DeFi 交易中的智能合约风险：存款前如何评估

目录

1. 审计问题比看起来更复杂
2. 可升级性：存款后谁能更改代码
3. 预言机依赖与价格操纵风险
4. 跨链桥风险：2026 年 4 月 2.92 亿美元的教训
5. 治理攻击面：代码之外的风险
6. 协议存续时间与 TVL：它们能告诉你什么，不能告诉你什么
7. 漏洞赏金与持续监控
8. 资金在托管堆栈中的实际位置
9. 执行此评估的工具
10. 此检查清单能做什么和不能做什么
11. 常见问题解答

2026 年的前四个月，DeFi 领域损失超过 10 亿美元。这并非源于市场波动，而是由于漏洞利用、社会工程学攻击和协议故障。其中两起最大的损失——KelpDAO 2.92 亿美元的 LayerZero 跨链桥漏洞和 Drift Protocol 2.85 亿美元的 Solana 协议受损——并非简单的代码黑客攻击，而是针对治理流程和人为决策的攻击。

这种区别比大多数交易者意识到的更为重要。标准的存款前检查是“它经过审计了吗？”这个问题是必要的，但远远不够。Hacken 的 2026 年第一季度安全报告记录了 44 起事件，损失达 4.82 亿美元，智能合约损失同比增长 213%。攻击面已经扩大，人工智能辅助的漏洞利用工具正在加速这一进程。

以下是为活跃交易者提供的营运资金决策框架，而非开发者指南。在向任何 DeFi 协议存款前，请评估这八个方面，并诚实地了解该评估能保护你什么，以及不能保护你什么。

审计问题比看起来更复杂

“由 X 审计”是 DeFi 中最常被引用的安全信号，也是最容易被误读的信号。

CertiK、Trail of Bits、OpenZeppelin 和 Spearbit 是可信的机构。来自它们的审计是一个有意义的信号。仅 CertiK 就控制了全球 65% 以上的区块链审计，保护了超过 6000 亿美元的资产，并发现了超过 18 万个漏洞。来自你从未听说过的公司，或没有公开报告的自述审计，几乎没有任何参考价值。

除了审计机构名称外，还需要关注：

• 审计时间。 一个 2022 年的审计针对的是此后可能已升级的合约，这并非当前的审计。被审查的代码可能不再是当前运行的代码。
• 审计范围。 有些审计仅涵盖特定模块。如果跨链桥或预言机集成被排除在外，这些组件就是未经审查的。
• 发现与修复。 报告应公开。标记为“已确认”而非“已修复”的关键或高严重性发现值得仔细阅读。
• 升级后的重新审计。 任何重大的代码更改都应触发新的审查。如果协议在六个月前进行了升级且未发布后续报告，请将这些更改视为未经审计。

来自一家机构、在某个时间点的一次审计，只能让协议变得“不那么未知”。仅此而已。

可升级性：存款后谁能更改代码

代理合约在 DeFi 中是标准配置。它们允许团队在不要求交易者迁移资金的情况下推送升级——这在操作上很方便，但也意味着你在存款前审查的代码可能不是明天运行的代码。

相关问题：

• 合约是否可升级？ 在 Etherscan 或 Arbiscan 上检查代理模式。大多数协议会在文档中披露这一点。
• 谁持有管理密钥？ 拥有升级权限的单一 EOA（外部账户）是单点故障。3-of-5 多签明显更好。拥有公开身份密钥持有者的 5-of-9 多签则更好。
• 是否有时间锁（Timelock）？ 时间锁会将任何升级延迟固定的时间窗口（24 小时、48 小时、7 天），让交易者在恶意或意外更改生效前有时间退出。没有时间锁意味着更改可以立即推送。
• 治理阈值是多少？ 没有时间锁的低法定人数治理是 DeFi 中最易受攻击的配置之一。2026 年 4 月的 Drift Protocol 事件直接证明了这一点：Lazarus Group 利用社会工程学手段破坏了治理签名者，并强行通过了恶意提案——这并非合约漏洞。

