RWA 安全与可审计性

AI 辅助译编稿。事故虚构，不是对真实项目的报告。对应英文稿：core-24。

Learning objectives · 学习目标

• 将信任边界扩展到合约以外。
• 识别特权写入者、外部证据与金融不变量。
• 区分审计记录与资产质量或安全证明。

Mechanism · 安全跟随完整安排

代币化资产可能依赖合约、密钥、身份服务、外部登记、管理人和支付系统。只看转移函数会漏掉重要路径。BIS 的安排框架把资产、表示和治理一起分析。BIS

每个边界都应问：信任什么、谁能写、谁使用、虚假或不可用会怎样？规则必须在相关操作点执行。事后报告超限不等于阻止禁止操作。

OpenZeppelin 的文档说明角色管理员、默认管理员和延时治理的前提。部署角色检查只是完整可达权限图的一部分。OpenZeppelin

Worked example · 合约正确，业务授权错误

虚构基金合约只允许 MINT 角色铸造，代码完全按规则执行。但认购服务被攻破，要求发 5,000 单位，没有匹配资金。操作人仅检查消息确实来自该服务，就签署。

角色检查通过，金融不变量却失败：没有所需业务批准和已对账资金就产生份额。原因在证据与授权边界，不一定在铸造函数算术。

日志只有哈希、操作地址和成功，无法证明付款、认购批准或政策版本。可审计事项需要链接这些记录和特权动作原因，但不应为了调查而记录原始身份文件或个人财务细节。

外部付款证据 → 对账 → 业务批准
                         ↓
操作签署 → 合约角色检查 → 账本变化
                         ↓
           关联审计事项 + 异常发现 + 恢复

禁止场景要实际测试：技术消息真实但资金未对账时，按本例政策不能发行。还应测试已撤销人员、重复请求、过期许可和外部证据不可用。

Assurance scope · 区分预防、发现与恢复

合约审查有代码范围与假设；储备检查有资产、日期、抽样和排除项。两者都不自动证明全部负债、法律权利或未来运行，不能把「审查过」改成「无风险」。

保留输入、决定、版本、尝试与授权修改。能重建事故有价值，但预防、发现和恢复仍是不同能力。演练密钥泄露、支付不可用和登记冲突。

紧急暂停应明确范围、权限和恢复。无边界救援可能绕过保护；没有可用授权人能解除的暂停也可能成为长期可用性故障。

Common misconceptions · 常见误解

合约审计证明资产已核实。 代码与外部资产证据范围不同。

事件上链就能完整审计。 业务批准和外部材料缺失仍留下关键空白。

恢复应忽略全部控制。 无边界恢复会产生新攻击路径。

Risks and limits · 风险与边界

本文是教学威胁模型，不是审计、渗透测试或保证意见，没有访问真实密钥、资产或客户记录。实现需要当前依赖、授权审查及受影响消费者的正常和失败证据。

Exercise and answer · 练习与答案

练习： 合法 MINT 人员收到真实服务消息，未匹配付款就发行 5,000，角色通过能证明控制有效吗？

答案： 不能。技术权限和业务授权不同，付款到发行的不变量失败，应在证据与授权责任处执行缺失条件。

Related learning · 关联学习

从工程课程进入市场研究，如实披露证据级别，并复习实验失败路径。

Source map · 来源与证据范围

bis-tokenisation 为国际安排研究；openzeppelin-access-control 为版本特定技术权限文档，2026-10-18 核查。基金、事故和控制设计为原创教学材料，不构成生产安全或审计声明。独立中文审稿待完成。