How to Assess Web3 Project Risks: A Practical User Checklist
In Web3, users often hold their own keys and sign transactions directly. A useful review therefore starts not with “How much can I earn?” but with: What am I signing, which code will gain access to my assets, and who can change the rules?
任何检查清单都无法证明项目绝对安全。它的作用是揭示未知事项、将说法与可核验证据进行比较，并限制潜在损失。
本文仅供教育用途，不构成财务、投资或法律建议。Web3 交易可能导致所转移资产全部损失。
1. 核验来源
- 使用已保存的书签或经确认的官方渠道提供的 URL。
- 逐个核对域名中的每个字符。
- 避免通过广告、未经请求的消息或随机搜索结果连接钱包。
- 比对项目各项官方资料中的合约地址。
- 绝不要泄露助记词或私钥。
Stop signal: a site asks you to “synchronize,” “validate,” or “restore” a wallet by entering secret words.
2. 确认网络和资产
转移任何资产前，请记录：
- 网络；
- 代币合约地址；
- 接收方地址或被调用的合约地址；
- 金额；
- 费用支付资产；
- 预期操作。
A name such as 泰达币 does not uniquely identify a token. Verify the full token contract address. The same 0x… address format can be used on different EVM networks, but assets and state remain network-specific.
Stop signal: the project gives a ticker but does not publish the network and token address.
3. 检查已部署代码
在区块浏览器中：
- 使用官方地址查找合约；
- 检查源代码验证；
- 确定它是否为代理合约；
- 打开当前实现合约；
- 将所有地址与项目文档进行比较。
On BscScan, Exact Match means published source and constructor parameters were matched to deployed bytecode. This improves transparency but is not a security assessment.
Stop signal: no address is published, source is unverified, and the project still claims “full transparency” without explanation.
4. 了解管理权限
查找以下角色和函数：
- 所有者、管理员、操作员和升级者；
- 暂停和恢复；
- 费用或限额变更；
- 关联地址变更；
- 代币铸造；
- 资产提现；
- 实现合约升级；
- 地址封锁。
请确认这些密钥由谁控制、是否使用多重签名、变更是否设有时间锁以及如何通知用户。中心化控制不一定意味着欺诈，但确实会形成对特定控制者的依赖。
Stop signal: one address holds critical powers while the project claims that nobody can change anything.
5. 正确阅读审计报告
请确认是否：
- 报告由审计机构发布；
- 已注明代码仓库和提交哈希；
- 当前运行的合约在审查范围内；
- 报告涵盖当前实现合约；
- 仍有未解决的发现；
- 修复内容已重新测试；
- 重要组件未纳入范围。
审计是一项额外的独立审查。它无法发现所有缺陷，也不会自动涵盖网站、密钥管理、商业模式或未来升级。
Stop signal: there is an “Audited” badge but no report or reviewed code version.
6. 将相关表述与链上行为对照
检查多笔交易，确认：
- 状态；
从和To / Interacted With;- BEP-20 代币流动；
- 内部调用；
- 日志；
- 费用；
- 余额和合约状态变化。
Compare the actual path of funds with the published architecture. Do not draw a system-wide conclusion from one demonstration transaction. 成功 means the code executed without reverting; it does not mean the operation was safe or beneficial.
Stop signal: observable fund flows differ from the stated process and no clear explanation is provided.
7. 区分资产与负债
可见的地址余额只是其中一个事实，还应确认：
- 是否披露所有相关地址；
- 谁控制资产；
- 能否提取；
- 对其他用户承担哪些义务；
- 外部价格的确定方式；
- 访问是否依赖跨链桥、DEX、预言机或交易对手。
代币余额很大并不能证明流动性充足。数量庞大的代币单位也可能几乎没有可变现价值。
Stop signal: one address balance is presented as proof of solvency without disclosing obligations or control rights.
8. 用通俗语言说明经济模型
查明以下问题：
- 任何款项的来源；
- 谁支付费用；
- 如果没有新用户加入会发生什么；
- 退出条件和锁定安排；
- 可能发生损失的环节；
- 管理员可以更改哪些参数；
- 代币价格的驱动因素。
如果结果依赖市场、新参与者、流动性或团队决定，就应明确说明这些依赖关系。
Stop signal: a fixed outcome is promised without a verifiable source of funds or loss scenario.
9. 控制签名与代币授权额度
确认前，请核对钱包显示的内容：
- 网络；
- 被调用地址；
- 函数或可读操作；
- 原生代币价值；
- 代币及授权额度；
- 预期的资产变化。
An approve call does not immediately transfer a token. It may authorize a spender contract to call transferFrom up to an allowance. An unlimited allowance increases potential loss if the spender is compromised or flawed.
如果数据不清楚或地址与已核验地址不同，请拒绝签名。使用后，请通过可信工具检查并撤销不再需要的权限。
Stop signal: you are pressured to sign unreadable data or told that a signature “does nothing.”
10. 纳入链下风险
即使经过充分审查的代码也无法防止所有：
- 网站或 DNS 遭到入侵；
- 恶意浏览器扩展程序；
- 密钥被盗；
- 遭到入侵的项目账户；
- 后端故障；
- 社会工程攻击；
- 法律限制；
- 支持或运营故障。
检查文档、事件处理流程、通知渠道和变更历史。应依据实际文件并结合您所在司法管辖区评估法律主张。
11. 限制潜在损失
即使完成审查后：
- 从实际可行的最小测试金额开始；
- 为不熟悉的 dApp 使用单独的钱包；
- 不要将所有资产都存放在已连接的钱包中；
- 绝不要在时间压力下签名；
- 保存交易哈希和地址；
- 定期检查代币授权额度；
- 设置一个即使全部损失也可承受的最大风险敞口。
Solidity 官方安全指南建议限制合约持有的资产金额：如果代码、编译器或平台存在漏洞，限制风险敞口可以限制损失。
交易前检查清单
Answer yes, no, or unknown:
- 我已核验域名。
- 我已确认准确的网络。
- 我已检查代币合约地址。
- 我已检查被调用的合约地址。
- 我已确认源代码验证状态。
- 我已检查代理合约和实现合约。
- 我了解管理员权限。
- 审计与线上版本相匹配。
- 我已检查真实交易。
- 我了解款项来源和可能的损失情形。
- 我理解该签名请求。
- 授权额度受到合理限制。
- 我已考虑前端、密钥和法律风险。
- 测试金额不会造成重大损失。
For a critical question, unknown is not a neutral answer—it is an unassessed risk. Pausing for verification is usually cheaper than an irreversible transaction.
谨慎用户应提出的问题
Is a project safe if its code is open and audited?
No. Those are useful signals, but unknown bugs and administrative, operational, economic, and external risks remain.
If assets are visible on-chain, can they definitely be returned?
No. Return depends on code, current state, control rights, and external dependencies.
Does a small successful test prove a larger transaction will work?
No. It tests one path at one moment. Limits, liquidity, state, and implementation may later differ.
What if I do not understand the signature?
Reject it. Identify the function, called address, asset changes, and permissions before trying again.
