Metodologia e avvertenze
TokenIntel separa la priorizzazione dal verdetto. La comunità vota su cosa indagare in seguito. I voti non decidono mai se un progetto è una truffa: il verdetto finale è prodotto dall’investigatore e sostenuto da prove on-chain, revisione dei contratti e analisi dei portafogli.
Punteggio di rischio
Un modello ponderato, additivo e vincolato alle prove. Tutti i pesi sono positivi e ogni punto assegnato deve collegarsi a una prova; senza prova il punto non viene assegnato.
Un segnale i cui dati non sono stati raccolti è escluso dal punteggio e dal suo massimo, e viene pubblicato come NON VALUTATO anziché considerato pulito. Il modello definisce 200 punti in totale, ma nessun rapporto è valutato su tutti: ciascuno è valutato solo sui punti realmente valutabili, normalizzati a 100. Ogni rapporto indica quali segnali ha verificato e quali no, così un progetto non appare mai più sicuro solo perché non abbiamo potuto guardare.
| Segnale | Peso |
|---|---|
| Codice sorgente del contratto non verificato | +15 |
| Proxy con autorità di aggiornamento sconosciuta o centralizzata | +15 |
| Portafogli del team svuotati verso destinazioni non identificate | +18 |
| Funzione di prelievo o svuotamento per il proprietario | +12 |
| Emissione nascosta o controllo sospetto dell’offerta | +12 |
| Trasferimenti verso un hot wallet di exchange noto | +10 |
| Grandi flussi verso destinazioni non identificate dopo la raccolta | +8 |
| Controlli di blacklist o congelamento | +8 |
| Proprietà non rinunciata | +8 |
| Tassa di trasferimento superiore al 5 per cento | +6 |
| Contratto di vendita e token condividono lo stesso deployer | +4 |
| Liquidità rimovibile da un portafoglio del team | +12 |
| Distribuzione dei detentori concentrata | +8 |
| Identità pubblica del team debole o non verificabile | +6 |
| I portafogli del team non detengono più una quota rilevante della raccolta | +6 |
| Nessun repository di codice pubblico | +52 |
Modello di rischio versione 4. Ogni rapporto indica la versione applicata.
Segnali del repository di codice
Viene valutato un solo lato di questa dimensione, ed entrambi i lati valgono 52 punti, così un progetto è misurato sullo stesso massimo in entrambi i casi. Un progetto che non pubblica un repository prende tutti i 52 punti come un unico segnale: nessuno dei 6 riscontri sotto può essere verificato, e un codice non pubblicato potrebbe contenerne uno qualsiasi senza che si sappia. Un progetto che lo pubblica è valutato su quei 6 riscontri — un repository pulito ottiene zero sugli stessi 52 punti, quindi è la trasparenza a meritare il punteggio più basso.
| Segnale | Peso |
|---|---|
| Il bytecode distribuito non corrisponde al codice del repository | +20 |
| Contratti assenti dal repository pubblicato | +10 |
| Repository creato immediatamente prima della raccolta | +6 |
| Cronologia con un solo contributore o account usa e getta | +6 |
| Fork con attribuzione originale rimossa | +6 |
| Nessun test, nessuna integrazione continua, nessun audit | +4 |
Gli estrattori per questi sei riscontri sono ancora in sviluppo. Finché non esistono, un progetto che pubblica un repository li vede registrati come NON VALUTATI anziché valutati.
Livelli di rischio
Limiti di copertura
Limiti noti del processo, non conclusioni su un progetto. Ogni rapporto ripete solo i limiti non risolti dalle prove raccolte.
- Lo stato attuale del proprietario o amministratore può non essere disponibilehigh
La pipeline interroga owner() e lo stato EIP-1967. Il limite resta attivo solo se un risultato richiesto fallisce o non può essere decodificato.
- Il codice verificato dell’implementazione può non essere disponibilehigh
La pipeline risolve l’indirizzo e richiede il codice dell’implementazione. Il limite resta attivo se il codice non è verificato o disponibile.
- L’attribuzione degli exchange si basa su un elenco di nove indirizzihigh
Tutto ciò che è fuori da quei nove hot wallet diventa SCONOSCIUTO, il che gonfia il segnale dei fondi non tracciati. Nessuna corrispondenza significa non identificato da questo elenco, mai che nessun exchange abbia ricevuto fondi.
- L’elenco dei portafogli del team è un’ipotesi di configurazionemedium
I portafogli provengono dalla configurazione e non si dimostra mai on-chain che siano l’insieme completo controllato dal team. Se ne esistono altri, ogni cifra derivata dall’elenco è sottostimata.
- La copertura riguarda solo la rete principale di Ethereumhigh
L’attività cross-chain, i pagamenti con carta e le altre reti sono invisibili a questo processo. I totali e qualsiasi quota di fondi potrebbero essere sostanzialmente errati se quel volume è reale.
Avvertenze
- I rapporti descrivono rischio e prove, non conclusioni legali.
- Gli afflussi osservati sono trasferimenti lordi andati a buon fine, non proventi netti certificati.
- Gli importi in dollari usano un unico prezzo documentato, non il prezzo storico di ogni transazione.
- Totali, saldi, aggregazione delle destinazioni e segnali deterministici sono calcolati dalle prove archiviate. I segnali qualitativi sono valutati rispetto alle prove citate e indicati come tali in ogni rapporto.
- Un segnale i cui dati non sono stati raccolti è escluso dal punteggio e dal suo massimo, e pubblicato come NON VALUTATO anziché considerato pulito.
- Una destinazione SCONOSCIUTA non è classificata, non è prova di malevolenza.
- Un saldo zero del contratto di vendita è lo stato finale atteso una volta trasferiti i proventi ai portafogli del team, e non viene mai valutato da solo.
- Le istantanee dei dati sono conservate affinché ogni rapporto resti riproducibile.
- I team dei progetti possono inviare risposte o correzioni.