Travers Smith 对这两起事件的分析直言不讳：它们都不是传统意义上的计算机代码漏洞利用。治理和密钥管理与任何 Solidity 漏洞一样，都是真实的攻击面。

预言机依赖与价格操纵风险

大多数 DeFi 交易协议依赖外部价格源来标记头寸、触发清算和结算资金。如果预言机被操纵，协议资金可能被耗尽。

2026 年早些时候的 Hyperliquid JELLY 事件是最近最明显的例子。一个低流动性市场被操纵以制造人为的价格差异，导致清算引擎面临损失。Hyperliquid 的验证者集通过治理进行了干预——这解决了燃眉之急，但也表明链上治理在压力下可以比市场反应更快。

评估要点：

• Chainlink 与 TWAP 与内部预言机。 Chainlink 的去中心化网络比单一链上 TWAP 更难操纵，资金充足的参与者可以在短时间内移动后者。由协议团队控制的内部预言机风险最高。
• 操纵面。 具有高杠杆上限的低流动性市场最脆弱。交易稀薄且杠杆设置激进的资产会显著增加预言机风险。
• 清算引擎设计。 协议如何应对价格源异常？是否有熔断机制？谁控制它？

跨链桥风险：2026 年 4 月 2.92 亿美元的教训

如果协议要求你从另一条链跨链资产，除了协议风险外，你还承担了跨链桥风险。这是独立的攻击面。

2026 年 4 月 19 日归因于 Lazarus Group 的 KelpDAO LayerZero 漏洞导致了 2.92 亿美元的损失。LayerZero 是 DeFi 中使用最广泛的跨链消息协议之一。该漏洞攻击的是跨链桥基础设施，而非核心协议合约。

规范桥与第三方桥的区别很重要：

• 规范桥（如 Arbitrum 原生桥、Optimism 原生桥）由链的核心团队维护，并经过最严格的安全审查。它们速度较慢，但在结构上更保守。
• 第三方桥提供更快的最终确定性和更广泛的链支持，但引入了额外的智能合约攻击面，且通常依赖外部验证者或预言机网络。

如果协议的存款流程通过第三方桥运行，该桥的安全记录就是你风险评估的一部分。检查它是否经过审计、是否有活跃的漏洞赏金计划，以及是否有记录在案的事件历史。

治理攻击面：代码之外的风险

2026 年 4 月的 Drift Protocol 漏洞导致 2.85 亿美元损失。Lazarus Group 没有发现 Solidity 漏洞，而是利用社会工程学手段破坏了治理签名者，并通过低法定人数流程强行通过了恶意提案。

IOSG 和 ChainCatcher 直言：DeFi 已进入最危险的时刻——真正的漏洞不在代码中。

在向治理控制的协议存款前：

• 多签密钥持有者是谁？ 没有公开问责的匿名团队比实名团队或已知的机构密钥持有者风险更高。
• 治理法定人数是多少？ 5% 的代币供应量即可通过提案的协议，在结构上比需要 20% 以上参与度的协议更脆弱。
• 是否有紧急暂停机制？ 谁控制它？由单一地址持有的暂停功能是一把双刃剑——它既能阻止漏洞利用，也可能被恶意使用。
• 事件响应历史如何？ 透明处理过先前事件的团队比从未经受考验的团队更可信。

协议存续时间与 TVL：它们能告诉你什么，不能告诉你什么

经受时间考验是 DeFi 中最诚实的安全信号。一个持有 5 亿美元资金 18 个月且未发生事故的合约，已经过真实对手在真实经济激励下的漏洞测试。这虽非保证，但意义重大。

TVL 不是安全信号。值得明确指出。一个协议可以通过激励计划在三个月内积累 20 亿美元，同时运行着审计极少的代码。高 TVL 增加了攻击者的经济激励，但对减少攻击面毫无帮助。

