Análisis económico para Solidity

Encuentra el fallo que cambia el dinero.

Scorpio analiza repositorios Solidity públicos, reconstruye cómo se mueve el valor y entrega evidencia reproducible antes de que el fallo llegue al bug bounty o a producción.

Preflight antes del pago Pago x402 en USDC Entrega verificable
ENGINE / LIVE CATALOGONLINE
STATE
VALUE
ACCESS
Marca de Scorpio
127MODULES
49STATIC CHECKS
0Módulos alcanzablesHuella del motor desplegado
0Familias económicasCobertura organizada por riesgo
0Barridos estáticosPublicados en el catálogo actual
0Módulos ilegiblesCatálogo legible de extremo a extremo
01 / MÉTODO

Del repositorio a una evidencia que se puede comprobar.

Scorpio trata cada análisis como una cadena de custodia técnica. Primero decide si el repositorio entra en alcance, después compila, modela y sella el resultado.

01

Admisión

Comprueba la URL pública, el commit y el tamaño real del código propio.

Gratis · sin compromiso
02
{ }

Compilación

Resuelve el proyecto Foundry y separa código propio de dependencias.

Entorno aislado
03

Mapa económico

Sigue estados, privilegios y rutas por las que puede moverse el valor.

Contexto entre contratos
04

Barridos

Ejecuta las familias aplicables y prioriza las señales con impacto económico.

Motor determinista
05

Entrega

Redacta el informe con los hallazgos priorizados y lo devuelve junto al commit exacto que se analizó.

Resultado reproducible
02 / ANTES DE PAGAR

Comprueba si tu repositorio entra en alcance.

El preflight cuenta el Solidity propio y el de terceros antes de abrir ningún pago, y lo hace el servicio de verdad: clona el repositorio y lee su árbol, sin compilarlo y sin ejecutar nada de él. Es gratis, va con cupo, y un repositorio que no entra en alcance se rechaza aquí en vez de cobrarse y fallar después.

  • URL y commit identificados
  • Código propio separado de terceros
  • Precio cerrado antes de autorizar el pago
SCORPIO / PREFLIGHTEN VIVO
git:
ProductoAuditoría completa · 149 USDC

Gratis y sin pagar nada. El servicio clona el repositorio y cuenta su Solidity leyendo el árbol, sin compilarlo ni ejecutar nada de él. Tarda unos segundos y va con cupo.

04 / MEDICIÓN

Más señal por alerta en el primer benchmark compartido.

En cinco casos oficiales de CodeHawks, Scorpio casó 12 hallazgos de la lista oficial frente a los 5 de Slither, y levantó 26 alertas en total frente a 63.

09SEPTIEMBRE
2026
MOTOR 890777…
i

Es una muestra pequeña de cinco concursos, no una prueba de superioridad general. La columna de Scorpio se midió el 9 de septiembre de 2026 con el motor 890777033a8fc952…, en tres repeticiones idénticas. La huella del motor desplegado la enseña esta misma página, arriba: si no coincide con ésa, la medida es de un motor anterior y no se ha repetido con el de hoy. La de Slither es de su versión 0.11.5 sobre los mismos casos congelados, medida el 6 de septiembre; Slither no ha cambiado entre las dos fechas.

!

Qué son las 14 que no casaron, porque llamarlas «incorrectas» sería inexacto: cuatro son de severidad informativa —tres avisos de contrato sin eventos y una nota sobre supuestos del token—, contexto que el motor entrega a propósito y que no compite en una lista de vulnerabilidades; tres dicen algo cierto del código, que el valor devuelto por una transferencia ERC-20 no se comprueba, que el concurso no admitió como hallazgo; y una es un interruptor de un solo sentido que el motor marca como sospecha porque quien decide si eso se quería es una persona.

!

De las seis restantes, cinco son el mismo fallo que una entrada de la lista oficial, con otro nombre. El comparador empareja exigiendo que el detector se llame igual que la familia de la etiqueta, así que cuando el motor acierta el fallo y lo nombra por su causa en vez de por su efecto, la cuenta lo penaliza dos veces: la etiqueta se apunta como no encontrada y el hallazgo como incorrecto. Los cinco pares están comprobados uno a uno, con el mismo contrato y, en cuatro de ellos, la misma función: el cerrojo que nunca se cierra en refund es la reentrada de CH-05; el plazo que se puede reescribir es CH-07; el recorrido sin techo de claimants es MC-08; la firma que no ata la implementación es SP-01; y el digesto sin typehash es SP-02. La sexta dice algo cierto que la lista no recoge.

i

Esa adjudicación es a mano y de parte: la hizo quien trabaja en el motor. Por eso las cifras que manda esta página siguen siendo las mecánicas. Contadas con los cinco pares admitidos saldrían 17 casados y 9 sin casar, o sea 65,4 % de precisión y 35,4 % de cobertura. Se dice para que se vea de dónde sale la diferencia, no para apuntársela.

Scorpio52,6%
10 TP · 9 FP
SSlither7,9%
5 TP · 58 FP
48 hallazgos oficiales5 / 5 casos ejecutados15 / 15 ejecuciones estables
05 / CÓMO SE COMPRUEBA

Un motor que se mide a sí mismo.

