为什么审计不等于绝对安全？
一句话解释： 智能合约审计是由专业机构在特定时间点对已提交代码进行的安全检查，它能降低已知漏洞风险，但无法覆盖审计后的代码变更、新型攻击手法和经济模型层面的系统性风险。
为什么重要
在 DeFi 社区，「已审计」常常被当作安全背书的标配。然而，有审计报告的协议同样发生过重大安全事件，造成数千万甚至数亿美元的损失。如果不理解审计的边界，用户极易因为看到「已审计」三个字而放松警惕，承担超出自身认知的风险。
理解审计的价值与局限，是评估 DeFi 项目时不可跳过的基本认知。Revoke.cash 的安全学习页面 也指出，合约授权风险不会因为审计的存在而消失。
核心机制：审计能做什么，不能做什么
审计能做什么
- 已知漏洞模式扫描： 重入攻击（Reentrancy）、整数溢出、访问控制缺失等经典漏洞可以被有经验的审计员识别。
- 代码逻辑梳理： 审计员会阅读合约逻辑，寻找函数调用顺序、权限设计等方面的问题。
- 提出修复建议： 发现的漏洞会按严重程度（Critical/High/Medium/Low/Informational）分级，并给出修复建议。
审计不能做什么
-
审计只覆盖提交版本 审计是对「某一时刻提交的代码」的检查。审计完成后，开发者若对合约进行升级或新增模块，审计报告对修改后的代码不再适用。部分协议在获得审计背书后仍在持续迭代，每一次升级都是新的风险敞口。
-
无法预见新型攻击手法 安全攻防是一个动态博弈过程。今天未被发现的攻击向量，可能在明年成为常见攻击手段。审计员只能以当前已知的安全知识为基础进行检查，无法预见未来出现的新型利用方式。
-
无法覆盖经济模型风险 闪电贷攻击（Flash Loan Attack）、价格预言机操纵等经济层面的攻击，往往并非利用代码 bug，而是利用协议经济设计的逻辑漏洞。这类风险需要专门的经济安全分析，而非标准代码审计。
-
审计质量参差不齐 市场上审计机构数量众多，能力和严谨程度差异显著。部分低质量「快速审计」只进行表面检查，结论可信度有限。区分「知名机构深度审计」与「名不见经传的低质审计」，是研究中必要的判断。
-
可升级合约的特殊性 许多协议使用代理合约模式（Proxy Pattern），允许开发者在未来替换实际逻辑合约。这意味着你交互的合约逻辑本身可以被替换，审计过的旧逻辑可能被新的未审计逻辑取代。查看合约是否可升级、升级权限由谁控制，是研究中常被忽视的重要环节。
用户场景
场景一： 你发现一个 DEX 聚合器宣称「通过了两家机构审计」，但你在查阅报告时发现，其中一份审计已是 18 个月前，且协议在报告发布后进行过两次重大版本升级。你意识到旧报告对当前合约版本参考价值有限，决定等待新一轮审计结果再做评估。
场景二： 某协议审计报告中标注有 3 个 High 级漏洞，你去查看最新版本的修复说明，发现仅有 2 个已修复，1 个被标注为「已知风险，接受」。这个信息让你将该协议的风险评级上调，相应调整参与规模。
OneKey App 入口
使用 OneKey App 与 DeFi 协议交互时：
- 内置的签名预览功能帮助你在授权前确认合约地址是否与官方地址一致，防止与钓鱼合约或仿冒合约交互；
- 配合 OneKey 硬件钱包，每笔交易需要物理确认，即使前端被篡改也能在设备屏幕上识别异常；
- 定期通过 Revoke.cash 检查并撤销不再需要的合约授权，减少历史授权带来的长期风险敞口。
风险与注意事项
- 即使是经过顶级机构多轮审计的协议，也可能发生安全事件。
- 审计报告是研究参考，不是安全保证，不构成任何投资建议。
- 参与 DeFi 协议时，应始终只投入自己可以承受全部损失的资金。
- 关注你所参与协议的官方渠道，及时了解合约升级和安全公告。
FAQ
Q1：如何判断一份审计报告的质量？ 关注审计机构的知名度和历史记录、报告发布时间与当前合约版本的匹配度、报告中发现的漏洞数量和严重程度、以及高危漏洞的修复状态。知名机构包括 Trail of Bits、ChainSecurity、OpenZeppelin、Certik 等，但即使是知名机构也无法保证零遗漏。
Q2：没有审计报告的协议是否不能参与？ 这取决于你的风险承受能力。无审计报告意味着更高的未知风险，若要参与，通常建议等待协议积累足够的实战时间或获得正式审计后再做决定。
Q3：审计报告在哪里可以找到？ 通常可在协议官网的「Security」或「Audit」页面找到，也可以在 GitHub 代码库中查看。部分审计机构会在其官网公开发布报告列表。
Q4：可升级合约是否比不可升级合约风险更高？ 可升级合约提供了灵活修复漏洞的能力，但也引入了升级权被滥用的风险。关键在于：升级权由谁控制、是否需要多签或时间锁（timelock）、社区是否对升级有监督机制。无条件地认为可升级合约更危险或更安全都是片面的。
立即行动
在参与任何 DeFi 协议前，访问其官网查阅审计报告，核对报告日期与当前合约版本。通过 Revoke.cash 学习合约授权管理，并下载 OneKey App，为每一次链上操作增加一层物理确认保障。
