Seguridad

Transparencia sobre cómo protegemos tus fondos

ESTADO DE AUDITORÍA DE SEGURIDAD

Auditoría de Seguridad Exhaustiva V30 Completada

Última auditoría: 16 de febrero de 2026 — 22 archivos Solidity, ~6,500 líneas revisadas

0
Crítico
0
Alto
0
Medio
8
Bajo (Aceptado)
448+
Tests Aprobados
30
Iteraciones de Auditoría
16
Contratos Desplegados

🏗️ Seguridad Arquitectónica

La arquitectura de MaxFi elimina clases enteras de ataques DeFi por diseño, no solo añadiendo protecciones.

Diseño Sin Swaps

Sin intercambios de tokens durante los rebalanceos. Esto elimina la extracción MEV, ataques sándwich y deslizamiento — la clase de vulnerabilidad más costosa en DeFi ($1.2B+ solo en 2024).

Posiciones NFT por Usuario

Cada usuario posee su propio NFT de liquidez concentrada. Sin pool compartido, sin tasa de cambio que manipular. Elimina toda la clase de ataques a vaults ERC-4626 (inflación, donación, redondeo).

Reversión Estricta de TWAP

El protocolo NUNCA recurre a precios spot manipulables. A diferencia de protocolos que causaron $52M+ en pérdidas por manipulación de oráculos en 2024, MaxFi revierte ante fallos de TWAP.

🧪 Metodología de Testing

Nuestros contratos inteligentes pasan por rigurosas pruebas multicapa para asegurar fiabilidad y seguridad.

448+

Tests Unitarios y Fork

Cobertura completa de pruebas para todas las funciones de contratos y casos extremos

10

Tests de Invariantes

Tests basados en propiedades que verifican que las propiedades críticas de seguridad se mantienen bajo cualquier secuencia de operaciones

40K+

Llamadas Aleatorizadas

Los tests de invariantes ejecutan ~40,000 llamadas de función aleatorizadas para encontrar casos extremos

Invariantes Verificados

Las comisiones de rendimiento nunca exceden el 50% máximo
Las comisiones de referido nunca exceden las comisiones del protocolo
Los anchos de rango de las posiciones se mantienen dentro de los límites
Los retrasos de rebalanceo se mantienen dentro de los límites de 0-7d
La tesorería está configurada cuando las comisiones están activas
Los rangos de tick son siempre válidos
La propiedad de las posiciones se mantiene consistente
Los cambios de tasa de comisión respetan ±500 bps / 6h de enfriamiento
Las marcas de tiempo de depósito son válidas
La contabilidad interna coincide con el estado esperado

🛡️ Resistencia a Exploits

Verificado contra vectores de ataque DeFi conocidos de 2024-2026 ($2B+ en pérdidas analizadas).

Reentrancia: nonReentrant en todos los puntos de entrada + flags de reentrancia de solo lectura
Manipulación de Oráculo: TWAP con reversión estricta — nunca recurre al precio spot
Ataques de Flash Loan: Tiempo de retención de 1 minuto + oráculo TWAP (no manipulable en un solo bloque)
MEV / Sándwich: Arquitectura sin swaps — sin swaps no hay nada que intercalar
Inflación del Primer Depositante: Posiciones NFT por usuario — sin vault compartido que inflar
Ataques de Donación: Sin tasa de cambio ERC-4626 que manipular
Control de Acceso: Ownable2Step + onlyVault + onlyAuthorized en todas las funciones de admin
Colisión de Almacenamiento en Proxy: EIP-1967 + OpenZeppelin TransparentUpgradeableProxy + __gap[39]

🔍 Sobre Nuestras Auditorías de Seguridad

Nuestros contratos inteligentes han pasado por 30 iteraciones de auditoría usando metodologías estándar de la industria incluyendo OWASP Smart Contract Top 10 (2026), EEA EthTrust Security Levels V3 (88 requisitos), SWC Registry (SWC-100 a SWC-136), y análisis de más de 15 exploits DeFi importantes de 2024-2026 totalizando $2B+ en pérdidas.

