先区分交易所与智能合约风险
“sushi币交易所需要注意哪些问题”涉及两类不同对象：一类是交易所本身的账户、提现、身份验证和运营安全；另一类是代币或相关应用所依赖的智能合约安全。现有资料主要说明以太坊智能合约的通用风险，因此可以用于建立技术核查框架，但不能据此断定某一家交易所或某个具体Sushi相关合约已经通过验证。
重点查看合约权限
智能合约中的权限控制决定了谁可以执行铸造、暂停转账、升级合约或修改关键参数等敏感操作。单一管理员账户结构简单，但管理员密钥一旦泄露，可能形成单点故障；基于角色的权限管理则可以把不同操作分配给不同账户，遵循最小权限原则。查看公开合约时，应关注管理员地址、角色分配、权限变更记录以及是否存在多签或其他额外审批机制。
多签账户要求多个参与方共同签署操作，能够降低单个密钥失陷带来的影响。但多签并不等于绝对安全，参与方管理、签名门槛和权限范围仍需理解。权限越集中，用户对管理者的信任假设通常越高；权限越复杂，也越需要清楚记录和持续监控。
审计与测试不能替代核查
智能合约部署后通常具有较强的不可变性，发现漏洞后不一定能够像传统软件那样直接修补，因此代码质量、测试和独立审查都很重要。单元测试只能覆盖编写者预设的场景，无法保证没有遗漏边界条件；静态分析、动态模糊测试和形式化验证可以从不同角度检查执行路径或安全属性。
审计报告属于额外的独立检查，并不是安全保证。阅读相关披露时，应确认审查范围是否包含实际部署的合约、关键权限和升级机制，也要注意报告可能只针对某个版本或某个时间点。没有充分信息时，不宜把“已审计”直接理解为没有风险。
交易所操作层面的基本检查
在交易所环境中，还应核对充值网络、代币合约地址、提现网络和到账条件，避免因网络或地址不匹配造成资产无法正常处理。不要仅凭名称、图标或搜索结果确认代币身份，优先以交易所公告和可验证的链上合约信息进行交叉核对。若交易所展示的代币与链上合约之间缺少清晰对应关系，应先暂停操作并进一步确认。
账户安全同样重要。应使用独立且强度足够的登录凭据，启用平台提供的多因素认证，并谨慎处理授权、签名和外部链接。任何要求绕过正常安全流程、泄露私钥或助记词的操作，都不属于正常的交易所核验步骤。
常见问题与适用范围
问：看到合约使用权限角色或多签，是否就能确认安全？答：不能。这些是降低权限风险的设计方式，仍需检查角色实际由谁控制、能执行什么操作，以及权限变更是否存在延迟或审批。
问：有审计报告是否代表交易所或代币没有风险？答：不能。审计通常针对特定代码和范围，无法覆盖所有运营、账户、网络配置或后续变更风险。
问：这些原则是否专门证明Sushi项目或某家交易所的现状？答：不是。本文只将资料支持的智能合约安全原则应用于核查思路，不对具体项目、平台状态或资产安全作结论。