DeepSafe与CertiK围绕机构稳定币付款、项目金库和链上投资开展联合调研，研究机构如何划分交易权限、约束投资范围，以及在异常情况下处置资金。
研究梳理了100个项目与服务商的官方文档、产品说明和相关代码，按业务类型和控制机制记录证据。报告沿着机构资金的实际运行顺序展开：团队获得哪些操作权限，投资规则怎样修改，发生异常后怎样退出或恢复。
样本案例显示，机构可以把日常资金操作交给执行团队，但应单独审批扩大投资范围、提高额度等变更，并为紧急暂停、撤回和恢复设置独立、受限的权限。
这样的分工能让团队在既定范围内继续运作，同时保留复核新增风险和处置异常的机会。应急能力最终要看一项业务结果：资金能否在需要时回到可用账户。
主要结论
- 30个资管项目中，11个披露了具体投资限制
这11个项目明确限制可进入的市场、可用资产、可调用功能或资金规模。RockSolid、Nerona等案例将策略准入与日常调拨分开，使运营者可以在既定范围内工作，而新增投资方向需另行批准。
- 50个项目中，16个披露或支持规则变更等待
在说明规则修改权限的50个项目中，16个同时说明或支持变更等待机制，占32.0%。Feather、Neverland等进一步按动作分工：新增风险保留复核时间，降低额度或紧急暂停可快速执行。
- 20个项目说明暂停，7个披露退出相关安排
这7项包括资金撤回、流动性撤出和参与方更换后的有序退出，不能视为7个可立即取回资金的项目。另有3个说明密钥恢复或签名参与方更换。
这些案例提供的共同思路是：将日常操作交给执行团队，将扩大投资范围和放宽规则的决定单独管理，并为应急处置设置明确、受限的权限。
目录
研究范围与方法 / 投资限制 / 规则变更 / 应急安排
业务分析与研究结论 / 资料来源及研究说明
资料截点：2026年10月28日；统计证据补核：11月3日；案例细节补核：11月5日。比例反映文档披露或源码支持，不代表生产启用率。
100个项目覆盖五类资金业务
研究范围与方法
研究对象包括数字资产支付、投资、借贷和发行服务。按初始主要业务分组，每个对象计入一组，合计100个。
借贷与信用运营关注贷款、抵押和协议资金；资管与策略运营关注金库投资及资金调拨；支付与薪酬关注企业出款；RWA与发行运营关注现实世界资产的链上发行和管理；其他类别包括跨链及相关协议资金操作。
研究方法
依据官方文档、帮助中心、产品说明及可访问代码，逐项记录四类事实：人员和签名权限、交易或投资限制、规则修改权限与生效条件、异常后的暂停和恢复安排。每条记录对应来源URL、产品或版本，以及支持该判断的具体内容。
证据台账索引140个不同来源URL。100个对象中，64个至少找到一项符合主要统计标准的机制，32个资料有限或主要机制未确认；4个涉及历史迁移或预发布设计，暂不计入机制统计。64个对象覆盖签名与人员权限、交易或投资限制、规则修改及应急安排，不仅限于下文三项主要发现。
统计口径
指标按其适用业务取分母：投资限制以30个资管项目为分母；变更等待以50个说明规则修改权限的项目为分母；应急安排以全部100个对象为分母。各机制可以重叠。文档披露、源码支持与生产启用分别看待；本报告比例统计前两类，不将未披露项判为不具备。
签名技术与业务批准分别记录。MPC让多个参与方用密钥分片协作生成签名；多签通常由不同密钥分别签署，再由链上程序检查签名数量。业务审批人不必等于签名参与方。管理员变更等待与客户赎回等待也分别计数。
报告分析公开设计及其业务含义。具名案例按相应产品和版本介绍；公开资料不足以确认实际配置、执行效果及恢复时间。
30个资管项目中，11个披露了具体投资限制
发现一：投资限制
30个资管与策略项目中，11个明确说明了可投资市场、资产、合约功能或资金上限，占36.7%。这些项目将授权细化到具体操作范围，而非仅列出谁可以签名。
RockSolid：策略经理可调拨资金，新增策略需共同批准
在rETH金库示例中，RockSolid担任分销方。策略经理提出新策略，RockSolid经MPC流程参与白名单批准。策略经理随后可以在已批准策略之间配置和再平衡资产；所有交易须符合签名规则，不符合规则的请求会被拒绝。
资产净值（NAV）也采用分工：策略经理提出更新，分销方依据链上数据复核并共同确认。该案例将策略准入、日常操作和净值确认交给不同职责处理，保留运营空间，同时限制单方改变投资方向。
批准投资范围 → 提交日常交易 → 执行签名规则
确认策略和协议 → 在获准范围内调拨 → 拒绝不符合规则的请求
Nerona：风险配置、策略运营与签名由不同方承担
