lucifer

还记得《我是一个区块链黑客（第一篇）》结尾那份防范清单吗？最后一条写着”定期审计合约代码”——一句话打发了价值几十万美元的行业服务，堪称全文最省钱的一条建议。无独有偶，聊 DeFi 保险的《DeFi 保险：谁来保护你的链上资产？》更直接，把”审计次数”列进了协议风险评分表。

那么问题来了：审计到底是什么？谁在审？报告怎么读？普通人能不能自己跑两下？本文就回答这四个问题。

先把心态立正：审计不是保险单。这话怎么理解？想想体检。体检报告只能告诉你”抽血那天的你”状态如何，不能保证你一年不生病；车过了年检，上了高速照样可能爆胎。被多家审计公司轮番体检过的协议也一样——Euler Finance 审过不止一轮，2023 年 3 月还是被闪电贷攻击卷走 1.97 亿美元（后来黑客退还了大部分，堪称行业奇观）。原因并不神秘：审计是时间盒（time-boxed）内的抽检，不是数学证明。几个工程师花一两周，对着几万行代码找毛病，找到的是”他们能找到的”，而不是”不存在的”。

本文按四个问题展开：漏洞长什么样、审计怎么跑、报告怎么读、以及你自己怎么动手。读不懂 Solidity 没关系——审计报告本来就不全是写给程序员的，普通用户才是最该会读它的人。看完至少能看懂报告；看得懂代码更好，文末有个一百来行的玩具扫描器等你复现。

在 Web3 里买新币，死法基本就三种，而且个个经典。第一种叫硬 rug：项目方直接把流动性池撤空卷款跑路，代币瞬间归零，从”因为相信所以看见”到”查无此币”只需要一笔交易。第二种叫软 rug：团队握着大份额代币按兵不动，看起来岁月静好，然后每天精准砸一点，温水煮青蛙，你甚至说不清自己是哪天死的。第三种最阴，叫貔貅盘（honeypot）——以只进不出的上古神兽命名：你买得进，卖不出，要么卖出直接 revert，要么卖出税高达 99%，1000 USDT 进去，50 USDT 出来，”客服”还会劝你长期持有必有回报。

很多人觉得识别这些骗局需要深厚的合约功底，其实不需要。发币的门槛低到令人发指：一段二三十行的 ERC-20 模板代码，复制粘贴改个名字，五分钟上线，全部成本就是几美元的 Gas 费。门槛越低，骗子密度越高。所以”上新币之前先做检查”不是选修课，是必修课——你不检查合约，合约就会检查你的钱包。

这篇文章不讲大道理，只讲五项买前检查：流动性安全、合约权限、卖出模拟、持仓分布、团队背景。每项都配一个菜市场、买房、相亲级别的类比——你哪怕记不住术语，把类比记住也能躲掉大半的坑——外加”为什么 + 怎么查”，最后用三段纯标准库的 Python 代码把检查思路自动化。学完至少能躲开 80% 明晃晃的坑，剩下 20% 属于《合约安全审计入门》的专业范畴，那篇是审计工程师视角，本文是你掏钱之前五分钟的快速体检。