PANAMÁ, 2 de septiembre de 2026 — HashCow, un estudio de juegos Web3 y empresa de infraestructura de equidad verificable, anunció la finalización de una segunda ronda de auditoría de contratos inteligentes con SolidProof en los seis contratos de la compañía. Ambas rondas de auditoría se han publicado completas en una página pública del proyecto, incluidos los veinticinco hallazgos que siguen abiertos.

Publicar los hallazgos abiertos es la parte inusual, y hay una cifra detrás de la decisión. Aproximadamente el 60% de las plataformas cripto explotadas entre enero de 2025 y julio de 2026 ya había completado una auditoría de seguridad independiente. Eso equivale a 147 de 245 incidentes, y esas plataformas auditadas representaron el 88,44% de los $3,63 mil millones drenados durante el período, según el 2026 State of Crypto Security Report de CoinGecko.

El mismo informe explica por qué, y la explicación no es que los auditores estén fallando. Solo alrededor del 11% de los incidentes implicaron una falla dentro del alcance convencional de auditoría. El resto entró por puertas a las que una auditoría nunca apuntó. Eso deja al lector con un problema que no tiene que ver con la calidad de la auditoría: una insignia de auditoría en una página de inicio dice que hubo una revisión. No dice qué se revisó, qué encontró el revisor ni qué sigue abierto.

Lo que realmente dicen los informes

Al cierre de la segunda ronda, los informes no registran hallazgos de severidad Crítica, Alta ni Media. Siguen abiertos veinticinco hallazgos. Todos son de severidad Baja o Informativa, y todos aparecen en el informe publicado con su estado actual en lugar de ser resumidos.

El alcance se describe de la misma manera. La auditoría se fijó a commits específicos en los repositorios públicos de HashCow, y no a una rama en movimiento, de modo que un lector puede compilar la fuente exacta que los auditores leyeron en lugar de lo que el repositorio contenga hoy. Los contratos están escritos en Solidity 0.8.34 sobre OpenZeppelin 5.0.2, sin proxy y sin ruta de actualización.

Ese último detalle es al que la empresa apunta cuando se le pregunta por qué publicaría hallazgos que no ha cerrado, especialmente en un mercado donde los cambios posteriores a la auditoría pueden ser difíciles de seguir a partir de un resumen.

Nuestros contratos no pueden actualizarse, así que nos estamos comprometiendo de forma permanente con código que cualquiera puede leer. Si un lector tiene que confiar en nuestro resumen de la auditoría en lugar de en la auditoría نفسها, en realidad no le hemos dado nada. Publicar los hallazgos que no hemos cerrado nos cuesta un titular más limpio y nos compra un lector que puede verificar.

— Mark Lee, Fundador y CEO, HashCow

Las pruebas también se publican

Junto con la auditoría, HashCow también publica sus propios resultados de pruebas: 694 aserciones de prueba, 105 resultados de análisis estático revisados sin ninguno de severidad Alta, y 49 de 49 pruebas de mutación detectadas.

La tercera cifra es la menos común en la industria y la más reveladora. La prueba de mutación elimina cada verificación de protección en los contratos, una por una, y vuelve a ejecutar la suite, bajo el principio de que una suite que sigue pasando cuando se elimina una defensa nunca estaba probando esa defensa. Dos aserciones en el propio repositorio de HashCow fueron encontradas pasando por la razón equivocada de esa manera, y fueron reescritas.

Lo que el motor demuestra, y lo que no

Los contratos auditados se encuentran debajo de VegasLedger, el motor de equidad de HashCow. Un generador de números aleatorios produce el resultado del juego y una función aleatoria verificable produce la prueba criptográfica de que el resultado no fue alterado. Los resultados se hashéan en una raíz Merkle anclada en BNB Chain, por lo que cualquier resultado individual puede verificarse contra el ancla después de que la sesión haya terminado. El motor puede licenciarse a estudios externos como un producto independiente.

HashCow es inusualmente específico respecto de sus límites. El ancla establece que un registro no fue cambiado después de ser escrito. No establece que el conjunto de registros anclados esté completo, y no dice nada sobre cómo jugó un usuario. Ambos límites se indican en la documentación propia de la empresa, en lugar de dejar que el lector los descubra.

Dónde está el proyecto

El KYC del equipo se completó con SolidProof en Tier Gold. HCOW es un token BEP-20 en BNB Chain con un suministro fijo de 200,000,000 y sin función de mint en el contrato. El token no ha sido emitido y nunca ha cotizado en ningún exchange. El despliegue en mainnet sigue pendiente.

Nada de esto hace que un proyecto sea seguro, y HashCow no afirma que así sea. Las cifras de CoinGecko recuerdan que la mayoría de las pérdidas llegan por rutas que ninguna auditoría estaba destinada a cubrir. Lo que cambia la publicación completa es algo más estrecho y más útil: traslada la pregunta de si el lector confía en el proyecto a si el lector puede verificar el proyecto, que es la única versión de la pregunta que sobrevive al contacto con un exploit.

Acerca de HashCow

HashCow es un estudio de juegos Web3 y una empresa de infraestructura de equidad verificable. Desarrolla juegos y el motor de equidad que los sustenta, y licencia ese motor a estudios externos. HashCow es operada por HASHCOW LABS INC., una sociedad anónima registrada en Panamá bajo el Folio de Registro Público No. 155787645.

Enlaces

Informes de auditoría:

Sitio web:

Documentación:

X: https://x.com/HCOW_Official

Telegram: https://t.me/HASHCOWOfficial

Contacto de prensa: work@hash-cow.io

Fuente de las cifras en los párrafos iniciales: CoinGecko, 2026 State of Crypto Security Report (245 incidentes, enero de 2025 a julio de 2026).

Esto no constituye una oferta de venta de valores ni representa precio o rendimiento.