Seguridad de los contratos inteligentes
¿Se han auditado los contratos inteligentes?
Sí. Todos los contratos inteligentes de Tori han sido auditados de forma independiente por Sherlock y Nethermind, dos firmas líderes en seguridad de contratos inteligentes. Sherlock ha auditado protocolos que protegen más de $50 mil millones en activos en Web3.Ver los informes de auditoría
Ambos informes completos, con fechas y hallazgos
¿Hay un programa de bug bounty?
Sí. Las recompensas aumentan con la gravedad, hasta $1.000.000 por un hallazgo crítico. La tabla completa de recompensas, el alcance y el proceso están en la página de auditorías. Informa de las vulnerabilidades a security@tori.finance.¿Con qué frecuencia se auditan los contratos?
Los contratos se someten a una auditoría completa antes del despliegue inicial, los componentes modificados se vuelven a auditar en las actualizaciones importantes y las nuevas funcionalidades se auditan antes de su lanzamiento. El programa de bug bounty cubre todo lo que ocurre entre una auditoría y otra.¿Los contratos son actualizables?
Sí, los contratos usan patrones de proxy actualizable para poder desplegar correcciones de seguridad. Una actualización no puede pasar desapercibida: solo se ejecuta a través del timelock de 24 horas, con la puesta en cola y la ejecución a cargo del Safe 3 de 5, de modo que cualquier actualización es visible on-chain durante un día completo antes de surtir efecto.Seguridad de los activos
¿Dónde se mantienen los activos?
Los activos on-chain permanecen en contratos auditados cuyas operaciones privilegiadas requieren un quórum multisig. Las reservas off-chain están en manos de custodios institucionales previamente evaluados, en cuentas segregadas. Respaldo y reservas explica la visión completa, y la matriz de roles muestra exactamente qué claves pueden mover qué.¿Están asegurados trUSD y strUSD?
No. trUSD y strUSD no están asegurados por:- Ningún organismo público (como la FDIC)
- Ninguna compañía de seguros privada
¿Quiénes son los custodios?
Hay dos acuerdos distintos: la custodia de las reservas del protocolo y la custodia de los tokens que mantienen las instituciones. No revelamos qué custodios mantienen las reservas off-chain del protocolo. Los saldos de reservas que mantienen están cubiertos por las verificaciones independientes de Accountable, y la garantía solo puede moverse a una dirección de custodia registrada on-chain a través del timelock de 24 horas. Todos los custodios y socios con los que trabajamos tienen licencia y están regulados, cuentan con una trayectoria consolidada en custodia, cumplen SOC 2 o estándares de seguridad equivalentes y mantienen los activos en cuentas totalmente segregadas. Las instituciones pueden mantener trUSD y strUSD con Anchorage Digital, BitGo o Cactus Custody. Los tres admiten ambos tokens, lo que permite a una institución mantenerlos con el custodio que ya utiliza. Se trata de la custodia de los tokens que posee una institución, y es independiente de la custodia de las reservas del protocolo. Custodia institucional detalla la entidad regulada de cada custodio y qué hay que confirmar antes de depositar.¿Puede el equipo acceder a los activos del protocolo?
Ninguna persona puede hacerlo por sí sola. Cada función privilegiada está protegida por un rol con nombre: las operaciones críticas requieren un quórum del Safe 3 de 5, las transferencias de custodia solo pueden ir a direcciones registradas previamente y sujetas al timelock, y cada clave operativa puede realizar exactamente una tarea. La matriz de roles enumera cada rol, titular y función, y todo ello puede consultarse on-chain.Verificación y transparencia
¿Cómo puedo verificar las reservas?
Tres formas de verificarlo:1
Prueba de reservas
Consulta las verificaciones independientes en tiempo real de Accountable en tori.accountable.capital
2
Datos on-chain
Verifica los saldos de los contratos inteligentes directamente en Etherscan (direcciones de los contratos)
3
Suministro de tokens
Compara el suministro total de trUSD con el respaldo verificado
¿Con qué frecuencia se verifican las reservas?
De forma continua. La prueba de reservas de Accountable se actualiza en tiempo real, no de forma mensual o trimestral como en las finanzas tradicionales.¿Dónde puedo ver la prueba de reservas?
Monitorización y respuesta a incidentes
¿Cómo se monitoriza el protocolo?
