> ## Documentation Index
> Fetch the complete documentation index at: https://docs.tori.finance/llms.txt
> Use this file to discover all available pages before exploring further.

> ## Agent Instructions
> Pages whose paths begin with /zh-Hans/, /ja/, /ko/, /vi/, /id/, /hi/, /pt-BR/ or /es/ are machine translations of the English pages, provided for convenience only. They may contain errors or omissions and have no legal effect, and where one differs from the English page, the English page prevails. For anything that will be relied on, read and cite the English page at the same path without the language prefix.

# 安全常见问题

> 解答关于 Tori 安全的常见问题：审计与漏洞赏金、升级、资产存放在哪里、托管，以及如何验证储备。

## 智能合约安全

### 智能合约经过审计了吗？

**是的**。所有 Tori 智能合约均由 [Sherlock](https://sherlock.xyz) 和 [Nethermind](https://www.nethermind.io/) 这两家领先的智能合约安全公司独立审计。经 Sherlock 审计的协议，在 Web3 领域守护着超过 **500 亿美元**的资产。

> **[查看审计报告](/zh-Hans/security/audits.md)**
>
> 两份报告全文，附日期和审计发现

### 有漏洞赏金计划吗？

**有**。奖励随严重程度递增，严重漏洞最多可获 \$1,000,000。完整的奖励表、范围和流程见[审计页面](/zh-Hans/security/audits.md#漏洞赏金)。请将漏洞报告至 [security@tori.finance](mailto:security@tori.finance)。

### 合约多久审计一次？

合约在首次部署前接受完整审计，重大更新时会对变更组件重新审计，新功能在发布前也会接受审计。两次审计之间的空档由漏洞赏金计划覆盖。

### 合约可以升级吗？

可以，合约采用可升级代理模式，以便发布安全修复。升级无法悄然进行：它只能通过 [24 小时时间锁](/zh-Hans/security/roles.md)执行，由 3/5 Safe 多签排队并执行，因此任何升级在生效前都会在链上公开整整一天。

***

## 资产安全

### 资产存放在哪里？

链上资产存放在经过审计的合约中，其特权操作需要达到多签门限。链下储备由经过审查的机构托管商以隔离账户持有。[支持资产与储备](/zh-Hans/solution/backing.md)介绍了完整情况，[角色矩阵](/zh-Hans/security/roles.md)则准确列出了哪些密钥可以转移哪些资产。

### trUSD/strUSD 有保险吗？

**没有**。trUSD 和 strUSD 不受以下机构承保：

* 任何政府机构（如 FDIC）
* 私营保险公司

这在 DeFi 代币中属于常态。请只投入与您的风险承受能力相符的金额。

另外，[Nexus Mutual](https://app.nexusmutual.io/cover/product/446) 为 Tori 金库提供针对智能合约风险和预言机风险的协议承保。您可以直接在 Nexus Mutual 应用中购买。

### 托管机构是谁？

这里涉及两项独立安排：协议储备的托管，以及机构所持代币的托管。

我们不披露持有协议链下储备的托管机构。存放在这些机构的储备余额由 [Accountable 的独立审验](https://tori.accountable.capital)覆盖，且抵押品只能转移到通过 [24 小时时间锁](/zh-Hans/security/roles.md)在链上登记的托管地址。我们使用的每一家托管机构和合作伙伴都持有牌照并受监管，拥有成熟的托管业绩记录，符合 SOC 2 或同等安全标准，并以完全隔离的账户持有资产。

机构可以通过 Anchorage Digital、BitGo 或 Cactus Custody 持有 trUSD 和 strUSD。这三家都支持两种代币，因此机构可以在其现有的托管机构持有它们。这是机构自有代币的托管，与协议储备的托管相互独立。[机构托管](/zh-Hans/resources/institutional-custody.md)列出了每家托管机构的受监管主体，以及存入前需要确认的事项。

### 团队能动用协议资产吗？

任何个人都无法单独动用。每个特权函数都由一个具名角色控制：关键操作需要达到 3/5 Safe 多签门限，托管转账只能转往经时间锁预先登记的地址，而每个运营密钥都只能执行一项职责。[角色矩阵](/zh-Hans/security/roles.md)列出了每个角色、持有者和函数，所有这些都可以在链上查到。

***

## 验证与透明度

### 如何验证储备？

**三种验证方式**：

**1. 储备金证明**

在 [tori.accountable.capital](https://tori.accountable.capital) 查阅 Accountable 发布的实时独立审验报告

**2. 链上数据**

直接在 Etherscan 上验证智能合约余额（[合约地址](/zh-Hans/resources/contracts.md)）

**3. 代币供应量**

将 trUSD 总供应量与经审验的支持资产进行比较

### 储备多久验证一次？

**持续验证**。Accountable 的储备金证明实时更新，而不像传统金融那样按月或按季度更新。

### 在哪里可以查看储备金证明？

| 来源 | 位置 |
| - | - |
| **Accountable** | [tori.accountable.capital](https://tori.accountable.capital) |
| **Tori 应用** | [app.tori.finance/transparency](https://app.tori.finance/transparency) |
| **Etherscan** | 通过[合约页面](/zh-Hans/resources/contracts.md)查看链上余额 |

