协议前端突然打不开。链上资金还在合约里，但页面空白，Discord没人说话，Twitter最后一条更新停在三天前。你存进去的8000U，现在变成了一个只有你自己相信的数字。
这篇文章按避坑复盘结构写：先看踩坑后到底长什么样，再还原你大概率是怎么踩进去的，然后给6类可以直接逐项核查的证据，最后给你一张存币前必须过一遍的清单。
暴雷后你会看到什么样的画面
DeFi协议出事，不是电影里的黑客弹出骷髅头。真实的画面通常是这样：
画面1：合约被掏空，你提现时永远显示"insufficient liquidity"
你的USDC还在链上，但流动性池已经被黑客抽干了。你点提现，交易会失败，错误信息是流动性不足。这不是你的问题，是协议已经没钱了。
画面2：前端打不开，但链上合约还在
协议官网和App突然变成白屏或404。链上合约照常运转，你的钱还在里面。但没人维护前端了。你没法点"提现"按钮，因为界面本身不存在了。除非你懂链上交互，直接调用合约函数，否则你的钱等于锁死了。
画面3：代币偿付，但代币已经归零
你存的是USDC，提出来的是协议自有代币。这个代币从200U跌到0.02U，你提出来的"本金"换成稳定币也就几十块。数量没错，价值没了。
画面4：社群一夜封口
Discord全频道禁言，Telegram清空消息，管理员离线，你私信任何人都不回。没有任何官方渠道能联系到项目方。你只能去Twitter上搜协议名，第一条结果大概率是"XX Protocol exploited"。
真实事件：Euler Finance在2023年3月13日被闪电贷攻击，损失约1.97亿美元，协议在几小时内暂停存提，用户资金被冻结超过一个月后才逐步恢复。（来源：公开报道，2023-03）
Platypus Finance在2023年2月被攻击，损失约850万美元。（来源：公开报道，2023-02）
Sturdy Finance在2023年6月被攻击，损失约80万美元。（来源：公开报道，2023-06）
这三个协议在出事前都有"看起来很专业"的前端、有TVL数据、有社区。但用户的钱还是丢了。
你大概率是这么踩坑进去的
还原一下典型用户的存币路径。这条路径里至少有5个具体的操作错误。
第1步：你在Twitter上看到一个KOL发帖，说某个协议APY 400%，安全稳定，已经存入50万U。
帖子里附了链接，你直接点了进去。
第2步：你打开了协议前端页面。
页面干净漂亮。右上角写着"Audited by CertiK"。TVL栏显示$48M。你心里想："这么大TVL，应该没问题。"
第3步：你点击"Connect Wallet"。
MetaMask弹出连接请求。你点了批准。然后页面显示"Approve USDC"让你授权。你看到授权额度默认是"Unlimited"，没多想，直接点了签名。
第4步：你输入2000U，点击"Deposit"。
MetaMask弹出确认页面，你点了确认。交易上链。前两周每天都有一点收益。你开始觉得自己找到了好地方。
第5步：某天你发现提现按钮转了30秒，最后返回"Transaction failed"。
你再去Twitter搜协议名，第一条是"协议被攻击"。你慌了，打开DefiLlama查TVL，数字从$48M跌到了$8M。
到这里，你已经经历了完整的踩坑路径。
这条路径里，你犯了这些错误：
- 你没有在DefiLlama上独立搜索协议，直接用了KOL给的链接。
- 你只看了协议自己页面上的"Audited"标签，没有去审计机构官网验证。
- 你在授权时点了"Unlimited"而不是具体金额。
- 你没有查合约部署信息，不知道合约是不是一周前刚部署的。
- 你完全没有看TVL的趋势和构成，只看了总量。
每一个错误都可以在存币前用10分钟避免。下面详细展开6类证据，每一类都给出具体的查询路径、完成标准和未通过时的处理方式。
证据1：审计报告——你能在审计机构官网找到它，且合约地址对得上
你要做的是：确认协议说的"已审计"是真有其事，且审计的就是你现在要存钱的那个合约。
具体操作：
第1步： 打开DefiLlama，在顶部搜索框输入协议名，进入协议详情页。
第2步： 找到协议官网链接（通常在页面头部），点击打开。
第3步： 在官网找"Docs"或"Security"页面。
