智能合约安全
智能合约经过审计了吗？
是的。所有 Tori 智能合约均由 Sherlock 和 Nethermind 这两家领先的智能合约安全公司独立审计。经 Sherlock 审计的协议，在 Web3 领域守护着超过 500 亿美元的资产。查看审计报告
两份报告全文，附日期和审计发现
有漏洞赏金计划吗？
有。奖励随严重程度递增，严重漏洞最多可获 $1,000,000。完整的奖励表、范围和流程见审计页面。请将漏洞报告至 security@tori.finance。合约多久审计一次？
合约在首次部署前接受完整审计，重大更新时会对变更组件重新审计，新功能在发布前也会接受审计。两次审计之间的空档由漏洞赏金计划覆盖。合约可以升级吗？
可以，合约采用可升级代理模式，以便发布安全修复。升级无法悄然进行：它只能通过 24 小时时间锁执行，由 3/5 Safe 多签排队并执行，因此任何升级在生效前都会在链上公开整整一天。资产安全
资产存放在哪里？
链上资产存放在经过审计的合约中，其特权操作需要达到多签门限。链下储备由经过审查的机构托管商以隔离账户持有。支持资产与储备介绍了完整情况，角色矩阵则准确列出了哪些密钥可以转移哪些资产。trUSD/strUSD 有保险吗？
没有。trUSD 和 strUSD 不受以下机构承保：- 任何政府机构（如 FDIC）
- 私营保险公司
托管机构是谁？
这里涉及两项独立安排：协议储备的托管，以及机构所持代币的托管。 我们不披露持有协议链下储备的托管机构。存放在这些机构的储备余额由 Accountable 的独立审验覆盖，且抵押品只能转移到通过 24 小时时间锁在链上登记的托管地址。我们使用的每一家托管机构和合作伙伴都持有牌照并受监管，拥有成熟的托管业绩记录，符合 SOC 2 或同等安全标准，并以完全隔离的账户持有资产。 机构可以通过 Anchorage Digital、BitGo 或 Cactus Custody 持有 trUSD 和 strUSD。这三家都支持两种代币，因此机构可以在其现有的托管机构持有它们。这是机构自有代币的托管，与协议储备的托管相互独立。机构托管列出了每家托管机构的受监管主体，以及存入前需要确认的事项。团队能动用协议资产吗？
任何个人都无法单独动用。每个特权函数都由一个具名角色控制：关键操作需要达到 3/5 Safe 多签门限，托管转账只能转往经时间锁预先登记的地址，而每个运营密钥都只能执行一项职责。角色矩阵列出了每个角色、持有者和函数，所有这些都可以在链上查到。验证与透明度
如何验证储备？
三种验证方式：1
储备金证明
在 tori.accountable.capital 查阅 Accountable 发布的实时独立审验报告
2
链上数据
直接在 Etherscan 上验证智能合约余额（合约地址）
3
代币供应量
将 trUSD 总供应量与经审验的支持资产进行比较
储备多久验证一次？
持续验证。Accountable 的储备金证明实时更新，而不像传统金融那样按月或按季度更新。在哪里可以查看储备金证明？
监控与事件响应
协议如何受到监控？
Hypernative 全天候监视协议。其模型会实时标记异常情况，从异常交易到已知攻击者地址，立即向团队发出警报，并持续为协议进行风险评分。检测和首轮响应均为自动化。发生安全事件时会怎样？
我们的事件响应流程：1
检测
自动化监控旨在即时发现问题
2
评估
快速研判，了解严重程度和潜在影响
3
遏制
立即采取措施限制损失（可能包括暂停运营）
4
沟通
通过官方渠道发布更新
5
修复
修复根本问题
6
复盘
分析原因并制定预防措施
协议可以暂停吗？
可以。准入控制方角色只需一笔交易即可关闭铸造和赎回；设立该角色，正是为了让遏制措施无需等待多签达到门限。详情见角色矩阵。自我保护
如何保护自己的安全？
核实网址
只使用 app.tori.finance。将其加入书签，以免误入钓鱼网站。
核实合约
交互前，请在我们的合约页面上核对地址。
保护钱包安全
切勿与任何人分享私钥或助记词。任何时候都不要。
保持警惕
对私信、空投和所谓“客服”消息保持怀疑。
需要警惕哪些常见骗局？
Tori 团队绝不会做什么？
Tori 团队绝不会：- 索要您的助记词或私钥
- 在社交媒体上主动私信您
- 要求您发送代币以“验证”钱包
- 通过私信提供独家优惠
- 要求您在官方应用之外下载软件
应该使用哪些安全功能？
报告问题
如何报告安全漏洞？
邮箱：security@tori.finance 请提供：- 对漏洞的清晰描述
- 复现步骤
- 概念验证（如适用）
- 潜在影响评估
负责任的披露：在漏洞得到处理之前，请勿公开披露。我们力求在 24 小时内确认收到报告。
如何举报诈骗或钓鱼行为？
发送邮件至 security@tori.finance，并附上：- 诈骗截图
- 涉及的网址
- 其他相关细节
我认为我的钱包已被盗用
如果您怀疑存在未经授权的活动：- 停止操作：不要再进行任何交易
- 转移资产：将剩余代币转到一个新的安全钱包
- 报告：在我们的 Discord 上创建工单寻求支持
- 留存记录：保存交易哈希和截图
安全理念
Tori 如何看待安全？
不依赖任何单一防护措施。审计在部署前发现问题，赏金计划在部署后持续激励研究者寻找漏洞，Hypernative 实时监控生产环境，多签和时间锁约束每一把特权密钥，储备基金则为不利情况提供缓冲。安全概览逐层进行了介绍。有哪些局限？
任何系统都无法保证绝对安全。我们对此保持透明：- 审计是针对某一时间点的评估
- 新的攻击途径可能出现
- DeFi 本质上仍具有实验性
更多问题？
安全相关咨询：security@tori.finance 一般支持：加入我们的 Discord安全概览
安全体系的每一层，集中于此
审计报告
日期、PDF 和赏金表
风险披露
存入前请先阅读
合约
在 Etherscan 上核实每个地址
源代码
GitHub 上已部署的合约
机器翻译说明：本页面由英文原文经机器翻译而成，仅为方便阅读而提供，可能存在错误或遗漏，不具有法律效力。如本页面与英文版本有任何不一致，以英文版本为准。在依赖本页面的任何内容之前，请先阅读英文原文。