How to Assess Web3 Project Risks: A Practical User Checklist

In Web3, users often hold their own keys and sign transactions directly. A useful review therefore starts not with “How much can I earn?” but with: What am I signing, which code will gain access to my assets, and who can change the rules?

কোনো checklist কোনো project-কে নিরাপদ প্রমাণ করতে পারে না। এর উদ্দেশ্য হলো অজানা বিষয় প্রকাশ করা, যাচাইযোগ্য evidence-এর সঙ্গে claim তুলনা করা এবং সম্ভাব্য ক্ষতি সীমিত করা।

এই article শুধু শিক্ষামূলক; এটি financial, investment বা legal advice নয়। Web3 transaction-এ transferred asset সম্পূর্ণ হারাতে পারে।

1. উৎস যাচাই করুন

Saved bookmark বা confirmed official channel-এর URL ব্যবহার করুন।
Domain-এর প্রতিটি অক্ষর পরীক্ষা করুন।
বিজ্ঞাপন, অনাকাঙ্ক্ষিত বার্তা বা এলোমেলো search result থেকে ওয়ালেট সংযুক্ত করা এড়িয়ে চলুন।
সরকারি project material-এর contract addressগুলো মিলিয়ে দেখুন।
কখনো seed phrase বা private key প্রকাশ করবেন না।

Stop signal: a site asks you to “synchronize,” “validate,” or “restore” a wallet by entering secret words.

2. নেটওয়ার্ক ও সম্পদ নিশ্চিত করুন

কিছু transfer করার আগে লিখে রাখুন:

Network;
Token contract address;
Recipient বা called contract address;
পরিমাণ;
Fee asset;
Intended action।

A name such as USDT does not uniquely identify a token. Verify the full token contract address. The same 0x… address format can be used on different EVM networks, but assets and state remain network-specific.

Stop signal: the project gives a ticker but does not publish the network and token address.

3. ডেপ্লয় করা কোড পরীক্ষা করুন

Block explorer-এ:

Official address দিয়ে contract খুঁজুন;
Source verification যাচাই করুন;
এটি proxy কি না নির্ধারণ করুন;
Current implementation খুলুন;
সব address project documentation-এর সঙ্গে তুলনা করুন।

On BscScan, Exact Match means published source and constructor parameters were matched to deployed bytecode. This improves transparency but is not a security assessment.

Stop signal: no address is published, source is unverified, and the project still claims “full transparency” without explanation.

4. প্রশাসনিক ক্ষমতা বুঝুন

নিচের মতো role ও function খুঁজুন:

Owner, admin, operator ও upgrader;
Pause ও unpause;
Fee বা limit-এর পরিবর্তন;
Linked-address change;
Token minting;
Asset withdrawal;
Implementation upgrade;
Address blocking।

এই key কার নিয়ন্ত্রণে, multisig ব্যবহৃত হয় কি না, পরিবর্তনে timelock আছে কি না এবং ব্যবহারকারীকে কীভাবে জানানো হয়—জিজ্ঞাসা করুন। কেন্দ্রীভূত নিয়ন্ত্রণ নিজে থেকে প্রতারণা নয়, তবে এটি নির্দিষ্ট নিয়ন্ত্রকের ওপর নির্ভরতা।

Stop signal: one address holds critical powers while the project claims that nobody can change anything.

5. অডিট সঠিকভাবে পড়ুন

যাচাই করুন:

Report auditor publish করেছেন;
Repository ও commit hash উল্লেখ করা হয়েছে;
Live contract scope-এর মধ্যে;
Report current implementation cover করে;
Unresolved finding রয়ে গেছে;
Fix আবার test করা হয়েছে;
গুরুত্বপূর্ণ component বাদ দেওয়া হয়েছে।

অডিট একটি অতিরিক্ত স্বাধীন পর্যালোচনা। এটি সব ত্রুটি খুঁজে পেতে পারে না এবং স্বয়ংক্রিয়ভাবে ওয়েবসাইট, key management, business model বা ভবিষ্যৎ upgrade অন্তর্ভুক্ত করে না।

Stop signal: there is an “Audited” badge but no report or reviewed code version.

6. Claim-এর সঙ্গে অন-চেইন আচরণ মিলিয়ে দেখুন

কয়েকটি transaction-এ দেখুন:

Status;
From and To / Interacted With;
BEP-20-এর চলাচল;
Internal call;
Log;
Fee;
Balance ও contract state-এর পরিবর্তন।

Compare the actual path of funds with the published architecture. Do not draw a system-wide conclusion from one demonstration transaction. Success means the code executed without reverting; it does not mean the operation was safe or beneficial.

Stop signal: observable fund flows differ from the stated process and no clear explanation is provided.

7. সম্পদ ও দায় আলাদা করুন

দৃশ্যমান address balance কেবল একটি তথ্য। জিজ্ঞাসা করুন:

সব relevant address প্রকাশিত কি না;
Asset কে control করে;
এগুলো withdraw করা যায় কি না;
অন্য user-এর প্রতি কী obligation আছে;
External price কীভাবে নির্ধারিত হয়;
Access bridge, DEX, oracle বা counterparty-এর ওপর নির্ভর করে কি না।

বড় টোকেন ব্যালেন্স লিকুইডিটির প্রমাণ নয়। অনেক ইউনিট থাকলেও বাস্তবে বিক্রয়যোগ্য মূল্য খুব কম হতে পারে।

Stop signal: one address balance is presented as proof of solvency without disclosing obligations or control rights.