第4步： 找到审计机构名称。常见的有Trail of Bits、Quantstamp、CertiK、SlowMist、PeckShield。
第5步： 点击审计报告链接，看是否跳转到审计机构的官方域名（如certik.com、trailofbits.com）。
第6步： 在审计报告里找到合约地址，复制下来。
第7步： 打开Etherscan，粘贴合约地址，确认这个地址就是协议的实际存款合约地址。
完成标准：
- 审计报告能在审计机构官网打开，不是仅在协议自己网站上挂一张图片。
- 报告里的合约地址与协议实际部署地址完全一致，至少前8位和后4位对得上。
- 报告日期距今不超过18个月。超过18个月的审计对当前代码没有任何参考价值。
情况A：协议官网有明显审计报告链接 → 正常走第1-7步。
情况B：协议官网只有"已审计"标签没有可点击的链接 → 去审计机构官网搜索协议名。如果搜不到，直接视为未通过。
常见失败：你只看了协议网站首页上一个"Audited by CertiK"的小logo，没有点进去。那个logo任何人都可以加上去。你必须跳到审计机构官网验证，在自己的浏览器地址栏输入certik.com，而不是点协议给你的链接。
风险提醒：审计通过不等于不会出事。Euler Finance在被攻击前有审计报告。审计师在特定时间点看代码，但协议会升级、会与其他合约交互、会被用出其不意的方式组合攻击。审计是底线，不是保险。
证据2：合约部署信息——部署超过30天，owner在多签或时间锁手上
你要做的是：确认合约不是昨天刚部署的，且项目方不能通过单人地址升级合约把资金抽走。
具体操作：
第1步： 打开Etherscan。
第2步： 在搜索框粘贴协议合约地址，回车。
第3步： 点击页面顶部的"Contract"标签页。
第4步： 找"Contract Creator"字段——这是部署者地址，点进去看这个地址的历史交易。
第5步： 回到Contract标签页，查看部署日期（通常在"More Info"或"Deployed At"字段中）。
第6步： 如果合约是代理模式（页面上会标有"Proxy"或"Read as Proxy"/"Write as Proxy"），点击"Read as Proxy"，找到"owner"或"admin"函数，查看权限地址。
第7步： 打开权限地址的页面，判断它是个人钱包（EOA）还是多签合约。
完成标准：
- 部署日期距今超过30天。
- 部署者地址不是一个刚创建的、没有交易历史的一次性地址。
- 如果是代理合约，owner/admin地址是一个多签钱包（如Gnosis Safe）或时间锁合约（Timelock），不是单个EOA。
- 如果协议使用时间锁，时间锁的延迟至少24小时。也就是说，即使owner发起升级，也要等24小时后才能执行。用户有时间反应。
情况A：协议在以太坊主网上 → 用Etherscan。
情况B：协议在BSC/Avalanche/Arbitrum上 → 用BscScan/SnowTrace/Arbiscan，操作路径完全一致。
如何判断一个地址是EOA还是多签：
在Etherscan上打开那个地址。如果"Contract"标签页显示"Contract Creation Code"或根本没有Contract标签，它是EOA（个人钱包）。如果显示有合约代码，且名字包含"Gnosis Safe Proxy"或类似标记，它是多签。如果显示"Timelock"或"TimelockController"，它是时间锁合约。
常见失败：你直接用了官网提供的"合约地址"存钱，没有在Etherscan独立核对。攻击者可以复制一个外观一样的假前端，把合约地址换成自己的恶意合约。你授权存钱进去，币直接进了攻击者口袋。
资金级风险提醒：如果你在恶意合约上点击了approve并设置了无限额度，攻击者不仅拿走你这次存的钱，还能随时转走你钱包里所有该代币的余额。正确做法：存币前只授权你要存入的具体数量，不要点"Unlimited"。如果已经用无限额度授权过，去Etherscan Token Approvals工具或Revoke.cash撤销。
证据3：TVL的真实构成——趋势平稳，前10大户占比不高，自有代币不占大头
