储备证明可验证性

预注册（强制）：接触任何平台数据前把本规范冻结为 protocol-AXP-POR-v1.md（含 D0–D4 与 V1–V7 全部锚点原文、权重、封顶门控、缺失值码、编码手册），计算 SHA-256 并用 OpenTimestamps 打时间戳后公开。窗口内不得改锚点或权重；任何修改另发 v1.1 并全量重跑，两版并列发布。

观察窗：明确起止（UTC）并公示。全部时间戳一律 ISO 8601 UTC。PoR 状态变动极快，任何结论必须与版本号和窗口绑定引用。

人员与账户红线：2–4 名执行人；每人仅以本人真实身份、本人银行/支付工具，在每个平台开设至多一个账户。严禁一人多号、严禁伪造或借用他人证件、严禁使用他人银行账户凑样本量。样本量不足就如实报告样本量不足。

评分独立性：≥2 名独立评分员 + 1 名仲裁人。评分员提交本人评分表前不得阅读对方评分表，不得讨论具体轴向。

资金：每平台每账户建议 €40–150（运营历史短、提现路径未验证的平台取下限）；全项目实钱敞口预设上限（建议 ≤€1,200）并按可能全额损失处理；另留链上手续费与法币出入金费用。金额区间为建议值，实际由执行团队按风险承受度决定。

技术环境：Python ≥3.11（hashlib/pandas/requests，依赖版本锁定）、web3.py 或等价 EVM 客户端、公共 RPC 与区块浏览器 API（免费额度）、签名验证库（EVM: eth-account；BTC: 支持 message signing 验证的库）、页面存档工具（SingleFile 或 wget + 渲染后 DOM + PDF）、OpenTimestamps 客户端、Git 仓库。

平台侧只读凭据：每平台申请只读 API key，显式禁用提现与交易权限并绑定出口 IP，仅用于快照前后余额轮询。密钥不入仓库、不进数据集、任务结束即吊销。

网络与地区红线：全程使用真实所在地（爱尔兰/欧盟）网络出口。严禁用 VPN/代理伪装地区以绕过地域或注册限制。平台不向本地区开放时如实记 NM 并说明，不得变通。

抓取纪律：仅访问公开页面与平台向本账户提供的接口。严禁渗透测试、撞库、枚举他人 record ID 或叶子索引、绕过任何访问控制。单域名全局限速（建议 ≤1 req/s），遵守 robots.txt；收到 HTTP 429 立即停止该域名抓取并指数退避，退避与中止事件全部入日志并发布。

证据留存链：每份网页/PDF/JSON 保存原始文件 + SHA-256 + 抓取 UTC 时间 + 工具及版本 + 操作人 ID；每日生成 manifest.sha256 并用 OpenTimestamps 存证，使事后篡改可被发现。

隐私成本知情同意：KYC 需向平台提交执行人本人证件，这是真实且不可逆的隐私成本。执行前登记每位执行人的书面知情同意；测试后可依 GDPR 行使数据权利，但需知悉平台可能援引反洗钱记录保存义务而拒绝删除——只记录事实过程，本刊不做法律定性。

术语冻结：审计（鉴证业务）/ 有限保证 / 商定程序（AUP）/ 咨询报告 的编码定义与决策树在预注册中固定，评分员照手册执行，不得在评分过程中重新解释。

回应权流程：发布前给每个被测平台 10 个工作日书面回应窗口，回应原文全文附录。回应不改变已测得的数值，只能触发勘误或下一版本重测。

D0 分支纪律：平台在窗口内无任何 PoR 公开物时，仍须完整执行 P1 与 P6，并归档全部未命中路径与状态码。负面结论要求更强的取证，不是更弱。

PoR 公开物发现、主张清点与存在性分级（含 D0 分支取证）

1. 按预注册的固定检索面执行，不得临时增删：S1 主域固定路径探测清单 {/proof-of-reserves, /por, /transparency, /reserves, /audit, /security, /trust}（记录每条的 HTTP 状态码与最终 URL）；S2 站内搜索与帮助中心，使用固定词表 W = {proof of reserves, PoR, reserves, Merkle, attestation, audit, 储备证明, 储备金, 默克尔, 审计}；S3 官方博客/公告回溯 24 个月；S4 页脚与法律页（Terms、客户资产/保管页）；S5 移动 App 内（设置/关于/安全），截图须含系统时间；S6 官方社交账号（账号来源必须是官网上的链接，不得靠搜索引擎猜），同词表回溯 24 个月；S7 平台 GitHub 组织或开发者文档站（须由官网链接可达）；S8 平台声称的第三方执行方官网上的对应报告页；S9 第三方 PoR 聚合器（仅作指针，绝不作证据，命中后必须回到平台一手来源确认）；S10 sitemap.xml 与 robots.txt 中含关键词的路径。若使用通用搜索引擎，另记 surface_code=S11 并标注为非预注册补充。
2. 两名操作人独立执行 S1–S10，互不通气，每人每平台时间盒 45 分钟；超时即停并记录未完成的检索面。
3. 每个检索面在未登录与已登录两种状态下分别执行并各自留存（同一 URL 内容可能不同）。
4. 主张清点：逐字抄录平台一切与储备/资金安全有关的事实性主张原文（1:1、100% 储备、全额备付、已审计、由 X 审计、冷钱包比例等），不得改写或归纳；逐条判定是否存在对应的可核对物证（root 页 / 报告全文 / 地址表 / 可自查工具），计算 CAG。
5. 存档：命中页面保存渲染后 DOM 单文件 + PDF + SHA-256 + 工具版本；未命中路径同样入库（含 404 与响应头），使"没找到"本身可复现。
6. 两名操作人各自独立判定 D-class；D-class 不一致或一手 URL 集合 Jaccard <0.8 时进入仲裁，仲裁理由入库。
7. 观察窗结束前重跑一轮完整检索（第 2 轮），比对两轮差异并置 volatility_flag。
8. 若判定为 D0/D1，额外产出"未命中清单"（全部探测路径 + 状态码 + 检索词 + 结果数 + 时间盒消耗），随数据集发布作为负面结论的支撑材料。

Quantity measured

D-class（发布用头条量表）：D0 = 无任何与储备证明相关的公开物且无相关主张；D1 = 有主张但无任何可核对物（无 root、无报告、无地址表）；D2 = 有静态第三方报告或储备地址表，但不存在面向用户的 inclusion 自查；D3 = 存在用户可自查 inclusion 的机制（公布 root 且用户可取得路径）；D4 = D3 且任何第三方无需平台配合即可重算总负债（公开全量叶子哈希集或零知识证明）与储备（公开地址表 + 控制权证明）。CAG（主张-物证缺口）= n_claims_without_artifact / n_claims_total（分母为 0 记 NA）。Discovery_agreement = |A∩B| / |A∪B|（两名操作人所得一手 URL 集合的 Jaccard）。

