2023 年，Euler Finance 遭到閃貸攻擊，損失 $1.97 億。2022 年，Nomad Bridge 被黑，損失 $1.9 億。2021 年，Cream Finance 三次被黑，累計損失超過 $1.3 億。這些都是 DeFi 生態裡的一流協議——不是無名小卒，有審計報告，有鎖定的數十億 TVL，但依然被黑了。
這讓很多用戶陷入一個困境：「我應該怎麼評估一個 DeFi 協議的智能合約安全性？看審計報告？但審計通過的協議也會被黑……」這篇文章嘗試給你一個更現實的框架：智能合約審計的真實作用和局限，識別高風險合約的五個信號，以及在你把穩定幣存入任何 DeFi 協議之前，應該做的基本盡職調查。
智能合約審計是由獨立的安全公司（Certik、Trail of Bits、OpenZeppelin、Halborn、PeckShield 等）對協議的合約代碼進行系統性的安全審查，識別潛在的漏洞和風險。一份典型的審計報告包含：被審計的合約範圍（哪些合約被審計了，哪些沒有）；發現的問題（按嚴重程度分類：Critical、High、Medium、Low、Informational）；每個問題的說明和修復建議；協議方對問題的回應和修復狀態。
審計的真實作用：審計可以發現常見的已知漏洞類型，如重入攻擊（Reentrancy）、算術溢出（Overflow）、訪問控制漏洞（Access Control）、閃貸相關漏洞等；審計讓協議的代碼邏輯得到一個外部的專業視角審查，識別邏輯錯誤。
審計的局限：審計不能保證代碼「100% 安全」——審計公司自己也在報告裡寫明這一點。審計是在特定時間點對特定代碼的審查，如果協議後來升級或添加新模塊，原審計覆蓋不了新代碼。審計只能審查代碼本身，無法預測「代碼和外部協議的複雜交互」帶來的新漏洞（很多 DeFi 黑客利用的正是跨協議的複合漏洞）。Euler Finance 有兩家知名機構的審計報告，但被黑前的那個漏洞不在任何審計的覆蓋範圍——因為它在最後一次升級裡被引入，而升級後的代碼沒有被重新審計。
你不需要是一個 Solidity 開發者才能從審計報告裡獲取有用信息。以下是你應該重點查看的幾個部分：
第一步：確認審計的範圍（Scope）。審計報告的開頭通常有「審計範圍」說明，列出被審計的合約文件列表和 Git commit hash（代碼版本標識）。你需要確認：主要的核心合約（借貸池、流動性管理、預言機整合）是否在範圍內？如果有很多「Not in scope（不在審計範圍內）」的合約，那這份審計的覆蓋可能不完整。
第二步：看 Critical 和 High 嚴重性問題的數量和狀態。Critical（致命）漏洞：如果報告裡有未修復的 Critical 漏洞，不管其他方面多好，這個協議都不應該使用。High（高危）漏洞：已修復的 High 漏洞說明協議方認真對待了安全報告；如果有未修復的 High 漏洞，需要了解原因（有些 High 問題可能被協議方認為在當前架構下無法利用，但這是一個值得追問的問題）。Medium 和 Low 漏洞本身不是危險信號，但「大量未修復的 Medium 問題」可能暗示協議方對安全的重視程度不足。
第三步：檢查審計的時間和最新代碼的對應關係。審計報告通常標注了審計時間和被審計代碼的版本（commit hash）。你應該把審計報告的版本和協議目前部署在主網的代碼版本對比——如果協議最後一次重大升級是在最後一次審計之後，那最近的升級代碼沒有被審計過。
第四步：確認審計機構的聲譽。不是所有審計公司的嚴格程度都一樣。業界公認的高水準安全公司（非完整列表）：Trail of Bits、OpenZeppelin、Spearbit、Cantina、Zellic、Halborn、ABDK。中等水準但仍有一定可信度：Certik、PeckShield、SlowMist。存在一些批評（不一定不好，但需要額外謹慎）：一些知名度低、費率極低的小型審計公司，審計質量參差不齊。
