DeFi Scanner

DeFi Scanner là gì?

DeFi Scanner là công cụ phân tích tiền mã hóa, kiểm tra hợp đồng thông minh, token, quyền của ví, giao dịch blockchain, điều kiện thanh khoản, các phụ thuộc của giao thức hoặc dữ liệu on-chain khác để tìm kiếm những rủi ro tiềm ẩn.

Công cụ này giúp người dùng và nhà phát triển nhận diện dấu hiệu cảnh báo trước khi tương tác với giao thức tài chính phi tập trung hoặc phê duyệt giao dịch blockchain.

DeFi Scanner có thể phân tích mã nguồn hợp đồng, bytecode đã triển khai, số dư ví, quyền hạn mức token, quyền quản trị viên, cơ chế nâng cấp, mô phỏng giao dịch, pool thanh khoản, hệ thống oracle và hoạt động trong quá khứ.

Một số scanner tập trung vào lỗ hổng kỹ thuật, trong khi những công cụ khác chú trọng hành vi gian lận của token, mức độ rủi ro đối với ví, rủi ro thị trường hoặc tình trạng của giao thức.

DeFi Scanner không đảm bảo token, hợp đồng thông minh hay khoản đầu tư tiền mã hóa là an toàn.

Các công cụ tự động có thể bỏ sót lỗi logic nghiệp vụ phức tạp, những hình thức tấn công mới, website bị xâm phạm, quản trị viên thiếu trung thực và các điểm yếu kinh tế không khớp với những mẫu đã biết.

Cách sử dụng DeFi Scanner đáng tin cậy nhất là xem đây như một phần trong quy trình đánh giá rộng hơn, bao gồm mã nguồn đã xác minh, kiểm toán độc lập, mô phỏng giao dịch, tài liệu giao thức, phân tích quản trị và quản lý rủi ro cá nhân.

Vì sao DeFi Scanner quan trọng?

Các ứng dụng DeFi cho phép người dùng tiền mã hóa cho vay, vay, giao dịch, staking, bridge, cung cấp thanh khoản và sử dụng sản phẩm phái sinh thông qua hợp đồng thông minh.

Các hợp đồng này có thể kiểm soát lượng lớn tiền mã hóa và tự động thực hiện giao dịch sau khi nhận được chỉ thị hợp lệ.

Lỗi lập trình, quyền hạn độc hại, oracle giá yếu, khóa quản trị viên bị xâm phạm hoặc hạn chế chuyển token ẩn có thể gây ra tổn thất nghiêm trọng.

Phần lớn giao dịch blockchain rất khó hoặc không thể được người dùng thông thường đảo ngược sau khi xác nhận.

Scanner có thể bổ sung một lớp kiểm tra trước khi người dùng nạp tài sản hoặc ký giao dịch.

OWASP Smart Contract Top 10 hiện tại sử dụng dữ liệu sự cố năm 2025 và ý kiến từ các chuyên gia bảo mật để xác định những nhóm rủi ro hợp đồng thông minh lớn dự kiến vẫn sẽ quan trọng trong năm 2026.

Scanner có thể đối chiếu hợp đồng và giao dịch với các mẫu rủi ro đã biết, nhưng không thể chứng minh rằng mọi hành vi chưa từng biết đều vô hại.

DeFi Scanner hoạt động như thế nào?

DeFi Scanner thu thập thông tin blockchain công khai thông qua node, endpoint RPC, cơ sở dữ liệu đã lập chỉ mục, kho lưu trữ mã nguồn đã xác minh và nhật ký giao dịch.

Công cụ có thể truy xuất bytecode đã triển khai của hợp đồng và so sánh với mã nguồn công khai.

Scanner có thể kiểm tra hàm, biến lưu trữ, nhật ký sự kiện, số dư token, vai trò sở hữu, địa chỉ proxy và giao dịch trong quá khứ.

Sau đó, công cụ có thể chạy các quy tắc tự động để tìm mẫu lỗ hổng đã biết hoặc hành vi kinh tế bất thường.

Scanner cũng có thể mô phỏng giao dịch đề xuất trên trạng thái blockchain hiện tại để ước tính tài sản, quyền phê duyệt hoặc quyền tài khoản nào sẽ thay đổi.

Kết quả có thể được trình bày dưới dạng phát hiện riêng lẻ, nhãn cảnh báo, mức độ nghiêm trọng, điểm tin cậy hoặc một điểm rủi ro tổng hợp đơn giản.

Điểm cuối cùng phụ thuộc vào dữ liệu, giả định, quy tắc phát hiện và hệ thống tính trọng số của công cụ.

Các loại DeFi Scanner

Có thể phân loại DeFi Scanner theo thông tin mà chúng phân tích và nhóm người dùng mà chúng được thiết kế để bảo vệ.

Scanner hợp đồng thông minh phân tích mã và bytecode đã triển khai để tìm điểm yếu kỹ thuật.

Scanner token kiểm tra quyền của token, cơ chế kiểm soát nguồn cung, quy tắc chuyển token, thuế, thanh khoản và mức độ tập trung của người nắm giữ.

Scanner ví rà soát tài sản, quyền phê duyệt, chữ ký, quyền ủy quyền và mức độ tiếp xúc với hợp đồng rủi ro.

Scanner giao dịch ước tính tác động của giao dịch trước khi người dùng ký hoặc phát tán giao dịch.

Scanner giao thức đánh giá tổng thể các hợp đồng, tài sản, hệ thống quản trị, oracle và tích hợp mà ứng dụng DeFi sử dụng.

Scanner thị trường theo dõi thanh khoản, hoạt động giao dịch, biến động giá, dự trữ trong pool và khả năng thao túng.

Scanner bridge kiểm tra hợp đồng cross-chain, tài sản bảo chứng, thông điệp, validator và nguồn cung tài sản bọc.

Một sản phẩm có thể kết hợp nhiều chức năng trong số này, nhưng không scanner nào đánh giá tốt như nhau mọi loại rủi ro.

Scanner hợp đồng thông minh

Scanner hợp đồng thông minh tìm kiếm lỗ hổng, quyền hạn nguy hiểm và cách triển khai bất thường trong mã hoặc bytecode.

Phân tích tĩnh đánh giá mã mà không thực thi trên trạng thái blockchain trực tiếp.

Framework phân tích tĩnh Slither mã nguồn mở phân tích hợp đồng Solidity và Vyper bằng các trình phát hiện lỗ hổng cùng thông tin về cấu trúc hợp đồng.

Phân tích tĩnh có thể xử lý nhanh nhiều hàm và nhận diện các mẫu như lời gọi không an toàn, kiểm soát truy cập sai, rủi ro reentrancy và thay đổi trạng thái ngoài dự kiến.

Công cụ cũng có thể đưa ra kết quả dương tính giả, tức cảnh báo không phản ánh lỗ hổng có thể khai thác trong toàn bộ giao thức.

Phân tích tĩnh có thể tạo kết quả âm tính giả khi điểm yếu quan trọng quá phức tạp hoặc phụ thuộc vào ngữ cảnh nên trình phát hiện không nhận diện được.

Phân tích động

Phân tích động thực thi mã hợp đồng trong môi trường được kiểm soát và quan sát hành vi phát sinh.

Scanner có thể gọi hàm với các đầu vào, số dư tài khoản, người gửi, dấu thời gian và trạng thái blockchain khác nhau.

