Contrato proxy: lo que auditaste puede cambiar

📌 En 30 segundos: Hay contratos diseñados para poder cambiarse a sí mismos después de publicados. Se llaman contratos proxy o actualizables. No es un fallo ni un truco por definición — es una pieza de ingeniería real, usada también por proyectos serios. El problema es que, si nadie te lo dice, tú sigues confiando en la auditoría del día uno mientras el código de detrás ya es otro.

Soy El Mecánico. Vamos a abrir el capó de una pieza que casi nadie explica bien, sin magia.

Qué es, en la práctica

Imagina el contrato como una carcasa fija con un motor que se puede sacar y sustituir por otro sin cambiar la carcasa de fuera. La dirección del contrato — la que tú ves, la que usa tu monedero — no cambia nunca. Lo que puede cambiar es el motor de dentro: la lógica que decide qué hace ese contrato cuando compras, vendes o interactúas con él.

Por qué esto importa tanto

Cuando alguien te dice "este contrato está auditado", en un proxy esa frase tiene fecha de caducidad silenciosa. La auditoría se hizo sobre el motor que había el día que se revisó. Si el motor se sustituye después, la auditoría sigue ahí, sigue citándose, sigue dando tranquilidad — y ya no describe lo que está corriendo de verdad.

La pregunta que hay que hacerse

No es "¿es proxy o no?" — muchos proyectos legítimos lo son, por buenas razones técnicas. La pregunta es: ¿quién puede activar el cambio de motor, y con qué controles? Un proyecto serio limita esa capacidad con retrasos obligatorios, avisos públicos o la participación de varias personas antes de que un cambio se active. Un proyecto sin esos controles concentra ese poder en una sola dirección, sin aviso ni demora.

Un ejemplo, marcado como ejemplo

Ejemplo ilustrativo (no es un caso real): compras un token después de leer que "el contrato fue auditado por una firma reconocida hace tres meses". Es verdad. Lo que no sabes es que, hace tres semanas, el motor de dentro cambió — el mismo contrato, la misma dirección, pero una lógica distinta. La auditoría de hace tres meses ya no describe lo que tienes delante.

Errores comunes

• Pensar que una auditoría es válida para siempre. Solo es válida para la versión del código que se revisó ese día.
• Ignorar quién controla la actualización. El riesgo no está en que el contrato sea proxy, está en quién y cómo puede cambiarlo.
• No comprobar la fecha de la última actualización. Es un dato público que casi nadie mira.

Tu caja de verificación

• Comprueba si el contrato es de tipo proxy o actualizable antes de fiarte solo de la auditoría.
• Si lo es, busca si existen retrasos obligatorios o controles de varias personas para activar cambios.
• Revisa la fecha de la última actualización del código de detrás, no solo la fecha de la auditoría — el mismo cuidado que le pondrías a comprobar un honeypot antes de comprar.
• Si tienes dudas, estas herramientas de verificación muestran esto sin que necesites leer código.

Mini-glosario

• Contrato proxy: contrato cuya dirección es fija pero cuya lógica interna se puede sustituir.
• Timelock: retraso obligatorio entre que se propone un cambio y se activa, pensado para dar tiempo de reacción.
• Auditoría con fecha: revisión que solo garantiza la versión del código vigente en el momento de hacerla.

❓ Preguntas frecuentes

¿Todos los contratos proxy son peligrosos? No. Es una técnica legítima usada por proyectos serios. El riesgo depende de los controles alrededor del cambio, no del hecho de ser proxy.

¿Cómo sé si un contrato es proxy? Es un dato visible en el propio contrato para quien sabe dónde mirar, o mediante un escáner que lo indique automáticamente.

¿Esto tiene relación con las funciones peligrosas del contrato? Sí — un proxy sin control es, en el fondo, otra forma de darle al dueño un poder que tú no ves a simple vista, parecido a lo que puede provocar un rugpull.

🔧 Cierre del Mecánico: Que un contrato "esté auditado" es una foto fija, no una garantía permanente. Pregunta siempre si el motor se puede cambiar y quién tiene la llave. Dime: ¿sabías que existían los contratos proxy antes de leer esto? Te leo. Si se puede arreglar, se arregla. 🔧

🔧 Contenido educativo, con fines de protección del usuario. No se explica cómo implementar un contrato proxy, solo cómo entender el riesgo. No es consejo financiero.