Fixed parameters

检索面 S1–S10 与词表 W 预注册冻结；时间盒 45 min/操作人/平台；操作人 2 名；轮次 2（窗口首周 + 结束前）；登录态 {未登录, 已登录} 各一遍；回溯期 24 个月；单域名限速 ≤1 req/s；429 即停。时间盒取 45 分钟的理由：既覆盖固定路径与站内检索的穷举，又使"可公开发现"成为一个有界、他人可在同等成本下复现的操作定义——无界搜索不可复现。

Sample size

5 平台 × 2 名独立操作人 × 2 轮 = 20 次全量检索，每次时间盒 45 分钟，合计 ≤15 人时。主张清点为穷举，无上限。样本单元是"一次协议化检索"而非"一个页面"——被统计的是发现过程的可复现性。

Control

两名操作人独立、同词表、同时间盒、同真实出口地区；未登录/已登录双态对照；首轮与末轮双轮对照以捕捉窗口内变化；聚合器（S9）与一手来源（S1–S8）严格分离记录，聚合器永不作为证据来源。仪器自校验：在一个已知发布了 PoR 页面的对照对象上跑同一检索协议，确认协议本身能命中。

Statistical treatment

D-class 为有序分类：报告两名操作人的原始判定、Jaccard 一致度与仲裁后结果，不做平均。CAG 为比例，报告分子分母原值与 Wilson 95% 区间（小样本下优于正态近似）；n_claims_total <5 时只报原始计数，不报区间。两轮差异逐条列出，不做时间序列建模（n=2）。

Reproducibility check

发布检索面清单、词表、时间盒、全部一手 URL 及其内容 SHA-256、以及未命中路径全表。第三方在同一时间窗内执行同协议应得到相同 D-class；我们公开自己的双操作人 Jaccard 与 D-class 一致率，作为该协议可复现性的上界估计。

Known pitfalls

①把聚合器或榜单记录当成平台已发布的证据；②把"我们与 X 合作"读成"X 出具了报告"；③把 >12 个月的过期报告当现行（须记录报告日期并单列 staleness）；④地域内容分发或 A/B 测试导致同 URL 内容不同——记录出口国与登录态，但绝不为此使用 VPN 伪装；⑤root 或报告由 JS 动态渲染导致静态存档为空（存档必须含渲染后 DOM）；⑥PDF 与页面正文表述不一致（两份都存，差异单列）；⑦把"时间盒内没找到"写成"不存在"。

Risk

无实钱风险。唯一操作风险是路径探测被误判为扫描：探测清单固定且有限（≤10 条），全局限速 ≤1 req/s，429 即停，不得对任何路径做字典式枚举。

SUPPORTS / 能确立：在预注册的检索面 S1–S10、词表 W、45 分钟时间盒、双独立操作人、观察窗 [T0,T1] 这一组明确条件下，该平台的储备证明一手物证是否可被公开发现；平台公开主张的完整清单及每条主张是否有对应物证（CAG）；窗口内该状态是否发生变化。D0/D1 判定是一个可被他人以同等成本重做的观察结论。

DOES NOT SUPPORT / 不能确立"该平台不存在储备证明"——只能确立"在协议 X 与窗口 Y 内不可公开发现"，两者在文字上必须始终可区分。不能确立平台是否向监管机构、审计方或特定客户私下提供过储备信息。不能从"存在 PoR 页面"推出该 PoR 有效——本步骤只判定物证有无，有效性由 P2–P6 测。主张清点属文档类证据：它能确立平台说过什么、以及说的话有没有对应物证，但绝不能确立任何主张的真伪——一条有物证的主张也可能是错的，一条无物证的主张也可能是真的。聚合器与第三方榜单记录不构成平台已发布的证据，也不能替代一手确认。

Merkle 承诺与用户端 inclusion 自查的端到端复现（含验证器拒伪自校验）

1. 逐字记录并存档：公布的 root 原文、算法说明（哈希函数、叶子构造串、是否 Merkle Sum Tree、是否含 salt/nonce、是否有零知识证明）、快照标识（时间戳与/或区块高度）、公布时间 T_publish。
2. 记录 root 可见性：匿名公众是否可见，还是必须登录/完成 KYC 才能看到（未对匿名公众可见的 root 不计为"已公布"）。
3. 快照时刻前 ≥48h 完成账户资金到位（分布方式见 P3）。
4. 快照时刻 ±6h 内用只读 API 每 60s 轮询余额生成 balance_timeseries.jsonl；并在最接近快照时刻的 5 分钟内做 UI 截图（须含平台自身显示的时间）。
5. 快照后按平台指引取得本账户 record：leaf_hash、路径（各层兄弟哈希 + 左右位）、若为 sum tree 则含各节点 sum、以及叶子内的 balances per asset；逐字保存原始 JSON 或截图。
6. 用自写独立脚本（严禁使用平台提供的 JS）按平台公布的算法从 leaf 沿路径重算至 root，与公布 root 逐字比对得出 root_match。
7. 仪器自校验（负控制，三项必做）：(a) 将 leaf_hash 翻转 1 bit 后重算——必须失败；(b) 交换路径中任意两个兄弟节点的顺序或左右位——必须失败；(c) 若平台提供服务端"一键验证"，用本人被篡改的 1 份输入提交，提交次数 ≤3——必须返回失败。任一项返回"验证通过"，则 V2 直接记 0 并置 verifier_theatre=true。
8. 记录 root 锚定方式（仅网页 / 平台数字签名 / 链上交易 / 第三方公证）；若为链上，独立核验该交易存在、payload 含该 root、区块时间戳。
9. 记录历史留存：可访问的历史期数、最早快照日期；若平台保留历史路径，随机抽 2 期重做第 6 步。
10. 计算 publish_lag 与 avail_lag；对本人叶子做"由 leaf_hash 反推余额"的搜索空间量级纸面估算（严禁对他人叶子做任何暴力尝试）。
11. 两名操作人对同一账户同一快照各自独立执行第 6–7 步并比对结论。

