DeFi智能合约被攻击后，普通用户存入的资金可能被立即盗取或冻结，且无法通过平台客服、法律途径或中心化机构追回。风险根源在于合约代码漏洞不可逆、链上资产无托管方、交易确认即终局。
智能合约一旦部署就不可修改，攻击者 exploit 漏洞后可直接转走用户资产，而用户在钱包授权时往往已授予无限额度权限。
为什么授权一次就可能丢光所有资产？
多数DeFi应用要求用户对合约授予“无限代币授权”（infinite allowance），一旦该合约被攻破或本身恶意，攻击者即可无需二次确认，直接从用户钱包提走全部对应代币。这不是平台“跑路”，而是链上权限被滥用。
为什么交易所或钱包不会赔钱？
主流钱包（如MetaMask）和中心化交易所（如币安）不托管用户DeFi合约中的资产，也不承担智能合约安全责任。根据其服务条款，链上操作风险完全由用户自行承担，官方无义务赔付合约层损失。
为什么“项目方发公告补救”往往来不及？
智能合约攻击通常在数分钟内完成资金转移，而链上交易不可逆。即使项目方立刻暂停合约或发布修复补丁，已转出的资产也无法撤回；所谓“补偿”仅限项目方自愿、且有足够储备金的情况，非义务行为。
链上有没有人能冻结被盗资金？
以太坊等主流公链没有中央控制权，不存在可单方面冻结地址或交易的机制。Tornado Cash等混币器被制裁属例外，源于合规链下协调，而非链上技术能力；普通被盗资金无法被链上冻结或拦截。
为什么很多人以为“只是暂时卡住”？
用户常把交易卡顿、Gas不足、前端显示异常误认为“系统故障可恢复”，但实际是合约逻辑已被触发（如清算、提取、重入），链上状态已永久变更。前端UI滞后或错误，不改变链上已执行的结果。
为什么觉得“大项目就一定安全”？
审计报告不等于安全保证：2022年Axie Infinity侧链Ronin被黑6.25亿美元，此前已通过多家机构审计；2023年Wormhole跨链桥被盗1.2亿美元，同样有审计背书。审计覆盖范围有限、无法发现所有新型漏洞，且代码更新后未重新审计即上线的情况普遍存在。
怎么判断一个DeFi项目是否值得接触？
优先观察三项硬指标：主网运行超1年且无重大漏洞、核心合约经至少两家知名机构（如OpenZeppelin、Trail of Bits）完整审计并公开报告、所有代币授权均采用“限制额度+可撤销”模式（如Permit2）。缺一不可，其余均为次要参考。
新手第一次用DeFi，资金应该设多少上限？
建议单个项目投入不超过总加密资产的1%，且绝对不使用杠杆、不参与未经验证的新协议、不连接陌生网站的钱包。把DeFi当作高风险沙盒环境，而非理财渠道，先用测试网和小金额验证全流程。
常见问题
DeFi被黑后报警有用吗？
基本无效。链上地址匿名、跨境、无管辖主体，国内警方无法定位链上攻击者或冻结资产，报案主要为备案，不产生实质追偿效果。
我的币还在钱包里，只是打不开App，是不是安全的？
不一定。只要曾授权过被攻破的合约，资产就处于风险中；前端无法访问只是表象，链上资产可能已被转走，需查Etherscan等区块浏览器确认余额。
合约审计过了，还会被攻击吗？
会。审计只能降低风险，不能消除风险。审计报告有范围限制、时效性限制，且无法覆盖所有交互场景和新型攻击手法（如闪电贷组合攻击）。
我把代币转到硬件钱包，DeFi被黑还受影响吗？
不受影响——前提是未在DeFi协议中授权或存入。硬件钱包离线存储本身安全，但一旦在网页端点击“Connect Wallet”并授权/存入，风险即转移到链上合约层面。
项目方说“已联系链上追踪团队”，我的钱能找回来吗？
极难。链上追踪只能识别流向，无法强制返还；目前尚无成熟机制支持跨链或跨地址的资金追索，所谓“追踪”多为安抚性表述，不改变资产已丢失的事实。