¿Qué es OpenZeppelin? Guía para desarrolladores

¿Qué es OpenZeppelin?

OpenZeppelin es una empresa de tecnología y servicios de ciberseguridad para criptomonedas. Ofrecen un framework de código abierto para construir contratos inteligentes seguros, además de auditorías de seguridad exhaustivas para algunos de los proyectos de DeFi y NFT más grandes. Entre sus clientes se encuentran proyectos reconocidos como la Ethereum Foundation, Coinbase y Brave.

Más allá de las auditorías, OpenZeppelin busca aportar mayor seguridad al ecosistema DeFi ofreciendo a los desarrolladores de contratos inteligentes una biblioteca de herramientas de seguridad. Estos productos permiten que los desarrolladores de contratos inteligentes se concentren más en el despliegue y menos en la seguridad, lo que permite lanzamientos más rápidos y mayor confiabilidad.

Hoy en día, los productos de OpenZeppelin dan soporte a más de 3,000 proyectos públicos.

¿Qué son los contratos inteligentes?

Los contratos inteligentes son programas que se almacenan y ejecutan en la blockchain. Al igual que los contratos del mundo real, describen acuerdos y establecen reglas. Sin embargo, también pueden hacerlos cumplir automáticamente.

Este comportamiento "inteligente" es posible porque los términos de estos acuerdos se escriben y ejecutan como código en la blockchain. En Ethereum, la plataforma de contratos inteligentes más popular, los contratos inteligentes son como cualquier cuenta, en el sentido de que tienen su propio balance y pueden crear transacciones.

Otros usuarios también pueden enviar y recibir fondos desde estos contratos inteligentes. A diferencia de los contratos normales, estos contratos inteligentes generalmente son irreversibles y no se pueden eliminar una vez desplegados.

Los contratos inteligentes son lo que permite a los desarrolladores crear aplicaciones descentralizadas y tokens. Gran parte de la infraestructura que requiere las finanzas descentralizadas se basa en contratos inteligentes, lo que hace posibles procesos financieros complejos como los seguros o los préstamos.

¿Por qué necesitamos OpenZeppelin?

Es evidente que la seguridad es clave para cualquier aplicación descentralizada.

Anteriormente, los equipos de proyectos a menudo tenían que escribir su propia infraestructura de seguridad, lo que llevaba a los desarrolladores a "reinventar la rueda" con frecuencia.

Si bien escribir contratos inteligentes desde cero puede ser un buen ejercicio de aprendizaje, puede ser una práctica peligrosa en producción. Para que los contratos inteligentes sean seguros, deben ser robustos, y eso no se puede lograr en el vacío. Se necesita tiempo y uso para garantizar la confiabilidad, algo que no se puede lograr desde el principio, especialmente en proyectos pequeños.

Sin un estándar claro para la seguridad en DeFi, resulta difícil reconocer un proyecto seguro. Como cada protocolo tiene su propia implementación de contrato, se vuelve difícil verificar o reconocer si un protocolo es seguro.

Además, dado lo lucrativos que pueden ser los proyectos DeFi, no es raro que algunos desarrolladores dejen de lado la seguridad a favor de un lanzamiento rápido.

Un ejemplo clásico es YAM Finance, el ahora tristemente célebre fenómeno de yield farming, que decidió prescindir de una costosa auditoría de seguridad. El protocolo de YAM Finance se creó en solo 10 días, y apenas 48 horas después de su lanzamiento ya había acumulado $600M en activos.

Sin embargo, debido a una vulnerabilidad de seguridad encontrada en su protocolo de contratos inteligentes, tuvo que cerrarse. Dado que los fondos de los usuarios están en juego, la falta de adherencia a la seguridad puede resultar desastrosa.

Si bien las auditorías de seguridad son clave para minimizar posibles vulnerabilidades, no son suficientes, especialmente en el caso de YAM Finance. Los proyectos creados rápidamente como YAM rara vez se someten a auditorías de seguridad dado el costo, lo que hace importante que los desarrolladores cuenten con las herramientas de seguridad adecuadas desde el principio.

¿Qué funcionalidad ofrece OpenZeppelin?

OpenZeppelin mitiga eventos como estos al proporcionar a los desarrolladores herramientas e infraestructura de seguridad listas para usar. Estos productos permiten que los desarrolladores de contratos inteligentes sigan enfocados en el despliegue, en lugar de reinventar la rueda con su propia infraestructura de seguridad.

Al equipo de OpenZeppelin le gusta decir que ahora una base de seguridad sólida puede "tomar minutos en lugar de meses".

OpenZeppelin tiene dos productos principales: Contracts y Defender.

Contracts, de OpenZeppelin, es una biblioteca de contratos inteligentes seguros para Ethereum y otras blockchains, de libre uso para los desarrolladores.

Estas plantillas de código abierto son revisadas por la comunidad y utilizan las prácticas de seguridad más actualizadas. Una de las formas en que OpenZeppelin logra esto es a través de su programa de recompensas por vulnerabilidades (bug bounty), donde la comunidad puede ser recompensada por encontrar vulnerabilidades de seguridad en los contratos de OpenZeppelin.

Al reutilizar contratos auditados de OpenZeppelin, los proyectos pueden reducir considerablemente su superficie de ataque. La superficie de ataque es la cantidad de puntos distintos en los que una parte no autorizada podría, en teoría, atacar. Además, dada su modularidad y estandarización, la colaboración y las auditorías resultan mucho más sencillas.