sUSDnr金库的风险管理文档将Upshift的白名单及风险配置、Nerona的策略运营、Fordefi MPC的签名职责分开。运营团队在获准范围内配置资金；费用和提款周期等敏感参数修改适用24小时等待，应急功能另有暂停及撤回安排。
从案例得出的判断
这类设计将投资执行权与改变投资范围的权力分开。它适合需要频繁调拨、又不希望每次操作都上收决策的团队。控制的实质在于，执行系统会按已批准的范围检查交易，扩大范围则需要另走批准流程。
跨全部100个对象及业务类别，6个明确采用MPC，其中4个同时说明交易或投资限制：RockSolid、Fipto、Yuzu和Nerona。支付类Fipto通过收款人白名单限制交易，并配置多签流程和角色权限；资管案例另涉及策略和协议范围。
CertiK安全解读｜交易限制与签名策略
MPC或多签不等于投资风控，仍需检查交易规则的覆盖范围及是否存在绕过路径。白名单之外，还应关注杠杆、负债和集中度。
Peiyu Wang | Senior Audit Partner at CertiK
附图 Google Cloud Multi-party Compute 架构
行业技术案例 | v1beta 预览 | 参见「研究范围与方法」及「投资限制」
协调器负责路由请求，持有密钥分片的可信执行环境（TEE）验证授权并协同签名。图示为行业架构参考。
来源 Google Cloud Multi-party Compute Architecture
源文档标注更新于 2026 年 10 月 27 日。官方 SVG 转为 PNG，图文原样呈现。
50个项目中，16个披露或支持规则变更等待
发现二：规则变更
50个说明规则管理或决策权限的项目中，16个同时说明或支持变更等待机制，占32.0%；其中7个列出至少一项明确的非零等待时长。这是公开披露或源码支持比例，不是实际启用率；仅有可配置代码，不能确认生产环境启用了非零等待。
Feather：新增市场和提高额度等待，降低额度立即执行
Feather金库的策展者新增市场或上调额度时，需要经过时间锁；降低额度可以立即执行。调拨人员只在已获准市场和限额内操作，Guardian角色可以否决待执行变更。时间锁是特定修改排队后，等待规定时间才能执行的机制。
这一安排区分新增投资授权与额度收紧：新增市场和提高额度先留出复核窗口，降低额度则可立即执行。但降低额度主要约束后续资金配置，不代表既有头寸已退出或现有风险敞口已减少。
Neverland：治理、风险参数与暂停采用不同生效条件
24 小时 / 主市场治理及相关升级，文档列示的等待下限
1 小时 / 相关风险参数修改，文档列示的等待下限
直接执行 / Sentinel Safe 通过单独的应急权限触发紧急暂停
这些条件对应文档列明的操作。Loopscale也按参数分类：新增抵押品或上调贷款价值比（LTV）触发24小时时间锁；发起费等费用设置变更也受时间锁约束。移除抵押品、降低LTV及更新APY可即时执行。LTV是贷款金额与抵押品价值之比，会影响可借规模。
从案例得出的判断
等待机制为可能扩大风险的变更保留检查和干预时间；暂停、降低额度等动作则可采用更快的路径。评价这类设计，需要同时看修改内容、等待时间、监测与取消权限，以及升级和其他关键管理入口是否受相应约束。
CertiK安全解读｜规则修改、升级与管理权限
时间锁需配合有效监测和取消权限，并覆盖升级及关键权限变更。降低额度不等于减少现有风险，应明确其实际作用。
Peiyu Wang | Senior Audit Partner at CertiK
20个项目说明暂停，7个披露退出相关安排
发现三：应急安排
100个项目中，20个说明暂停安排，7个披露退出、撤回或迁移相关安排，3个说明密钥恢复或签名参与方更换。其中包括撤出投资头寸、迁移资金和更换参与方后有序结束金库，不能合并解释为资金已回到机构可用钱包。
Gearbox：单独暂停，重新开放需多人批准
Gearbox V3.0文档允许2个指定分析地址各自触发暂停，但这些地址只获暂停权限。重新开放操作由4/12多签处理，即12个签名者中至少4个同意；技术变更由6/12多签控制，并适用2天时间锁。快速响应者因此无需同时获得一般管理权。
Yuzu：风险监测连接到预先授权的提款
Yuzu文档将Hypernative监测、Sentinel事件响应系统与Fordefi MPC钱包连接，在确认威胁后执行预先授权的提款。与仅发送告警相比，这项设计增加了资金处置动作；实际能撤回多少、何时到账，仍取决于授权范围和退出条件。
