Security & Trust
Audits &
Security
La seguridad no es una funcion, es el cimiento. Aqui esta nuestro registro de revisiones, los incidentes que hemos tenido y como avisarnos de un fallo. Sin auditoria externa todavia, y lo decimos antes que nada.
Audit Registry
5 Completed · 1 PendingEmpoorioChain · runtime y pallets
Auditor: Auditoría interna, 6 revisores
Runtime completo salvo crates/: orígenes económicos, estado acotado, migraciones, pesos, política de firma y metadata contra la cadena viva
Aephoron · navegador y motor
Auditor: Auditoría interna, 12 revisores
Actualizador, almacén de la cartera, aislamiento de pestañas y 11 documentos de resultados con evidencia fichero:línea
Eoonia · cartera y extensión
Auditor: Auditoría interna, 10 revisores en dos pasadas
Firma de extrínsecos, cifrado de la semilla, canal externo de la extensión, staking y gobernanza contra el runtime vivo
KryptoOS · identidad soberana
Auditor: Auditoría interna, 7 revisores
Circuito de DID y credenciales on-chain, con la metadata de la cadena descargada y decodificada, y DNS y HTTP medidos
AiloOS · IA federada en producción
Auditor: Auditoría interna, 8 revisores
Coordinador, registro de modelos, entrenamiento en el aparato y catálogo de datos: qué está cableado y qué solo lo parece
Auditoría externa independiente
Auditor: Sin contratar
Ninguna firma externa ha revisado el runtime ni los contratos. Es una de las seis puertas que la red principal no cruza sin cerrar
Security Practices
Las claves no salen del aparato
Eoonia y el resto de las aplicaciones guardan la semilla cifrada en el almacén seguro del sistema (Keystore en Android). Importar una cartera la cifra, y hay una prueba que falla si deja de hacerlo. Las claves de firma de las aplicaciones viven fuera del repositorio, con permisos 600.
Verificable contra la cadena, no de palabra
El runtime se puede comprobar: la metadata viva se descarga y se decodifica, y las suites de integración firman y envían extrínsecos reales contra la red de pruebas pública. Lo que decimos de un pallet se contrasta con el pallet.
Auditorías internas con número y fecha
Cinco auditorías por agentes entre agosto y octubre de 2026 sobre la cadena, el navegador, la cartera, la identidad y la IA. La de EmpoorioChain dejó 114 hallazgos: 108 cerrados y verificados, y 6 esperando una decisión del propietario.
Incidentes contados, no tapados
El 22 de julio de 2026 apareció un minero de criptomoneda en nuestro servidor dedicado: se eliminó, se guardó su huella y se escribió cómo detectarlo si vuelve. En agosto se filtró una clave de administración de Firebase en una aplicación: se revocó y se sustituyó por funciones en el servidor.
Sin red principal y sin valor
EmpoorioChain corre hoy como red de pruebas pública con dos validadores en Logroño. Dos validadores no toleran ningún fallo, y lo decimos. Los DMS de la red de pruebas no tienen valor económico.
Divulgación responsable
Si encuentras un fallo, escríbenos antes de publicarlo y te respondemos. No hay programa de recompensas todavía: cuando lo haya, el importe y las reglas se publicarán aquí.
Responsible Disclosure
Divulgacion
responsable
Si encuentras un fallo en el runtime, en los contratos, en una aplicacion o en la infraestructura, escribenos antes de publicarlo. Esto es lo que te garantizamos hoy: un tiempo de respuesta y que tu aviso quede escrito con tu nombre si quieres. Programa de recompensas con importes: cuando exista, los importes se publicaran aqui.
security@empoorio.org →Critical
Ejecucion remota de codigo, manipulacion del consenso, robo de fondos
High
Escalada de privilegios, inflacion del token, fallos en el castigo a validadores
Medium
Vectores de denegacion de servicio, manipulacion del oraculo, control de acceso
Low
Fallos de interfaz, filtraciones informativas, errores menores de logica