某DeFi团队在接入TPWallet做资金归集后，三个月内丢了12万美元。事后翻出那份tpwallet安全审计报告，才发现漏洞不在链上了，但在安卓端一个被忽略的调试日志开关。报告第17页写着，备份助记词时，分片被Base64编码后写进本地缓存，root设备可读。

项目方当时只扫了高危列表。中危条目直接跳过。审计师现场复现的过程并不复杂。用Frida hook住KeyStore调用，触发一次助记词备份。日志文件里很快出现“seed_part”字段。再配合adb拉取/data/local/tmp下的缓存，能拼出完整助记词。

报告给的是中危，理由是“需要物理接触或root权限”。可那批测试机恰好是root过的工程机。团队自己把风险等级降成了低。

另一份报告里的问题更隐蔽。iOS端交易确认页面地址缩略显示，前六后四。审计建议全量展示并做二次校验的。

开发觉得界面太丑，只保留了缩略。三个月后。攻击者生成同前缀同后缀的地址。替换了转账目标。用户点确认时，视觉上几乎没差别吧？12万美元里，有8万是这样没的。我看过团队处理tpwallet安全审计报告的方式，把PDF扔进共享盘了。后端改几个高危吧？

然后回复一句“已修复”。

中危、低危、信息泄露项没人认领。可钱包安全的麻烦一般不在单点漏洞。但在密钥生命周期里的每个缝隙是日志、剪贴板、键盘缓存、备份文件、依赖库版本。一个开关没关，整条防线就漏了。

那份报告，最后有一页修复验证清单，团队没做完。他们当时把中危当高危处理，关掉调试日志、改掉缩略地址、定期清理缓存，12万美元大概率还在账上了。审计报告不是合规门票。是工程清单。谁把清单当废纸啊？

链上就会用真金白银给反馈的。