DeepSafe與CertiK圍繞機構穩定幣付款、項目金庫和鏈上投資開展聯合調研，研究機構如何劃分交易權限、約束投資範圍，以及在異常情況下處置資金。
研究梳理了100個項目與服務商的官方文檔、產品說明和相關代碼，按業務類型和控制機制記錄證據。報告沿著機構資金的實際運行順序展開：團隊獲得哪些操作權限，投資規則怎樣修改，發生異常後怎樣退出或恢復。
樣本案例顯示，機構可以把日常資金操作交給執行團隊，但應單獨審批擴大投資範圍、提高額度等變更，並為緊急暫停、撤回和恢復設置獨立、受限的權限。
這樣的分工能讓團隊在既定範圍內繼續運作，同時保留複核新增風險和處置異常的機會。應急能力最終要看一項業務結果：資金能否在需要時回到可用帳戶。
主要結論
- 30個資管項目中，11個披露了具體投資限制
這11個項目明確限制可進入的市場、可用資產、可調用功能或資金規模。RockSolid、Nerona等案例將策略准入與日常調撥分開，使運營者可以在既定範圍內工作，而新增投資方向需另行批准。
- 50個項目中，16個披露或支持規則變更等待
在說明規則修改權限的50個項目中，16個同時說明或支持變更等待機制，佔32.0%。Feather、Neverland等進一步按動作分工：新增風險保留複核時間，降低額度或緊急暫停可快速執行。
- 20個項目說明暫停，7個披露退出相關安排
這7項包括資金撤回、流動性撤出和參與方更換後的有序退出，不能視為7個可立即取回資金的項目。另有3個說明密鑰恢復或簽名參與方更換。
這些案例提供的共同思路是：將日常操作交給執行團隊，將擴大投資範圍和放寬規則的決定單獨管理，並為應急處置設置明確、受限的權限。
目錄
研究範圍與方法 / 投資限制 / 規則變更 / 應急安排
業務分析與研究結論 / 資料來源及研究說明
資料截點：2026年10月28日；統計證據補核：11月3日；案例細節補核：11月5日。比例反映文檔披露或源碼支持，不代表生產啟用率。
100個項目覆蓋五類資金業務
研究範圍與方法
研究對象包括數字資產支付、投資、借貸和發行服務。按初始主要業務分組，每個對象計入一組，合計100個。
借貸與信用運營關注貸款、抵押和協議資金；資管與策略運營關注金庫投資及資金調撥；支付與薪酬關注企業出款；RWA與發行運營關注現實世界資產的鏈上發行和管理；其他類別包括跨鏈及相關協議資金操作。
研究方法
依據官方文檔、幫助中心、產品說明及可訪問代碼，逐項記錄四類事實：人員和簽名權限、交易或投資限制、規則修改權限與生效條件、異常後的暫停和恢復安排。每條記錄對應來源URL、產品或版本，以及支持該判斷的具體內容。
證據臺賬索引140個不同來源URL。100個對象中，64個至少找到一項符合主要統計標準的機制，32個資料有限或主要機制未確認；4個涉及歷史遷移或預發布設計，暫不計入機制統計。64個對象覆蓋簽名與人員權限、交易或投資限制、規則修改及應急安排，不僅限於下文三項主要發現。
統計口徑
指標按其適用業務取分母：投資限制以30個資管項目為分母；變更等待以50個說明規則修改權限的項目為分母；應急安排以全部100個對象為分母。各機制可以重疊。文檔披露、源碼支持與生產啟用分別看待；本報告比例統計前兩類，不將未披露項判為不具備。
簽名技術與業務批准分別記錄。MPC讓多個參與方用密鑰分片協作生成簽名；多簽通常由不同密鑰分別簽署，再由鏈上程序檢查簽名數量。業務審批人不必等於簽名參與方。管理員變更等待與客戶贖回等待也分別計數。
報告分析公開設計及其業務含義。具名案例按相應產品和版本介紹；公開資料不足以確認實際配置、執行效果及恢復時間。
30個資管項目中，11個披露了具體投資限制
發現一：投資限制
30個資管與策略項目中，11個明確說明了可投資市場、資產、合約功能或資金上限，佔36.7%。這些項目將授權細化到具體操作範圍，而非僅列出誰可以簽名。
RockSolid：策略經理可調撥資金，新增策略需共同批准
在rETH金庫示例中，RockSolid擔任分銷方。策略經理提出新策略，RockSolid經MPC流程參與白名單批准。策略經理隨後可以在已批准策略之間配置和再平衡資產；所有交易須符合簽名規則，不符合規則的請求會被拒絕。
資產淨值（NAV）也採用分工：策略經理提出更新，分銷方依據鏈上數據複核並共同確認。該案例將策略准入、日常操作和淨值確認交給不同職責處理，保留運營空間，同時限制單方改變投資方向。
批准投資範圍 → 提交日常交易 → 執行簽名規則
確認策略和協議 → 在獲准範圍內調撥 → 拒絕不符合規則的請求
Nerona：風險配置、策略運營與簽名由不同方承擔