Phương pháp này có thể phát hiện lỗi chỉ xuất hiện khi mã đang chạy.

Phân tích động bị giới hạn bởi các kịch bản được chọn để kiểm thử.

Hợp đồng có thể hoạt động an toàn trong hàng nghìn giao dịch đã kiểm thử nhưng lại lỗi trong một chuỗi thao tác chưa được thử nghiệm.

Ứng dụng DeFi thực tế còn phụ thuộc vào các hợp đồng khác, giá bên ngoài, quyết định quản trị và điều kiện thị trường—những yếu tố có thể khó tái tạo đầy đủ.

Kiểm thử fuzz

Kiểm thử fuzz gửi nhiều đầu vào được tạo tự động hoặc bán ngẫu nhiên đến hợp đồng thông minh để tìm lỗi hệ thống, thay đổi trạng thái ngoài dự kiến và giả định không còn đúng.

Nhà phát triển có thể xác định các thuộc tính cần luôn đúng, chẳng hạn tổng tài sản phải lớn hơn hoặc bằng tổng quyền đòi tài sản của người dùng.

Hệ thống kiểm thử liên tục gọi các hàm của hợp đồng và kiểm tra xem có chuỗi đầu vào nào làm vi phạm những thuộc tính đó hay không.

Tài liệu kiểm thử bất biến của Foundry mô tả cách kiểm thử hợp đồng qua các trạng thái giao thức thay đổi và những lần gọi hàm lặp lại.

Fuzzing hữu ích hơn khi các thuộc tính được kiểm thử mô tả chính xác hành vi kinh tế mà giao thức dự kiến thực hiện.

Bất biến được thiết kế kém vẫn có thể vượt qua kiểm thử dù giao thức chứa lỗ hổng nghiêm trọng.

Thực thi ký hiệu

Thực thi ký hiệu phân tích các đường đi có thể có của chương trình bằng cách xem đầu vào giao dịch là giá trị ký hiệu, thay vì chỉ kiểm thử các ví dụ cố định.

Phương pháp này tìm cách xác định điều kiện nào có thể dẫn đến trạng thái dễ bị tấn công, khẳng định thất bại hoặc chuyển tài sản ngoài dự kiến.

Phương pháp có thể tìm ra các trường hợp biên khó phát hiện nhưng có thể cần nhiều tài nguyên tính toán.

Số lượng đường đi có thể tăng nhanh khi độ phức tạp của hợp đồng tăng.

Lời gọi bên ngoài và tương tác giữa nhiều hợp đồng có thể khiến việc phân tích ký hiệu toàn diện trở nên thiếu khả thi.

Xác minh mã nguồn

Scanner cho kết quả tốt hơn khi mã nguồn đã công bố tương ứng với bytecode được triển khai trên blockchain.

Quy trình xác minh mã nguồn biên dịch lại mã đã gửi và so sánh kết quả với bytecode đã triển khai.

Tài liệu về exact match của Sourcify giải thích rằng kết quả khớp chính xác yêu cầu bytecode đã triển khai trùng từng byte với đầu ra của trình biên dịch sau khi tính đến các khác biệt triển khai được chỉ định.

Mã nguồn đã xác minh giúp nhà phát triển, kiểm toán viên và scanner tự động dễ nghiên cứu hợp đồng hơn.

Việc xác minh không chứng minh mã an toàn, công bằng hay bền vững về mặt kinh tế.

Nhà phát triển độc hại vẫn có thể công bố mã đã xác minh hoàn toàn nhưng chứa các quyền hạn gây hại rõ ràng.

Hợp đồng chưa xác minh tạo thêm bất định vì người dùng khó kiểm tra chức năng thực tế của chương trình đã triển khai.

Phân tích bytecode đã triển khai

Bytecode là mã hợp đồng ở dạng máy có thể đọc được, được blockchain thực thi.

Scanner có thể phân tích bytecode ngay cả khi không có mã nguồn dễ đọc cho con người.

Phân tích bytecode có thể nhận diện bộ chọn hàm, lời gọi bên ngoài, truy cập lưu trữ, lời gọi delegate và các mẫu hợp đồng đã biết.

Nhìn chung, việc hiểu bytecode khó hơn mã nguồn đã xác minh vì có thể thiếu tên, chú thích, cấu trúc dữ liệu và giải thích thiết kế ban đầu.

Chỉ dựa vào bytecode có thể khó tái dựng chính xác logic nghiệp vụ phức tạp.

Scanner token

Scanner token đánh giá hợp đồng thông minh và hành vi thị trường của token tiền mã hóa.

Công cụ có thể kiểm tra tổng nguồn cung, nguồn cung lưu hành, quyền mint token, hàm đốt token, quyền sở hữu, phân bổ người nắm giữ, hạn chế chuyển token, phí, danh sách đen và thanh khoản.

Scanner có thể tìm điều kiện cho phép một số tài khoản chuyển token trong khi người dùng thông thường không thể bán.

Công cụ cũng có thể kiểm tra liệu quản trị viên có thể thay đổi thuế giao dịch sau khi người dùng mua token hay không.

Token đạt điểm tự động thuận lợi vẫn có thể mất phần lớn giá trị do nhu cầu yếu, quyền sở hữu tập trung, thanh khoản kém hoặc quảng bá thiếu trung thực.

Kiểm tra quyền mint token

Quyền mint token cho phép tài khoản hoặc hợp đồng thông minh tạo thêm token.

Quyền mint không giới hạn có thể làm pha loãng người nắm giữ hiện tại hoặc tạo ra tài sản được bán vào nguồn thanh khoản sẵn có.

Scanner có thể nhận diện hàm làm tăng nguồn cung và các vai trò được phép gọi những hàm đó.

Tài liệu kiểm soát truy cập của OpenZeppelin giải thích cách hợp đồng thông minh sử dụng quyền sở hữu và quyền dựa trên vai trò để kiểm soát các thao tác nhạy cảm.

Scanner cũng cần kiểm tra liệu bản nâng cấp có thể bổ sung một hàm mint token mới trong tương lai hay không.

Token không có hàm mint đang hoạt động vẫn có thể bị pha loãng thông qua bridge, chuyển đổi, tài sản phái sinh hoặc hợp đồng thay thế do quản trị viên kiểm soát.

Kiểm tra quyền sở hữu và quản trị viên

Nhiều hợp đồng thông minh có chủ sở hữu hoặc quản trị viên với quyền hạn đặc biệt.

Quản trị viên có thể tạm dừng giao thức, nâng cấp mã, thay đổi phí, thêm nhà vận hành, đóng băng tài khoản hoặc rút tài sản.

Các quyền này có thể giúp nhà phát triển ứng phó với tình huống khẩn cấp.

Chúng cũng có thể cho phép một tài khoản bị xâm phạm hoặc thiếu trung thực gây thiệt hại cho người dùng.

Scanner có thể kiểm tra quản trị viên là một ví, tài khoản đa chữ ký, hợp đồng quản trị hay hệ thống có timelock.

Yêu cầu đa chữ ký giảm rủi ro từ một khóa duy nhất nhưng không ngăn được sự thông đồng giữa người ký hoặc việc nhiều khóa cùng bị xâm phạm.

Quét proxy và khả năng nâng cấp

Proxy có thể nâng cấp lưu trữ tài sản hoặc trạng thái của người dùng, đồng thời chuyển việc thực thi sang một hợp đồng triển khai riêng.

