How to Assess Web3 Project Risks: A Practical User Checklist

In Web3, users often hold their own keys and sign transactions directly. A useful review therefore starts not with “How much can I earn?” but with: What am I signing, which code will gain access to my assets, and who can change the rules?

Không danh sách kiểm tra nào có thể chứng minh một dự án an toàn. Mục đích của nó là làm rõ điều chưa biết, đối chiếu tuyên bố với bằng chứng có thể xác minh và hạn chế thiệt hại tiềm ẩn.

Bài viết này chỉ nhằm mục đích giáo dục và không phải là tư vấn tài chính, đầu tư hay pháp lý. Giao dịch Web3 có thể dẫn đến mất toàn bộ tài sản đã chuyển.

1. Xác minh nguồn

• Hãy dùng dấu trang đã lưu hoặc URL từ một kênh chính thức đã được xác nhận.
• Kiểm tra từng ký tự trong tên miền.
• Tránh kết nối ví thông qua quảng cáo, tin nhắn không được yêu cầu hoặc kết quả tìm kiếm ngẫu nhiên.
• Đối chiếu địa chỉ hợp đồng giữa các tài liệu chính thức của dự án.
• Tuyệt đối không tiết lộ cụm từ hạt giống hoặc khóa riêng tư.

Stop signal: a site asks you to “synchronize,” “validate,” or “restore” a wallet by entering secret words.

2. Xác nhận mạng và tài sản

Trước khi chuyển bất kỳ thứ gì, hãy ghi lại:

• mạng;
• địa chỉ hợp đồng token;
• địa chỉ người nhận hoặc hợp đồng được gọi;
• số tiền;
• tài sản dùng để trả phí;
• hành động dự kiến.

A name such as USDT does not uniquely identify a token. Verify the full token contract address. The same 0x… address format can be used on different EVM networks, but assets and state remain network-specific.

Stop signal: the project gives a ticker but does not publish the network and token address.

3. Kiểm tra mã đã triển khai

Trong trình khám phá khối:

• tìm hợp đồng bằng địa chỉ chính thức;
• kiểm tra trạng thái xác minh mã nguồn;
• xác định xem đó có phải là proxy hay không;
• mở phần triển khai hiện tại;
• đối chiếu tất cả địa chỉ với tài liệu của dự án.

On BscScan, Exact Match means published source and constructor parameters were matched to deployed bytecode. This improves transparency but is not a security assessment.

Stop signal: no address is published, source is unverified, and the project still claims “full transparency” without explanation.

4. Hiểu các quyền quản trị

Tìm các vai trò và chức năng như:

• chủ sở hữu, quản trị viên, đơn vị vận hành và bên nâng cấp;
• tạm dừng và tiếp tục;
• thay đổi phí hoặc giới hạn;
• thay đổi địa chỉ được liên kết;
• việc tạo token mới;
• rút tài sản;
• nâng cấp phần triển khai;
• chặn địa chỉ.

Hãy hỏi ai kiểm soát các khóa này, có sử dụng đa chữ ký hay không, các thay đổi có khóa thời gian hay không và người dùng được thông báo bằng cách nào. Quyền kiểm soát tập trung không tự động đồng nghĩa với gian lận, nhưng tạo ra sự phụ thuộc vào những người kiểm soát cụ thể.

Stop signal: one address holds critical powers while the project claims that nobody can change anything.

5. Đọc báo cáo kiểm toán đúng cách

Kiểm tra xem:

• báo cáo do đơn vị kiểm toán công bố;
• kho mã nguồn và mã băm commit được nêu rõ;
• hợp đồng đang hoạt động nằm trong phạm vi xem xét;
• báo cáo bao quát phần triển khai hiện tại;
• vẫn còn các phát hiện chưa được xử lý;
• các bản sửa lỗi đã được kiểm thử lại;
• các thành phần quan trọng đã bị loại trừ.

Kiểm toán là một lớp đánh giá độc lập bổ sung. Kiểm toán không thể tìm ra mọi khiếm khuyết và không tự động bao quát trang web, việc quản lý khóa, mô hình kinh doanh hoặc các nâng cấp trong tương lai.

Stop signal: there is an “Audited” badge but no report or reviewed code version.

6. Đối chiếu các yêu cầu hỗ trợ với hoạt động on-chain

Kiểm tra một số giao dịch để xem:

• trạng thái;
• Từ và To / Interacted With;
• các giao dịch token BEP-20;
• các lệnh gọi nội bộ;
• nhật ký;
• phí;
• những thay đổi về số dư và trạng thái hợp đồng.

Compare the actual path of funds with the published architecture. Do not draw a system-wide conclusion from one demonstration transaction. Thành công means the code executed without reverting; it does not mean the operation was safe or beneficial.

Stop signal: observable fund flows differ from the stated process and no clear explanation is provided.

7. Phân biệt tài sản và nghĩa vụ

Số dư địa chỉ nhìn thấy chỉ là một dữ kiện. Hãy hỏi:

• tất cả địa chỉ liên quan có được công bố hay không;
• ai kiểm soát tài sản;
• chúng có thể được rút hay không;
• có những nghĩa vụ nào đối với người dùng khác;
• cách xác định giá từ bên ngoài;
• quyền truy cập có phụ thuộc vào cầu nối, DEX, oracle hoặc đối tác hay không.

Số dư token lớn không chứng minh được tính thanh khoản. Một lượng đơn vị lớn có thể có rất ít giá trị thực tế có thể thu hồi.

