditoría". Si hay auditoría continua y un mecanismo de monitoreo de seguridad es más importante que un informe de auditoría de hace años; prioriza proyectos que valoren la seguridad y estén dispuestos a divulgar públicamente sus mecanismos de construcción de seguridad.
Equipo de Seguridad de Gate: Los seis puntos de Adam ya son bastante completos. Nos gustaría combinarlos con las herramientas de Gate para convertir varios de ellos en operaciones que puedas hacer de inmediato.
1) Verifica el Token antes de operar—aquí puedes usar directamente la función de auditoría de contratos de Gate AI. Envía la dirección del contrato y obtén un informe en minutos; concéntrate en cuatro puntos: permisos del owner, lista negra y restricciones de trading, permisos de acuñación e impuesto de transferencia. Si cualquiera de estos cuatro se marca en rojo, deberías detenerte—no hace falta mirar más.
2) Refuerza tu cuenta—primero lleva tu puntuación de seguridad por encima de 80. Contraseña de fondos, autenticador, verificación de dos factores, código anti-phishing, passkeys, límite diario de retiro, gestión del método de retiro—todos estos elementos de protección están en la lista de verificación; solo sigue las indicaciones y complétalos uno por uno. El mayor valor de la puntuación de seguridad es convertir configuraciones dispersas en una lista de verificación ordenada, para que no tengas que decidir cuál hacer primero. Alcanzar 80 o más también te permite activar el Programa de Protección de Seguridad de la Cuenta, lo que significa una capa adicional de respaldo después de haber reforzado adecuadamente tu propia cuenta.
3) Hay dos herramientas listas para usar contra el phishing. Si recibes un mensaje que dice ser de Gate, primero verifica en el canal oficial de verificación si el dominio o el correo electrónico son nuestros; todos los correos enviados por Gate incluirán el código anti-phishing que tú mismo configuraste—cualquiera que no tenga este código es falso.
4) Antes de firmar, revisa claramente el monto de la aprobación. Que el contrato en sí esté bien no significa que la transacción que la página te pide firmar esté bien. Una DApp normal puede perfectamente solicitar solo el monto necesario para esta transacción; que solicite una aprobación ilimitada de inmediato es en sí mismo motivo para detenerse. Si la ventana emergente contiene solo una cadena de caracteres incomprensibles, rechazar siempre es más seguro que firmar primero y preguntar después.
Finalmente, queremos decir que la seguridad es dinámica, no estática.
Salir a producción después de una auditoría es solo el punto de partida del trabajo de seguridad. Para los equipos de proyecto, esto significa que el monitoreo continuo después del lanzamiento es más importante que el informe en sí; para las plataformas de trading, significa que listar es solo el comienzo de la revisión; y para los usuarios comunes, esos pocos minutos de autoverificación antes de firmar son el paso de menor costo, y también el que más fácilmente se omite.
La seguridad nunca ha sido una certificación de una sola vez. Si todas las partes dan un paso más, el equilibrio entre ataque y defensa se inclinará a favor de nosotros, los "guardianes".
¡Nos vemos juntos en la cuarta sesión del "Curso de Seguridad de Puertas"!
