چک‌لیست ریسک دیفای: ۱۰ سؤال قبل از واریز به هر پروتکل
درس ۱۰ از ۱۰ · متوسط
چرا ریسک دیفای چک‌لیست می‌خواهد؟
در نه درس قبل دیدیم دیفای از کجا می‌شکند: کد، اوراکل، بریج، کلید ادمین، اهرم، پاداش توکنی و ترکیب‌پذیری. هیچ‌کدام از این‌ها را نمی‌شود با یک نگاه به APY یا TVL فهمید. چک‌لیست کمک میکند هر بار، پیش از هر واریز، همان سؤال‌ها را به همان ترتیب بپرسید و هیجان یک بازده جذاب جای بررسی را نگیرد.
این چک‌لیست امنیت تضمین نمی‌کند. پروتکل‌هایی که همه‌ی این موارد را پاس می‌کردند هم هک شدهاند. هدفش این است که ریسک‌های آشکار را حذف کنید و برای بقیه، اندازه‌ی سرمایه را درست انتخاب کنید.
بخش اول: خود پروتکل
- ممیزی (Audit): آیا کد توسط چند شرکت مستقل ممیزی شده است؟ گزارش‌ها عمومی‌اند؟ مشکلات جدی حل شدهاند؟ ممیزی پیش از آخرین ارتقا انجام شده یا بعد از آن؟ ممیزی فقط کد را بررسی میکند، نه کلیدها و آدم‌ها را؛ پرونده‌های Bybit و Drift این را نشان دادند.
- عمر و سابقه: کد چند وقت است با مبلغ قابل‌توجه روی شبکه‌ی اصلی کار میکند؟ پروتکل تازه‌ای که هنوز یک دوره‌ی پرنوسان بازار را تجربه نکرده، آزمون واقعی را پس نداده است. آیا قبلاً حادثه‌ای داشته و چطور با آن برخورد کرده است؟
- تمرکز TVL: چند درصد سپرده‌ها متعلق به چند آدرس بزرگ است؟ آیا بخشی از آن کیف پول‌های خود تیم است؟ TVL متمرکز می‌تواند با خروج یک بازیگر ناگهان نصف شود.
- اختیارات ادمین: چه کسی می‌تواند کد را ارتقا دهد، پارامترها را تغییر دهد یا برداشت‌ها را متوقف کند؟ کلید تکی است یا مولتی‌سیگ؟ چند امضا لازم است؟ آیا Timelock وجود دارد که پیش از اعمال تغییرات به کاربران فرصت خروج بدهد؟
- اوراکل: قیمت‌ها از کجا می‌آیند؟ چند منبع مستقل؟ آیا برای هر دارایی، به‌خصوص توکن‌های «دلاری» یا مشتق‌شده، قیمت ثابت یا تک‌منبعی فرض شده است؟
بخش دوم: دارایی و مسیر خروج
- ۶. وابستگی‌ها: دارایی شما از چند لایه عبور میکند؟ توکن لیکوئید استیکینگ، ریستیکینگ، بریج، خزانه؟ هر لایه را یک نقطه‌ی شکست جدا بشمارید. ضعیف‌ترین حلقه، ریسک کل زنجیره است.
- ۷. منبع بازده: بازده از کارمزد واقعی است، از چاپ توکن، یا از اهرم؟ اگر بالاتر از نرخ‌های رایج است، توضیح قابل‌بررسی آن چیست؟
- ۸. نقدشوندگی خروج: اگر بخواهید فردا خارج شوید، آیا می‌توانید؟ صف برداشت، نرخ استفاده‌ی بالا در بازار وام‌دهی، یا عمق کم استخر برای فروش توکن دریافتی، همه می‌توانند خروج را کند یا گران کنند. در بحران، همه هم‌زمان می‌خواهند خارج شوند.
- ۹. ریسک دسترسی: رابط کاربری، زیرساخت شبکه و صادرکننده‌ی توکن‌ها می‌توانند آدرس‌ها یا مناطق را محدود کنند. توکن‌هایی مثل USDT و بسیاری از RWAها تابع مسدودسازی‌اند. این ریسک برای کاربران در کشورهای تحریم‌شده واقعی و مستند است و باید در اندازه‌ی سرمایه لحاظ شود.
بخش سوم: اندازه‌ی بدترین ضرر
۱۰. اگر همه‌اش از دست برود، چه می‌شود؟ این آخرین و مهم‌ترین سؤال است.
در دیفای، سناریوی بدترین حالت معمولاً «ضرر ۱۰٪» نیست؛ «صفر شدن» است. هک بریج، بدهی بد یا دی‌پگ یک استیبل‌کوین می‌تواند کل سپرده را از بین ببرد. پس اندازه‌ی سرمایه را از این سؤال شروع کنید، نه از بازده:
- مبلغی را بگذارید که از دست دادن کاملش زندگی و تصمیم‌های مالی ضروری شما را مختل نکند.
- سرمایه را بین پروتکلها و انواع ریسک پخش کنید، نه فقط بین استخرهای یک پروتکل.
- مثال فرضی: اگر احتمال یک شکست جدی در یک سال را برای پروتکلی کوچک نمی‌دانید، فرض کنید قابل‌توجه است. بازده سالانه‌ی ۱۰٪ با ۱۰٪ احتمال صفر شدن، در عمل از نگهداری ساده بدتر است.