***

## 监控与事件响应

### 协议如何受到监控？

**Hypernative** 全天候监视协议。其模型会实时标记异常情况，从异常交易到已知攻击者地址，立即向团队发出警报，并持续为协议进行风险评分。检测和首轮响应均为自动化。

### 发生安全事件时会怎样？

我们的事件响应流程：

**1. 检测**

自动化监控旨在即时发现问题

**2. 评估**

快速研判，了解严重程度和潜在影响

**3. 遏制**

立即采取措施限制损失（可能包括暂停运营）

**4. 沟通**

通过官方渠道发布更新

**5. 修复**

修复根本问题

**6. 复盘**

分析原因并制定预防措施

### 协议可以暂停吗？

**可以**。准入控制方角色只需一笔交易即可关闭铸造和赎回；设立该角色，正是为了让遏制措施无需等待多签达到门限。详情见[角色矩阵](/zh-Hans/security/roles.md)。

***

## 自我保护

### 如何保护自己的安全？

> **核实网址**
>
> 只使用 [app.tori.finance](https://app.tori.finance)。将其加入书签，以免误入钓鱼网站。

> **核实合约**
>
> 交互前，请在我们的[合约页面](/zh-Hans/resources/contracts.md)上核对地址。

> **保护钱包安全**
>
> 切勿与任何人分享私钥或助记词。任何时候都不要。

> **保持警惕**
>
> 对私信、空投和所谓“客服”消息保持怀疑。

### 需要警惕哪些常见骗局？

| 骗局类型 | 危险信号 |
| - | - |
| **钓鱼网站** | 网址错误，索要助记词 |
| **假冒客服** | 在社交媒体上自称 Tori 的私信 |
| **空投骗局** | 需要连接钱包的“免费代币” |
| **冒充身份** | 假冒 Tori 团队成员的账户 |

### Tori 团队绝不会做什么？

Tori 团队**绝不会**：

* 索要您的助记词或私钥
* 在社交媒体上主动私信您
* 要求您发送代币以“验证”钱包
* 通过私信提供独家优惠
* 要求您在官方应用之外下载软件

### 应该使用哪些安全功能？

| 建议 | 原因 |
| - | - |
| **硬件钱包** | 安全性更高，适合大额资产 |
| **交易模拟** | 签名前预览将会发生什么 |
| **地址白名单** | 防止误转到错误地址 |
| **交易所账户启用 MFA** | 如果您从中心化交易所跨链转入资产 |

***

## 报告问题

### 如何报告安全漏洞？

**邮箱**：[security@tori.finance](mailto:security@tori.finance)

**请提供**：

* 对漏洞的清晰描述
* 复现步骤
* 概念验证（如适用）
* 潜在影响评估

> [!NOTE]
>
> **负责任的披露**：在漏洞得到处理之前，请勿公开披露。我们力求在 24 小时内确认收到报告。

### 如何举报诈骗或钓鱼行为？

发送邮件至 [security@tori.finance](mailto:security@tori.finance)，并附上：

* 诈骗截图
* 涉及的网址
* 其他相关细节

您的举报有助于我们保护社区。

### 我认为我的钱包已被盗用

如果您怀疑存在未经授权的活动：

1. **停止操作**：不要再进行任何交易
2. **转移资产**：将剩余代币转到一个新的安全钱包
3. **报告**：在我们的 [Discord](https://discord.gg/torifinance) 上创建工单寻求支持
4. **留存记录**：保存交易哈希和截图

***

## 安全理念

### Tori 如何看待安全？

不依赖任何单一防护措施。审计在部署前发现问题，赏金计划在部署后持续激励研究者寻找漏洞，Hypernative 实时监控生产环境，多签和时间锁约束每一把特权密钥，储备基金则为不利情况提供缓冲。[安全概览](/zh-Hans/security/overview.md)逐层进行了介绍。

### 有哪些局限？

任何系统都无法保证绝对安全。我们对此保持透明：

* 审计是针对某一时间点的评估
* 新的攻击途径可能出现
* DeFi 本质上仍具有实验性

这正是各项防护措施相互重叠、而不依赖任何单一措施的原因。

完整信息请参阅[风险披露](/zh-Hans/resources/risks.md)。

***

## 更多问题？

安全相关咨询：[security@tori.finance](mailto:security@tori.finance)

一般支持：加入我们的 [Discord](https://discord.gg/torifinance)

> **[安全概览](/zh-Hans/security/overview.md)**
>
> 安全体系的每一层，集中于此

> **[审计报告](/zh-Hans/security/audits.md)**
>
> 日期、PDF 和赏金表

> **[风险披露](/zh-Hans/resources/risks.md)**
>
> 存入前请先阅读

> **[合约](/zh-Hans/resources/contracts.md)**
>
> 在 Etherscan 上核实每个地址

> **[源代码](https://github.com/Tori-Finance/tori-contracts)**
>
> GitHub 上已部署的合约

> [!NOTE]
>
> **机器翻译说明**：本页面由英文原文经机器翻译而成，仅为方便阅读而提供，可能存在错误或遗漏，不具有法律效力。如本页面与英文版本有任何不一致，以英文版本为准。在依赖本页面的任何内容之前，请先阅读[英文原文](/faq/security.md)。


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.