sUSDnr金庫的風險管理文檔將Upshift的白名單及風險配置、Nerona的策略運營、Fordefi MPC的簽名職責分開。運營團隊在獲准範圍內配置資金；費用和提款週期等敏感參數修改適用24小時等待，應急功能另有暫停及撤回安排。
從案例得出的判斷
這類設計將投資執行權與改變投資範圍的權力分開。它適合需要頻繁調撥、又不希望每次操作都上收決策的團隊。控制的實質在於，執行系統會按已批准的範圍檢查交易，擴大範圍則需要另走批准流程。
跨全部100個對象及業務類別，6個明確採用MPC，其中4個同時說明交易或投資限制：RockSolid、Fipto、Yuzu和Nerona。支付類Fipto通過收款人白名單限制交易，並配置多簽流程和角色權限；資管案例另涉及策略和協議範圍。
CertiK安全解讀｜交易限制與簽名策略
MPC或多簽不等於投資風控，仍需檢查交易規則的覆蓋範圍及是否存在繞過路徑。白名單之外，還應關注槓桿、負債和集中度。
Peiyu Wang | Senior Audit Partner at CertiK
附圖 Google Cloud Multi-party Compute 架構
行業技術案例 | v1beta 預覽 | 參見「研究範圍與方法」及「投資限制」
協調器負責路由請求，持有密鑰分片的可信執行環境（TEE）驗證授權並協同簽名。圖示為行業架構參考。
來源 Google Cloud Multi-party Compute Architecture
源文檔標註更新於 2026 年 10 月 27 日。官方 SVG 轉為 PNG，圖文原樣呈現。
50個項目中，16個披露或支持規則變更等待
發現二：規則變更
50個說明規則管理或決策權限的項目中，16個同時說明或支持變更等待機制，佔32.0%；其中7個列出至少一項明確的非零等待時長。這是公開披露或源碼支持比例，不是實際啟用率；僅有可配置代碼，不能確認生產環境啟用了非零等待。
Feather：新增市場和提高額度等待，降低額度立即執行
Feather金庫的策展者新增市場或上調額度時，需要經過時間鎖；降低額度可以立即執行。調撥人員只在已獲准市場和限額內操作，Guardian角色可以否決待執行變更。時間鎖是特定修改排隊後，等待規定時間才能執行的機制。
這一安排區分新增投資授權與額度收緊：新增市場和提高額度先留出複核窗口，降低額度則可立即執行。但降低額度主要約束後續資金配置，不代表既有頭寸已退出或現有風險敞口已減少。
Neverland：治理、風險參數與暫停採用不同生效條件
24 小時 / 主市場治理及相關升級，文檔列示的等待下限
1 小時 / 相關風險參數修改，文檔列示的等待下限
直接執行 / Sentinel Safe 通過單獨的應急權限觸發緊急暫停
這些條件對應文檔列明的操作。Loopscale也按參數分類：新增抵押品或上調貸款價值比（LTV）觸發24小時時間鎖；發起費等費用設置變更也受時間鎖約束。移除抵押品、降低LTV及更新APY可即時執行。LTV是貸款金額與抵押品價值之比，會影響可借規模。
從案例得出的判斷
等待機制為可能擴大風險的變更保留檢查和干預時間；暫停、降低額度等動作則可採用更快的路徑。評價這類設計，需要同時看修改內容、等待時間、監測與取消權限，以及升級和其他關鍵管理入口是否受相應約束。
CertiK安全解讀｜規則修改、升級與管理權限
時間鎖需配合有效監測和取消權限，並覆蓋升級及關鍵權限變更。降低額度不等於減少現有風險，應明確其實際作用。
Peiyu Wang | Senior Audit Partner at CertiK
20個項目說明暫停，7個披露退出相關安排
發現三：應急安排
100個項目中，20個說明暫停安排，7個披露退出、撤回或遷移相關安排，3個說明密鑰恢復或簽名參與方更換。其中包括撤出投資頭寸、遷移資金和更換參與方後有序結束金庫，不能合併解釋為資金已回到機構可用錢包。
Gearbox：單獨暫停，重新開放需多人批准
Gearbox V3.0文檔允許2個指定分析地址各自觸發暫停，但這些地址只獲暫停權限。重新開放操作由4/12多簽處理，即12個簽名者中至少4個同意；技術變更由6/12多簽控制，並適用2天時間鎖。快速響應者因此無需同時獲得一般管理權。
Yuzu：風險監測連接到預先授權的提款
Yuzu文檔將Hypernative監測、Sentinel事件響應系統與Fordefi MPC錢包連接，在確認威脅後執行預先授權的提款。與僅發送告警相比，這項設計增加了資金處置動作；實際能撤回多少、何時到帳，仍取決於授權範圍和退出條件。