Hợp đồng triển khai có thể được thay thế mà không cần thay đổi địa chỉ chính mà người dùng sử dụng.

Thiết kế này cho phép nhà phát triển sửa lỗi và bổ sung tính năng.

Điều đó cũng đồng nghĩa mã được xem xét hôm nay có thể không còn là mã kiểm soát tài sản vào ngày mai.

Scanner có thể nhận diện địa chỉ hợp đồng triển khai, quản trị viên proxy, thời gian trì hoãn nâng cấp, trạng thái khởi tạo và bố cục lưu trữ.

Kiểm tra khả năng nâng cấp rất quan trọng vì hợp đồng triển khai an toàn có thể bị thay thế bằng mã độc hại hoặc lỗi.

Quét thuế chuyển token

Token có thuế chuyển sẽ khấu trừ một phần trong giao dịch chuyển, mua hoặc bán.

Scanner có thể ước tính thuế mua và bán bằng cách mô phỏng giao dịch chuyển token qua các hợp đồng liên quan.

Mức thuế vừa phải vẫn có thể gây lỗi cho các tích hợp vốn dự kiến nhận đủ số lượng token được chuyển.

Quản trị viên có thể được phép tăng thuế sau khi người dùng mua token.

Mức thuế gần bằng toàn bộ giá trị bán có thể khiến token không thể bán được về mặt kinh tế.

Kết quả mô phỏng có thể lỗi thời khi thuế phụ thuộc vào trạng thái hợp đồng hoặc cài đặt quản trị viên thay đổi.

Phát hiện honeypot

Token honeypot cho phép người dùng mua nhưng ngăn người nắm giữ thông thường bán thành công.

Hợp đồng có thể chặn một số địa chỉ gửi, chỉ cho phép chuyển đến tài khoản được phê duyệt, áp thuế bán cực cao hoặc dùng điều kiện ẩn phụ thuộc vào trạng thái giao dịch.

Scanner có thể mô phỏng thao tác mua và bán để kiểm tra cả hai có hoàn tất được hay không.

Hợp đồng có thể hoạt động bình thường trong lúc mô phỏng rồi kích hoạt hạn chế sau đó.

Quản trị viên cũng có thể miễn trừ địa chỉ kiểm thử của scanner nhưng chặn người dùng thông thường.

Vì vậy, bán mô phỏng thành công là bằng chứng hữu ích nhưng không phải bằng chứng lâu dài rằng mọi giao dịch bán trong tương lai đều sẽ thành công.

Quét thanh khoản

Scanner thanh khoản kiểm tra lượng tiền mã hóa có sẵn trong các pool dùng để mua hoặc bán token.

Công cụ có thể phân tích dự trữ trong pool, độ sâu giao dịch, giao dịch hoán đổi gần đây, vị thế của nhà cung cấp thanh khoản và quyền sở hữu token thanh khoản.

Thanh khoản sâu thường cho phép thực hiện giao dịch lớn hơn với tác động giá thấp hơn.

Con số thanh khoản được báo cáo cao có thể gây hiểu lầm nếu một quản trị viên có thể rút thanh khoản ngay lập tức.

Scanner có thể kiểm tra vị thế thanh khoản bị khóa, đã đốt, do kho bạc kiểm soát hay tập trung trong một số ít ví.

Khóa thanh khoản giảm một rủi ro rút tiền nhưng không ngăn được việc mint token, khai thác giao thức, giá sụp đổ hoặc tạo pool khác.

Quét mức độ tập trung của người nắm giữ

Mức độ tập trung của người nắm giữ cho biết bao nhiêu nguồn cung token nằm trong tay các địa chỉ lớn nhất.

Token tập trung cao có thể chịu áp lực bán đột ngột khi một người nắm giữ lớn thoái vốn.

Nhiều ví có thể thuộc cùng một chủ sở hữu, khiến mức độ tập trung thực tế cao hơn vẻ ngoài.

Cần phân loại riêng hợp đồng thông minh, bridge, kho bạc, pool thanh khoản và địa chỉ đốt token, thay vì xem chúng như người nắm giữ thông thường.

Scanner có thể báo cáo phân bổ theo địa chỉ nhưng không biết địa chỉ nào có chung chủ sở hữu.

Scanner ví

Scanner ví rà soát địa chỉ blockchain công khai để tìm tài sản, quyền hạn, tương tác đáng ngờ và mức độ tiếp xúc với hợp đồng thông minh.

Công cụ có thể liệt kê số dư token, vị thế thanh khoản, tài sản staking, khoản vay, tài sản thế chấp, quyền phê duyệt đang mở và giao dịch trước đây.

Scanner ví không cần khóa riêng tư hoặc cụm từ khôi phục của người dùng để đọc dữ liệu blockchain công khai.

Công cụ yêu cầu seed phrase chỉ để quét địa chỉ công khai cần được xem là độc hại.

Kết nối ví có thể giúp chọn đúng địa chỉ dễ hơn, nhưng người dùng cần xem xét mọi quyền được yêu cầu trong quá trình kết nối.

Quét quyền hạn mức token

Quyền hạn mức ERC-20 cho phép bên chi tiêu chuyển một lượng token nhất định từ tài khoản của chủ sở hữu.

Scanner có thể đọc hạn mức hiện tại và nhận diện hợp đồng có quyền lớn hoặc không giới hạn.

Hướng dẫn thu hồi quyền truy cập token hiện tại của Ethereum cảnh báo rằng quyền không giới hạn có thể vẫn được sử dụng ngay cả sau khi người dùng rút tài sản khỏi ứng dụng liên quan.

Ngắt kết nối ví khỏi website không xóa quyền hạn mức đã được ghi nhận trên blockchain.

Thu hồi quyền hạn mức cần một giao dịch blockchain mới và thường phải trả phí mạng.

Thu hồi quyền không bảo vệ được ví nếu khóa riêng tư hoặc cụm từ khôi phục đã bị đánh cắp.

Quét chữ ký Permit

Permit có thể cấp quyền chi tiêu token thông qua tin nhắn đã ký thay vì một giao dịch phê duyệt riêng.

Tiêu chuẩn permit ERC-2612 quy định các thay đổi hạn mức có chữ ký, bao gồm thông tin như chủ sở hữu, bên chi tiêu, số lượng, nonce và thời hạn.

Chữ ký permit có thể tồn tại trước khi được gửi on-chain.

Điều này khiến các permit đã ký nhưng chưa sử dụng khó được những scanner blockchain thông thường phát hiện hơn.

Scanner ví có thể nhận diện permit đã làm thay đổi trạng thái blockchain nhưng có thể không biết về chữ ký độc hại mà kẻ tấn công đang giữ riêng.

Chuyển các token bị ảnh hưởng sang ví sạch có thể an toàn hơn là chờ một permit đã ký nhưng chưa rõ ràng hết hạn.

Quét ủy quyền tài khoản

Tài khoản có thể lập trình cho phép mã thực hiện hành động thay mặt người dùng.

Theo EIP-7702, tài khoản Ethereum do người dùng sở hữu có thể ủy quyền hành vi thực thi cho mã hợp đồng thông minh.

Tài khoản được ủy quyền có thể hỗ trợ các tính năng hữu ích như gộp giao dịch, tài trợ phí, khôi phục tùy chỉnh và quyền có thể lập trình.

