How to Assess Web3 Project Risks: A Practical User Checklist
In Web3, users often hold their own keys and sign transactions directly. A useful review therefore starts not with “How much can I earn?” but with: What am I signing, which code will gain access to my assets, and who can change the rules?
कोई भी चेकलिस्ट यह साबित नहीं कर सकती कि कोई प्रोजेक्ट सुरक्षित है। इसका उद्देश्य अज्ञात पहलुओं को सामने लाना, दावों की सत्यापन योग्य साक्ष्यों से तुलना करना और संभावित नुकसान सीमित करना है।
यह लेख केवल शैक्षिक उद्देश्यों के लिए है और वित्तीय, निवेश या कानूनी सलाह नहीं है। Web3 ट्रांज़ैक्शन से स्थानांतरित एसेट का पूरा नुकसान हो सकता है।
1. स्रोत सत्यापित करें
- सहेजे गए बुकमार्क या पुष्टि किए गए आधिकारिक चैनल के URL का उपयोग करें।
- डोमेन के हर अक्षर की जाँच करें।
- विज्ञापनों, अनचाहे संदेशों या आकस्मिक खोज परिणामों के माध्यम से वॉलेट कनेक्ट न करें।
- आधिकारिक परियोजना सामग्री में कॉन्ट्रैक्ट पतों की तुलना करें।
- सीड फ़्रेज़ या निजी कुंजी कभी साझा न करें।
Stop signal: a site asks you to “synchronize,” “validate,” or “restore” a wallet by entering secret words.
2. नेटवर्क और परिसंपत्ति की पुष्टि करें
कुछ भी ट्रांसफ़र करने से पहले दर्ज करें:
- नेटवर्क;
- टोकन कॉन्ट्रैक्ट पता;
- प्राप्तकर्ता या call किया गया कॉन्ट्रैक्ट पता;
- राशि;
- शुल्क एसेट;
- इच्छित कार्रवाई।
A name such as USDT does not uniquely identify a token. Verify the full token contract address. The same 0x… address format can be used on different EVM networks, but assets and state remain network-specific.
Stop signal: the project gives a ticker but does not publish the network and token address.
3. डिप्लॉय किए गए कोड की जाँच करें
ब्लॉक एक्सप्लोरर में:
- आधिकारिक पते से कॉन्ट्रैक्ट खोजें;
- सोर्स सत्यापन जाँचें;
- निर्धारित करें कि यह proxy है या नहीं;
- वर्तमान implementation खोलें;
- सभी पतों की प्रोजेक्ट दस्तावेज़ से तुलना करें।
On BscScan, Exact Match means published source and constructor parameters were matched to deployed bytecode. This improves transparency but is not a security assessment.
Stop signal: no address is published, source is unverified, and the project still claims “full transparency” without explanation.
4. प्रशासनिक अधिकारों को समझें
इन जैसी भूमिकाएँ और फ़ंक्शन देखें:
- owner, admin, operator और upgrader;
- pause और unpause;
- शुल्क या सीमा में बदलाव;
- जुड़े पतों में बदलाव;
- टोकन minting;
- एसेट निकासी;
- implementation upgrades के बदलाव;
- पता ब्लॉक करना।
पूछें कि इन कुंजियों को कौन नियंत्रित करता है, multisig उपयोग होता है या नहीं, बदलावों पर timelock है या नहीं और उपयोगकर्ताओं को कैसे सूचित किया जाता है। केंद्रीकृत नियंत्रण अपने आप धोखाधड़ी नहीं है, लेकिन यह विशिष्ट नियंत्रकों पर निर्भरता है।
Stop signal: one address holds critical powers while the project claims that nobody can change anything.