Quantity measured

ROOT_MATCH ∈ {match, mismatch, NC}；NEG_CTRL = pass 当且仅当三项负控制全部按预期失败；publish_lag_h = (T_publish − T_snapshot)/3600；avail_lag_h = (T_avail − T_snapshot)/3600。V1（根承诺与锚定）锚点：0 无 root；1 root 仅登录可见或无算法说明；2 root 对匿名公众可见且有算法说明，仅网页承载；3 加平台数字签名或历史留存 ≥6 期；4 加链上或第三方公证锚定，且历史各期全部仍可自查。V2（inclusion 自查独立性）锚点：0 无自查机制，或任一负控制失败（verifier theatre）；1 仅服务端返回"已验证"提示，用户拿不到路径；2 用户可取得路径，但只有平台自家 JS 能算通；3 用户可取得路径且我们的独立脚本重算通过；4 加官方开源验证器（公开仓库 + 可复现构建）且明示叶子构造与哈希编码细节。

Fixed parameters

轮询间隔 60s、窗口 快照±6h（覆盖平台未精确公示时刻时的不确定区间）；负控制 3 项，服务端提交上限 3 次；历史抽查 2 期；独立操作人 2 名；重算脚本禁用浮点，哈希输入按平台文档的字节序与编码，编码变体尝试清单预先列出。

Sample size

每平台 × 每快照 × 每账户 1 次 inclusion 试验。目标 R = min(4, 观察窗内实际发生的快照期数)；月度频率的平台在 6–8 周窗口内通常只有 1–2 期，R_actual 必须如实记录并随结果发布——R 是由平台快照频率决定的外生约束，不是我们的选择。账户数 k = 2–4（每人 1 个）。总试验数 = Σ k × R_actual。负控制每平台每期 3 项。

Control

同一账户、同一快照由两名操作人用各自实现独立重算（实现分歧即暴露文档歧义）；三项负控制作为仪器自校验，确保"验证通过"这一读数本身有意义；同平台跨多期快照重复以区分偶发与稳定行为；对照组为我们自建的一棵已知 Merkle 树 fixture——先在已知答案上验证脚本正确，再用于平台数据。

Statistical treatment

root_match 与 neg_ctrl 为分类读数，逐次全量发布，不做汇总平均（n 极小，平均无意义）。publish_lag_h / avail_lag_h 在 R_actual ≥3 时报中位数与全距，<3 时只报逐次原值。mismatch 结论必须先穷举预注册的编码变体清单（大小写、0x 前缀、字节序、拼接分隔符、金额精度表示）并公布尝试过的全部变体；仍不匹配才可记 mismatch，否则记 NC 并标注 encoding_ambiguity。

Reproducibility check

发布重算脚本（Apache-2.0）与本团队自有账户的脱敏 fixture（leaf、路径、root），第三方运行应得到相同的 match/mismatch 与逐字节相同的输出文件 SHA-256；发布尝试过的编码变体清单与平台算法说明页的存档哈希；发布自建 Merkle 树 fixture 作为脚本正确性的已知答案用例。

Known pitfalls

①把服务端返回的"✓ 已验证"当成验证——这是本步最核心的陷阱，负控制专为它而设；②平台只给 leaf_hash 不给路径，用户实际无法重算（应记 V2=1 而非 3）；③哈希编码差异造成假 mismatch；④快照只给日期不给时刻，余额对账不可判（记 NC，不得凑数）；⑤root 由 JS 动态渲染导致存档为空；⑥历史 root 被静默替换（每轮重抓历史页并比对哈希）；⑦把开源仓库的存在当作线上运行代码的证明。

Risk

账户内需有余额，实钱敞口见 P3。红线：严禁枚举他人 record ID 或叶子索引；服务端负控制仅使用本人被篡改的数据，提交 ≤3 次且不得短时间内重复触发；反推余额的可行性只做纸面量级估算，绝不实施针对任何他人叶子的破解。

SUPPORTS / 能确立：在这一期快照、这一个账户上，平台给出的路径能否由一个独立实现重算出其公开的 root；该平台的验证机制是否具备最基本的拒伪能力（篡改输入是否会被拒绝）；root 是否对匿名公众可见、以何种方式锚定、历史是否仍可验证；从快照到公布、从快照到用户可自查各需多久。

DOES NOT SUPPORT / inclusion 证明成立只说明"本账户在这棵树里"。它不能确立：其他用户是否被包含；树中是否被塞入伪造的负余额叶子；总负债是否被低估；储备是否覆盖负债；平台在快照之外任何时刻的状态。平台公布的算法说明与 root 属于平台自述（文档类证据），无法确立平台内部数据库中的真实余额与叶子一致——我们只能验证"平台给我的这条路径与平台公布的 root 自洽"，这是关于自洽性的命题，不是关于真实性的命题。开源验证器仓库的存在不能确立线上运行的就是该代码。负控制通过只说明验证器不是纯装饰，不说明它验证的对象是正确的。

负债端覆盖范围与完备性约束的压力测试（含检出功效的诚实披露）

1. 建立负债状态矩阵：快照前 ≥48h 把本账户资金分布到至多 6 种状态——S_spot 现货可用、S_locked 挂单锁定、S_earn 理财/质押、S_margin 保证金或合约钱包、S_pending_withdraw 提现处理中、S_fiat 法币余额，每状态 €10–30（按平台最小交易额与最小单位调整），建立后保持不变直至快照结束。
2. 快照 ±6h 用只读 API 每 60s 轮询各状态余额，形成分状态时间序列。
3. 快照后取得本账户叶子中的 balances per asset，与快照时刻的 API 余额逐资产、逐状态对账，计算 Δ_leaf 与 Rel_Δ；全程使用十进制字符串与原生资产单位，禁用浮点，不折算法币。
4. 清点平台披露：是否公布 per-asset 总负债、叶子总数、用户数口径；是否声明覆盖范围（含/不含理财、合约、法币、借贷负债、内部账户、关联方账户）；是否声明负余额处理方式。声明原文逐字抄录存档。
5. 检验数学约束：用本账户路径实测"父节点 sum = 两子节点 sum 之和"是否逐层成立（判定是否为真 sum tree）；是否存在非负性证明（zk）；是否公布全量叶子哈希集——若公布，下载全量数据、独立重算 root、独立统计叶子计数，与平台公布值比对。
6. 跨快照重复，形成 k × R_actual 次包含试验，每次记 included / omitted / NC。
7. 一致性下界检查：若平台公布 per-asset 总负债，检验"我方全部账户在该资产上的余额之和 ≤ 平台公布总负债"是否成立（成立不说明总额正确，不成立则是硬矛盾）。
8. 计算并发布随机遗漏检出功效 Power(p)，同时以正文（非脚注）声明本设计对定向遗漏的功效近似为零。

