7 Domande da Porre Prima di Deposire in Qualsiasi Progetto DeFi

Migliaia di protocolli DeFi vengono lanciati ogni anno. La maggior parte fallisce. Un pugno prospera. La differenza tra i due è solitamente visibile — se sai cosa cercare.

Questo post non è una vendita. È una checklist. L'obiettivo è fornirti un framework ripetibile che puoi applicare a qualsiasi protocollo che stai valutando — Turbo Loop, la prossima farm che appare nel tuo feed, o una chain di cui non hai mai sentito parlare. Utilizziamo Turbo Loop come esempio pratico alla fine, ma le domande hanno valore di per sé. Se un protocollo non riesce a rispondere chiaramente a tutte e otto, la risposta è allontanarsi, indipendentemente dal marchio sulla pagina di atterraggio.

Una nota di inquadramento veloce prima della checklist: superare ogni domanda qui sotto non elimina il rischio. I contratti intelligenti possono avere bug non scoperti. Gli oracoli possono fallire. I mercati possono muoversi contro una strategia. Ciò che la checklist fa è ridurre drasticamente la probabilità di perdite catastrofiche — il rug, lo sfruttamento, il drenaggio lento. Sei comunque responsabile di dimensionare le posizioni in modo sensato e di fare la tua due diligence.

La checklist di due diligence DeFi in 8 domande

1. Il contratto è stato auditato — e puoi leggere il rapporto?

La prima domanda è la più facile da falsificare. Ogni progetto dice "auditato." Molti meno possono produrre un rapporto.

Quando chiedi "è auditato," stai realmente ponendo tre sotto-domande:

• Chi ha effettuato l'audit? Un'azienda riconosciuta con incarichi pubblici, o un'agenzia sconosciuta il cui sito web ha tre mesi? Cerca il nome dell'auditor su X, GitHub e la loro lista di clienti precedenti.
• Il rapporto completo è pubblico? Non un riassunto di una pagina. Il PDF effettivo, con risultati, valutazioni di gravità e le risposte del team. Se un progetto non condivide il rapporto, trattalo come un "no."
• I risultati sono stati risolti? Gli audit quasi sempre evidenziano problemi. La domanda è se il team ha risolto i risultati ad alta e critica gravità prima del lancio e se le correzioni sono state riesaminate.

Un trucco utile: apri il rapporto e salta alle sezioni "Alto" e "Critico." Se vedi un lungo elenco senza note "risolto" o "riconosciuto con mitigazione," questo è un problema. Se il rapporto è per lo più informativo e contiene note di ottimizzazione del gas, questo è un segnale più sano.

Per una guida più approfondita su come verificare un contratto da solo, vedi verificare un contratto DeFi su BscScan.

2. La proprietà è stata rinunciata? Verifica sull'esploratore di blocchi

Un contratto il cui proprietario è ancora un wallet controllato dal team è un contratto che il team può modificare. Possono cambiare le commissioni. Possono mettere in pausa i prelievi. Possono — nel peggior dei casi — coniare token o aggiornare la logica.

Ecco come controllare, passo dopo passo:

1. Apri il contratto su BscScan o Etherscan.
2. Clicca sulla scheda Contratto, poi su Leggi Contratto.
3. Trova la funzione owner() e cliccaci sopra.
4. Leggi l'indirizzo che restituisce.

Se l'indirizzo è 0x0000000000000000000000000000000000000000 (l'indirizzo di burn), il contratto è immutabile — nemmeno il team può cambiarlo. Se l'indirizzo è qualsiasi altro, il team mantiene il controllo.

Fai attenzione a due schemi che sembrano rinuncia ma non lo sono:

• Proprietario multisig. Un multisig è meglio di un singolo wallet, ma il contratto è ancora modificabile. Il team può comunque tirare le fila; hanno solo bisogno di più firme.
• Proprietario timelock. Un timelock ritarda i cambiamenti per un intervallo fisso. Utile per la sicurezza, ma il proprietario è comunque funzionale.

Nessuno dei due è automaticamente negativo — ma nessuno è lo stesso di una vera rinuncia 0x00...00. Sappi quale stai osservando.