Việc này cũng có thể trở nên nguy hiểm nếu mã được ủy quyền độc hại hoặc triển khai kém.

Các lưu ý bảo mật của EIP cảnh báo rằng delegate không an toàn có thể gần như kiểm soát hoàn toàn tài khoản của người ký.

DeFi Scanner hiện đại nên nhận diện tài khoản có mã được ủy quyền hay không, tài khoản dùng bản triển khai nào và bản đó đã được đánh giá chưa.

Scanner cũ chỉ được thiết kế để kiểm tra phê duyệt token cơ bản có thể không hiển thị quyền hạn rộng hơn ở cấp tài khoản này.

Scanner giao dịch

Scanner giao dịch phân tích giao dịch blockchain được đề xuất hoặc đã hoàn tất.

Trước khi ký, công cụ có thể giải mã hàm của hợp đồng, nhận diện các lần chuyển tài sản, liệt kê thay đổi quyền phê duyệt và ước tính tác động đến số dư.

Sau khi thực thi, công cụ có thể hiển thị lời gọi nội bộ, biến động token, sự kiện, lượng gas sử dụng và thay đổi trạng thái.

Scanner giao dịch có thể giúp người dùng phát hiện yêu cầu chuyển tài sản thay vì thực hiện hành động được website mô tả.

Scanner nên phân tích giao dịch đã mã hóa thực tế thay vì dựa vào nhãn nút trên website.

Mô phỏng giao dịch

Mô phỏng giao dịch thực hiện một hành động được đề xuất trên bản sao hoặc ước tính của trạng thái blockchain hiện tại.

Mô phỏng có thể cho biết token nào dự kiến rời khỏi và đi vào ví.

Công cụ cũng có thể phát hiện quyền phê duyệt mới, quyền đã thu hồi, ủy quyền tài khoản thông minh, lời gọi thất bại và lượng gas dự kiến.

Mô phỏng không thể đảm bảo kết quả cuối cùng vì trạng thái blockchain có thể thay đổi trước khi giao dịch thật được thực thi.

Kẻ tấn công cũng có thể thiết kế hành vi phụ thuộc vào người gửi, số khối, giá bên ngoài, giao dịch trước đó hoặc cài đặt quản trị viên thay đổi.

Nên kết hợp mô phỏng với xác minh hợp đồng và phân tích quyền hạn.

Clear signing và DeFi Scanner

Clear signing trình bày giao dịch bằng ngôn ngữ giải thích chính xác tác động trước khi người dùng phê duyệt.

Sáng kiến clear signing tháng 5 năm 2026 của Ethereum Foundation nhấn mạnh rằng nhiều tổn thất lớn kết thúc khi người dùng phê duyệt giao dịch mà không thể hiểu ý nghĩa thực sự từ thông tin hiển thị.

DeFi Scanner có thể hỗ trợ clear signing bằng cách giải mã hàm, số lượng token, người nhận, quyền phê duyệt và quyền ở cấp tài khoản.

Cảnh báo dễ đọc chỉ hữu ích nếu người dùng xem xét cẩn thận.

Scanner không thể bảo vệ người dùng phớt lờ một giao dịch chuyển bất ngờ hoặc phê duyệt cảnh báo mà không hiểu nội dung.

Scanner giao thức

Scanner giao thức đánh giá toàn bộ hệ thống DeFi thay vì một hợp đồng đơn lẻ.

Giao thức cho vay có thể phụ thuộc vào nhiều hợp đồng tài sản, mô-đun tài sản thế chấp, mô hình lãi suất, oracle giá, hệ thống thanh lý, hợp đồng quản trị và tài khoản quản trị viên.

Từng thành phần riêng lẻ có thể trông an toàn nhưng cách chúng kết hợp về mặt kinh tế lại chứa điểm yếu nghiêm trọng.

Scanner giao thức có thể lập bản đồ các phụ thuộc và xác định thành phần nào kiểm soát tiền hoặc quyết định quan trọng.

Việc lập bản đồ phụ thuộc tự động hữu ích nhưng có thể không phát hiện quy trình off-chain chưa được tài liệu hóa hoặc hạ tầng do một bên kiểm soát riêng.

Tổng giá trị bị khóa

Tổng giá trị bị khóa ước tính lượng tiền mã hóa được gửi vào một giao thức hoặc danh mục DeFi.

Scanner có thể dùng chỉ số này làm một dấu hiệu về mức độ phổ biến của giao thức và mức độ rủi ro tài chính.

Tổng giá trị bị khóa cao không chứng minh giao thức an toàn.

Con số có thể tính cả tài sản vay, token biên nhận, tài sản bridge hoặc cùng một giá trị kinh tế ở nhiều giao thức liên kết.

Giá token tăng có thể làm giá trị được báo cáo cao hơn dù người dùng không nạp thêm tài sản.

Nên xem xét tổng giá trị bị khóa cùng với nợ phải trả, thanh khoản, mức độ tập trung người dùng, doanh thu và khả năng rút tiền.

Quét oracle

Giao thức DeFi sử dụng oracle để lấy giá và thông tin khác không tồn tại trực tiếp trong hợp đồng thông minh.

Scanner có thể kiểm tra nguồn giá, tần suất cập nhật, phương án dự phòng, giới hạn sai lệch và thanh khoản hỗ trợ oracle.

Oracle yếu có thể cho phép kẻ tấn công thao túng giá trị tài sản thế chấp, giao dịch hoán đổi, thanh lý hoặc hạn mức vay.

Scanner nên kiểm tra giao thức dựa vào một pool thanh khoản mỏng dễ thao túng hay phép tính giá rộng hơn.

Mức độ an toàn của oracle có thể thay đổi khi thanh khoản dịch chuyển hoặc thị trường được tham chiếu ngừng hoạt động.

Quét rủi ro flash loan

Flash loan cho phép vay và hoàn trả tiền mã hóa trong cùng một giao dịch blockchain nguyên tử.

Bản thân khoản vay này là một công cụ tài chính trung lập.

Kẻ tấn công có thể dùng vốn tạm thời để thao túng giá, quản trị, thanh khoản hoặc kế toán nếu giao thức có điểm yếu khác.

Scanner có thể kiểm tra liệu các phép tính quan trọng có thể bị thay đổi đáng kể trong một giao dịch hay không.

Gắn nhãn mọi trường hợp sử dụng flash loan là độc hại sẽ tạo ra nhiều cảnh báo sai.

Điều quan trọng là liệu vốn tạm thời có thể làm sai lệch các giả định kinh tế của giao thức hay không.

Lỗ hổng logic nghiệp vụ

Lỗ hổng logic nghiệp vụ xảy ra khi hành vi tài chính dự định của giao thức có thể bị lợi dụng dù các kiểm tra lập trình cơ bản có vẻ chính xác.

Hướng dẫn của OWASP về lỗ hổng logic nghiệp vụ hiện tại giải thích rằng mã cấp thấp hợp lệ vẫn có thể tạo điều kiện cho hành vi kinh tế ngoài dự kiến.

Ví dụ có thể bao gồm tính phần thưởng sai, nhận thưởng lặp lại, kế toán tài sản thế chấp lỗi hoặc tương tác vi phạm giả định của nhà thiết kế.

Lỗ hổng logic nghiệp vụ thuộc nhóm khó nhất để scanner tự động phát hiện vì mỗi giao thức DeFi có thể sử dụng quy tắc kinh tế khác nhau.

