前置条件
你准备在一个未审计的 DeFi 协议中存入资金。
你能在 Etherscan 或区块链浏览器上找到该合约的"合约"页面，看到那个"绿色对勾"标识。
合约源码已验证，只说明"公布的代码与链上运行的字节码一致"，绝不代表"代码是安全的"。
Etherscan 的"已验证"标识只做一件事：把开发者提交的 Solidity 代码重新编译，比对编译结果是否与链上部署的字节码一致。它不检查这份代码有没有后门、有没有漏洞、会不会偷走你的钱。
步骤1：检查验证类型——是"完全验证"还是"部分验证"
[做什么]：查看该合约的验证模式，确认恶意开发者是否可能在源码中"夹带私货"。
[怎么做]：在 Etherscan 合约页面，查看验证详情中是否包含"Contract Metadata"或"Compiler Metadata"字段。
情况 A：显示"完全验证（Full Verification）" → 元数据文件的哈希被附在字节码中，任何源文件的改动都会导致哈希不匹配。相对可靠，但仍需继续后续步骤。
情况 B：显示"部分验证（Partial Verification）"（这是目前常见的验证方式） → 评论、变量名甚至部分逻辑结构不影响编译结果，可以被替换。如果元数据哈希未使用或不匹配，恶意行为者可以在源码中植入欺骗性注释或误导性变量名，而这些不会在已验证的源代码中反映出来。
[完成标准]：确认该合约的验证类型。如果是"部分验证"，对该合约的安全等级打一个问号。
高危风险：部分验证允许开发者上传一份"看起来正常"的源码，实际部署的却是另一套行为逻辑。恶意合约可以通过内联汇编隐藏逻辑，或通过代理模式、库调用来执行源码中根本不存在的操作。这意味着即使你读了源码并且没发现问题，字节码里仍可能有后门。
步骤2：检查是否存在"内联汇编（Assembly）"或"代理模式（Proxy）"
[做什么]：在源码中搜索关键关键词，识别高危模式。
[怎么做]：在合约源码页面按 Ctrl+F（或 Cmd+F），搜索以下关键词：assembly {、delegatecall、proxy、implementation。
情况 A：源码中包含大量 assembly { 块
→ 高风险。恶意逻辑可以完全隐藏在汇编中，没有高级语言的注释或变量名提示。汇编可以直接操作存储槽，写入"秘密状态"。常见案例：合约显示"Owner已放弃"，但字节码中实际控制权被写入另一个存储槽，从未归零。
情况 B：包含 delegatecall 或使用代理模式
→ 高风险。合约的实际逻辑可能托管在另一个地址（实现合约），而该实现合约可能未经验证，或随时被更换。你看到的"已验证源码"可能只是一个"壳"，真正的逻辑在别处。
情况 C：无以上关键词 → 相对安全一些，但仍需继续步骤3。
[完成标准]：你已确认该合约是否使用了汇编或代理模式。如果是，强烈不建议存款。
步骤3：理解"验证 ≠ 安全"的根本原因
[做什么]：建立正确的认知框架，避免被"绿色对勾"误导。
[怎么做]：阅读以下三点事实，并对照你正在看的合约：
绿色对勾验证的是"一致性"，不是"安全性"
它只保证"你看到的源码和链上跑的是同一份"，不保证"这份代码不会作恶"。
恶意源码可以完全符合验证要求
开发者可以上传一份带有后门的源码，只要编译后的字节码与链上一致，就能通过验证。源码中可以写一个公开的
withdraw函数，声称"只有Owner可调用"，但内联汇编中实际允许任何地址调用。
形式化验证才能证明"无漏洞"。
与源码验证不同，形式化验证是将合约行为转化为数学模型，用证明器穷举所有可能的输入路径，证明"某个属性在所有条件下都成立"。MakerDAO 的 DAI 合约曾被两家审计公司检查过，但其核心数学错误直到 2022 年才被 Certora 证明器发现——在此之前已运行了两年半。
[完成标准]：你已经理解，那个绿色对勾唯一的作用是"你可以读这份源码"，而不是"你可以放心把钱放进去"。
常见失败原因
以为"源码已开源 + 绿色对勾 = 安全"，直接存入了大额资金。实际上，无数 Rug Pull 项目的合约都经过了验证，但因为源码里隐藏了"只有部署者知道的触发条件"，最终导致项目方撤池跑路。验证不是审计，它不揭示"代码会做什么"，只证明"代码没被篡改"。
操作完成的校验方式
如果你决定继续与该合约交互，打开"Write Contract"或"Read Contract"选项卡，逐项检查每个公开函数——特别是那些名称带有"onlyOwner"、"set"、"update"、"emergency"的函数。如果这些函数的行为在项目的公开文档中没有明确解释，视作危险信号。
下一步的衔接动作
存入资金前，确认该合约是否经过独立审计，并且审计报告是否覆盖了"业务逻辑正确性"而非仅"基础漏洞"。如果项目方没有公布审计报告，或审计机构不具名，考虑放弃该协议。核验渠道：Certora 官网的"客户案例"列表或项目的官方文档中的"Security"章节。