8. অর্থনৈতিক মডেল সহজ ভাষায় ব্যাখ্যা করুন

যেসব বিষয়ে স্পষ্ট উত্তর খুঁজুন:

Payout কোথা থেকে আসে;
Fee কে দেয়;
নতুন user না এলে কী হয়;
Exit condition ও lockup;
Loss কোথায় হতে পারে;
Administrator কোন parameter বদলাতে পারেন;
Token-এর price কী চালায়।

Outcome market, new participant, liquidity বা team decision-এর ওপর নির্ভর করলে dependencyগুলো স্পষ্ট হওয়া উচিত।

Stop signal: a fixed outcome is promised without a verifiable source of funds or loss scenario.

9. স্বাক্ষর ও টোকেন allowance নিয়ন্ত্রণ করুন

নিশ্চিত করার আগে ওয়ালেট কী দেখাচ্ছে যাচাই করুন:

Network;
Called address;
Function বা readable action;
Native-token value;
Token ও allowance amount;
Expected asset change।

An approve call does not immediately transfer a token. It may authorize a spender contract to call transferFrom up to an allowance. An unlimited allowance increases potential loss if the spender is compromised or flawed.

Data অস্পষ্ট হলে বা address আপনার যাচাই করা address থেকে আলাদা হলে signature reject করুন। ব্যবহারের পর বিশ্বস্ত tool দিয়ে আর প্রয়োজন নেই এমন permission review করে revoke করুন।

Stop signal: you are pressured to sign unreadable data or told that a signature “does nothing.”

10. অফ-চেইন ঝুঁকি অন্তর্ভুক্ত করুন

ভালোভাবে reviewed code-ও সব কিছু ঠেকাতে পারে না:

Website বা DNS compromise;
ক্ষতিকর browser extension;
Key theft;
Compromised হওয়া project account;
Backend failure;
Social-engineering আক্রমণ;
Legal restriction;
Support বা operational failure।

নথি, incident procedure, notification channel ও change history দেখুন। প্রকৃত নথি ও নিজের jurisdiction অনুযায়ী legal claim মূল্যায়ন করুন।

11. সম্ভাব্য ক্ষতি সীমিত করুন

পর্যালোচনা শেষ করার পরও:

বাস্তবে ব্যবহারযোগ্য সবচেয়ে ছোট test amount দিয়ে শুরু করুন;
অপরিচিত dApp-এর জন্য আলাদা wallet ব্যবহার করুন;
Connected wallet-এ সব asset রাখবেন না;
সময়ের চাপে কখনো sign করবেন না;
Transaction hash ও address save করুন;
Token allowance নিয়মিত review করুন;
এমন maximum exposure নির্ধারণ করুন যার total loss সামলানো সম্ভব।

Solidity-এর official security guidance contract-এ রাখা asset-এর পরিমাণ সীমিত রাখার পরামর্শ দেয়: code, compiler বা platform-এ bug থাকলে exposure সীমিত করলে সম্ভাব্য loss-ও সীমিত হতে পারে।

Transaction-এর আগের checklist

Answer yes, no, or unknown:

Domain যাচাই করেছি।
সঠিক network জানি।
Token contract address যাচাই করেছি।
Call করা contract address যাচাই করেছি।
Source-verification status জানি।
Proxy ও implementation যাচাই করেছি।
Administrator-এর ক্ষমতা বুঝি।
Audit live version-এর সঙ্গে মেলে।
প্রকৃত transaction পরীক্ষা করেছি।
Payout-এর উৎস ও loss scenario বুঝি।
Signature request বুঝি।
Allowance যুক্তিসংগতভাবে সীমিত।
Frontend, key ও legal risk বিবেচনা করেছি।
Test amount critical ক্ষতি করতে পারে না।

For a critical question, unknown is not a neutral answer—it is an unassessed risk. Pausing for verification is usually cheaper than an irreversible transaction.

সতর্ক user-এর যেসব প্রশ্ন করা উচিত

Is a project safe if its code is open and audited?
No. Those are useful signals, but unknown bugs and administrative, operational, economic, and external risks remain.

If assets are visible on-chain, can they definitely be returned?
No. Return depends on code, current state, control rights, and external dependencies.

Does a small successful test prove a larger transaction will work?
No. It tests one path at one moment. Limits, liquidity, state, and implementation may later differ.

What if I do not understand the signature?
Reject it. Identify the function, called address, asset changes, and permissions before trying again.

উৎস ও আরও পড়ুন

Solidity Documentation — নিরাপত্তাসংক্রান্ত বিবেচনা
Ethereum.org — স্মার্ট কন্ট্র্যাক্টের নিরাপত্তা
Ethereum.org — Smart Contract পরীক্ষা
BscScan Information Center — Transaction দেখা
BscScan Information Center — Contract Verification-এর ধরন
BscScan Information Center — Address কী?
OpenZeppelin Docs — Proxy Upgrade Pattern