鎖定流動性不代表代幣安全

關於這個主題的每份指南都告訴你同一件事：鎖定流動性意味著團隊無法 rug 你，因此代幣更安全。在唯一的退出方式是抽乾池子時，這是對的。在現代啟動平台上，鎖定已成為騙局的收入引擎，而你在尋找的勾號正是支付攻擊者的東西。

在代幣篩選器、啟動平台介面以及為迷因幣交易者編寫的每份安全檢查清單上，都有一個複選框：流動性已鎖定。找到它被呈現為購買匿名代幣前的基本步驟之一，而該建議背後的理由就其本身而言是合理的。流動性鎖確實能防止去中心化金融中最具破壞性的攻擊——rug pull，即代幣創建者移除支撐交易池的資產，讓持有者手中剩下無法出售的東西。這些指南意見一致。一個說驗證鎖定不是可選的，而是必要的。另一個說它讓投資者放心，該項目可以安全參與。第三個說它給投資者一種安全感。所有這些都在描述一種真實的保護，而且所有這些都不完整，其代價已經變得昂貴。因為在大多數新代幣誕生的啟動平台上，阻止創建者抽乾池子的同一個鎖也保證了創建者從每筆交易中分得一杯羹，永遠如此，而這改變了那個勾號的含義。

流動性鎖實際上是做什麼的

從機制開始，因為保護是真實的，而精確理解它才能讓你看見差距。

當一個代幣在去中心化交易所上線時，必須有人提供讓人們交易它的池子。這意味著將新代幣與有價值的東西（通常是穩定幣或鏈的原生資產）一起存入池合約。作為交換，存款人會收到流動性提供者代幣，這是該存款的索取憑證。持有提供者代幣的人可以贖回它們並將池子的內容取回。

這個索取憑證就是整個漏洞。持有它的創建者可以等待買家到來，看著池子裝滿真錢，然後贖回憑證，提取所有有價值的東西，讓代幣背後空無一物。價格會跌至零，因為沒有東西可以賣出。這就是 rug pull，它在幾年內佔據了迷因幣損失的很大一部分。

流動性鎖將提供者代幣發送到一個單獨的時間鎖定合約中，而不是留在創建者的錢包裡。鎖定服務將它們持有一段規定的時間，在鏈上發布鎖定以便任何人都能驗證，並在到期前拒絕釋放代幣。創建者無法贖回他們不再持有的東西。經典的退出方式在機制上被阻止了。

有兩個澄清點常讓人上當。鎖定的池子仍然正常交易；鎖定限制的是提取池子內容，而不是買賣。而且流動性鎖定不同於代幣鎖定，後者通過歸屬時間表限制團隊自己的供應。一個項目可以只做其中一個而不做另一個，而你正在閱讀的複選框通常只涵蓋前者。

指南正確的地方

在批評之前，先給予應有的肯定，因為完全否定鎖定本身也會是個錯誤。

關於未鎖定池子的證據確實令人擔憂。對一條主要鏈上一千個迷因幣的分析發現，超過百分之九十沒有鎖定流動性，使它們在結構上暴露於上述攻擊。行業估計迷因幣詐騙損失在單一年份達到數億美元，其中抽乾池子是主要方法。相對於這個基線，一個鎖定其流動性的項目已經消除了一個真實且常見的故障模式，而鎖定與未鎖定池子之間的差別並非表面功夫。

鎖定還帶有信號功能，這是有價值的。願意放棄提取資金池能力的團隊，是一個接受限制的團隊，而自願接受的限制往往與能夠經受價格下跌的意圖相關。這種相關性很弱，但弱相關仍然攜帶信息。

因此，指南關於鎖定作用的描述並沒有錯。它們錯在鎖定所暗示的含義，而這兩者之間的差距正是當前一代騙局運作的地方。

反轉

這是安全文獻尚未吸收的變化。

Pump.fun 系列的 Launchpad——底層機制——自動化了代幣創建，並從結構上解決了拉地毯問題：當代幣從其發行曲線畢業到交易池時，平台會自動永久鎖定流動性，鎖定在一個任何人都無法提取的合約中。這是一個真正的改進，也是這些平台自稱抗拉地毯的基礎。

同樣的平台也支付創作者費用。一個鎖定的資金池仍然會在每次交易中產生交易費，這些費用可以由創建代幣的地址領取。這種安排表面上是合理的：它獎勵那些代幣維持真實交易量的構建者，並給創作者一個繼續支持項目的理由，而不是拋售後離開。