Cada detector tiene delante un contrato escrito para que salte y otro casi idéntico escrito para que no salte. Un cambio que rompa cualquiera de los dos pone el banco en rojo, y sin banco verde no se construye la imagen que atiende los pedidos.

0Contratos de bancoEscritos para probar el motor
0Defectos plantadosLos caza los 201
0Controles sanosNo marca ninguno
0% de mutaciónSobre lo que se puede matar
i

La puntuación de mutación cambia una línea del motor a propósito y comprueba que el banco se entere. Lo que no se entera queda escrito uno a uno con el motivo: por qué esa línea no puede cambiar el resultado, o qué caso haría falta para provocarlo. Hoy no queda ninguno sin leer.

06 / COBERTURA

Diez familias para seguir el riesgo económico.

Cada familia agrupa barridos que buscan una forma concreta de romper invariantes, apropiarse de privilegios o desviar valor.

01
±

Contabilidad

Balances, redondeos, comisiones y conservación del valor.

6 barridos
02

Oráculos

Precios, frescura, escalas y dependencias manipulables.

4 barridos
03

Firmas

Replay, dominios, nonces y autorizaciones criptográficas.

8 barridos
04

Privilegios

Roles, setters, inicialización y escalada de control.

7 barridos
05

Reentrada

Interacciones externas y cambios de estado inseguros.

4 barridos
06

Almacenamiento

Colisiones, layout y corrupción tras actualizaciones.

4 barridos
07

Estados

Transiciones imposibles, bloqueos y saltos de fase.

6 barridos
08

Fondos atrapados

Rutas de salida ausentes o condicionadas para siempre.

4 barridos
09
0x

Codificación

Colisiones, calldata y supuestos de serialización.

5 barridos
10

Aleatoriedad

Fuentes predecibles con impacto en resultados económicos.

1 barrido
07 / RESULTADO

Una entrega que deja rastro.

El informe conecta cada señal con su sitio en el código, y viaja con el commit exacto sobre el que se produjo.

SCORPIO_REPORT
FINDING / ECONOMIC

Invariante de valor vulnerable

HIGHCONFIDENCE 0.86

report.md
commit
tree
01

Hallazgos priorizados

Severidad, confianza, ubicación y efecto económico esperado.

02

Evidencia técnica

Rutas de código y contexto suficiente para reproducir la señal.

03

Procedencia

El commit y el árbol exactos del clon que se analizó, devueltos junto al informe.

04

Lo que no se midió

Si algún barrido no llegó a terminar, el pedido sale marcado INCOMPLETE y el informe lo dice. Un silencio no se presenta como un «no hay nada».

08 / CRITERIO

Lo que Scorpio afirma.
Y lo que no.

Sí entrega

  • Análisis automatizado y repetible
  • Priorización por impacto económico
  • Evidencia ligada al código analizado
  • El commit exacto y el sello del informe
  • Estado explícito de la ejecución

× No promete

  • Cero falsos positivos
  • Cobertura total de vulnerabilidades
  • Encontrar siempre un fallo
  • Equivalencia con una auditoría humana
  • Elegibilidad automática para recompensas
09 / PREGUNTAS

Antes de lanzar un análisis.

Las condiciones técnicas y comerciales más importantes, explicadas sin letra pequeña.

Leer términos completos
¿Scorpio sustituye una auditoría humana?

No. Reduce el espacio de búsqueda y aporta evidencia repetible, pero no certifica que el contrato sea seguro ni cubre todo el razonamiento de una revisión humana.

¿Qué puedo analizar hoy?

Repositorios públicos compatibles con Foundry, aceptados por el preflight y con un máximo de 1.200 ficheros Solidity propios. El producto activo no consulta el estado de la cadena.

¿Cuándo se cobra?

Primero se ejecuta el preflight gratuito. Si el repositorio entra en alcance, Scorpio devuelve la oferta exacta. El análisis comienza cuando el pago x402 queda verificado.

¿Qué ocurre si falla el motor?

El pedido queda en estado FAILED y se aplica la devolución del precio del servicio conforme a los términos. Las comisiones de red ajenas a Scorpio no forman parte de esa devolución.

¿Cuánto tarda?

El catálogo estima unos cinco minutos de ejecución para el producto activo. Es una estimación técnica, no un SLA: el tamaño, la compilación y la cola pueden cambiar el tiempo total.

¿Qué significan DONE e INCOMPLETE?

DONE indica que la entrega prevista terminó. INCOMPLETE significa que existe una entrega parcial con límites documentados. PENDING y FAILED describen una ejecución pendiente o fallida. EXPIRED aparece cuando han pasado los 30 días de conservación y la entrega ya se ha borrado.

¿Puedo enviar un repositorio privado?

No en el producto actual. No envíes credenciales, tokens ni URLs privadas. La oferta pública está diseñada para repositorios accesibles sin autenticación.

¿Cómo se verifica el resultado?

Cada pedido devuelve el commit y el árbol exactos del clon analizado, así que cualquier hallazgo se puede señalar sobre una revisión concreta y volver a mirar. La versión del motor que corre en cada momento es pública en /health, con su huella de contenido.

SCORPIO / AUDIT-149

Antes de confiar valor,
comprueba el código.

El preflight es gratuito y confirma el alcance antes de crear una solicitud de pago.

Comprobar repositorio