OpenZeppelin también ofrece un generador interactivo de contratos con su Contracts Wizard. Los desarrolladores pueden usar el Wizard para crear contratos usando componentes de OpenZeppelin. Además, el Wizard permite especificar el tipo de contrato (por ejemplo, ERC20), parámetros y características.

Una vez terminado, el Wizard genera el código correspondiente, listo para desplegarse.

A continuación, algunos ejemplos de las muchas funcionalidades integradas de OpenZeppelin:

• Access Control: el control de acceso de OpenZeppelin permite a los desarrolladores configurar fácilmente quién puede hacer qué dentro de su sistema. Esta infraestructura es fundamental para la seguridad de cualquier proyecto, ya que una falla podría llevar a que un sistema efectivamente sea robado.

OpenZeppelin Contracts ofrece tanto una funcionalidad simple de propiedad con un solo administrador como un Role-Based Access Control flexible. Usando estas funciones, los desarrolladores pueden asignar de forma segura quién puede acuñar tokens, votar propuestas, congelar transferencias y otras funciones protegidas.

• Governance: el contrato Governor de OpenZeppelin ofrece un protocolo de gobernanza listo para usar. La gobernanza on-chain es necesaria para protocolos verdaderamente descentralizados y se ha convertido en un componente central para muchos de ellos. La gobernanza comunitaria puede decidir cuestiones importantes, como el ajuste de parámetros, las actualizaciones de contratos inteligentes, las integraciones con otros protocolos, la gestión de la tesorería, las subvenciones, etc. Dado que los Contracts de OpenZeppelin son altamente modulares, a menudo se pueden introducir cambios creando nuevos módulos mediante herencia de Solidity, sin necesidad de un hard fork.

• Tokens: OpenZeppelin cuenta con contratos de tokens para muchos de los estándares más comunes de Ethereum, como ERC20 y ERC721. Usando esta infraestructura, los desarrolladores pueden desplegar sus propios tokens junto con muchas otras capacidades, como monitoreo de precios, métodos específicos de transferencia de tokens, autenticación de compras, etc.

‍

Defender es la plataforma de operaciones de seguridad (SecOps) basada en web de OpenZeppelin. Defender simplifica el despliegue y la administración de contratos inteligentes, ayudando a los desarrolladores a automatizar gran parte de las operaciones asociadas con la ejecución de aplicaciones descentralizadas en Ethereum.

La plataforma incluye muchas funciones, como integraciones de backend basadas en web, tareas automatizadas e interacción manual con contratos. Los desarrolladores pueden construir directamente en la plataforma Defender, lo que les brinda una base de seguridad sólida desde el principio.

"Múltiples exploits que hemos visto este año en DeFi, como los de YAM, Uniswap, dForce y Hegic, podrían haberse evitado o reducido siguiendo un proceso de seguridad cuidadoso, pero los equipos carecen de un sistema integral que los informe plenamente sobre las mejores prácticas de seguridad y cómo evaluar el riesgo." -Jonathan Alexander, Chief Technology Officer de OpenZeppelin

Según OpenZeppelin, los fondos de usuarios perdidos en exploits importantes como los hackeos de bZx y Opyn podrían haberse reducido con el tipo de herramienta de respuesta rápida que hace posible Defender.

¿Qué logra OpenZeppelin para DeFi?

OpenZeppelin está sentando las bases para aplicaciones descentralizadas más seguras, ya que elimina la necesidad de que los desarrolladores manejen su propia seguridad. Con funcionalidad de seguridad integrada, los desarrolladores podrán seguir construyendo rápido, sin costo para la seguridad. Esto resulta sumamente importante a medida que los ataques y los sistemas DeFi se vuelven más complejos.

A medida que OpenZeppelin se consolida como un estándar de seguridad para contratos inteligentes, ayuda a minimizar la confianza requerida en todo DeFi. Se habla a menudo de un 0% de confianza, es decir, de que no se requiera confianza alguna entre las partes. En el caso de los protocolos DeFi, esto es poco realista.

Siempre se está confiando en alguna parte, ya sea un equipo, una DAO o un auditor. Aunque esto pueda sonar problemático, comparado con la banca tradicional, se trata de un proceso mucho más transparente, ya que en DeFi siempre se puede leer el código.

Damian Bermer, CEO de OpenZeppelin, sostiene que deberíamos apuntar a un objetivo de minimización de confianza en lugar de un 0%.

La minimización de confianza reduce las partes en las que confiamos y que no podemos ver. Podemos ver el código que se ejecuta on-chain. Pero incluso con las plataformas DeFi con mayor minimización de confianza, ¿qué cosas seguimos teniendo que confiar? La mejor manera de escalar DeFi es llegar a un punto de minimización masiva de la confianza. -Damian Bermer

Al proporcionar recursos de seguridad de código abierto, OpenZeppelin puede minimizar la confianza requerida en el ecosistema, ya que se crea menos código nuevo para cada protocolo. A medida que la infraestructura de seguridad se vuelve más confiable, quedará mucho menos incertidumbre respecto a la seguridad de los proyectos DeFi, lo que permitirá una mayor adopción y escala.

Despliega tu propio contrato inteligente con Alchemy

Los contratos inteligentes de OpenZeppelin son seguros, están verificados por la comunidad y probados en producción. ¡Regístrate en Alchemy y comienza a desplegar tu primer contrato inteligente hoy mismo!