Surge：遺失分片與疑似門限洩露，採用不同恢復方式
Surge通過加密備份和多個恢復代理參與的門限恢復處理分片遺失或損壞。若確認或懷疑達到簽名門限的分片洩露，則生成新密鑰並遷移資金。前者恢復簽名可用性，後者還要結束對原密鑰的依賴。
7項退出相關記錄中，Charm的emergencyBurn撤出指定區間流動性；RockSolid通過更換不可用參與方支持有序過渡或結束金庫。兩者均不直接證明資金已回到機構可用錢包。3項恢復記錄中，除Surge外，其餘2項來自RockSolid參與方更換與Due恢復配置；均不代表已完成恢復演練。同一對象可按不同機制分別計入退出與恢復類別。
從案例得出的判斷
應急安排已經出現分工明確的設計：低門檻、受限的暫停權限用於遏制風險，預授權提款用於處置資金，恢復流程用於重建簽名能力。密鑰可能洩露時，還需要換鑰和遷移，單純恢復舊簽名能力並未解決原有控制風險。
CertiK安全解讀｜資金撤回與恢復演練
暫停和恢復簽名不等於資金可用，應通過演練驗證實際到帳時間。密鑰疑似洩露時，還需確保舊密鑰無法繼續控制資產。
Peiyu Wang | Senior Audit Partner at CertiK
附圖 資金治理機制的披露情況
參見「投資限制」「規則變更」與「應急安排」。
投資限制和規則變更等待分別以 30 個和 50 個對象為分母。應急安排以全部 100 個對象為分母，各項可以重疊。
投資限制和應急安排，最終影響資金能否按計劃使用
業務分析與研究結論
機構管理數字資產，既要讓團隊完成日常操作，也要防止風險在授權範圍內累積，並保留異常後的資金處置能力。以下兩個獨立構造的情景，說明報告中的機制差異如何影響業務結果。
場景一：協議仍在白名單，組合槓桿卻持續上升
策略團隊持續抵押資產、借款並將借入資金再次投入，始終使用同一獲准協議。交互目標沒有改變，但組合負債、槓桿和抵押品集中度可能上升。此時，僅有目標合約白名單無法單獨限制風險。
相應控制需要覆蓋三個層面：允許調用的協議，允許執行的函數與金額，以及交易後組合的負債和集中度。前兩層可以由合約或錢包策略執行；組合指標還需要價格、頭寸數據及相應風控系統。
場景二：帳面1000萬，距離兩天內付款還差120萬
可立即使用 80 萬 / 借貸頭寸 420 萬 / 定期策略 500 萬
一家機構持有1000萬USDT等值資產，其中80萬可立即使用，420萬在借貸頭寸，500萬在定期策略。兩天內需支付200萬，至少還需120萬按時到帳。暫停投資不能直接釋放流動性，提交提款也不代表資金已經到帳。
該機構是否具備可靠的付款能力，需要核對可退出金額、提款隊列、期限和外部流動性。恢復演練也應記錄資產實際回到可用錢包的時間，而不只記錄系統何時重新啟動。
研究結論
第一，11個資管案例披露了具體投資限制，展示了把日常執行交給團隊、把投資範圍變更單獨管理的做法。機構之間值得比較的是限制的覆蓋範圍和執行位置。
第二，16個項目披露或在源碼中支持規則變更等待機制，部分案例進一步區分風險擴張與應急收縮。管理權的約束需要貫穿修改、等待、取消和最終生效，而非只約束日常交易。
第三，應急案例分別處理暫停、撤回和簽名恢復。這些安排能否保障資金可用性，取決於實際配置、資產退出條件及恢復演練結果。
資料來源與研究說明
正文主要資料如下。完整證據與統計記錄見研究底表。
RockSolid｜Architecture & Roles（rETH 金庫）
Nerona｜Risk Management（sUSDnr）
Charm｜AlphaProVault（emergencyBurn 與 withdraw）
Gearbox｜V3.0 Operational Multisigs
Surge Credit｜Disaster Recovery
研究說明
正文依據官方文檔與公開源碼分析特定產品和版本。完整項目清單、來源和計數規則見研究底表及來源索引。
調研合作夥伴：CertiK、Lunaray。
感謝媒體支持：PANews、Techub News、Odaily、金色財經、ChainCatcher、PureNews、Chain Times。
關於聯合調研機構
DeepSafe 以機構級 MPC 自託管錢包為核心，提供錢包管理、策略引擎與團隊審批能力，並支持通過錢包即服務（WaaS）接入業務系統，服務機構數字資產管理與協作場景。
CertiK 是一家 Web3 安全服務機構，提供智能合約審計、形式化驗證、持續風險監測等服務，幫助項目與機構識別和管理數字資產相關安全風險。