Đánh giá thủ công, đặc tả hình thức, kiểm thử bất biến và phân tích kinh tế đối kháng vẫn rất quan trọng.

Quét reentrancy

Reentrancy xảy ra khi một lời gọi bên ngoài cho phép hợp đồng khác gọi ngược vào hợp đồng ban đầu trước khi thao tác đầu tiên hoàn tất an toàn.

Lời gọi lặp lại có thể sử dụng số dư cũ hoặc trạng thái chưa hoàn tất.

Scanner có thể tìm lời gọi bên ngoài diễn ra trước khi cập nhật trạng thái quan trọng.

Reentrancy hiện đại có thể xảy ra giữa các hàm, hợp đồng, token và mô-đun giao thức, chứ không chỉ qua một lần rút tiền lặp lại dễ nhận thấy.

Reentrancy guard đơn giản không chứng minh mọi phụ thuộc trạng thái giữa các hợp đồng đều an toàn.

Quét kiểm soát truy cập

Lỗ hổng kiểm soát truy cập cho phép địa chỉ không được phép thực hiện thao tác bị hạn chế.

Scanner có thể kiểm tra quyền sở hữu, phân quyền, hàm khởi tạo, quyền nâng cấp và hàm khẩn cấp.

Thiếu xác thực có thể cho phép mint token, rút tiền, nâng cấp hoặc thay đổi tham số trái phép.

Hợp đồng proxy được khởi tạo không đúng cách đặc biệt nguy hiểm vì kẻ tấn công có thể chiếm vai trò quản trị viên.

Hợp đồng cũng có thể hạn chế quyền đúng về mặt kỹ thuật nhưng vai trò được cấp quyền lại do một khóa riêng tư không an toàn kiểm soát.

Scanner giá và thị trường

Scanner thị trường DeFi theo dõi giá tiền mã hóa, thanh khoản, khối lượng giao dịch, biến động, dự trữ trong pool và hoạt động giao dịch.

Công cụ có thể cảnh báo người dùng về việc rút thanh khoản đột ngột, tạo token bất thường, ví lớn dịch chuyển hoặc chênh lệch giá cực đoan.

Scanner thị trường có thể giúp nhận diện tình huống cần điều tra thêm.

Công cụ không thể xác định liệu mọi giao dịch chuyển lớn là bán ra, dịch chuyển nội bộ, giao dịch bridge, thay đổi lưu ký hay hoạt động của giao thức.

Cần diễn giải dữ liệu on-chain trong bối cảnh kinh tế và kỹ thuật của giao dịch.

Scanner bridge

Scanner bridge kiểm tra các hệ thống chuyển hoặc đại diện cho tiền mã hóa giữa các mạng blockchain.

Công cụ có thể so sánh token bị khóa trên mạng gốc với tài sản đại diện được phát hành trên mạng đích.

Scanner có thể rà soát quản trị viên bridge, validator, xác minh thông điệp, thời gian trì hoãn rút tiền, cơ chế nâng cấp và chênh lệch nguồn cung.

Tỷ lệ nguồn cung một-một không chứng minh tài sản bị khóa vẫn có thể thu hồi.

Bảo mật bridge còn phụ thuộc vào mã hợp đồng, tính toàn vẹn của người ký, tính cuối cùng của mạng và các biện pháp kiểm soát khẩn cấp.

Scanner quản trị

Scanner quản trị phân tích đề xuất, quyền biểu quyết, người được ủy quyền, timelock, hợp đồng thực thi và quyền đối với kho bạc.

Công cụ có thể cảnh báo khi một địa chỉ hoặc nhóm phối hợp có thể thông qua đề xuất mà không cần sự tham gia rộng rãi.

Đề xuất quản trị có thể thay đổi phí giao thức, quy tắc tài sản thế chấp, vai trò quản trị viên hoặc hợp đồng thông minh triển khai.

Đề xuất độc hại có thể có tiêu đề vô hại nhưng thực thi mã nguy hiểm.

Cần giải mã toàn bộ payload đề xuất và đích thực thi trước khi bỏ phiếu hoặc dựa vào phần tóm tắt.

Điểm rủi ro

Nhiều DeFi Scanner tổng hợp nhiều phát hiện thành một điểm rủi ro.

Điểm số có thể giúp người dùng nhanh chóng nắm bắt một đánh giá phức tạp.

Tuy nhiên, nó cũng có thể che khuất khác biệt quan trọng giữa rủi ro kỹ thuật, kinh tế, quản trị, thanh khoản và ví.

Hai token có thể nhận cùng điểm số dù một token có thanh khoản yếu còn token kia có quyền quản trị viên nguy hiểm.

Người dùng nên mở xem từng phát hiện, thay vì chỉ dựa vào nhãn xanh, vàng hoặc đỏ.

Không nên hiểu điểm rủi ro số thấp là xác suất người dùng sẽ tránh được tổn thất.

Dương tính giả

Dương tính giả xảy ra khi scanner báo cáo vấn đề nhưng vấn đề đó không thể khai thác trong thiết kế toàn diện của giao thức.

Lời gọi bên ngoài có thể trông nguy hiểm dù một cơ chế kiểm soát khác khiến reentrancy không thể xảy ra.

Hàm quản trị viên có thể trông tập trung dù timelock dài và quản trị phân tán mang lại mức bảo vệ thực chất.

Dương tính giả có thể làm lãng phí thời gian của nhà phát triển nhưng không nên bị bỏ qua nếu chưa điều tra.

Cần đánh giá cảnh báo trong bối cảnh toàn bộ hệ thống.

Âm tính giả

Âm tính giả xảy ra khi scanner không nhận diện được lỗ hổng thực tế.

Cảnh báo bị bỏ sót có thể do mã nguồn chưa đầy đủ, tính năng ngôn ngữ không được hỗ trợ, thiết kế hợp đồng bất thường hoặc hình thức tấn công mới.

Việc khai thác kinh tế thường đòi hỏi nhiều giao thức và điều kiện thị trường mà scanner mã đơn lẻ không mô hình hóa được.

Kết quả quét sạch chỉ có nghĩa là scanner không tìm thấy vấn đề trong phạm vi phát hiện của nó.

Điều đó không có nghĩa là không tồn tại vấn đề.

Rủi ro tại thời điểm quét

DeFi Scanner thường đánh giá blockchain và phần mềm tại một thời điểm cụ thể.

Quản trị viên giao thức có thể nâng cấp hợp đồng, thay đổi phí, thay oracle, bổ sung tài sản thế chấp hoặc cấp vai trò mới sau đó.

Thanh khoản và mức độ tập trung của người nắm giữ cũng có thể thay đổi nhanh chóng.

Người dùng nên kiểm tra thời điểm quét và liệu bản triển khai được phân tích có còn hoạt động hay không.

Giám sát liên tục hữu ích hơn việc dựa mãi vào một báo cáo cũ.

Scanner so với kiểm toán hợp đồng thông minh

DeFi Scanner thực hiện phân tích tự động hoặc bán tự động.

Kiểm toán hợp đồng thông minh bao gồm chuyên gia bảo mật đánh giá mã, kiến trúc, giả định và kết quả kiểm thử.

Scanner có thể xử lý nhanh và nhất quán các mẫu đã biết.

Kiểm toán viên có thể suy luận về logic nghiệp vụ riêng của giao thức và các tương tác mà quy tắc tự động có thể bỏ sót.