5. ऑडिट को सही ढंग से पढ़ें
जाँचें कि:
- रिपोर्ट ऑडिटर द्वारा प्रकाशित है;
- repository और commit hash बताए गए हैं;
- लाइव कॉन्ट्रैक्ट समीक्षा के दायरे में है;
- रिपोर्ट वर्तमान implementation को कवर करती है;
- अनसुलझे निष्कर्ष शेष हैं;
- सुधारों का दोबारा परीक्षण किया गया;
- महत्वपूर्ण घटक शामिल नहीं किए गए थे।
ऑडिट एक अतिरिक्त स्वतंत्र समीक्षा है। यह हर त्रुटि नहीं खोज सकता और वेबसाइट, कुंजी प्रबंधन, व्यवसाय मॉडल या भविष्य के अपग्रेड को अपने आप शामिल नहीं करता।
Stop signal: there is an “Audited” badge but no report or reviewed code version.
6. सहायता अनुरोधों की तुलना on-chain गतिविधि से करें
कई ट्रांज़ैक्शन में जाँचें:
- Status;
सेऔरTo / Interacted With;- BEP-20 गतिविधियाँ;
- आंतरिक calls;
- लॉग;
- शुल्क;
- बैलेंस और कॉन्ट्रैक्ट स्थिति में बदलाव।
Compare the actual path of funds with the published architecture. Do not draw a system-wide conclusion from one demonstration transaction. सफलता means the code executed without reverting; it does not mean the operation was safe or beneficial.
Stop signal: observable fund flows differ from the stated process and no clear explanation is provided.
7. परिसंपत्तियों को देनदारियों से अलग रखें
दिखाई देने वाला पता बैलेंस केवल एक तथ्य है। पूछें:
- क्या सभी संबंधित पते बताए गए हैं;
- एसेट को कौन नियंत्रित करता है;
- क्या उन्हें निकाला जा सकता है;
- अन्य उपयोगकर्ताओं के प्रति कौन-से दायित्व मौजूद हैं;
- बाहरी मूल्य कैसे निर्धारित होता है;
- क्या पहुँच bridge, DEX, oracle या counterparty पर निर्भर है।
बड़ा token बैलेंस तरलता का प्रमाण नहीं है। बड़ी संख्या में इकाइयों का वास्तविक रूप से प्राप्त होने वाला मूल्य बहुत कम हो सकता है।
Stop signal: one address balance is presented as proof of solvency without disclosing obligations or control rights.
8. आर्थिक मॉडल को सरल भाषा में समझाएँ
इनके स्पष्ट उत्तर खोजें:
- कोई भी भुगतान कहाँ से आता है;
- शुल्क कौन चुकाता है;
- यदि कोई नया उपयोगकर्ता न आए तो क्या होता है;
- निकास की शर्तें और lockups;
- नुकसान कहाँ हो सकता है;
- प्रशासक कौन-से पैरामीटर बदल सकते हैं;
- टोकन का मूल्य किन कारणों से बदलता है।
यदि परिणाम बाज़ार, नए प्रतिभागियों, तरलता या टीम निर्णयों पर निर्भर है, तो ये निर्भरताएँ स्पष्ट होनी चाहिए।
Stop signal: a fixed outcome is promised without a verifiable source of funds or loss scenario.
9. हस्ताक्षर और token allowance नियंत्रित करें
पुष्टि से पहले वॉलेट में दिखाई गई जानकारी सत्यापित करें:
- नेटवर्क;
- call किया गया पता;
- फ़ंक्शन या पठनीय कार्रवाई;
- native-token मूल्य;
- टोकन और allowance राशि;
- अपेक्षित एसेट बदलाव।
An approve call does not immediately transfer a token. It may authorize a spender contract to call transferFrom up to an allowance. An unlimited allowance increases potential loss if the spender is compromised or flawed.
यदि डेटा अस्पष्ट हो या पता आपके जाँचे हुए पते से अलग हो, तो हस्ताक्षर अस्वीकार करें। उपयोग के बाद किसी विश्वसनीय टूल से अनुमतियों की समीक्षा करें और जिनकी आवश्यकता नहीं है उन्हें रद्द करें।
Stop signal: you are pressured to sign unreadable data or told that a signature “does nothing.”