現在將這兩個屬性結合起來，並跟隨激勵。一個無法提取資金池的創作者失去了一個收入來源。一個從每筆交易中收取費用的創作者獲得了另一個收入來源，而第二個來源不需要代幣成功，只需要被交易。恐慌性賣出的交易量與熱情買入的交易量帶來的收益完全相同。持有者試圖退出他們現在認為毫無價值的代幣所產生的交易量，與上述兩種情況的收益也完全相同。

鎖定移除的是退出機制。它沒有移除的是提取機制，並將提取從一個事件轉變為一種訂閱。

這不是理論上的擔憂。當攻擊者入侵一位知名高管的社交賬戶，並在該設計運行的平台上利用信譽發行代幣時，操作正是基於這種設計：流動性永久鎖定，交易費在最初幾小時內反覆領取，且在任何時候都沒有拉地毯，因為拉地毯會終止攻擊者有充分理由繼續收集的現金流。該代幣無法被抽乾。但也無需被抽乾。對此事件的報導說得很清楚：鎖定的流動性讓騙局偽裝成合法代幣。關於這一論點的報導，$VLAD 案例記錄了完整的提取序列。

為什麼核取方塊現在會誤導

實際損害不在於鎖定無用。而在於它們在一個不再描述風險的心智模型中承擔了支撐作用。

一個執行標準清單的交易者看到流動性已鎖定，勾選方塊，並將一類危險視為已解決。這是正確的。但同樣的交易者通常會將該勾選標記視為更廣泛的合法性信號，因為所有指南都是這樣框架的，而在鎖定自動且普遍存在的 Launchpad 上，它根本不攜帶關於項目的任何信息。當平台上每個代幣默認都有鎖定流動性時，鎖定的存在無法區分任何東西。它不是一個過濾器；它是一個底線。

更糟的是，它顛覆了常見的騙局檢測啟發法。歷史上，可疑代幣看起來可疑：沒有鎖定、團隊匿名、合約有鑄造功能、供應集中在少數錢包。一個為收取費用而創建的 Launchpad 代幣，按照最常被引用的標準看起來是乾淨的，因為平台自動使其乾淨。使攻擊有利可圖的設計，同時也使攻擊能夠通過檢查。

鎖定無法告訴你的事

有五件事完全超出流動性鎖定的覆蓋範圍，而每一件在近幾個週期中造成的損失都比資金池抽乾更多。

供應集中度。鎖定涵蓋資金池，而非內部人士持有的代幣。持有大量供應份額的創作者可以持續向資金池賣出，這是一種較慢的拉地毯，對持有者造成同樣的結果。請單獨檢查頂級持有者分佈。

合約權限。鑄造功能、轉移限制、黑名單和可修改的費用參數存在於代幣合約中，而非資金池。一個鎖定的資金池連接到一個所有者可以鑄造無限供應的合約，在任何有意義的意義上都沒有受到保護。

鎖倉期限與條款。鎖倉會到期。一個被宣傳為長期項目的代幣，若鎖倉期只有三十天，這告訴你風險何時回歸。請閱讀到期時間，並閱讀鎖倉合約是否允許在任何條件下提前解鎖。

創作者費用安排。這是本指南的主題。如果平台向代幣創作者支付費用，請理解一個被標記、公開已知的騙局，每次有人交易它時，包括你賣出時，都會為其運營者持續賺取收益。

明天是否還有人交易。在新代幣上虧損最常見的方式根本不是 rug pull。而是買入一個在幾天內就變得缺乏流動性的池子，導致持倉只能以災難性的價格退出。沒有鎖倉能解決這個問題。

篩選器的盲點

大多數交易者從不閱讀鎖倉合約。他們閱讀篩選器，後者將上述所有內容濃縮成圖標，而理解篩選器能看到什麼、不能看到什麼，比理解底層機制更實用。

篩選器擅長檢查鏈上可觀察且機械性的事項。例如：流動性提供者代幣是否存放在已知的鎖倉合約中、鎖倉何時到期、代幣合約的所有權是否已放棄、是否存在鑄造功能、供應量在最大持有者之間如何分配、以及池子有多少流動性支撐。這些都是具有明確答案的事實，能準確報告這些資訊的篩選器就完成了它的工作。

篩選器無法看到的是意圖和安排。它無法告訴你創作者是否仍在領取交易費，因為在摘要視圖中，這是一個與其他任何調用無異的普通合約調用。它無法告訴你部署代幣的錢包是否屬於一個已經做過十一次同樣操作的人，除非這些地址被關聯並有人標記。它無法告訴你代幣的名稱和圖像是從一個小時前被入侵的帳戶中盜用的，因為這個事實完全存在於鏈下。