Kiểm toán vẫn không thể đảm bảo giao thức an toàn.

Mã được kiểm toán có thể khác mã đã triển khai và các lần nâng cấp sau đó có thể tạo ra điểm yếu mới.

Chương trình bảo mật mạnh kết hợp scanner tự động, kiểm toán thủ công, kiểm thử, phương pháp hình thức, giám sát và kế hoạch ứng phó sự cố.

Scanner so với trình khám phá blockchain

Trình khám phá blockchain sắp xếp thông tin công khai như địa chỉ, khối, giao dịch, token và sự kiện hợp đồng.

DeFi Scanner diễn giải dữ liệu đó và tìm cách nhận diện rủi ro hoặc mẫu bất thường.

Trình khám phá có thể cho thấy quản trị viên đã thay đổi phí, còn scanner có thể gắn nhãn thay đổi đó là cảnh báo.

Cả hai công cụ đều phụ thuộc vào dữ liệu blockchain chính xác.

Cách diễn giải của scanner có thể sai dù thông tin giao dịch cơ bản là chính xác.

Scanner so với công cụ theo dõi danh mục

Công cụ theo dõi danh mục ước tính số dư và vị thế của ví trên nhiều tài sản và giao thức.

DeFi Scanner tập trung vào rủi ro kỹ thuật, quyền hạn, thị trường hoặc gian lận.

Một giao diện có thể cung cấp cả chức năng theo dõi danh mục lẫn quét rủi ro.

Giá trị danh mục hiển thị không chứng minh tài sản có thể được bán hoặc rút ở mức giá đó.

Token vô giá trị hoặc bị thao túng có thể khiến định giá ví gây hiểu lầm.

Cách sử dụng DeFi Scanner an toàn

Tải scanner từ nguồn chính thức đã được xác minh.

Khi không cần kết nối ví, hãy tự nhập địa chỉ ví hoặc hợp đồng công khai.

Xác nhận mạng blockchain vì các địa chỉ và token trông giống nhau có thể tồn tại trên nhiều mạng.

Xem xét từng phát hiện thay vì chỉ chấp nhận điểm tổng thể.

Đối chiếu địa chỉ hợp đồng mà scanner phân tích với địa chỉ được công bố trong tài liệu chính thức của giao thức.

Kiểm tra hợp đồng được phân tích có phải proxy hay không và bản triển khai có thay đổi chưa.

Dùng phương pháp phân tích thứ hai đối với giao dịch có giá trị lớn.

Không bao giờ tiết lộ cụm từ khôi phục hoặc khóa riêng tư cho scanner.

Cách quét token DeFi

Xác nhận chính xác blockchain và địa chỉ hợp đồng của token.

Kiểm tra mã nguồn đã xác minh chưa và bytecode được triển khai có khớp với mã đó hay không.

Rà soát các hàm mint, burn, tạm dừng, đưa vào danh sách đen, đánh thuế, sở hữu và nâng cấp.

Kiểm tra các địa chỉ nắm giữ lớn nhất và phân loại chính xác pool thanh khoản, kho bạc, bridge và địa chỉ đốt.

Đánh giá độ sâu thanh khoản và liệu một bên có thể rút phần lớn thanh khoản hay không.

Nếu có thể, hãy mô phỏng cả giao dịch mua và bán.

Kiểm tra liệu quản trị viên có thể thay đổi điều kiện chuyển token sau khi quét hay không.

Tìm hiểu tiện ích và nhu cầu thực tế vì token có thể bán về mặt kỹ thuật nhưng vẫn vô giá trị về kinh tế.

Cách quét ví

Rà soát quyền hạn mức token trên mọi blockchain mà ví sử dụng.

Nhận diện phê duyệt không giới hạn và các hợp đồng không còn cần thiết.

Kiểm tra quyền ủy quyền cấp tài khoản và quyền của ví thông minh bên cạnh hạn mức token thông thường.

Rà soát chữ ký và giao dịch gần đây để tìm bên chi tiêu hoặc người nhận bất ngờ.

Kiểm tra vị thế tài sản thế chấp, khoản vay, bridge và token biên nhận staking để xác định các phụ thuộc giao thức.

Đừng cho rằng ví không có giao dịch đáng ngờ là an toàn nếu seed phrase bị đánh cắp nhưng chưa được sử dụng.

Cách quét giao thức DeFi

Xác định mọi hợp đồng kiểm soát tiền nạp, tiền rút, giá, quản trị, nâng cấp và tài sản kho bạc.

Xác minh bản triển khai hiện tại đứng sau từng proxy.

Rà soát kiểm toán, mã nguồn, kiểm thử, báo cáo lỗi và sự cố bảo mật.

Kiểm tra thiết kế oracle, giới hạn tài sản thế chấp, logic thanh lý, phí, khả năng rút tiền và cơ chế kiểm soát khẩn cấp.

Kiểm tra giao thức có phụ thuộc vào bridge, token biên nhận bên ngoài hoặc thanh khoản của giao thức khác hay không.

Đánh giá mức độ tập trung của quản trị viên và quyền quản trị.

So sánh nợ phải trả với tài sản mà người dùng thực tế có thể rút.

Dấu hiệu cảnh báo phổ biến từ DeFi Scanner

Mã nguồn chưa xác minh tạo ra mức độ bất định đáng kể.

Proxy chưa khởi tạo có thể cho phép kẻ tấn công chiếm quyền kiểm soát đặc quyền.

Quyền mint token không giới hạn có thể nhanh chóng làm pha loãng người nắm giữ.

Thuế bán có thể điều chỉnh khiến người dùng không thể thoát vị thế.

Một quản trị viên kiểm soát cả việc nâng cấp lẫn rút tiền kho bạc tạo ra rủi ro khóa tập trung.

Thanh khoản mỏng khiến giá hiển thị không đáng tin cậy đối với giao dịch lớn.

Oracle giá dùng một pool dễ thao túng có thể tạo ra rủi ro thanh lý.

Quyền hạn mức ví không giới hạn vẫn nguy hiểm sau khi đóng vị thế DeFi ban đầu.

Ủy quyền EIP-7702 không được nhận diện có thể làm lộ toàn bộ tài khoản thay vì chỉ một token.

Báo cáo tự động sạch nhưng không có mã đã xác minh hoặc phương pháp được tài liệu hóa không nên tạo cảm giác an tâm.

DeFi Scanner có phát hiện được mọi vụ lừa đảo không?

Không DeFi Scanner nào có thể phát hiện mọi vụ lừa đảo.

Vụ lừa đảo có thể dựa vào kỹ thuật thao túng tâm lý thay vì mã hợp đồng thông minh độc hại.

Website hoặc tài khoản quản trị viên hợp pháp có thể bị xâm phạm sau khi quét.

Nhà phát triển có thể hành xử trung thực khi ra mắt nhưng lạm dụng quyền nâng cấp về sau.

Thao túng thị trường và quyền sở hữu ví có phối hợp có thể khó nhận diện chỉ từ dữ liệu công khai.

Scanner có thể giảm bất định nhưng không loại bỏ hoàn toàn bất định.

Rủi ro phishing liên quan đến DeFi Scanner

Kẻ lừa đảo có thể sao chép giao diện của scanner phổ biến và quảng cáo đây là công cụ kiểm tra bảo mật ví miễn phí.