10. off-chain जोखिमों को शामिल करें
अच्छी तरह समीक्षा किया गया कोड भी हर घटना नहीं रोक सकता:
- वेबसाइट या DNS compromise;
- दुर्भावनापूर्ण ब्राउज़र एक्सटेंशन;
- कुंजी की चोरी;
- compromised प्रोजेक्ट खाता;
- backend विफलता;
- social-engineering हमला;
- कानूनी प्रतिबंध;
- सहायता या परिचालन विफलता।
दस्तावेज़, घटना-प्रतिक्रिया प्रक्रियाएँ, सूचना चैनल और बदलाव इतिहास जाँचें। कानूनी दावों का मूल्यांकन वास्तविक दस्तावेज़ों और अपने क्षेत्राधिकार के अनुसार करें।
11. संभावित नुकसान सीमित करें
समीक्षा पूरी होने के बाद भी:
- सबसे छोटी व्यावहारिक परीक्षण राशि से शुरू करें;
- अपरिचित dApps के लिए अलग वॉलेट उपयोग करें;
- सभी एसेट कनेक्ट किए गए वॉलेट में न रखें;
- समय के दबाव में कभी हस्ताक्षर न करें;
- ट्रांज़ैक्शन हैश और पते सहेजें;
- token allowances की नियमित समीक्षा करें;
- जोखिम की ऐसी अधिकतम सीमा तय करें जिसका पूरा नुकसान संभाला जा सके।
Solidity का आधिकारिक सुरक्षा मार्गदर्शन किसी कॉन्ट्रैक्ट में रखे एसेट की मात्रा सीमित रखने की सलाह देता है: यदि कोड, कंपाइलर या प्लेटफ़ॉर्म में बग हो तो जोखिम सीमित रखने से नुकसान भी सीमित किया जा सकता है।
ट्रांज़ैक्शन से पहले की चेकलिस्ट
Answer yes, no, or unknown:
- मैंने डोमेन सत्यापित किया।
- मुझे सटीक नेटवर्क पता है।
- मैंने token कॉन्ट्रैक्ट पता जाँचा।
- मैंने call किए गए कॉन्ट्रैक्ट पते की जाँच की।
- मुझे source-verification स्थिति पता है।
- मैंने proxy और implementation जाँचे।
- मैं प्रशासनिक अधिकार समझता हूँ।
- ऑडिट लाइव संस्करण से मेल खाता है।
- मैंने वास्तविक ट्रांज़ैक्शन जाँचे।
- मैं भुगतान स्रोत और नुकसान की परिस्थितियाँ समझता हूँ।
- मैं हस्ताक्षर अनुरोध समझता हूँ।
- allowance उचित सीमा में है।
- मैंने frontend, कुंजी और कानूनी जोखिमों पर विचार किया।
- परीक्षण राशि से गंभीर नुकसान नहीं होना चाहिए।
For a critical question, unknown is not a neutral answer—it is an unassessed risk. Pausing for verification is usually cheaper than an irreversible transaction.
सावधान उपयोगकर्ता को पूछे जाने वाले प्रश्न
Is a project safe if its code is open and audited?
No. Those are useful signals, but unknown bugs and administrative, operational, economic, and external risks remain.
If assets are visible on-chain, can they definitely be returned?
No. Return depends on code, current state, control rights, and external dependencies.
Does a small successful test prove a larger transaction will work?
No. It tests one path at one moment. Limits, liquidity, state, and implementation may later differ.
What if I do not understand the signature?
Reject it. Identify the function, called address, asset changes, and permissions before trying again.
स्रोत और आगे पढ़ने की सामग्री
- Solidity Documentation — सुरक्षा संबंधी विचार
- Ethereum.org — स्मार्ट कॉन्ट्रैक्ट सुरक्षा
- Ethereum.org — स्मार्ट कॉन्ट्रैक्ट का परीक्षण
- BscScan Information Center — ट्रांज़ैक्शन देखना
- BscScan Information Center — कॉन्ट्रैक्ट सत्यापन के प्रकार
- BscScan Information Center — पता क्या है?
- OpenZeppelin Docs — Proxy Upgrade Pattern