و بهداشت کیف پول را فراموش نکنید: از کیف پول جداگانه با موجودی محدود برای دیفای استفاده کنید، فقط به آدرس رسمی وصل شوید، هر امضا را بخوانید و مجوزهای خرج قدیمی را مرتب لغو کنید. بخش بزرگی از ضررهای کاربران عادی از هک پروتکل نیست؛ از امضای مخرب است.
اجرای چک‌لیست روی یک پروتکل فرضی
فرض کنید یک خزانه‌ی فرضی «دلار بازده‌دار» با بازده تبلیغ‌شده‌ی بالا به شما معرفی شده است. نتیجه‌ی بررسی می‌تواند چیزی شبیه این باشد:
| سؤال | یافته‌ی فرضی | ارزیابی |
| ممیزی | یک ممیزی، پیش از آخرین ارتقا | ضعیف |
| عمر | چهار ماه روی شبکه‌ی اصلی | ضعیف |
| تمرکز TVL | سه آدرس بیش از نیمی از سپرده‌ها | پرریسک |
| ادمین | مولتی‌سیگ ۲ از ۳، بدون Timelock | پرریسک |
| اوراکل | قیمت توکن پایه ثابت ۱ دلار | پرریسک |
| منبع بازده | «استراتژی اختصاصی» بدون داده | نامعلوم |
| خروج | برداشت با هفت روز تأخیر | محدود |
در این مثال، حتی اگر بازده واقعی باشد، ساختار شباهت زیادی به الگوهایی دارد که در پرونده‌های واقعی به شکست رسیدند: قیمت ثابت در اوراکل، منبع بازده مبهم و ادمین بدون تأخیر زمانی. نتیجه‌ی منطقی یا صرف‌نظر کردن است یا مبلغی که صفر شدنش برایتان قابل‌قبول باشد. چک‌لیست تصمیم را جای شما نمی‌گیرد، اما نشان می‌دهد دقیقاً روی چه چیزی شرط می‌بندید.
اشتباه‌های رایج
- جایگزین کردن «ممیزی شده» با «امن»؛ ممیزی فقط کد را می‌بیند، نه کلیدها، امضاکنندگان و اوراکل را.
- شروع از بازده و بعد توجیه ریسک، به‌جای شروع از بدترین ضرر قابل‌تحمل و بعد انتخاب پروتکل.
- پخش کردن سرمایه بین چند استخر یک پروتکل و تصور تنوع؛ همه‌ی آن‌ها یک ریسک قرارداد و یک ادمین دارند.
- در نظر نگرفتن مسیر خروج در بحران؛ وقتی همه هم‌زمان برداشت می‌کنند، صف و تخفیف و نرخ استفاده‌ی بالا ظاهر می‌شود.
- استفاده از کیف پول اصلی برای دیفای و لغو نکردن مجوزهای خرج قدیمی.
- نادیده گرفتن ریسک مسدودسازی توکن و محدودیت دسترسی که برای کاربران ایرانی مستند است.
حجم و داده اینجا چه می‌گوید؟
بیشتر بندهای این چک‌لیست را می‌توانید خودتان با داده‌ی عمومی بررسی کنید:
- اکسپلورر: قرارداد تأییدشده است؟ Proxy است؟ مالک آن کیست و آیا Timelock دارد؟ برای مولتی‌سیگ، تعداد امضای لازم را ببینید.
- بزرگ‌ترین سپرده‌گذاران: در صفحه‌ی توکن یا قرارداد، فهرست دارندگان را ببینید تا تمرکز TVL را بسنجید.
- تاریخچه‌ی TVL و تعداد توکن‌ها: افت TVL را با افت قیمت مقایسه کنید؛ خروج واقعی سپرده‌ها مهم‌تر است.
- درآمد کارمزد در برابر پاداش: برای تشخیص منبع بازده.
- قیمت بازار توکن‌های دریافتی: اگر توکن سپرده یا LST/LRT می‌گیرید، قیمت آن را در DEX با ارزش نظری‌اش مقایسه کنید. تخفیف رو به رشد زنگ خطر است.
- ابزارهای لغو مجوز: فهرست مجوزهای خرج کیف پولتان را مرتب بررسی کنید.
این داده‌ها برای سنجش ریسک‌اند، نه برای انتخاب پروتکل «سودآور».
پرسش‌های پرتکرار
مهم‌ترین ریسک دیفای چیست؟
یک ریسک واحد وجود ندارد. باگ کد، کلید ادمین و مهندسی اجتماعی، اوراکل، بریج، بدهی بد، دی‌پگ و امضای مخرب کاربر همگی نقاط شکست رایج‌اند. چون ترکیب‌پذیری ریسک‌ها را به هم وصل میکند، ضعیف‌ترین حلقه تعیین‌کننده است.
آیا ممیزی شدن یک پروتکل یعنی امن است؟
نه. ممیزی احتمال باگهای شناختهشده را کم میکند اما کلیدهای ادمین، امضاکنندگان، اوراکل و ارتقاهای بعدی را پوشش نمیدهد. پروتکلهای ممیزیشده هم هک شدهاند.
چقدر سرمایه در دیفای بگذارم؟
ما توصیهی مالی نمیدهیم. اصل مدیریت ریسک این است که از بدترین حالت شروع کنید: فقط مبلغی که از دست دادن کاملش زندگی شما را مختل نکند، و آن را بین پروتکلها و انواع ریسک پخش کنید.
این درس آموزشی است و توصیهی خرید یا فروش نیست؛ ما سیگنال نمیدهیم. مثال‌های قیمتی فقط برای توضیح‌اند. هر روشی را اول روی حساب دمو و با مدیریت ریسک امتحان کنید.