Quantity measured

coverage_state ∈ {covered, not_covered, NC}（逐状态）；Coverage_breadth = (#covered states) / (#applicable states)。Δ_leaf = leaf_balance_asset − api_balance_at_snapshot_asset（原生单位，十进制字符串）；Rel_Δ = |Δ_leaf| / api_balance（分母为 0 记 NA）。随机遗漏检出功效 Power(p) = 1 − (1 − p)^(k × R_actual)，预注册在 p ∈ {0.01, 0.05, 0.10, 0.20} 四档报告（例：k×R = 12 时，p=0.20 → 0.93；p=0.05 → 0.46）。V3（负债端约束）锚点：0 无负债端承诺（无树或无任何负债信息）；1 有树但仅覆盖现货，无总额、无 sum 约束；2 有树且公布 per-asset 总负债，但非 sum tree、无非负性约束；3 为 sum tree（路径上 sum 关系可实测验证）或公开全量叶集，且覆盖现货 + 至少两类非现货负债；4 在 3 之上另有非负性证明（zk）或全量叶集含余额，且明确声明覆盖全部负债类别（含法币与内部/关联方账户的处理方式）。

Fixed parameters

每状态资金 €10–30；状态建立提前量 ≥48h；轮询 60s、窗口 ±6h；杠杆严格 ≤1x（平台强制更高则跳过该状态并记 NM）；金额与精度一律十进制字符串；不做法币折算（折算会引入价格源噪声并使跨平台不可比）。

Sample size

k = 2–4 账户 × R_actual 快照 × ≤6 种余额状态。每平台每期最多 6 行状态对账；全项目上限约 5 平台 × 4 账户 × 6 状态 × R_actual 行。资金：每账户每平台 €60–180（6 状态 × €10–30），全项目实钱敞口按预注册上限控制。包含试验总数 = k × R_actual，功效计算即基于该数。

Control

账户内跨状态对照：同一主体、同一快照，唯一变量是余额所处的产品状态——这使"某状态未被覆盖"的归因干净。跨快照重复以区分一次性差错与稳定设计特征。跨平台使用完全相同的协议使覆盖广度可横向比较。理财/合约状态另存产品条款存档，用于解释正当的 Δ（计息、未实现盈亏），条款作为解释材料而非结论依据。

Statistical treatment

Δ_leaf 逐行发布原值，不跨平台或跨资产平均（单位与精度不可比）。Rel_Δ 在同平台同资产 n ≥5 时报中位数与 IQR，否则只报原值。包含试验按二项过程处理：报告 included/omitted 计数、Clopper–Pearson 95% 区间，以及四档 p 下的 Power。R_actual <3 时明文标注"功效不足，不得据此作任何遗漏率推断"。全部统计以原生单位分资产进行，绝不跨资产合并。

Reproducibility check

发布每次试验的完整元组 (account_pseudonym, snapshot_id, state, asset, api_balance, leaf_balance, delta, coverage_state) 与轮询原始时间序列；发布功效计算脚本及 k、R_actual 参数；发布叶集重算脚本与其输出（leaf_count、root）的 SHA-256。第三方用自己的账户按同协议执行应得到结构同构的表；叶集重算部分无需任何账户，任何人可完全独立重做。

Known pitfalls

①快照时刻只精确到日 → 余额对账在原理上不可判，必须记 NC，绝不挑一个"看起来对"的时刻凑数；②理财/合约在快照瞬间的计息与未实现盈亏会产生正当的 Δ≠0，须附条款存档作解释，不得直接读成不一致；③浮点误差——全程十进制字符串；④平台把负债折算成 BTC 或 USD 公布，口径不可比：记录口径原文，不自行换算；⑤把 Coverage_breadth 低读成"漏报负债"——它是覆盖范围的披露问题，不是低估的证据；⑥为增大 k 而一人多号（红线，绝对禁止）。

Risk

涉及真实资金。挂单、理财、合约状态可能产生亏损或锁定，仅用最小额度且杠杆 ≤1x；"提现处理中"状态可能触发风控导致资金延迟或冻结，执行前须接受该风险，且该事件若发生只作为独立观察记录，不与本基准结论混同（提现表现属于另一基准的范围）。资金投入建议区间为参考值，可能全额损失。严禁一人多号制造样本量。

SUPPORTS / 能确立：平台的负债端承诺实际覆盖了哪些余额状态（在我们能实测的范围内）；叶子中的余额与我们在快照时刻自有的余额是否一致；该 PoR 设计是否具备总额约束（sum 关系是否逐层成立）与非负性约束；在"随机遗漏"这一特定威胁模型下本设计的量化检出功效；若平台公开全量叶集，则总负债与叶子计数可被任何第三方独立重算。

DOES NOT SUPPORT / 无法确立总负债没有被低估——被遗漏的账户在平台提供的数据里不留任何痕迹，这是 Merkle inclusion 方案的结构性盲区，不是执行不足。必须原样披露：本测试使用的是小额、活跃、且刚刚做过验证操作的账户，因此对定向遗漏（只遗漏大额或长期不活跃账户）的检出功效近似为零；Power(p) 只在"随机等概率遗漏"模型下成立，读者不得把它当作对现实遗漏率的估计。无法确立平台声明的覆盖范围属实——覆盖范围声明是文档类证据，声明本身既不能证明也不能证伪其内容。无法确立内部账户、关联方账户、借贷负债是否入树。无法确立我们未持有的资产类别如何处理。Δ=0 只说明这一个账户在这一期一致，不能外推到任何其他账户或时点。

储备地址公开性、控制权证明与链上余额的独立重算

1. 获取平台公布的储备地址表：记录 URL、格式（CSV/JSON/API、HTML 表格、仅图片或 PDF）、可机读性、更新时间、是否标注链与资产；下载存档并计算 SHA-256。
2. 逐地址校验格式与链归属；统计地址数、覆盖链数、覆盖资产数。
3. 控制权证明核验：检查平台是否公布 (a) 各地址对某指定消息的数字签名，或 (b) 指定金额/指定 nonce 的自转账（proof-of-control transfer）。对 (a) 用独立库在本地验签；对 (b) 在链上核验该交易存在、金额与备注同声明一致、发起地址匹配。逐地址记录 proof_type 与验证结果。
4. 若平台未提供任何控制权证明，记 NC，并在结论中明写：一份地址表不能确立控制权。
5. 在快照区块高度重算余额：EVM 链用 eth_getBalance(addr, blockNumber) 与 ERC-20 的 eth_call balanceOf(addr) @ block（需归档节点）；归档不可得时按预注册回退顺序执行——回退一：由 Transfer 日志累加至该高度；回退二：使用最接近的可得高度。每一行必须记录实际使用的 method 与 block_height_used，严禁用最新余额冒充快照余额。UTXO 链使用支持历史高度的浏览器接口或按交易史累加；地址交易数过大时记 NM 并说明。
6. 双源交叉：每条链至少用 2 个独立数据源重算；两源不一致时记 discrepancy，两个值都发布，绝不取平均或择优。
7. 与平台公布的储备额比对：Δ_reserve = published − recomputed（原生单位）。
8. 跨平台地址重叠检查：对 5 个平台的公开地址表求交集，同一地址出现在两个平台的公开列表中则置 shared_address_flag，作为待平台回应的观察项。本协议不使用任何地址聚类启发式做归因。
9. 记录平台是否声明"仅客户资产"，以及是否披露质押、借出、抵押等权利负担状态。
10. 管道自校验：用我们自己控制的、余额已知的钱包地址跑同一条重算流水线，确认脚本在已知答案上给出正确结果。