你要做的是：确认TVL不是靠少数关联地址刷出来的，也不是靠项目自己的代币撑起来的虚高数字。
具体操作：
第1步： 打开DefiLlama，搜索协议名，进入详情页。
第2步： 看TVL趋势图。先看最近30天，再看最近90天。
第3步： 如果页面有"Top depositors"功能区，查看前10地址的存款占比。
第4步： 查看资产构成列表，确认TVL由哪些代币组成。
第5步： 查看协议在DefiLlama上的收录时间。
完成标准：
- 趋势图没有出现"今天500M、明天30M"的断崖式下跌。
- 趋势图没有出现"一周内从10M暴涨到500M"的异常拉升。
- 如果有Top depositors数据，前10地址占比不超过50%。
- TVL中协议自有代币占比不超过30%。
- 协议在DefiLlama上的收录时间超过90天。
情况A：DefiLlama有协议收录 → 正常查看趋势和构成。
情况B：DefiLlama查不到 → 跳到证据2，直接在链上核对存款合约的余额。如果一个自称管理上千万美元的协议在DefiLlama查不到，有两种可能：协议刚上线，或协议刻意不被追踪。两种情况都需要补查其他证据。
常见失败：你只看了一个总TVL数字（比如$48M），就认为"钱很多、很安全"。但那个数字可能是半个月前用自有代币空投刷出来的，真实用户存款只有零头。你必须看趋势和构成，而不是看一个孤立的总量。
风险提醒：TVL突然暴涨不是好事。可能是大户在吸引散户存款后准备撤走，或者某个即将解锁的早期投资者在提前做流动性。如果你在暴涨之后存进去，很可能变成最后一批离开的人。DefiLlama的TVL趋势图会把这个过程完整地展示出来，但大多数用户从来不看。
证据4：团队——至少2人公开实名，或通过第三方KYC
你要做的是：判断项目方是否有真实可追踪的身份。核心问题：出了事你能不能找到人。
具体操作：
第1步： 打开协议官网，找"Team"或"About"页面。
第2步： 记录核心成员的姓名、LinkedIn、Twitter账号。至少记3个人。
第3步： 逐个点开LinkedIn，看是否有真实工作经历、连接人数、历史项目。
第4步： 在Google搜索"姓名 + rug"和"姓名 + scam"，看是否有人举报过。
第5步： 查看协议是否在Assure DeFi或CertiK做过团队KYC。去这两个平台搜索协议名。
完成标准：
- 至少2名核心成员有公开实名、真实照片和可验证的LinkedIn/Twitter历史。
- 这些成员的LinkedIn连接数超过100，且发布过与加密相关的工作经历。
- 或者协议在Assure DeFi/CertiK等平台有可查询的KYC记录。
- 如果完全匿名，你需要查到该匿名团队过往的项目历史（通过他们使用的开发者地址或部署者地址追踪），并确认那些项目没有出过事。
常见失败：你因为项目方在Telegram里很热心、回复很快，就信任了。这和安全性没有关系。匿名人可以在跑路前一直很热心。热心不产生任何可追责的约束力。
风险提醒：如果协议管理者完全匿名且管理着超过1000万美元的资金，你无法判断这个团队是否正在准备跑路。匿名本身不一定代表恶意，但它意味着一旦出事，你无从追责、无从报警、无从起诉。
证据5：代币解锁时间表——未来30天内没有超过总供应量5%的解锁
你要做的是：确认你存进去之后，不会遭遇早期投资者解锁砸盘，导致协议代币崩盘。即使你的本金是USDC，如果协议用代币结算或代币价格下跌影响了流动性池，你也会受损。
具体操作：
第1步： 打开协议Docs，找"Tokenomics"部分。
第2步： 看代币分配——团队、早期投资者、社区奖励各占多少百分比。
第3步： 找到锁定和释放时间表（cliff和vesting schedule）。
第4步： 如果协议在Token Unlocks等平台有页面，查看未来30-90天的解锁事件。
第5步： 对照代币当前流通量，评估解锁抛压的规模。
完成标准：
- 团队和早期投资者代币的锁定期还有至少6个月以上。
- 未来30天内无超过总供应量5%的大额解锁。
- 如果能查到流通量数据，解锁量不超过流通量的15%。
- 如果查不到Tokenomics或解锁时间表，此项