這個差距很重要，因為當前一代的收割手法正是建立在這個差距之上。篩選器檢查的所有項目都顯示乾淨，因為啟動平台默認讓它們乾淨；而所有能識別問題的資訊都存在於交易歷史、社交背景和費用領取模式中，沒有圖標能總結這些。一個將乾淨的篩選器視為安全信號的交易者，實際上外包了一個該工具從未被設計來做出的判斷。

實際的調整很小。將篩選器用於它擅長衡量的方面，即合約權限和供應分配，並將流動性鎖倉圖標視為背景資訊，而非最終裁決。然後花三十秒檢查它看不到的東西：代幣從哪裡來、誰在推廣它、以及是否有人標記了該合約。

如何正確評估代幣

用一個簡短的流程取代單一的複選框。這些步驟都不需要超過幾分鐘，並且能夠經受住破壞舊有經驗法則的設計變更。

首先閱讀持有者分佈，而不是鎖倉。如果少數錢包持有大部分供應量，那麼鎖倉就無關緊要，因為退出不需要通過池子。

檢查合約的權限。篩選器會標記鑄造權限、所有權狀態和轉移限制。一個未放棄所有權且具有活躍鑄造功能的合約，風險比一個未鎖倉的池子更大。

假設鎖倉存在，然後問它會讓你付出什麼代價。在啟動平台代幣上，鎖倉是標準做法。相關的問題不是流動性是否被鎖定，而是誰在收取交易費，以及創作者是否仍在領取這些費用。

將被標記的代幣視為永久標記。如果瀏覽器將一個合約標記為疑似騙局，交易它不僅會危及你的資金；在收取費用的平台上，它還會向運營者支付費用。參與其中沒有任何中立版本。

為缺乏流動性做好規模準備。問問自己，如果明天交易量下降百分之九十，退出一個持倉需要付出什麼代價，因為對於大多數新代幣來說，這將會發生。

令人不安的總結是，這個行業極好地解決了一種攻擊，而攻擊者已經轉移了。鎖定流動性仍然是針對它所保護的特定事物的真正保護，但將其視為一般安全信號，現在正是它原本設計要防止的錯誤。

這個模式所屬的範疇

退一步看代幣，這個例子說明了在加密安全領域反覆出現的現象，值得指出，因為它會再次發生。

這個行業的安全工程往往具有對抗性和特定性。某次特定攻擊造成足夠損失而變得臭名昭著，建構者設計一個機制精確地阻止它，該機制成為標準，生態系統將該機制的存在視為整體安全的證據。然後，閱讀過相同文件的攻擊者繞過它。該機制繼續按規格運作。安全推論不再成立。

同樣的序列產生了審計徽章，它證明特定代碼已被審查，並被解讀為證明項目是合法的。它產生了放棄所有權，這移除了管理員更改合約的能力，並被解讀為消除風險，但對最初惡意編寫的合約隻字不提。它產生了多重簽名託管，這防止單一被盜金鑰耗盡資金，並被解讀為機構級安全，但對誰持有金鑰隻字不提。在每種情況下，該機制都是真實且有價值的，被普遍採用，最終卻毫無信息量——這是一種機制設計對抗攻擊者的模式，在整個行業中重複出現，原因正是它成功的原因：一旦每個人都擁有它，擁有它就不再能區分任何人。

推論是實用的。任何變成勾選框的安全信號都有時限，而時限從該信號成為標準的那一刻開始，而不是從攻擊擊敗它的那一刻開始。一個類別中每個項目都存在的勾選框已不再是過濾器，無論它仍然防止什麼。有用的問題從來不是代幣是否具有標準保護，而是這些保護從未設計來觸及哪些風險，而那個列表總是比檢查清單更長。

關於如何思考鎖的未來，因為該機制不會消失，建立在它之上的設計也不會消失。

正確的心智模型是商店門上的鎖。它阻止一件特定的事情，即有人在夜間搬走庫存，而且它確實值得擁有。它告訴你關於商店是否賣有用的東西、店主是否誠實、價格是否公平或業務下個月是否會存在，一無所知。沒有人會走進一家陌生的商店，觀察到門上有鎖，就得出商品是好的結論。這大致就是標準代幣檢查清單鼓勵的推論，而發射台通過自動為每扇門安裝相同的鎖使情況變得更糟。

改變評估的是知道誰從你身處其中受益。在一個平台上，代幣創建者從商店的每筆交易中收取費用，包括你賣出後悔購買的物品的交易，門上的鎖不是為你而設。它在那裡是因為它使安排持久，而持久性正是運營者所需要的。這樣解讀它不需要任何成本，並防止了本指南旨在描述的特定錯誤。

常見問題