Stop signal: one address balance is presented as proof of solvency without disclosing obligations or control rights.

8. Giải thích mô hình kinh tế bằng ngôn ngữ dễ hiểu

Tìm câu trả lời rõ ràng cho:

• mọi khoản chi trả đến từ đâu;
• ai trả phí;
• điều gì xảy ra nếu không có người dùng mới;
• điều kiện thoát và thời gian khóa;
• tổn thất có thể phát sinh ở đâu;
• quản trị viên có thể thay đổi những tham số nào;
• những yếu tố chi phối giá token.

Nếu kết quả phụ thuộc vào thị trường, người tham gia mới, thanh khoản hoặc quyết định của đội ngũ, những yếu tố phụ thuộc đó phải được nêu rõ.

Stop signal: a fixed outcome is promised without a verifiable source of funds or loss scenario.

9. Kiểm soát chữ ký và hạn mức token

Trước khi xác nhận, hãy kiểm tra nội dung ví hiển thị:

• mạng;
• địa chỉ được gọi;
• hàm hoặc hành động dễ đọc;
• giá trị token gốc;
• token và hạn mức cho phép;
• những thay đổi tài sản dự kiến.

An approve call does not immediately transfer a token. It may authorize a spender contract to call transferFrom up to an allowance. An unlimited allowance increases potential loss if the spender is compromised or flawed.

Từ chối ký nếu dữ liệu không rõ hoặc địa chỉ khác với địa chỉ bạn đã kiểm tra. Sau khi sử dụng, hãy xem lại và thu hồi các quyền không còn cần thiết bằng công cụ đáng tin cậy.

Stop signal: you are pressured to sign unreadable data or told that a signature “does nothing.”

10. Bao gồm các rủi ro ngoài chuỗi

Ngay cả mã đã được đánh giá kỹ cũng không thể ngăn chặn mọi:

• trang web hoặc DNS bị xâm phạm;
• tiện ích trình duyệt độc hại;
• đánh cắp khóa;
• tài khoản dự án đã bị xâm phạm;
• lỗi hệ thống phía máy chủ;
• tấn công kỹ nghệ xã hội;
• hạn chế pháp lý;
• lỗi hỗ trợ hoặc vận hành.

Kiểm tra tài liệu, quy trình xử lý sự cố, kênh thông báo và lịch sử thay đổi. Đánh giá các tuyên bố pháp lý dựa trên tài liệu thực tế và theo khu vực pháp lý của bạn.

11. Hạn chế thiệt hại có thể xảy ra

Ngay cả sau khi hoàn thành đánh giá:

• bắt đầu với số tiền thử nghiệm nhỏ nhất có thể;
• sử dụng ví riêng cho các dApp chưa quen thuộc;
• không giữ toàn bộ tài sản trong ví đã kết nối;
• không bao giờ ký khi bị thúc ép về thời gian;
• lưu mã băm giao dịch và địa chỉ;
• thường xuyên xem xét các quyền sử dụng token;
• đặt mức tài sản chịu rủi ro tối đa sao cho vẫn có thể chấp nhận được nếu mất toàn bộ.

Hướng dẫn bảo mật chính thức của Solidity khuyến nghị giới hạn lượng tài sản được giữ trong hợp đồng: nếu mã, trình biên dịch hoặc nền tảng có lỗi, việc hạn chế mức độ tiếp xúc có thể giới hạn thiệt hại.

Danh sách kiểm tra trước giao dịch

Answer yes, no, or unknown:

• Tôi đã xác minh tên miền.
• Tôi biết chính xác mạng được sử dụng.
• Tôi đã kiểm tra địa chỉ hợp đồng token.
• Tôi đã kiểm tra địa chỉ hợp đồng được gọi.
• Tôi biết trạng thái xác minh mã nguồn.
• Tôi đã kiểm tra proxy và phần triển khai.
• Tôi hiểu các quyền của quản trị viên.
• Báo cáo kiểm toán khớp với phiên bản đang hoạt động.
• Tôi đã kiểm tra các giao dịch thực tế.
• Tôi hiểu nguồn tiền chi trả và các tình huống mất mát.
• Tôi hiểu yêu cầu chữ ký.
• Hạn mức được giới hạn hợp lý.
• Tôi đã xem xét rủi ro giao diện, khóa và pháp lý.
• Số tiền thử không thể gây thiệt hại nghiêm trọng.

For a critical question, unknown is not a neutral answer—it is an unassessed risk. Pausing for verification is usually cheaper than an irreversible transaction.

Những câu hỏi người dùng thận trọng nên đặt ra

Is a project safe if its code is open and audited?
No. Those are useful signals, but unknown bugs and administrative, operational, economic, and external risks remain.

If assets are visible on-chain, can they definitely be returned?
No. Return depends on code, current state, control rights, and external dependencies.

Does a small successful test prove a larger transaction will work?
No. It tests one path at one moment. Limits, liquidity, state, and implementation may later differ.

What if I do not understand the signature?
Reject it. Identify the function, called address, asset changes, and permissions before trying again.

Nguồn và tài liệu đọc thêm

1. Solidity Documentation — Các lưu ý về bảo mật
2. Ethereum.org — Bảo mật hợp đồng thông minh
3. Ethereum.org — Kiểm thử hợp đồng thông minh
4. BscScan Information Center — Xem giao dịch
5. BscScan Information Center — Các loại xác minh hợp đồng
6. BscScan Information Center — Địa chỉ là gì?
7. OpenZeppelin Docs — Mẫu nâng cấp proxy