Quantity measured

Addr_machine_readable ∈ {csv_json_api, html_table, image_or_pdf_only, NR}。Control_proof_coverage = (可独立验签通过的地址数) / (公布地址总数)。Δ_reserve = published_amount − recomputed_amount（原生单位）；Rel_Δ_reserve = |Δ_reserve| / published_amount（分母为 0 记 NA）。Source_agreement = 两个独立数据源的重算值是否在预注册容差 τ 内（同一确定高度上 τ=0，必须精确一致；因高度不确定造成的差异不计入不一致，单列 height_ambiguity_flag）。V4（储备端可核对性）锚点：0 不公布地址；1 仅公布聚合金额，或地址仅以图片/PDF 形式给出（不可机读）；2 公布可机读地址表但无任何控制权证明；3 地址表 + 对全部或预注册抽样地址的可验证控制权证明，本地验签通过率 ≥95%；4 在 3 之上，地址表随每期快照更新并各期存档、含链与资产标注，且明确披露质押/借出/抵押状态。

Fixed parameters

地址抽样规则（预注册）：地址数 ≤200 时全量；>200 时取每条链上按余额降序累计覆盖该链公布总额 ≥95% 的地址，外加随机抽取的 20 个尾部地址（随机种子公开）。每链数据源数 ≥2。容差 τ=0（同高度精确一致）。API 全局限速按各服务文档的免费额度设定并留 50% 余量；429 立即停止该源并退避重试，退避事件入日志。

Sample size

按上述抽样规则覆盖的全部地址 × 每链 ≥2 数据源 × R_actual 期快照。若平台不公布地址，本步全部字段记 NC（原因码 no_address_list），该 NC 本身即 V4=0 的评分依据。

Control

双数据源 + 双操作人各自独立运行重算脚本并比对输出文件哈希；对自有已知余额地址做端到端管道自校验；对同一平台的多期快照重复重算，使"一次对得上"与"期期对得上"可区分；跨平台使用完全相同的脚本与参数。

Statistical treatment

Δ_reserve 逐地址、逐资产、逐期发布原值，按资产分组报告中位数与全距（n ≥5 时），绝不跨资产或跨链合并求和后再比较。不做法币折算；若报道确需折算，必须指定两个独立价格源与确切时间戳，并同时发布两个折算结果及其差异。双源不一致时以"两值并列 + discrepancy 标记"呈现，不做统计融合。测量误差来源逐项标注：区块高度不确定（±1 块）、归档回退方法、代币 decimals 假设。

Reproducibility check

发布地址表原文与哈希、脚本、以及每一行的 (chain, address, block_height_used, method, data_source, recomputed_amount)。第三方在同一高度用任一支持归档的数据源重算，应得到逐行相同的数值。发布自有地址的校验用例，使他人可先验证脚本再验证结论。链上重算部分不需要任何平台账户，任何人可完全独立重做。

Known pitfalls

①归档节点不可得而悄悄用最新余额替代（必须逐行记录方法与实际高度）；②代币 decimals 与非标准 ERC-20 实现；③rebasing 或计息类代币在某高度上的余额语义歧义；④跨链桥封装资产导致双计；⑤地址表过期（交易所换址）而我们仍按旧表重算；⑥浏览器 API 返回的 balance 含未确认交易；⑦使用地址聚类启发式做归因（本协议明确不采用，因其不可复现且易误判）；⑧把跨平台地址重叠直接读成"重复计算"。

Risk

纯公开链上数据分析，无实钱风险。红线：不得为"测试"向任何被测地址发起任何交易；不得尝试任何与地址私钥相关的操作；严格遵守数据源速率限制，429 即停并退避。

SUPPORTS / 能确立：地址表是否存在、是否可机读、是否随快照更新；平台公布的控制权证明能否被独立验签通过（在签名或转账发生的那一刻）；在指定区块高度上，链上余额与平台公布的储备值是否一致及不一致的量级；不同数据源对同一高度是否给出一致结果（数据源可靠性自检）；多个平台的公开地址表之间是否存在重叠。

DOES NOT SUPPORT / 链上余额不能确立这些地址就是全部储备（未公布的地址不可见），也不能确立地址中的资产属于客户而非平台自有或第三方。控制权证明只在签名/转账发生的那一刻成立，不能确立此前或此后任一时刻的控制权——一个曾经能签名的地址此后可能已被转移控制。最关键：链上数据在原理上无法显示任何链下权利负担——抵押、借入、代持、回购安排、法律留置均不在链上留痕，因此"链上余额充足"这一命题在链上不可判定。地址重叠只说明两个公开列表包含同一地址，可能源于共享托管方或列表编辑错误，不能据此断定资产被重复计价，必须作为待平台回应的观察项发布。平台的"仅客户资产"与"无质押借出"声明属文档类证据，链上不可验证。

