Auditorías

Documentation Index

Fetch the complete documentation index at: https://docs.raydium.io/llms.txt

Use this file to discover all available pages before exploring further.

​

Tabla de auditorías por programa

​

Qué cubren las auditorías

• Control de acceso — ¿está cada operación privilegiada correctamente protegida?
• Aritmética — desbordamientos, subdesbordamientos, dirección de redondeo, precisión de punto fijo.
• Validación de cuentas — ¿tiene cada cuenta el propietario, mint y autoridad correctos?
• Patrones similares a reentrancia — ¿se actualiza el estado antes o después de un CPI?
• Derivación de PDA — ¿son consistentes las semillas en todos los sitios?
• Códigos y mensajes de error — ¿revierten las condiciones de error de forma limpia?
• Calidad de código — Rust idiomático, código muerto, ramas inalcanzables.

​

Qué no cubren las auditorías

• Teoría económica de juegos — por ejemplo, “¿si puedo crear 1000 pools gratis, puedo obstruir el router?”
• MEV / ordenamiento — ataques sándwich, front-running mediante colusión de validadores.
• Infraestructura fuera de cadena — confiabilidad de RPC, corrección de indexadores, frontend.
• Integraciones con otros programas — errores que solo se manifiestan cuando se combinan con contratos específicos de préstamo, opciones o agregadores.
• Comportamientos emergentes con el tiempo — ¿qué sucede después de 10 millones de posiciones? Las auditorías examinan casos de prueba a pequeña escala.

​

Estado de resolución de hallazgos

​

Re-auditoría después de cambios significativos

​

Verificación en cadena

# Extrae el bytecode del programa desplegado.
solana program dump <PROGRAM_ID> program.so

# Compila el repositorio en el commit auditado.
git clone https://github.com/raydium-io/raydium-cp-swap
cd raydium-cp-swap
git checkout <audited_commit_hash>
anchor build --verifiable

# Compara.
sha256sum program.so target/deploy/raydium_cp_swap.so

​

Cómo leer un reporte de auditoría

1. Ve directo al resumen de hallazgos — una tabla de conteos de severidad. Si el conteo de “Crítico” es >0 y ves estado “Abierto”, profundiza.
2. Lee la descripción y estado de cada hallazgo. “Corregido en commit XYZ” significa resuelto; “Reconocido” significa que el equipo aceptó el riesgo; “Parcialmente corregido” vale la pena observar más de cerca.
3. Escanea la sección de alcance. Si la auditoría no cubrió la instrucción o cuenta que te importa, la ausencia de hallazgos allí no es evidencia de seguridad.
4. Lee rápidamente la sección de recomendaciones del auditor. A menudo más útil que los hallazgos — expone notas de “no pudimos probarlo formalmente pero estamos incómodos”.

​

Integración de recompensa por errores

• Ataques económicos que las auditorías no cubren.
• Errores encontrados en nuevas integraciones.
• Errores de implementación en SDKs y componentes fuera de cadena.

​

Incidentes históricos

​

Explotación de autoridad de pool (Diciembre 2022)

​

Congelación de integración de OpenBook (Enero 2023)

​

Referencias

• security/admin-and-multisig — estructura de autoridad.
• security/attack-vectors — patrones de ataque conocidos.
• security/disclosure — política de recompensa por errores.

• Repositorios de código fuente por programa: raydium-amm, raydium-clmm, raydium-cp-swap.
• Espejo de reporte de auditoría: raydium-docs/audit.
• Recompensa por errores: Immunefi — Raydium.