无论团队声誉如何，新部署的协议都应受到额外审查。新协议生命周期的前 90 天是风险最高的窗口。如果你向一个上个月才推出的协议存款，你是在明确接受该风险。

漏洞赏金与持续监控

一次性审计只是快照。主动安全计划是持续的。

Immunefi 是 DeFi 领域主流的漏洞赏金平台。拥有活跃计划、有意义的最高奖金（关键漏洞奖金在六位数或以上）且有支付记录的协议，展示了对安全的持续承诺。检查计划条款——有些计划的范围排除项实际上覆盖范围很小。

像 BlockSec Phalcon 这样的实时链上监控工具可以检测异常交易模式，并在全面漏洞利用耗尽协议前触发自动响应。协议是否部署了此类监控值得在安全文档中核实。

事件响应历史也很重要。经历过轻微漏洞、公开披露、补偿受影响交易者并发布事后分析的协议，比没有事件历史且缺乏透明度基础设施的协议更值得信赖。

资金在托管堆栈中的实际位置

这是大多数交易者忽略的问题。它决定了如果终端或前端层出现问题，你所面临的风险敞口。

三个不同的风险层：

• 前端界面。 被篡改的前端可以显示恶意的签名提示。如果界面是托管的——意味着它持有你的资金或密钥——前端被篡改可以直接耗尽你的账户。
• 协议层。 这是智能合约所在的地方。这里的漏洞利用可以耗尽池中资金，无论你使用哪个前端存款。
• 跨链桥层。 如果你是通过跨链到达这里的，该桥就是独立的风险敞口。

Stacked Markets 通过 Hyperliquid 的链上 CLOB（中央限价订单簿）路由订单。Stacked 不持有任何用户余额和签名密钥。如果 Stacked Markets 前端被篡改，它无法耗尽你的资金——因为它从未持有过。你的保证金位于 Hyperliquid 的链上系统，而非 Stacked 的服务器上。

这种结构边界很重要。终端层风险是有限的。协议层风险是真实的，且由 Hyperliquid 承担。

Hyperliquid 在该层的记录是相关的评估依据：截至 2026 年 5 月，约占 DEX 永续市场份额的 70-75%，日交易量超过 50 亿美元，150 多个市场的未平仓合约达 73 亿美元，且拥有经受实战考验的代码库。JELLY 事件既展示了漏洞，也展示了治理响应——快速且果断。无论如何，这是记录在案的业绩，而非未经测试的声明。

执行此评估的工具

你不需要阅读 Solidity 代码即可完成大部分尽职调查：

• DeFiLlama 安全标签页 - 汇总了大多数主要协议的审计历史、黑客攻击历史和 TVL。从这里开始。
• Etherscan / Arbiscan 源码验证 - 确认合约源代码是否已验证且可公开阅读。未验证的合约应直接放弃。
• Token Sniffer 和 DEXTools 合约分析器 - 对新部署合约的快速风险预警很有用。
• Immunefi 漏洞赏金数据库 - 检查协议是否有活跃计划以及奖金结构。
• BlockSec Phalcon - 实时链上监控和交易模拟。对于为你正在积极使用的协议设置警报非常有用。
• DeFi Safety 评分 - 社区生成的协议评估。一个合理的起点，而非最终定论。

没有任何单一工具能给你完整的图景。请结合使用。

此检查清单能做什么和不能做什么

在存款前执行这八项标准可以减少不必要的风险敞口，但不能消除智能合约风险。

一个合约可以通过此清单上的所有检查，但仍可能被审计人员未发现的零日漏洞利用。Hacken 2026 年报告中的观点依然成立：安全的合约可能存在于不安全的协议中。预言机风险、治理风险和跨链桥风险存在于合约代码之上的层级。

诚实的立场是：DeFi 交易将智能合约风险作为结构性特征，而非边缘情况。问题不在于风险是否存在，而在于你是否已完成理解你所接受风险的工作——以及协议的业绩记录和架构是否为你提供了合理的决策基础。

在不进行此评估的情况下存款是一种选择，但绝非明智的选择。

---

在进行尽职调查的同时，在 Hyperliquid 的基础设施上进行无主网风险的练习。 Stacked Markets 的测试网模式运行完整的终端，并带有清晰的网络标识。

stackedmarkets.com

常见问题解答