La metodología está informada por los frameworks de auditoría de Trail of Bits, OpenZeppelin, Cyfrin y Spearbit. Los 22 archivos Solidity (~6,500 líneas) han sido revisados línea por línea a través de múltiples iteraciones con remediación progresiva de todos los problemas identificados.

Nota de Transparencia: Estas auditorías fueron realizadas usando herramientas de análisis de seguridad con IA, no una firma de auditoría externa tradicional. Aunque la metodología es rigurosa y exhaustiva, planeamos contratar una auditoría de una firma de seguridad reconocida a medida que el protocolo crezca. Siempre haz tu propia investigación y solo deposita lo que puedas permitirte perder.

Características de Seguridad Implementadas

Diseño Sin Swaps

Sin intercambios de tokens durante los rebalanceos — elimina MEV, ataques sándwich y deslizamiento

Posiciones NFT por Usuario

Cada usuario posee su propio NFT de LP — sin vault compartido, sin ataques de inflación

Oráculo TWAP (Reversión Estricta)

TWAP de 5 minutos sin fallback a precio spot — previene la manipulación de oráculos

ReentrancyGuard

Todas las funciones que cambian estado protegidas contra ataques de reentrancia

Ownable2Step

Transferencia de propiedad en dos pasos previene bloqueo accidental en todos los contratos

Limitación de Tasa de Comisiones

Las comisiones solo pueden cambiar ±5% cada 6 horas — mínimo 42 horas para alcanzar el máximo

Timelocks de 24h

Los cambios de tesorería y gestor de staking requieren un timelock de 24 horas

Pausable

Capacidad de parada de emergencia para respuesta a incidentes

SafeERC20

Patrones de transferencia segura de tokens para todas las operaciones ERC20

Protección contra Flash Loans

Tiempo mínimo de retención de 1 minuto previene exploits de flash loan

Límites de Posiciones

Límites configurables previenen ataques de gas (500/usuario, 100K total)

Protección contra Reentrancia de Solo Lectura

Flags de retiro en adaptadores de recompensa previenen exploits de funciones de vista

Reportes de Auditoría

Contratos Desplegados (Base Mainnet)

Los 16 contratos verificados en BaseScan — compilados con solc 0.8.33, builds determinísticos via_ir

ContratoDirección
MaxFi Vault (Proxy)0x7d27cdfb...fd2afd55
Implementación de MaxFi Vault0x359f90ee...06822d28
ProxyAdmin0x7885d796...25f486cb
AdminSatellite0xebae1f42...8e53ee36
StakingManager0x4994743d...81020638
FeeTransferHelper0xccbfba20...f02cced2
ReferralTracker0xe0cf9756...03ec8aad
ViewHelper0x28649062...d3ce18bd
KeepersHelper0x6cbfdf01...9f90b114
TreasurySplitter0xef9b9e02...957d9d98
UniswapV3Adapter0xca4cf963...b4debabd
AerodromePositionAdapter0x0aedeed5...559794d1
AerodromeRewardAdapter0xbb8ea00a...a264375a
PancakeSwapPositionAdapter0xad35ec92...edbf0a71
PancakeSwapRewardAdapter0x346cb3db...0ab08912

🐛 Reportar un Problema de Seguridad

¿Encontraste una vulnerabilidad? Nos tomamos la seguridad en serio y agradecemos la divulgación responsable. Contáctanos a través de cualquiera de estos canales:

Planes de Seguridad Futuros

  • Contratar auditoría de una firma de seguridad reconocida (Trail of Bits, OpenZeppelin, etc.)
  • Lanzar programa formal de recompensas por bugs
  • Añadir requisito de multi-sig para upgrades del protocolo

Importante: A pesar de nuestras medidas de seguridad, todos los protocolos DeFi conllevan riesgos inherentes. Bugs en contratos inteligentes, exploits económicos y vulnerabilidades imprevistas pueden resultar en pérdida de fondos. Nunca deposites más de lo que puedas permitirte perder. Por favor lee nuestra divulgación de riesgos completa antes de usar MaxFi.

Security Audit | MaxFi - Smart Contract Security