3. Da dove proviene il rendimento?

Questa è la domanda che filtra il maggior numero di protocolli scadenti. Ogni rendimento ha una fonte. Ci sono esattamente quattro risposte oneste:

• Commissioni di trading o swap da un prodotto di trading reale e utilizzato.
• Interessi di prestito pagati da veri mutuatari.
• Entrate esterne — rimborsi di gas, cattura di MEV, asset del mondo reale, rendimento di tesoreria.
• Ricompense di validazione/staking per la sicurezza di una chain.

C'è anche una risposta disonesta che viene mascherata in molti modi diversi: il rendimento proviene da nuovi depositi. Se l'"interesse" dell'utente A viene pagato dal capitale dell'utente B, stai guardando un Ponzi. Non importa quanto sia elegante l'interfaccia.

Testalo tu stesso. Leggi la documentazione e trova la frase che spiega la fonte del rendimento. Se non riesci a ridurre quella frase a una delle quattro categorie oneste, chiedi nella comunità. Se non riesci a ottenere una risposta chiara, la risposta è "nuovi depositi."

4. L'LP è bloccato? Dove? Per quanto tempo?

Per i protocolli che coinvolgono un token o un pool di liquidità, il blocco dell'LP è fondamentale. "LP" — pool di liquidità — è la coppia di token che consente alle persone di fare trading. Se il team detiene i token LP, può ritirare la liquidità in qualsiasi momento e far crollare il prezzo a zero. Questo è il classico rug.

Fai tre sotto-domande:

• Quanto dell'LP è bloccato? Il 100% è lo standard per un protocollo credibile. Qualsiasi cosa di meno significa che una parte può essere ritirata.
• Dove si trova il contratto di blocco? I locker reputabili includono UNCX, Team Finance e Mudra. Verifica il blocco sul dashboard del locker stesso, non solo sul sito web del progetto.
• Per quanto tempo? I blocchi sotto un anno sono deboli. I blocchi pluriennali segnalano impegno. I blocchi permanenti (inviati a un indirizzo di burn) sono lo standard d'oro.

Per un trattamento molto più approfondito su perché questo sia importante, leggi LP lock explained — why liquidity security matters.

5. Le identità del team sono conosciute — e importa?

I team anonimi non sono automaticamente negativi. Alcuni dei migliori protocolli nel DeFi sono stati costruiti da anonimi. Ma i team anonimi alzano l'asticella su ogni altra domanda in questa checklist. Se non sai chi c'è dietro il protocollo, ti stai affidando interamente al codice, agli audit, allo stato di rinuncia e al blocco. Queste cose devono essere a prova di errore.

Per i team doxxed, fai una due diligence di base. Cerca i fondatori su LinkedIn, X e GitHub. Controlla progetti precedenti — di successo e falliti. Un team con una lunga storia tracciabile nello spazio è materialmente più sicuro di un team apparso tre mesi fa.

Un'euristica utile: un progetto dovrebbe essere o doxxed o completamente auditato e rinunciato. Le combinazioni che dovrebbero farti preoccupare sono team anonimi senza audit, o team doxxed il cui codice non è mai stato esaminato.

6. Il token (o token LP) è verificabile su un esploratore di blocchi?

Un contratto verificato su BscScan o Etherscan significa che il team ha caricato il codice sorgente e l'esploratore ha confermato che corrisponde al bytecode distribuito. Questo consente a chiunque — te, un auditor, un ricercatore curioso — di leggere il codice effettivo, non solo il bytecode.

Se il contratto non è verificato, trattalo come un campanello d'allarme. Non c'è una buona ragione per un protocollo lanciato per lasciare il proprio contratto non verificato. Non costa nulla e richiede minuti.

Mentre sei sull'esploratore, controlla anche:

• Distribuzione dei possessori. Un pugno di wallet che detiene il 90% è un segnale di avvertimento.
• Transazioni recenti. Ci sono utenti reali, o solo il team e alcuni bot?
• Data di creazione del contratto. Un progetto "nuovo" il cui contratto è stato distribuito due anni fa e è rimasto inattivo è sospetto. Così come un contratto distribuito ieri con $10M di TVL.

7. La matematica torna?

Questa è la domanda che la maggior parte degli utenti retail salta e la maggior parte dei professionisti pone per prima. Guarda il rendimento principale e chiediti: dove dovrebbe trovare quel denaro il protocollo?