快照制度测量与快照日装点的可检测性评估（测的是可检测性，不是行为）

1. 建立快照登记表：观察窗内及回溯 12 个月平台声明过的每一期快照，记录声明的时间或区块高度、时点精度、公布时间、是否事先公告、时点是否固定或可预测。
2. 计算频率与兑现：期间中位间隔、间隔 IQR、最长空档、观察窗内实际期数 / 按声明频率应有期数（Promise_vs_delivery）。
3. 时点精度编码：P0 无时间信息；P1 仅到日期；P2 到小时；P3 到秒（UTC）；P4 到区块高度（唯一在原理上可精确复现的一档）。
4. 可检测性前置判定：窗口分析仅当 (a) 储备地址公开且可机读 且 (b) 时点精度 ≥P3 时可计算；否则全部 WD 指标记 NC（附原因码），而该 NC 本身就是 V7 的评分依据——"第三方做不了这项检查"是关于设计的结论。
5. 若可计算：对每条链、每期快照，取窗口宽度 w ∈ {6h, 24h, 72h}，计算对公布地址集合的外部净流入 NetIn_pre(w)（快照前）与外部净流出 NetOut_post(w)（快照后），严格剔除集合内部地址之间的转账与 UTXO 找零。
6. 构建基线：回溯 L=90 天，选取与该快照同 weekday、同 hour-of-day 的等长窗口，排除任何已知快照 ±48h 的时段；要求基线窗口数 n_base ≥20，否则记 NC（原因码 insufficient_baseline）。若平台快照固定在月末，必须额外构造第二组"同为月末"的基线并同时报告两组结果。
7. 计算稳健统计：WDI(w) 与 RevRatio(w)（公式见 metric_formula）。
8. 不确定度：对基线做 B=10,000 次 bootstrap（种子公开）给出 WDI 的 95% CI；跨期比较用 Mann–Whitney U，但 n_snapshots <5 时只报描述统计并明文拒绝任何显著性声明；若确需多重比较，用 Benjamini–Hochberg（q=0.10）并声明。
9. 混杂逐条登记：月末/季末效应、市场剧烈波动日、平台促销或新币上线、链拥堵、地址表版本变更。每个高 WDI 的期次必须逐一列出可能的正当解释，并全部交平台回应。
10. 管道自校验：用我们自己控制的钱包在已知时间做一笔已知金额的转账，确认流水抽取管道能正确捕捉方向、金额与时间。
11. 按可检测性（而非按检测结果）给 V7 评分。

Quantity measured

Interval_median_days、Interval_IQR_days；Promise_vs_delivery = 实际期数 / 按声明频率应有期数。NetIn_pre(w)、NetOut_post(w) 为对公布地址集合的外部净流（剔除集合内部转账与找零）。WDI(w) = (NetIn_pre(w) − median(base)) / (1.4826 × MAD(base))，即稳健 z 分数；RevRatio(w) = NetOut_post(w) / max(NetIn_pre(w), ε)。V5（快照制度）锚点：0 无快照制度；1 一次性或不定期、无公告；2 有声明频率但兑现率 <0.8 或精度 ≤P1；3 频率 ≥月度、兑现率 ≥0.8、精度 ≥P2、有历史留存；4 频率 ≥月度、精度 =P4、事先公告、历史各期全部可访问。V7（装点可检测性）锚点：0 无地址表或精度 ≤P1，第三方无法做任何窗口分析；1 有地址表但精度仅到日；2 精度 ≥P3 且地址表可机读，可做窗口分析，但地址表不随快照更新（历史不可比）；3 在 2 之上地址表与每期快照一一对应并各期存档；4 在 3 之上，快照时点由不可预测的公开随机源事先绑定（例如以某个未来区块的哈希决定），使"为快照日做准备"在设计上不可行。

Fixed parameters

窗口宽度 w ∈ {6h, 24h, 72h}（多宽度用于检验结论对窗口选择的敏感性）；基线回溯 L=90 天；基线匹配键 = (weekday, hour-of-day)，快照固定月末时追加 (day-of-month) 第二组；基线排除半径 ±48h；n_base 下限 20；bootstrap B=10,000，随机种子公开；ε 取该链最小可表示单位；显著性检验的期数下限 n_snapshots ≥5。

Sample size

每平台观察窗内 R_actual 期快照 + 回溯 12 个月可得的历史期次；每期 × 每链 × 3 个窗口宽度。基线要求 n_base ≥20 个匹配窗口；在 L=90 天下按 weekday+hour 精确匹配通常只得 12–13 个同 weekday 窗口，因此实践中往往需放宽到相邻 hour 桶 ±1h 才能达到 20——放宽规则须预注册并在数据中标注 baseline_relaxed=true。n_snapshots 通常 <5，功效低，必须随结果醒目披露。

Control

基线为同 weekday、同 hour-of-day 的非快照窗口（控制周内与日内周期性）；多窗口宽度互为对照；每条链分别计算不合并；对不公布地址或精度不足的平台不做此项而记 NC（避免用信息量不同的对象做不当比较）；用自有钱包的已知转账做管道自校验。

Statistical treatment

全部使用稳健统计（median / MAD），因流水分布长尾极重，均值与标准差不适用。WDI 报告点值 + bootstrap 95% CI。跨期用 Mann–Whitney U（非参数）；n_snapshots <5 时不做检验，只报描述统计。多重比较用 BH（q=0.10）。所有金额以原生单位分链计算，不折法币、不跨链求和。数据源中断造成的缺口标注为缺失窗口并从基线中剔除，不以零填充。

Reproducibility check

发布快照登记表、地址集合的版本化快照、每个窗口的原始流水明细、基线窗口清单、统计脚本与固定随机种子。第三方运行同脚本应得到逐位相同的 WDI 与 CI。发布自校验转账用例，使他人可先验证流水抽取管道再验证统计结论。

Known pitfalls

①未剔除集合内部转账与 UTXO 找零导致净流虚增（最常见的错误）；②快照固定月末而基线未匹配 day-of-month，把正常的月末结算流读成异常；③把 WDI 高读成"疑似装点"（严重越界）；④回溯期内地址表版本变更却按当前表回算历史，产生系统性偏差；⑤数据源缺口造成的假零流；⑥代币精度与跨链桥双计；⑦n 极小时做显著性检验并报告 p 值。

Risk

纯公开链上数据，无实钱风险。但这是全流程中表述风险最高的一步：任何暗示性标题或形容词都可能构成对平台的实质指控。发布时必须逐字使用预注册的措辞模板（见 reporting_notes），并把"不能确立发生了装点、也不能排除"这句话与数值同屏呈现，不得放在脚注。

SUPPORTS / 能确立：该平台快照的频率、时点精度、是否事先公告、历史是否留存，以及声明频率的兑现程度；能确立以平台公开的信息，第三方是否在原理上有可能对快照前后的资金流做独立检查（这是 V7 的实质）；在可计算的情况下，能给出快照前净流入相对同时段基线的稳健偏离及其置信区间，以及快照后的反转比。

DOES NOT SUPPORT / WDI 高不能确立发生了快照日装点：公开地址集合上的净流入有大量正当解释——用户存款高峰、冷热钱包再平衡、内部归集、月末结算、上新活动。WDI 低同样不能确立没有装点：借入的资产可以长期持有跨越多期快照，未披露地址之间的划转在链上完全不可见，平台亦可只公布"干净"的地址子集。本指标测量的是设计的可检测性，不是平台的行为；V7=0 不等于在装点，只等于"没有人能检查"。相关不是因果，且 n_snapshots 通常 <5，任何显著性声明都必须被拒绝并标注功效不足。不得据此对平台作出诚信、偿付能力或合规性的任何判断。

