📖 术语
🟢 通俗解释
🔰 新手
🔍 智能合约审计 Smart Contract Audit
安全专家把项目代码逐行读一遍，在合约上线、开始托管真金白银之前，把漏洞和薄弱点一一找出来的细致审查。
💡
常见误解 — 「已审计」就代表安全？未必！审计能降低风险，但审计过的合约照样会被黑。一份干净的报告是好兆头，却不是护身符。
🏗️ 一句话说清 — 给代码做体检的验房师
设想一位验房师，在租客搬进来之前先把新楼走一遍，检查线路和承重墙是否符合规范。审计对智能合约做的就是这件事。安全专家把代码读一遍，指出所有可能出错的地方，团队再逐一修复。验房通过让人安心，却从不承诺这栋楼永远不出隐患。
🔬 一次审计究竟是怎么进行的
审计不是单向流水线，而是来回往复的循环。项目把代码交出去，审计方写下找到的问题，团队修复，审计方再复审。这种问题与修复的交换可能反复好几轮，直到循环收尾、产出一份公开的最终报告，列出仍未解决的事项。而要先把问题找出来，审计方靠的是两种手段并用。
| 手段 | 能抓到什么 |
|---|---|
| 🤖 自动化工具 | 静态分析器（如 Slither、Echidna）快速扫描代码，揪出常见、已知的问题模式 |
| 👀 人工审查 | 人逐行读代码，抓出工具漏掉的隐蔽逻辑缺陷 |
🐞 他们到底在找什么？
审计方盯的是几类已知的弱点——合约代码反复栽跟头的那些地方：
- 🔁 重入攻击（Reentrancy） — 合约在更新自己余额之前，被诱骗反复重复打款
- 🔑 权限控制缺陷 — 本该锁死的函数，结果谁都能调用
- 🔢 整数溢出 / 下溢 — 数字越过上限后回绕，算出一个莫名其妙的余额
- 📡 预言机操纵 — 把伪造的价格数据从预言机（Oracle）喂进来，借机掏空资金
- ⚡ 闪电贷攻击 — 借一笔巨额闪电贷，在某个瞬间把价格掰弯，趁机获利
💸 为什么这件事这么要紧
智能合约一旦部署上线就不可更改——代码没法事后随手改动。这些合约往往托管着真实的用户资金，所以哪怕漏掉一个小漏洞，钱都可能被掏空，而且通常没有撤销键。正因如此，上线前认真审查一遍，再贵也值得。
📊 审计在 DeFi 应用和代币项目里很常见。你会看到「经 CertiK / OpenZeppelin / Trail of Bits 审计」之类的徽章——但真正有分量的一步，是打开报告读一读其中的严重（Critical）和重大（Major）级问题，而不是只认那个 logo。
🚨 新手须知
- 📛 已审计 ≠ 安全 — 审计过的合约照样被黑；2024 年因智能合约被攻击损失数十亿美元
- 🕳️ 看清审计范围 — 代码审计不管私钥被盗，也不管网站被黑，而钱恰恰大量是从这些地方流走的
- 📰 把报告读完 — 那些严重问题是修好了，还是只列出来挂着没动？这才是关键
- 🏷️ 一个徽章不算数 — 只有 logo 却拿不出公开报告，说明不了任何问题
❓ 常见问题
- 「已审计」就等于项目安全吗？
- 不等于。审计能降低已知漏洞的概率，却无法承诺安全。审计之后会冒出新的攻击手法，合约还要和审计没覆盖到的外部系统打交道，而且很多最惨重的损失来自私钥被盗或网站被黑——这些都不在代码审计的检查范围里。
- 新手看审计报告时，到底该看哪里？
- 看具体发现的问题，而不是只看那个 logo。打开报告，重点看「严重（Critical）」和「重大（Major）」级别的问题：是已修复、已确认接受，还是仍然挂着没处理？一份留着未解决严重问题的简短报告，比顶上那家审计公司的名字更说明问题。
- 审计过的合约还会被黑吗？
- 会，而且经常发生。2024 年整个行业因智能合约被攻击损失数十亿美元，其中很大一部分被盗资金来自链下攻击，比如私钥泄露和基础设施被入侵——这些问题都落在常规代码审计的范围之外。