Un test grossolano di calcolo: prendi il valore totale bloccato, moltiplica per il ROI principale, e quello è l'obbligo di rendimento del protocollo nel periodo del piano. Poi guarda le fonti di entrate e chiediti se quelle fonti possono plausibilmente produrre quel tanto di reddito.

Se un protocollo ha $50M di TVL e sta pagando il 30% su un periodo specifico, ha bisogno di $15M di entrate reali per quel periodo per essere sostenibile. Il volume di trading supporta questo? Il libro dei prestiti? Ci sono fonti esterne? Se i numeri non tornano, il protocollo sta prendendo in prestito da nuovi depositi per pagare quelli vecchi. È una questione di quando, non di se.

8. Cosa dicono i segnali della comunità su più piattaforme?

L'ultimo controllo è qualitativo ma importante. I protocolli sani hanno comunità che:

• Si estendono su più piattaforme — Telegram, X, Discord, canali regionali — non solo un gruppo di promozione.
• Si estendono su più lingue e regioni. Una base utenti globale è più difficile da falsificare di un singolo gruppo di pump in lingua inglese.
• Fanno domande difficili e ottengono risposte reali dal team.
• Includono detentori a lungo termine che sono stati presenti per mesi o anni, non solo post "Ho appena investito."

Visita il Telegram in un momento casuale della giornata. È attivo in diversi fusi orari, o tutti dormono quando il Nord America è addormentato? C'è una cultura di moderazione che banna domande oneste, o le domande difficili ottengono un reale coinvolgimento?

L'esempio pratico: applicare la checklist a Turbo Loop

Applichiamo le otto domande a Turbo Loop e vediamo cosa ne esce.

1. Auditato? Sì. Rapporto pubblico. Vedi la pagina di sicurezza per il rapporto completo e un riassunto in linguaggio semplice nella profondità di sicurezza.
2. Proprietà rinunciata? Sì. Verificabile su BscScan tramite owner() → 0x00...00.
3. Fonte del rendimento? Entrate reali ed esterne. Ricompense LP dal pool USDC/USDT, commissioni di Turbo Swap e commissioni di Turbo Buy. I nuovi depositi non vengono utilizzati per pagare i depositanti esistenti — i Piani Loop pagano rendimenti fissi e predefiniti finanziati dalle entrate ongoing del protocollo.
4. LP bloccato? 100% bloccato. Verificabile on-chain.
5. Identità del team? Storia pubblica del team, con un track record visibile nell'ecosistema.
6. Token / contratto verificabile? Sì. Verificato su BscScan.
7. La matematica torna? Sì. I due Piani Loop sono fissi e immutabili: il Power Loop paga il 3% di ROI giornaliero per 10 giorni, e l'Ultimate Loop paga il 10% di ROI giornaliero per 10 giorni. Il deposito minimo è di $100 USDT su BSC. Questi sono rendimenti limitati e basati su periodi finanziati da reali entrate da commissioni, non da affermazioni aperte di "1% al giorno per sempre." Il protocollo ha anche pubblicato una $100K Challenge invitando chiunque a trovare una vulnerabilità.
8. Segnali della comunità? Comunità coinvolta in più regioni e lingue, attiva in diversi fusi orari.

Otto su otto. Questo è ciò che appare in un protocollo che supera la checklist.

Una nota finale sul rischio residuo

Superare questa checklist è necessario, ma non sufficiente. I contratti intelligenti possono avere bug che gli auditor mancano. I mercati possono muoversi. Gli stablecoin possono perdere il peg. La verità onesta è che questa checklist filtra i cattivi attori e i modelli insostenibili — non elimina il rischio. Dimensiona le tue posizioni di conseguenza, non depositare mai denaro che non puoi permetterti di bloccare per l'intero termine del piano scelto e verifica tutto on-chain da solo piuttosto che fidarti di una singola fonte — incluso questo post.

L'obiettivo della checklist non è trovare il protocollo "perfetto". È rifiutare di depositare in protocolli che non possono rispondere chiaramente a queste otto domande. Questa singola disciplina salverà più denaro di qualsiasi strategia di inseguimento del rendimento abbia mai guadagnato.