第三方执行方性质、保证等级与报告可核对性的属性编码

1. 取得报告全文（PDF 或页面），存档 + SHA-256；若只有摘要、图片或营销稿，如实记录 artifact_completeness，不得升格解读。
2. 逐字抄录：执行方名称、报告标题、所依据的准则名称（报告自称的准则一律照抄，不得由我们替其归类）、结论段原文、范围段原文、使用限制段原文、报告日期、所涉快照日期、报告中载明的被测法律主体名称。
3. 按预注册编码手册的决策树判定保证等级 A-code：A0 无第三方；A1 有"审计/已验证"类主张但无可得报告；A2 商定程序或非鉴证性报告——执行方只陈述所执行的程序与发现，不表达任何结论或意见；A3 有限保证（负向表述结论，如"未注意到需要修改之处"）；A4 合理保证或审计意见（正向表述意见）。
4. 修饰位编码：执行方能否在其所属辖区的公开执业名录中检索到（记录名录名称、检索词与结果存档；名录不公开时记 registry_not_public，绝不记 not_found）；报告是否全文公开；是否含使用限制；范围是否含负债完备性、是否含地址控制权、是否含快照时点核验；是否列出例外事项；报告日期与快照日期的间隔；是否连续多期。
5. 主体一致性检查：把报告中载明的被测主体名称与平台服务条款中的签约主体、以及平台公示的运营主体逐一比对，不一致时置 entity_mismatch_flag 并把三处原文并列存档。
6. 一手对一手交叉核对：检查执行方自身官网或执业名录是否也能查到该项业务；仅有平台单方陈述时记 one_sided=true。
7. 期次 diff：与上一期报告逐段比对并保存 diff（措辞变化往往比结论本身更有信息量）。
8. 两名评分员按同一编码手册独立编码全部字段，计算一致性；分歧 >1 级进入仲裁。

Quantity measured

A-code ∈ {A0, A1, A2, A3, A4}（定义见步骤 3）。Assurance_lag_days = report_date − snapshot_date。Scope_completeness = (含负债完备性 + 含地址控制权 + 含时点核验) / 3。V6（第三方保证等级）锚点：0 = A0 或 A1；1 = A2 但报告未全文公开，或含严格使用限制；2 = A2、报告全文公开且执行方可在公开执业名录中检索到；3 = A3，或 A2 且范围同时含负债完备性与地址控制权且连续 ≥3 期；4 = A4，或 A3 且范围三项齐全、连续 ≥3 期、例外事项披露完整。

Fixed parameters

编码手册与决策树在预注册中冻结；回溯期次上限 4 期 + 现行 1 期；两名评分员全量独立编码；准则名称与结论措辞一律逐字引用原文；名录检索所用的名录名称与检索词预先登记。

Sample size

每平台现行报告 1 份 + 回溯最多 4 期历史报告（可得时）；5 个平台合计 ≤25 份文件；每份由 2 名评分员全量独立编码 = ≤50 次编码。若平台无任何第三方文件，A-code=A0，其余字段记 NA（不适用）而非 NC。

Control

双评分员独立编码 + 第三人仲裁；编码手册冻结，评分中不得重新解释；同一执行方在不同平台的报告交叉比对措辞（同一家出具的多份报告若措辞不同，差异本身就是信息）；报告多语言版本全部存档，以平台发布的官方语言版本为准并标注。

Statistical treatment

A-code 与各修饰位为分类或有序变量：报告两名评分员的原始编码、加权 Cohen's κ（线性权重，用于有序的 A-code）与逐字段一致率；κ <0.67 的字段触发编码手册措辞澄清并全量重编，两版编码均公开。Assurance_lag_days 报告原值与跨平台中位数。不对 A-code 做任何数值化平均。

Reproducibility check

发布报告存档哈希、全部逐字抄录段落、编码手册全文与决策树、以及每位评分员的编码表。第三方拿同一份 PDF 按同一决策树编码应得到同一 A-code；我们公开自己的 κ 作为该编码手册可复现性的上界估计。名录检索发布名录名称、检索词与检索日期，使他人可原样重查。

Known pitfalls

①把咨询报告或"技术验证"当成鉴证业务；②把执行方的市场稿当报告；③报告被裁剪、缺签名页或缺范围段却按完整报告编码；④不同语言版本结论措辞强弱不一（全部存档，差异单列）；⑤报告覆盖的法律主体与用户实际签约主体不同却未察觉（entity_mismatch 检查即为此设）；⑥把"未注意到需要修改之处"改写成"确认无误"——这是把有限保证的负向表述升格为正向意见的范畴错误；⑦把名录"未检索到"当成"未注册"。

Risk

无实钱风险，措辞风险高。涉及会计与鉴证准则名称时必须逐字引用报告或平台原文，不得由我们改写为更强的表述；不得评价执行方的执业质量或独立性；不做任何法律定性。若发现 entity_mismatch，只并列呈现三处原文并交平台回应，不作推论。

SUPPORTS / 能确立：平台公布了什么样的第三方文件；该文件自称依据什么准则；其结论段的确切措辞；范围段包含与排除了什么；执行方能否在公开执业名录中被检索到；报告日期与快照日期相隔多久；这些属性在各期之间如何变化；报告载明的被测主体与平台签约主体是否为同一名称。

DOES NOT SUPPORT / 这是本基准中边界最硬的一步：这里的全部证据都是文档类证据。一份报告不能确立储备真实存在或充足；不能确立执行方实际执行了报告中所述的程序；不能确立平台在报告日之外任何时刻的状态。商定程序（AUP）在定义上不表达任何结论，把它读成"通过审计"是范畴错误而非程度差异。执行方在名录中可检索到只能确立注册这一事实，不能确立其能力、独立性或本次业务的质量；反之名录检索不到也不能确立其未注册（名录可能不公开或口径不同）。"未注意到需要修改之处"是有限保证的负向表述，不等于"确认无误"。我们只做属性编码，不对报告的真伪或执行质量作任何判断——编码结果描述的是文件的可核对属性，不是储备的事实状态。

