Risk balı olmadan araşdırma: sübut, naməlum sahə və vaxt sərhədi

Bir sənəd qovluğunda şəxsiyyət vəsiqəsi, texniki baxış, bank çıxarışı və müqavilə yanaşı qala bilər. Heç biri digərini “müsbət xalla” əvəz etmir. Texniki baxışın olması müqavilə borcunu silmədiyi kimi, açıq mənbə kodu da zəif likvidliyi və ya idarəetmə səlahiyyətini yox etmir.

Meme koin üçün yaşıl qalxan, 82 bal və ya “aşağı risk” etiketi rahat görünür. Ancaq bu nəticə hansı faktın nə qədər çəkildiyini, hansı sahənin ümumiyyətlə yoxlanmadığını və məlumatın nə vaxtdan qaldığını gizlədə bilər. Daha dürüst çıxış risk balı deyil, hər iddianın mənbəsini və sərhədini saxlayan sübut dəftəridir.

Tək bal üç vacib fərqi silir

Birinci fərq kateqoriyadır. Contract source-un oxunaqlı olması kod şəffaflığıdır; tək admin açarı səlahiyyət quruluşudur; az sayda holder-də böyük pay konsentrasiyadır; nazik hovuz bazar çıxışıdır. Bunların ortaq təbii vahidi yoxdur. Birinə verilən müsbət xal digərini kompensasiya etmir.

İkinci fərq sübut vəziyyətidir. “Authority yoxdur”, “authority sahəsi tapılmadı” və “baxılan provider bu sahəni vermədi” eyni nəticə deyil. Bal sistemi missing məlumatı bəzən sıfır, bəzən cəza kimi qəbul edir; hər iki seçim naməlumluğu saxta dəqiqliyə çevirə bilər.

Üçüncü fərq vaxtdır. Keçən ay ləğv edilmiş səlahiyyət cari müşahidə ilə təsdiqlənməlidir. Bu gün görünən likvidlik sabah dəyişə bilər. Audit hesabatı müəyyən kod versiyasına aid ola bilər, proxy isə sonradan başqa məntiqə yönələ bilər. Tarixsiz xal müxtəlif zamanları eyni anda dondurur.

Sübut dəftərinin bir sətri necə görünür?

Hər sətir bir yoxlanılan iddiaya aiddir. Minimum sahələr bunlardır: iddianın dəqiq mətni; chain və obyektin tam ünvanı; mənbə URL-si və publisher; xam sahə və ya sənəd hissəsi; müşahidə vaxtı və blok/slot mümkündürsə həmin dəyər; nəticə; nəticənin dəstəkləmədiyi məna; yenilənmə şərti.

Məsələn, “mənbə kodu Etherscan-da verified görünür” müşahidəsi müqavilə ünvanı, compiler uyğunluğu səhifəsi və vaxtla saxlanır. “Token təhlükəsizdir” həmin sətrin nəticəsi deyil. Başqa sətirdə proxy implementation, owner, pause, mint və upgrade imkanları araşdırılır.

Sübut sətri dəyişdirilmədən versiyalanır. Son müşahidə əvvəlki nəticəni ləğv edirsə köhnə sətir silinmir; `superseded` statusu və yeni sətrə keçid alır. Beləcə oxucu yalnız bugünkü yekunu deyil, risk səthinin necə dəyişdiyini də görə bilir.

Birinci qovluq aktiv kimliyidir

Risk araşdırması token adı ilə başlamır. Şəbəkə, chain ID, tam müqavilə və ya mint, obyekt növü, rəsmi əlaqə və explorer təsdiqi əvvəl qurulur. Yanlış müqavilə üzrə aparılan dərin kod təhlili də yanlış aktiv barədədir.

Eyni simvollu saxta token, bridged versiya, wrapper və multichain deployment ayrıca sətirlərdə qalır. İqtisadi bağlılıq rəsmi bridge sənədi və zəncir hadisəsi ilə sübut edilmirsə ad oxşarlığı kimi qeyd olunur. Token ünvanı yoxlaması bu kimlik paketini addım-addım verir.

Məlumat provayderinin coin ID-si də müqavilə ünvanı deyil. Provider mapping-i həmin xidmətin bazar məlumatını hansı obyektə bağladığını göstərir. O, zəncirin öz kimliyini və hüquqi issuer əlaqəsini əvəz etmir.

