收益必须有一条调用流水
一个诚实的收益金库，其收益可以沿合约调用被完整还原：本金进了哪些协议、奖励在哪领、卖掉换成本金的路径是什么、成本扣了几刀。审计的定义就是把宣传页那句话沿这条流水逐段对账。链上数据公开是 DeFi 独有的尽调权利，不用它等于把审计外包给文案。
第一遍：画出交互白名单
从金库主合约出发，用浏览器看它的直接调用对象：一个只与两三家借贷协议和 DEX 交互的金库，策略复杂度肉眼可见；一个调用对象多到几十且含陌生地址的，先标记再说。交互白名单的价值在于给「灵活策略」一个可证伪的边界——声称只做借贷利差的金库，流水里不应该出现 NFT 市场与期权合约。
第二遍：数调用频率与形态
策略的自动化程度写在调用节奏里。利率套利型金库的迁移频率与利差波动同频；复投型金库有固定心跳（见复利机器的失败模式的复投记录检查法）；一个「高 APY 策略」若两周没有一笔链上调用，收益来源必然是某种表外承诺——协议记账、后台承诺或代币补偿，全部属于需要额外信任的类型。顺手查失败调用：策略反复尝试反复失败的金库，其展示收益与真实落袋之间有一个正在漏水的缺口。
第三遍：验证收入的归属
最容易被忽略的一步。金库净值增长里有几种成分：协议付的利息、奖励代币卖出的现金、别的金库转来的资助（为冲规模的补贴）、以及最微妙的——份额通胀红利。通胀攻击类收益的问题在于它依赖份额数学的粗糙处理，规模变化时反噬，这类细节在通胀攻击与份额数学里有完整机制。把净值曲线拆成这四类的过程，就是把「我们的收益来自套利机会」翻译成「其中百分之多少来自第三方补贴」的过程。
一页审计报告的最小字段
交互白名单前十地址与协议名、策略调用频率中位数、同期协议基准利率对照（金库跑赢了利差基准吗）、份额与净值的增长曲线是否同步（不同步处必有猫腻）、资助与补贴的存在证据。五个字段都填得出的金库，收益率低一点也可以进观察名单；填不出任何一条的，无论数字多好看，都属于「用别人的本金做的行为艺术」。 审计的反直觉结论常有：多数金库之间收益差异远小于宣传差异，差异在风险条款、退出通道与流动性错配上。审计的最终产出不是挑出最高 APY，而是给每个数字标注它成立需要的条件——这正是「收益来源审计」与「收益率比较」的区别。
审计中的红旗清单
一组可以机械检查的红旗信号：交互白名单里有不可识别的第三方地址且文档无解释；净值曲线在协议基准利率下跌时纹丝不动（收益与利率解耦通常意味着表外补贴或记账技巧）；份额与净值走势长期背离（份额数学的病灶，见通胀攻击与份额数学的机制）；策略调用长期静默却显示高 APY；同一团队多个金库互相转存资金（风险与收益都在体系内循环）。红旗不必然是坏，但每面旗都要求一次超出文档的解释——拿到解释前按最坏情况配比，是审计的默认安全姿势。 审计流程本身也要设预算：个人投资者的合理配置是首次入金前做一遍白名单与静默检查（半小时），此后每季度做一次十分钟的增量巡检，只在净值曲线与基准利率明显脱钩时才展开深度调查。审计不是信仰问题而是预算问题——过度审计消耗的注意力也是组合成本，欠审计则把本金交给文案。预算给「可证伪的第一遍」，深查留给异动触发，是把有限注意力杠杆到最大覆盖的唯一办法。
（补充说明与前文同样只讨论机制与操作纪律，其中的假设数字均为原理示例而非实时数据，不构成投资建议。）
发表评论
还没有评论，来说两句吧。
评论区为展示样式，提交不会被处理。