分级量表评分、评分者一致性、指数合成与稳健性

1. 为每个平台组装证据包：P1–P6 的全部原始文件 + 结构化记录，移除评分员姓名；对可脱敏的文档尽量遮蔽平台品牌名以削弱先验（完全脱敏不可行，遮蔽率如实报告）。
2. 两名评分员在互不通气的条件下，按预注册锚点对 V1–V7 各给 0–4 的整数分；每一分必须引用 ≥1 个 evidence_id 与其匹配的锚点原文，无引用的分数无效。
3. 一致性统计：对 7 个轴分别计算加权 Cohen's κ（线性权重）与 Krippendorff's α（ordinal）。α <0.67 的轴触发编码手册复审；复审只能澄清锚点措辞、不得改变锚点的等级含义，复审后必须全量重打并同时公开两版分数。
4. 分歧 >1 级的条目交仲裁人裁决，裁决理由逐条入库并公开。
5. 合成：PVI = 100 × Σ w_i·s_i / 4，预注册权重 w = {V1 0.12, V2 0.18, V3 0.22, V4 0.18, V5 0.10, V6 0.10, V7 0.10}。权重理由预注册：负债端约束（V3）与自查独立性（V2）承载最多关于"能否被验证"的信息，故权重最高；第三方保证（V6）为文档类证据，权重受限。
6. 封顶门控（预注册，事后不可调整）：V1=0 → PVI=0；V2=0 或 verifier_theatre=true → PVI ≤40；V3 ≤1 → PVI ≤60；V4=0 → PVI ≤55；多条同时触发取最小上限。门控的作用是防止关键轴归零时由其他轴堆出高分。
7. 缺失处理：D0 平台的 V1–V7 全部记 0 且 PVI=0——这是有效测量结果，不是缺失数据；只有当我们因自身约束无法测量时（平台不向本地区开放、账户被冻结、期次未到）才记 NC，此时该轴不可评、PVI 记 NC，只发布向量与 D-class。严禁把 NC 当 0，也严禁把 D0 当 NC。
8. 稳健性：用 3 组备选权重重算 PVI——(a) 七轴等权；(b) 仅 V2+V3+V4 等权；(c) 去掉 V6 后其余按比例归一——报告各平台排序与主结果的 Kendall's τ 及排名变动。
9. 不确定度：PVI 以区间报告，端点为两名评分员各自分数独立合成的 PVI 的最小值与最大值；点值取仲裁后分数。
10. 复测与波动：观察窗结束前对每个平台重跑 P1 复检轮 + 1 次 P2 inclusion 试验；任一轴等级变化则置 volatility_flag 并把前后两次结果并列发布。
11. 发布格式约束：任何出现 PVI 的位置必须同屏出现 D-class 与 V1–V7 向量及评分员区间，向量优先于标量。

Quantity measured

PVI = 100 × Σ_{i=1..7} w_i·s_i / 4，s_i ∈ {0,1,2,3,4}，w = {V1 0.12, V2 0.18, V3 0.22, V4 0.18, V5 0.10, V6 0.10, V7 0.10}（合计 1.00）。门控：V1=0 ⇒ PVI=0；(V2=0 ∨ verifier_theatre) ⇒ PVI ≤40；V3 ≤1 ⇒ PVI ≤60；V4=0 ⇒ PVI ≤55；多条触发取最小上限。一致性：加权 Cohen's κ（线性）与 Krippendorff's α（ordinal），阈值 α ≥0.67 方可直接采用。稳健性：Kendall's τ(主权重排序, 备选权重排序)。不确定度：PVI_interval = [min(PVI_raterA, PVI_raterB), max(PVI_raterA, PVI_raterB)]。

Fixed parameters

评分员 2 名 + 仲裁 1 名；分值域为整数 0–4；权重与门控预注册冻结；α 阈值 0.67；备选权重 3 组；复测 1 轮。全部参数在预注册文件中固定并已打时间戳；事后修改必须升版本并并列公开新旧结果。

Sample size

5 平台 × 7 轴 × 2 评分员 = 70 次独立打分，加若干仲裁条目；敏感性分析 3 组权重 × 5 平台 = 15 次重算；复测 1 轮 × 5 平台。样本单元是"一次 (平台, 轴, 评分员) 打分"，一致性统计基于这 70 个单元。

Control

评分员互盲（不看对方评分表）；证据包尽可能遮蔽品牌名，遮蔽率如实报告；锚点与权重在见到任何平台数据之前冻结（OTS 时间戳为证）；三组备选权重构成对"权重选择"这一编辑判断的敏感性对照；窗口首末双轮复测构成时间对照。

Statistical treatment

轴分为有序分类：报告逐轴 κ 与 α、逐条分歧、仲裁后分数，不对轴分取平均。PVI 为约定合成量：报告点值 + 评分员区间 + 三组备选权重结果，绝不单独报告点值。跨平台比较只在同一版本、同一窗口内进行。n=5 个平台，任何跨平台的推断统计（相关、回归）一律禁止，只做并列展示。

Reproducibility check

发布锚点全文、权重、门控规则、每个 (platform, axis, rater) 的分数及其 evidence_ids、全部分歧与仲裁记录、以及评分合成脚本。第三方拿到同一证据包按同一锚点重打应落入同一等级；我们公开自己的 κ/α 作为该锚点体系可复现性的上界估计——若我们自己两人都对不齐，锚点就不够可复现，这一事实必须与结果同等醒目地发布。

Known pitfalls

①事后调整权重以获得"看起来合理"的排序（预注册 + OTS 时间戳专为封死此路）；②把 NC 当 0（凭空制造低分）或把 D0 当 NC（抹掉一个真实结论）；③用 PVI 做平台推荐或安全性排名；④评分员受品牌先验影响；⑤把窗口内的等级变化当噪声抹平（必须记 volatility_flag 并并列发布前后结果）；⑥只发榜单数字不发向量；⑦跨版本比较 PVI（不同版本锚点与权重不同，数值不可比）。

Risk

全流程中声誉与法律表述风险最高的一步。硬性要求：任何分数必须可追溯到具体 evidence_id；平台在回应窗口内提交的意见必须全文附录；我们自己发现的错误按勘误政策公开更正并升版本号，绝不静默修改。禁止将 PVI 与"安全""可信""推荐"等词并置。

SUPPORTS / 能确立：在一套冻结的、公开的锚点与权重下，各平台储备证明的可验证性向量 (V1–V7) 与其合成指数 PVI；该结论对评分员选择的稳健性（κ/α 与区间）；对权重选择的稳健性（三组备选权重与 Kendall's τ）；以及该结论在观察窗内是否稳定（volatility_flag）。

DOES NOT SUPPORT / PVI 不度量偿付能力、储备充足性、平台安全性、用户资金安全或平台诚信。高 PVI 只说明"这个证明设计更容易被独立验证"，完全不说明其内容为真——一个设计精良的 PoR 也可以承载错误的数据。低 PVI 不说明存在挪用、亏空或欺诈，只说明外部无法验证。PVI 不可跨版本比较，也不可与其他刊物的任何评分对照。权重是编辑判断的显式化，不是自然常数：因此敏感性分析必须与主结果同版位发布，读者有权用自己的权重重算。我们自己的 κ 只是锚点可复现性的上界估计，不保证第三方能复现同一分数。最后，本基准的全部结论都限定在"公开可得信息"这一信息集内——它不能确立平台内部的任何事实。