在做任何 DeFi 穩定幣部署之前，你應該快速排查以下五個高風險信號：
信號一：無審計或審計來自不知名公司。完全沒有審計報告的協議，或者審計來自從未聽過的公司且找不到任何背景信息，是最基本的紅旗。即使在 DeFi 早期，成熟的協議都應該有來自可信機構的審計報告。
信號二：代碼未開源。成熟的 DeFi 協議通常把合約代碼開源（在 Etherscan 驗證，或者在 GitHub 公開）。如果一個協議聲稱有智能合約但代碼不公開，那「被審計」的代碼根本無法被獨立驗證，審計報告的可信度大打折扣。
信號三：管理員權限過大（Admin Keys）。查看合約是否有一個能夠「暫停合約」、「凍結資金」、「更改關鍵參數」的管理員密鑰（Owner 或 Admin）。如果管理員是一個未知的 EOA（外部帳戶），這意味著一個人或一小群人可以隨時更改協議行為甚至轉移資金——這是大多數「Rug Pull（跑路）」的技術基礎。相對更安全的設計：多簽錢包（Multisig，如需要 3/5 個已知的知名人士聯合簽名才能執行）；時間鎖定（Timelock，管理員操作需要等待 24–72 小時才能執行，給用戶反應時間）。
信號四：預言機（Oracle）整合不安全。穩定幣和借貸協議的很多功能依賴「預言機」提供外部價格數據（如 ETH/USD 的即時匯率）。不安全的預言機整合是大量 DeFi 黑客的攻擊點：如果協議使用了可以被閃貸操縱的 DEX 現貨價格作為預言機，攻擊者可以在一個區塊內把 ETH/USD 報價臨時砸崩，再利用這個操縱的價格觸發異常清算，榨取協議資金。更安全的預言機：Chainlink（時間加權平均價格，TWAP，更難操縱）；Uniswap V3 的 TWAP（30 分鐘 TWAP 比現貨報價安全得多）。
信號五：TVL 和年齡的組合。這是最簡單的「市場驗證」指標。一個有 $10 億 TVL 且已上線三年以上的協議，其安全性比一個上線兩個月、TVL $500 萬的協議要高得多——不是因為新協議一定不安全，而是因為長時間的高 TVL 意味著攻擊者已經有足夠的動機去嘗試攻擊，如果協議撐下來了，說明已知的攻擊向量沒有找到入口。
你不需要成為安全專家才能做基本的智能合約安全初步核查。以下工具可以幫助你在幾分鐘內得到第一層的信息：
DeFiLlama（defillama.com）：查看協議的 TVL 歷史、鏈上地址、審計報告鏈接（DeFiLlama 有 Security 選項卡，整合了各主要協議的審計報告入口）；Chainalysis（和 Immunefi）的漏洞賞金計畫——查看協議是否有漏洞賞金計畫（Bug Bounty）。有賞金計畫的協議通常意味著協議願意主動激勵外部安全研究員繼續找問題——這是一個積極的安全文化信號；Etherscan 的合約驗證頁面——搜索協議的主合約地址，確認代碼是否已在 Etherscan 驗證（即代碼已開源，任何人可閱讀）；Phalcon Explorer（phalcon.blocksec.com）——分析特定交易的函數調用鏈，用於理解複雜的智能合約互動（高級用戶工具）。
在把穩定幣（USDC、USDS 等）存入任何 DeFi 協議之前，建議做一個五分鐘的基本檢查：在 DeFiLlama 搜索協議，查看 TVL 歷史和審計報告鏈接；確認審計機構是否可信，報告中是否有未修復的 Critical/High 問題；確認合約代碼在 Etherscan 已驗證（開源）；確認管理員密鑰是否是多簽或有時間鎖定；協議已上線多長時間，有多少 TVL。這五個檢查不能給你「100% 安全」的保證，但可以幫你排除掉大量明顯的高風險協議。如果你對技術細節完全不感興趣，最簡單的原則是：只使用已建立時間超過兩年、TVL 超過 $5 億、且有多家知名安全公司審計記錄的協議（Aave、Compound、Curve、Sky Protocol 均符合這個標準）。高收益通常對應更新的、更複雜的協議——理解「你為什麼能賺到這個收益」永遠應該在「如何賺到最多收益」之前。