Surge：遗失分片与疑似门限泄露，采用不同恢复方式
Surge通过加密备份和多个恢复代理参与的门限恢复处理分片遗失或损坏。若确认或怀疑达到签名门限的分片泄露，则生成新密钥并迁移资金。前者恢复签名可用性，后者还要结束对原密钥的依赖。
7项退出相关记录中，Charm的emergencyBurn撤出指定区间流动性；RockSolid通过更换不可用参与方支持有序过渡或结束金库。两者均不直接证明资金已回到机构可用钱包。3项恢复记录中，除Surge外，其余2项来自RockSolid参与方更换与Due恢复配置；均不代表已完成恢复演练。同一对象可按不同机制分别计入退出与恢复类别。
从案例得出的判断
应急安排已经出现分工明确的设计：低门槛、受限的暂停权限用于遏制风险，预授权提款用于处置资金，恢复流程用于重建签名能力。密钥可能泄露时，还需要换钥和迁移，单纯恢复旧签名能力并未解决原有控制风险。
CertiK安全解读｜资金撤回与恢复演练
暂停和恢复签名不等于资金可用，应通过演练验证实际到账时间。密钥疑似泄露时，还需确保旧密钥无法继续控制资产。
Peiyu Wang | Senior Audit Partner at CertiK
附图 资金治理机制的披露情况
参见「投资限制」「规则变更」与「应急安排」。
投资限制和规则变更等待分别以 30 个和 50 个对象为分母。应急安排以全部 100 个对象为分母，各项可以重叠。
投资限制和应急安排，最终影响资金能否按计划使用
业务分析与研究结论
机构管理数字资产，既要让团队完成日常操作，也要防止风险在授权范围内累积，并保留异常后的资金处置能力。以下两个独立构造的情景，说明报告中的机制差异如何影响业务结果。
场景一：协议仍在白名单，组合杠杆却持续上升
策略团队持续抵押资产、借款并将借入资金再次投入，始终使用同一获准协议。交互目标没有改变，但组合负债、杠杆和抵押品集中度可能上升。此时，仅有目标合约白名单无法单独限制风险。
相应控制需要覆盖三个层面：允许调用的协议，允许执行的函数与金额，以及交易后组合的负债和集中度。前两层可以由合约或钱包策略执行；组合指标还需要价格、头寸数据及相应风控系统。
场景二：账面1000万，距离两天内付款还差120万
可立即使用 80 万 / 借贷头寸 420 万 / 定期策略 500 万
一家机构持有1000万USDT等值资产，其中80万可立即使用，420万在借贷头寸，500万在定期策略。两天内需支付200万，至少还需120万按时到账。暂停投资不能直接释放流动性，提交提款也不代表资金已经到账。
该机构是否具备可靠的付款能力，需要核对可退出金额、提款队列、期限和外部流动性。恢复演练也应记录资产实际回到可用钱包的时间，而不只记录系统何时重新启动。
研究结论
第一，11个资管案例披露了具体投资限制，展示了把日常执行交给团队、把投资范围变更单独管理的做法。机构之间值得比较的是限制的覆盖范围和执行位置。
第二，16个项目披露或在源码中支持规则变更等待机制，部分案例进一步区分风险扩张与应急收缩。管理权的约束需要贯穿修改、等待、取消和最终生效，而非只约束日常交易。
第三，应急案例分别处理暂停、撤回和签名恢复。这些安排能否保障资金可用性，取决于实际配置、资产退出条件及恢复演练结果。
资料来源与研究说明
正文主要资料如下。完整证据与统计记录见研究底表。
RockSolid｜Architecture & Roles（rETH 金库）
Nerona｜Risk Management（sUSDnr）
Charm｜AlphaProVault（emergencyBurn 与 withdraw）
Gearbox｜V3.0 Operational Multisigs
Surge Credit｜Disaster Recovery
研究说明
正文依据官方文档与公开源码分析特定产品和版本。完整项目清单、来源和计数规则见研究底表及来源索引。
调研合作伙伴：CertiK、Lunaray。
感谢媒体支持：PANews、Techub News、Odaily、金色财经、ChainCatcher、PureNews、Chain Times。
关于联合调研机构
DeepSafe 以机构级 MPC 自托管钱包为核心，提供钱包管理、策略引擎与团队审批能力，并支持通过钱包即服务（WaaS）接入业务系统，服务机构数字资产管理与协作场景。
CertiK 是一家 Web3 安全服务机构，提供智能合约审计、形式化验证、持续风险监测等服务，帮助项目与机构识别和管理数字资产相关安全风险。
