金库管理员密钥覆盖哪些东西：DeFi 合约风险按功能权限逐项核查

评估 DeFi 合约风险，最常被引用的指标是管理密钥归属：多签还是单人、时间锁多少小时。这些指标必要但不够，它们回答的是谁能签字，没回答签字之后能改什么。同样一份五-of-七多签，一边只能微调利率曲线、另一边可以把池子抽空，安全含义天差地别。功能权限这个维度，值得按桶逐项过一遍。

第一个桶是参数改动。可改哪些参数直接划出协议的日常风险面：改抵押率与清算阈值等于改所有人的清算线；改手续费等于改所有仓位的收益分配；改预言机地址等于改价格来源，这一项权重最高——能换喂价的密钥，理论上就能决定谁被清算。读参数权限时不要只看有没有，要看有没有独立开关：把喂价与利率分开授权的设计，比一把钥匙全管的旧部署要新。

第二个桶是资金操作。直接的可提取接口在现代协议里越来越少见，但变相通道仍需检查：有没有强制赎回函数、有没有把金库资产转给未审计地址的转账函数、金库是否调用可升级的外部策略合约。任何一条存在，都意味着签名者可以在不动本金接口的前提下改变本金的去向。

第三个桶是代码升级。可升级合约世界里，权限问题从资金接口转移到实现合约地址：谁能改地址，谁就能在未来任何时刻替换整段逻辑。常见缓解是升级走时间锁、紧急回滚走另一组密钥。核查时按三条分别问：升级要不要等待期、回滚要不要联署、两类权限是不是同一批签名人——若都是同一批，等于等待期只防外部不防内部。

第四个桶最隐蔽：费用的归属。管理员能把手续费目的地改到哪，协议收入的流向就是一句可改的字符串。国库长期被抽到外部地址的事故不是设计缺陷，是功能开关被使用，风险从第一次签名换人时开始累计。

链上自查不需要读源码也能走大半：在区块浏览器打开代理合约，读管理员地址；把管理员放进多签合约页面查阈值与签名人清单；再查它名下有没有挂时间锁合约。若管理员直接是某个外部地址，权限风险按最重口径处理。功能桶的部分依赖官方文档配合，文档与合约地址不一致时，以合约实际参数为准，核验后注明核验时间。

把四个桶折成一份清单：改价格源与清算参数的权限归谁、动资金有无变相通道、代码升级与回滚的密钥是否分离、费用流向谁可改。四问全部有链上可验的答案，权限风险才算画了边界。

再补一个容易被忽略的时间维度：同一个协议的不同版本常带不同权限面，老市场跑老合约，新市场跑新合约，新部署把喂价权拆进时间锁，不代表存量市场同样拆过。所以权限核查要落到你资金实际所在的那个合约地址，而不是按协议名统一给安全分。同一原则也适用于跨链部署：主网合约加了时间锁，二层版本可能仍由部署者直管，逐链逐地址核过，才谈得上边界清晰。

本文只做风险机制说明，不构成投资建议。智能合约存在逻辑缺陷与权限滥用风险，参与前请以官方文档与链上数据独立核验，并以核验时点为准。

把权限面和合约审计放在一起读，能避免一种常见的误配。审计报告通常按版本出具，覆盖审计时点的代码逻辑；权限面是治理运行期的活参数，两次审计之间可以漂移几十次。一份干净的审计报告加一把随时可换喂价的钥匙，组合起来的风险高于报告给人的直观印象。较真的读者会把审计报告的日期与当前代理合约的管理员配置做时间对照：报告晚于最近一次权限变更，参考价值高；报告之后管理员换过地址或时间锁拆过结构，就需要等新一轮核验补上这段空窗，空窗本身应计入风险预算而不是按惯性当作无事。