Công cụ giả có thể yêu cầu người dùng kết nối ví và ký phê duyệt độc hại.

Công cụ có thể tuyên bố tài sản đang gặp rủi ro tức thời và phải được chuyển đến địa chỉ an toàn.

Hướng dẫn phishing của CISA khuyến nghị thận trọng với yêu cầu khẩn cấp, liên kết bất ngờ và đòi hỏi thông tin nhạy cảm.

Có thể quét địa chỉ công khai mà không tiết lộ khóa riêng tư.

Không có quy trình quét bảo mật hợp pháp nào cần seed phrase.

Cần làm gì khi scanner phát hiện quyền phê duyệt nguy hiểm?

Xác nhận địa chỉ bên chi tiêu và quyền phê duyệt trên đúng blockchain.

Sử dụng phương thức đáng tin cậy để giảm hạn mức về 0 khi không còn cần thiết.

Kiểm tra giao dịch thu hồi đã được xác nhận thành công hay chưa.

Rà soát các quyền phê duyệt token khác vì một website độc hại có thể đã yêu cầu nhiều quyền.

Chuyển tài sản sang ví mới nếu khóa riêng tư, seed phrase hoặc quyền ủy quyền rộng ở cấp tài khoản có thể đã bị xâm phạm.

Lưu lại hash giao dịch và ảnh chụp màn hình nếu có thể đã xảy ra gian lận.

Ưu điểm của DeFi Scanner

Scanner có thể nhanh chóng phân tích lượng lớn dữ liệu blockchain và hợp đồng.

Công cụ giúp người dùng không chuyên dễ nhận thấy những rủi ro phức tạp hơn.

Giám sát tự động có thể nhận diện việc nâng cấp hợp đồng, thay đổi quyền hạn, giao dịch bất thường và dịch chuyển thanh khoản.

Nhà phát triển có thể sử dụng scanner trong quá trình phát triển và trước khi triển khai.

Người dùng ví có thể rà soát quyền phê duyệt cũ và mức độ tiếp xúc với giao thức.

Phương pháp công khai và phát hiện có thể tái hiện hỗ trợ việc xác minh độc lập.

Hạn chế của DeFi Scanner

Scanner có thể tạo kết quả dương tính giả và âm tính giả.

Công cụ có thể không hiểu logic nghiệp vụ riêng của giao thức.

Kết quả có thể lỗi thời sau khi nâng cấp, có quyết định quản trị hoặc thanh khoản thay đổi.

Điểm rủi ro có thể đơn giản hóa quá mức các vấn đề rất khác nhau.

Chữ ký riêng tư và seed phrase bị đánh cắp có thể chưa hiển thị on-chain trước khi xảy ra tấn công.

Mã nguồn chưa xác minh làm giảm độ chính xác của phân tích.

Scanner không thể đảm bảo nhu cầu đầu tư, khả năng sinh lời, thanh khoản hoặc ban quản lý trung thực.

Người dùng vẫn chịu trách nhiệm hiểu và phê duyệt giao dịch blockchain của mình.

Câu hỏi thường gặp

DeFi Scanner là gì, nói đơn giản?

DeFi Scanner là công cụ kiểm tra hợp đồng, token, ví, giao dịch và giao thức tiền mã hóa để tìm kiếm rủi ro tiềm ẩn.

DeFi Scanner có phải là blockchain không?

Không, đây là công cụ phân tích đọc thông tin từ một hoặc nhiều blockchain.

DeFi Scanner có phải là ví không?

Không, dù ví có thể tích hợp chức năng quét và mô phỏng giao dịch.

DeFi Scanner có cần seed phrase của tôi không?

Không scanner hợp pháp nào cần seed phrase để phân tích dữ liệu blockchain công khai.

Tôi có cần kết nối ví không?

Không phải lúc nào cũng cần, vì nhiều lượt quét có thể được thực hiện bằng cách nhập địa chỉ công khai.

Kết nối ví với scanner có an toàn không?

Có thể an toàn khi công cụ xác thực và chỉ yêu cầu kết nối cơ bản, nhưng cần xem xét mọi chữ ký hoặc giao dịch phát sinh sau đó.

Scanner có thể chuyển tiền mã hóa của tôi không?

Scanner không thể chuyển tiền chỉ bằng cách đọc địa chỉ công khai, nhưng công cụ độc hại có thể yêu cầu giao dịch hoặc quyền phê duyệt chi tiêu.

DeFi Scanner có thể phát hiện token lừa đảo không?

Công cụ có thể phát hiện dấu hiệu cảnh báo nhưng không thể chứng minh mọi token không bị gắn cờ đều hợp pháp.

Scanner có phát hiện honeypot được không?

Công cụ có thể mô phỏng mua và bán, dù hợp đồng có thể thay đổi hành vi hoặc đối xử khác với địa chỉ kiểm thử.

Scanner có phát hiện rug pull được không?

Công cụ có thể nhận diện thanh khoản có thể bị rút, quyền sở hữu tập trung hoặc quyền quản trị viên nguy hiểm, nhưng không thể dự đoán mọi quyết định trong tương lai.

Quét hợp đồng thông minh là gì?

Đây là phân tích tự động hoặc bán tự động mã hợp đồng, bytecode, quyền hạn và hành vi.

Phân tích tĩnh là gì?

Phân tích tĩnh kiểm tra mã mà không thực thi trên trạng thái blockchain trực tiếp.

Phân tích động là gì?

Phân tích động thực thi mã trong các kịch bản được kiểm soát và quan sát hành vi.

Kiểm thử fuzz là gì?

Kiểm thử fuzz sử dụng nhiều đầu vào và chuỗi giao dịch được tạo tự động để tìm hành vi ngoài dự kiến.

Mô phỏng giao dịch là gì?

Mô phỏng giao dịch ước tính số dư, quyền hạn và trạng thái hợp đồng có thể thay đổi thế nào nếu giao dịch được đề xuất được thực thi.

Mô phỏng giao dịch có đảm bảo kết quả không?

Không, trạng thái blockchain thực tế có thể thay đổi trước khi giao dịch được xử lý.

Xác minh mã nguồn là gì?

Đây là quy trình so sánh mã nguồn đã biên dịch với bytecode triển khai trên blockchain để xác nhận chúng tương ứng.

Mã nguồn đã xác minh có nghĩa hợp đồng an toàn không?

Không, mã đã xác minh vẫn có thể chứa lỗ hổng hoặc hàm cố ý gây hại.

Hợp đồng chưa xác minh có thể an toàn không?

Có thể, nhưng thiếu mã nguồn có thể xác minh khiến việc đánh giá độc lập khó khăn hơn.

Điểm rủi ro DeFi là gì?

Đây là xếp hạng đơn giản được tạo bằng cách tổng hợp một số phát hiện về kỹ thuật, thị trường hoặc quyền hạn.

Điểm an toàn cao có đảm bảo tôi không mất tiền không?

Không, điểm số không thể đảm bảo bảo mật, thanh khoản, nhu cầu, khả năng sinh lời hoặc ban quản lý trung thực.

Dương tính giả là gì?

Dương tính giả là cảnh báo của scanner không phản ánh vấn đề có thể khai thác trong toàn bộ hệ thống.

Âm tính giả là gì?

Âm tính giả xảy ra khi lỗ hổng thực tế không được phát hiện.

Scanner có phát hiện được quyền mint token không giới hạn không?