Kodun oxunaqlılığı təhlükəsizlik möhürü deyil

Etherscan mənbə kodu yoxlaması təqdim edilmiş source-un kompilyasiya nəticəsini yerləşdirilmiş bytecode ilə uyğunlaşdırır. Uğurlu uyğunluq kodu oxumaq və funksiyaları araşdırmaq imkanı verir. Bu, güclü şəffaflıq addımıdır, amma audit, komanda kimliyi və davranış zəmanəti deyil.

Ethereum.org təhlükəsizlik rəhbərliyi testin təkbaşına bütün edge case və boşluqları tapmadığını, müstəqil auditin də bütün səhvləri aşkar edən universal həll olmadığını bildirir. Deməli “audit var” ayrıca sənəd faktıdır. Audit scope-u, commit və ya bytecode uyğunluğu, tarix, tapıntılar və remediation ayrıca saxlanmalıdır.

Proxy quruluşunda istifadəçinin çağırdığı ünvan vəziyyəti saxlayıb icranı başqa implementation-a yönəldə bilər. Yalnız proxy source-un verified olması cari məntiqin hamısını göstərməyə bilər. Implementation ünvanı, upgrade səlahiyyəti və müşahidə bloku ayrıca qovluğa daxil edilir.

Source verified deyilsə “zərərli” hökmü avtomatik çıxmır. Dəqiq nəticə yalnız budur: həmin explorer və həmin vaxt üçün yerləşdirilmiş kodla açıq source uyğunluğu əldə edilməyib. Şəffaflıq boşluğu risk araşdırmasının nəticəsidir, niyyətin sübutu deyil.

Səlahiyyət hansı hərəkəti kimin edə bildiyidir

Ethereum.org access control bölməsi həssas funksiyalara girişi məhdudlaşdırmağı, tək owner ünvanının isə single point of failure yarada biləcəyini izah edir. Araşdırma “owner var/yoxdur”dan daha detallı olmalıdır: mint, pause, blacklist, fee, upgrade, treasury və recovery kimi hərəkətlərin hər biri üçün səlahiyyət yolu yazılır.

Multisig etiketi görünəndə threshold, signer dəsti və timelock məlumdursa həmin sahələr ayrıca saxlanır. “Multisig” sözü imzaların müstəqilliyini və real dünyadakı tərəflərin kimliyini sübut etmir. Renounced ownership də bütün başqa rol və proxy səlahiyyətlərinin ləğv edildiyini avtomatik göstərmir.

Solana SPL modelində mint authority və freeze authority mint account səviyyəsində ola bilər. Mint account ilə token account fərqləndirilmədən böyük holder hesabı “admin” adlandırıla bilər. Authority-nin cari dəyəri chain-dən, konkret slot və vaxtla oxunur; layihə saytındakı ümumi cümlə xam sahəni əvəz etmir.

Təklif və sahiblik ayrı risk xətləridir

Total supply, circulating supply və max supply eyni sahə deyil. Mint və burn səlahiyyəti gələcək dəyişiklik imkanını, cari supply isə müəyyən andakı vəziyyəti göstərir. Cap sənəddə yazılıbsa onun kod və chain səviyyəsində necə tətbiq edildiyi ayrıca yoxlanır.

Holder bölgüsü üçün ünvan payı başlanğıcdır, benefisiar xəritə deyil. Exchange custody, bridge escrow, burn address, liquidity contract və treasury kimi ünvanlar fərqli iqtisadi rollara malik ola bilər. Explorer name tag kömək edir, amma etiketin mənbəyi və vaxtı olmadan qəti təsnifat verilmir.

Top holder konsentrasiyası hesablanarsa hansı supply denominator-u, neçə ünvan, hansı blok və contract/filter qaydası istifadə edildiyi yazılır. Bu sayt həmin nəticəni tək risk faizinə çevirmir. Konsentrasiya ilə satış niyyəti arasında əlavə davranış sübutu lazımdır.

Naməlum ünvan “insider” adlandırılmır. Dəqiq status “benefisiar əlaqə bu araşdırmanın mənbələri ilə müəyyən edilməyib” ola bilər. Bu cümlə daha az dramatikdir, lakin sübutun həqiqi sərhədini qoruyur.

