Metodología y advertencias
TokenIntel separa la priorización del veredicto. La comunidad vota qué se investiga a continuación. Los votos nunca deciden si un proyecto es una estafa: el veredicto final lo produce el investigador y se apoya en evidencia on-chain, revisión de contratos y análisis de billeteras.
Puntuación de riesgo
Un modelo ponderado, aditivo y ligado a la evidencia. Todos los pesos son positivos y cada punto otorgado debe enlazar con evidencia; sin evidencia, no se otorga el punto.
Una señal cuyos datos no se recopilaron queda excluida de la puntuación y de su máximo, y se publica como NO EVALUADA en lugar de tratarse como limpia. El modelo define 200 puntos en total, pero ningún informe se puntúa sobre todos ellos: cada uno se puntúa solo sobre los puntos que realmente pudo evaluar, normalizados a 100. Cada informe indica qué señales comprobó y cuáles no, de modo que un proyecto nunca parezca más seguro porque no pudimos mirar.
| Señal | Peso |
|---|---|
| Código fuente del contrato sin verificar | +15 |
| Proxy con autoridad de actualización desconocida o centralizada | +15 |
| Billeteras del equipo vaciadas hacia destinos sin identificar | +18 |
| Función de retiro o drenaje para el propietario | +12 |
| Emisión oculta o control sospechoso del suministro | +12 |
| Transferencias a una billetera caliente de exchange conocida | +10 |
| Grandes flujos a destinos sin identificar tras la recaudación | +8 |
| Controles de lista negra o congelación | +8 |
| Propiedad no renunciada | +8 |
| Impuesto de transferencia superior al 5 por ciento | +6 |
| El contrato de venta y el token comparten desplegador | +4 |
| Liquidez retirable por una billetera del equipo | +12 |
| Distribución concentrada de titulares | +8 |
| Identidad pública del equipo débil o no verificable | +6 |
| Las billeteras del equipo ya no conservan una parte sustancial de lo recaudado | +6 |
| Sin repositorio de código público | +52 |
Modelo de riesgo versión 4. Cada informe indica la versión aplicada.
Señales del repositorio de código
Solo se puntúa un lado de esta dimensión, y ambos lados valen 52 puntos, de modo que un proyecto se mide contra el mismo máximo en cualquier caso. Un proyecto que no publica repositorio recibe los 52 puntos completos como una sola señal: ninguno de los 6 hallazgos siguientes puede comprobarse, y un código no publicado podría contenerlos todos sin que nadie lo sepa. Un proyecto que sí lo publica se evalúa con esos 6 hallazgos: un repositorio limpio saca cero sobre los mismos 52 puntos, así que la transparencia es lo que obtiene la puntuación más baja.
| Señal | Peso |
|---|---|
| El bytecode desplegado no coincide con el código del repositorio | +20 |
| Los contratos no están en el repositorio publicado | +10 |
| Repositorio creado justo antes de la recaudación | +6 |
| Historial con un único colaborador o cuentas desechables | +6 |
| Bifurcación con la atribución original eliminada | +6 |
| Sin pruebas, integración continua ni auditorías | +4 |
Los extractores de estos seis hallazgos aún se están construyendo. Hasta que existan, un proyecto que sí publique repositorio los tendrá registrados como NO EVALUADOS en lugar de puntuados.
Etiquetas de riesgo
Límites de cobertura
Límites conocidos del proceso, no hallazgos sobre un proyecto. Cada informe repite solo los límites que la evidencia recopilada no resolvió.
- El estado actual del propietario o administrador puede no estar disponiblehigh
El proceso consulta owner() y el estado EIP-1967. Este límite solo permanece activo si un resultado requerido falla, revierte o no puede decodificarse.
- El código verificado de la implementación puede no estar disponiblehigh
El proceso resuelve y solicita el código de la implementación. Este límite permanece activo si la implementación del proxy no está verificada o no está disponible.
- La atribución de exchanges es una lista de nueve direccioneshigh
Todo lo que quede fuera de esas nueve billeteras calientes se marca como DESCONOCIDO, lo que infla la señal de fondos sin rastrear. No coincidir significa no identificado por esta lista, nunca que ningún exchange recibió fondos.
- La lista de billeteras del equipo es un supuesto de configuraciónmedium
Las billeteras provienen de la configuración y nunca se demuestra on-chain que sean el conjunto completo que controla el equipo. Si existen otras, toda cifra derivada de la lista se queda corta.
- La cobertura es solo Ethereum mainnethigh
La actividad multi-cadena, los pagos con tarjeta y otras redes son invisibles para este proceso. Los totales y cualquier porcentaje de fondos podrían ser materialmente incorrectos si ese volumen es real.
Advertencias
- Los informes describen riesgo y evidencia, no conclusiones legales.
- Las entradas observadas son transferencias brutas exitosas, no ingresos netos auditados.
- Las cifras en dólares usan una única instantánea de precio documentada, no el precio histórico de cada transacción.
- Los totales, saldos, la agregación de destinos y las señales deterministas se calculan a partir de evidencia almacenada. Las señales cualitativas se evalúan según evidencia citada y se etiquetan como tales en cada informe.
- Una señal cuyos datos no se recopilaron queda excluida de la puntuación y de su máximo, y se publica como NO EVALUADA en vez de tratarse como limpia.
- Un destino DESCONOCIDO está sin clasificar, no es prueba de que sea malicioso.
- Un saldo cero en el contrato de venta es el estado final esperado cuando los fondos se barren a las billeteras del equipo, y nunca se puntúa por sí solo.
- Las instantáneas de datos se almacenan para que cada informe siga siendo reproducible.
- Los equipos de los proyectos pueden enviar respuestas o correcciones.