Công cụ có thể nhận diện hàm mint và vai trò được cấp quyền khi mã và quyền hạn liên quan hiển thị được.

Scanner có phát hiện được thuế token có thể điều chỉnh không?

Công cụ có thể nhận diện các hàm thay đổi phí nhưng có thể không dự đoán được khi nào hoặc bằng cách nào quản trị viên sẽ sử dụng chúng.

Scanner có phát hiện được thanh khoản token không?

Công cụ có thể đo dự trữ pool và độ sâu thị trường hiển thị tại thời điểm phân tích.

Thanh khoản bị khóa có làm token an toàn không?

Không, thanh khoản bị khóa không ngăn được việc mint token, khai thác hợp đồng, hạn chế chuyển token, nhu cầu yếu hoặc giá sụp đổ.

Mức độ tập trung của người nắm giữ là gì?

Đây là chỉ số đo lượng nguồn cung do các địa chỉ lớn nhất kiểm soát.

Một người có thể kiểm soát nhiều ví không?

Có, vì vậy phân bổ theo địa chỉ có thể đánh giá thấp mức độ tập trung quyền sở hữu thực tế.

Scanner có thể phát hiện quyền phê duyệt token không?

Công cụ có thể đọc hạn mức on-chain đang hoạt động của các token và mạng được hỗ trợ.

Scanner có thể thấy permit chưa ký hoặc còn riêng tư không?

Không, chữ ký được giữ riêng tư có thể không hiển thị cho đến khi được gửi hoặc tiết lộ bằng cách khác.

Ngắt kết nối ví có thu hồi quyền phê duyệt không?

Không, hạn mức token vẫn tồn tại on-chain cho đến khi bị thu hồi, được sử dụng hoặc hết hiệu lực theo quy tắc riêng.

Quét ủy quyền EIP-7702 là gì?

Đây là quy trình kiểm tra liệu tài khoản Ethereum có ủy quyền hành vi cho mã hợp đồng thông minh hay không và nhận diện bản triển khai liên quan.

Vì sao ủy quyền tài khoản quan trọng?

Mã được ủy quyền có thể có phạm vi quyền rộng hơn một quyền hạn mức token và có thể thay mặt tài khoản thực hiện chuyển token, phê duyệt hoặc tương tác với ứng dụng.

Scanner có phân tích proxy có thể nâng cấp không?

Công cụ có thể nhận diện cấu trúc proxy đã biết và bản triển khai hiện tại, nhưng các lần nâng cấp sau đó có thể làm thay đổi kết quả.

Scanner có thể thay thế kiểm toán hợp đồng thông minh không?

Không, quét tự động và kiểm toán thủ công cung cấp các loại phân tích khác nhau và nên được sử dụng kết hợp.

Kiểm toán có đảm bảo giao thức an toàn không?

Không, kiểm toán có phạm vi giới hạn, có thể bỏ sót vấn đề hoặc lỗi thời sau khi mã thay đổi.

Scanner có phát hiện thao túng oracle không?

Công cụ có thể nhận diện nguồn giá yếu và kiểm thử kịch bản thao túng nhưng không thể dự đoán mọi điều kiện thị trường trong tương lai.

Scanner có phát hiện tấn công flash loan không?

Công cụ có thể kiểm tra liệu vốn tạm thời có làm vi phạm giả định đã biết của giao thức hay không, nhưng bản thân flash loan không phải lỗ hổng.

Rủi ro logic nghiệp vụ là gì?

Đây là rủi ro mã hợp lệ có thể bị sử dụng ngoài dự kiến, làm phá vỡ các quy tắc tài chính của giao thức.

Scanner có phân tích bridge cross-chain không?

Công cụ có thể so sánh nguồn cung, hợp đồng, người ký, thông điệp và tài sản bảo chứng, nhưng vẫn bị giới hạn bởi quy trình off-chain ẩn.

DeFi Scanner có phát hiện phishing không?

Công cụ có thể cảnh báo về tên miền hoặc giao dịch độc hại đã biết, nhưng website phishing mới có thể xuất hiện trước khi cơ sở dữ liệu cảnh báo được cập nhật.

Tôi nên làm gì khi kết quả quét có cảnh báo?

Đọc từng phát hiện, xác minh độc lập hợp đồng và dữ liệu, đồng thời tránh giao dịch nếu chưa hiểu rõ rủi ro.

Tôi nên quét ví bao lâu một lần?

Nên thường xuyên rà soát quyền của ví và kiểm tra sau khi sử dụng giao thức lạ hoặc ký yêu cầu bất thường.

Tôi có nên sử dụng nhiều scanner không?

Sử dụng các phương pháp phân tích khác nhau có thể phát hiện vấn đề mà một công cụ bỏ sót.

Cần kiểm tra gì trước khi tin tưởng scanner?

Kiểm tra nguồn chính thức, phương pháp, mạng được hỗ trợ, độ mới của dữ liệu, địa chỉ hợp đồng, quyền hạn và giới hạn của công cụ.

Hạn chế lớn nhất của DeFi Scanner là gì?

Công cụ không thể hiểu mọi hình thức tấn công trong tương lai, quyết định của con người, tương tác kinh tế hoặc việc xâm phạm riêng tư.

Kết luận

DeFi Scanner là công cụ phân tích tiền mã hóa, kiểm tra hợp đồng thông minh, token, ví, giao dịch, thanh khoản, quản trị và các phụ thuộc của giao thức để tìm rủi ro tiềm ẩn.

Các scanner khác nhau tập trung vào lỗ hổng mã, hành vi token, quyền ví, tác động giao dịch, điều kiện thị trường hoặc hệ thống cross-chain.

Phân tích tĩnh, phân tích động, kiểm thử fuzz, thực thi ký hiệu, xác minh mã nguồn và mô phỏng giao dịch cung cấp các loại bằng chứng khác nhau.

Không phương pháp đơn lẻ nào có thể nhận diện mọi điểm yếu kỹ thuật hoặc kinh tế.

Mã nguồn đã xác minh tăng tính minh bạch nhưng không chứng minh hợp đồng an toàn.

Scanner token có thể nhận diện quyền mint, thuế có thể điều chỉnh, hạn chế chuyển token, mức độ tập trung người nắm giữ và thanh khoản yếu.

Scanner ví có thể phát hiện hạn mức và quyền ủy quyền on-chain nhưng có thể không thấy cụm từ khôi phục bị đánh cắp hoặc chữ ký riêng tư trước khi xảy ra tấn công.

Scanner hiện đại nên đánh giá cả quyền cấp tài khoản như ủy quyền EIP-7702, bên cạnh quyền phê duyệt token thông thường.

Điểm rủi ro hữu ích để tóm tắt, nhưng người dùng cần đọc từng phát hiện và hiểu phương pháp của scanner.

Kết quả quét thuận lợi không đảm bảo tiền mã hóa sẽ duy trì được nhu cầu, thanh khoản, tính bảo mật hoặc giá trị thị trường.

DeFi Scanner phát huy hiệu quả nhất khi được kết hợp với kiểm toán độc lập, hợp đồng đã xác minh, clear signing, quyền phê duyệt giới hạn, nghiên cứu giao thức và xác định quy mô vị thế thận trọng.

Quyết định an toàn nhất là từ chối mọi giao dịch, hợp đồng hoặc token nếu không thể hiểu rõ quyền hạn và hệ quả tài chính.