Likvidlik və bazar məlumatı təhlükəsizlik auditi deyil

Böyük iyirmi dörd saatlıq həcm contract kodunun təhlükəsizliyini göstərmir. Böyük market cap holder-in çıxa biləcəyi dərinliyi təmin etmir. DEX hovuz likvidliyi də bir neçə pair və şəbəkədə parçalanmış ola bilər. Parçalanmış hovuz xəritəsi görünən cəmlə istifadə edilən marşrutu ayırır.

CoinGecko metodologiyası qiymət və bazar məlumatının ticker seçimi, çevirmə, filtr və aqreqasiya ilə yarandığını göstərir. Buna görə provider əhatəsi ayrıca mənbə keyfiyyəti sahəsidir. Aktiv provider-də siyahıdadırsa bu, müqavilə auditi və ya hüquqi təsdiq deyil.

Bazar qovluğunda CEX product-ları, DEX pair-lər, base/quote istiqaməti, həcm pəncərəsi, likvidlik snapshot-ı, source update və fetch vaxtı saxlanır. Missing pair sıfır likvidlik, stale qiymət isə cari qiymət kimi yazılmır.

Likvidlik dəyişkən olduğuna görə yenilənmə tezliyi kod sənədindən fərqli ola bilər. Canlı bazar sahəsi tez köhnəlir; deployment bytecode sabit qala bilər; admin və proxy vəziyyəti hadisə ilə dəyişə bilər. Bütün kateqoriyaya bir expiry tətbiq etmək düzgün deyil.

Asılılıq və hadisə riski ayrıca görünməlidir

Token davranışı tək müqavilədən ibarət olmaya bilər. Oracle, router, bridge, upgrade admin, multisig, offchain metadata, frontend və məlumat provayderi ayrıca asılılıqlardır. Bir asılılığın dayanması token transferini, qiymət görünüşünü və ya yalnız sayt interfeysini fərqli şəkildə təsir edə bilər.

Hadisə qeydi “nə baş verdi?” sualını chain və vaxtla saxlayır: admin dəyişdi, liquidity çıxarıldı, implementation yeniləndi, mint authority ləğv edildi və ya provider mapping dəyişdi. Bu hadisədən “komanda qaçır” kimi niyyət nəticəsi çıxarmaq üçün ayrıca sübut lazımdır.

Asılılığın sənədi tapılmırsa risk dəftərində boş sahə qalır. Boşluq başqa kateqoriyanın müsbət nəticəsi ilə doldurulmur. Mənbə konflikti varsa hər iki iddia və onların əhatəsi yanaşı saxlanır.

Beş nəticə statusu baldan daha informativdir

Hər iddia üçün beş status kifayətdir: `təsdiqlənib` — açıq mənbə və obyekt uyğunluğu var; `bu əhatədə tapılmayıb` — konkret yoxlama nəticə verməyib; `məlumat çatmır` — mənbə lazımi sahəni vermir; `mənbələr ziddir` — uyğunlaşdırma həll olunmayıb; `köhnəlib` — nəticə yenilənmə sərhədini keçib.

“Bu əhatədə tapılmayıb” universal yoxluq deyil. Hansı explorer, chain, blok, contract və funksiya dəstinə baxıldığı yanında qalır. “Məlumat çatmır” da mənfi sübut deyil. Bu statuslar oxucuya növbəti araşdırma addımını göstərir, amma qərarı onun yerinə vermir.

Yekun səhifə kateqoriyalar üzrə iddiaları, mənbələri, son müşahidəni, məhdudiyyətləri və açıq sualları verir. Heç bir rəng bütün sətirlərin mənasını tək etiketə sıxmır. Vacib dəyişiklik olduqda yalnız təsirlənən sətirlər yenilənir və əvvəlki versiyaya keçid saxlanır.

Bu üsul tokeni təhlükəsiz və ya təhlükəli elan etmir, alış-satış siqnalı və qiymət proqnozu vermir. O, daha faydalı bir şey edir: oxucuya nəyin bilindiyini, hansı sübutla bilindiyini, nəyin hələ naməlum qaldığını və nəticənin nə vaxt yenidən yoxlanmalı olduğunu göstərir.