Hypernative vigila el protocolo las 24 horas. Sus modelos señalan las anomalías en el momento en que se producen, desde transacciones inusuales hasta direcciones de atacantes conocidos, alertan al equipo de inmediato y mantienen una puntuación de riesgo actualizada del protocolo. La detección y la primera respuesta están automatizadas.¿Qué ocurre durante un incidente de seguridad?
Nuestro proceso de respuesta a incidentes:1
Detección
La monitorización automatizada está diseñada para identificar los problemas de inmediato
2
Evaluación
Triaje rápido para entender la gravedad y el posible impacto
3
Contención
Medidas inmediatas para limitar los daños (que pueden incluir la pausa de las operaciones)
4
Comunicación
Actualizaciones a través de los canales oficiales
5
Corrección
Solución del problema de fondo
6
Análisis post mortem
Análisis y medidas preventivas
¿Se puede pausar el protocolo?
Sí. El rol Controlador de Acceso puede desactivar la acuñación y el canje en una sola transacción; existe precisamente para que la contención nunca tenga que esperar a un quórum multisig. Los detalles están en la matriz de roles.Cómo protegerte
¿Cómo puedo protegerme?
Verifica las URL
Usa solo app.tori.finance. Guárdala en tus marcadores para evitar sitios de phishing.
Verifica los contratos
Comprueba las direcciones en nuestra página de Contratos antes de interactuar.
Protege tu cartera
Nunca compartas tus claves privadas ni tus frases semilla con nadie. Jamás.
Sé prudente
Desconfía de los mensajes directos, los airdrops y los mensajes de «soporte».
¿Qué estafas habituales conviene vigilar?
¿Qué no hará nunca el equipo de Tori?
El equipo de Tori nunca:- Te pedirá tu frase semilla ni tus claves privadas
- Te escribirá primero por mensaje directo en redes sociales
- Te pedirá que envíes tokens para «verificar» tu cartera
- Te ofrecerá acuerdos exclusivos por mensaje directo
- Te pedirá que descargues software fuera de la app oficial
¿Qué funciones de seguridad debería usar?
Cómo informar de problemas
¿Cómo informo de una vulnerabilidad de seguridad?
Correo electrónico: security@tori.finance Incluye:- Una descripción clara de la vulnerabilidad
- Los pasos para reproducirla
- Una prueba de concepto (si procede)
- Una evaluación del posible impacto
Divulgación responsable: no divulgues públicamente las vulnerabilidades antes de que se hayan resuelto. Nuestro objetivo es
acusar recibo de los informes en un plazo de 24 horas.
¿Cómo informo de una estafa o un intento de phishing?
Escribe a security@tori.finance con:- Capturas de pantalla de la estafa
- Las URL implicadas
- Cualquier otro detalle relevante
Creo que mi cartera ha sido comprometida
Si sospechas que hay actividad no autorizada:- Detente - No hagas más transacciones
- Mueve los activos - Transfiere los tokens restantes a una cartera nueva y segura
- Informa - Abre un ticket en nuestro Discord para obtener soporte
- Documenta - Guarda los hashes de las transacciones y capturas de pantalla
Enfoque de seguridad
¿Cómo aborda Tori la seguridad?
No se confía en ninguna protección por sí sola. Las auditorías detectan problemas antes del despliegue, el programa de bug bounty paga a investigadores para que sigan buscando después, Hypernative monitoriza la producción en tiempo real, las multisigs y el timelock restringen cada clave privilegiada y el fondo de reserva amortigua las condiciones adversas. El resumen de seguridad recorre cada capa.¿Cuáles son las limitaciones?
Ningún sistema puede garantizar una seguridad perfecta. Somos transparentes al respecto:- Las auditorías son evaluaciones de un momento concreto
- Pueden surgir nuevos vectores de ataque
- DeFi es experimental por naturaleza
¿Más preguntas?
Para consultas relacionadas con la seguridad: security@tori.finance Para soporte general: únete a nuestro DiscordResumen de seguridad
Todas las capas del sistema, en un solo lugar
Informes de auditoría
Fechas, PDF y la tabla de recompensas
Información sobre riesgos
Léela antes de depositar
Contratos
Verifica cada dirección en Etherscan
Código fuente
Los contratos desplegados en GitHub
Traducción automática: esta página es una traducción automática del original en inglés y se ofrece únicamente por comodidad. Puede contener errores u omisiones y no tiene efectos jurídicos. Si esta página y la versión en inglés difieren, prevalece la versión en inglés. Lee el original en inglés antes de basarte en cualquier contenido de esta página.