真正的风险落在哪里
2021 至 2024 年间，跨链基础设施被盗超过 25 亿美元——大部分来自持有资金池的桥合约。Ronin: 6.25 亿。Wormhole: 3.25 亿。Poly Network: 6.11 亿。BNB Token Hub: 5.70 亿。模式高度一致：一个桥合约在多条链上持有用户资金池，合约漏洞被利用，池子被抽空。
注意「不在」这个名单上的：兑换层本身、用户钱包、路由基础设施。风险集中在「持有流动性的场所」，不在「兑换这个动作」上。
托管 vs 非托管 —— 单一最大变量
非托管路由意味着没有任何人持有你的资金所有权——资金从你的钱包转到一次性存款地址，并在链上结算。存款地址与你这单订单绑定；路由引擎无权将其用于其他任何用途。在途资金存在于底层桥合约里（这是风险所在，见上），不在聚合器的账户里。
托管路由意味着运营方先收下你的钱，再把目标资产发给你。更快、有时更便宜，但引入了交易对手：你现在除了桥之外，还要相信运营方的偿付能力与运营安全。
AllSwap 非托管。资金永不进入 AllSwap 账户。
聚合带来的差异
单一桥把风险集中在一个地方：你的全部交易量在在途窗口里都坐在一个合约里。聚合器把同一笔交易分摊到多笔较小的转移——你 $50K 的 BTC → ETH 订单可能并发走三个不同的桥，任一场所都不会持有你的全部头寸。这并不让任何单个桥更安全，但能切掉你对任一桥失败模式的暴露。
聚合器还允许你按场所记录挑选。AllSwap 的路由引擎会排除有活跃漏洞的桥，并按审计历史给路径加权。这不是保证——每一笔跨链交易都带着无法完全审计掉的协议风险——但能让概率站在你这边。
AllSwap 如何降低风险
路由完全非托管——你的资金永不在 AllSwap 账户里。存款地址与你这单订单绑定；路由引擎除了你接受报价时确认的路径外无权挪动任何资金。
若路径中途失败（桥卡住、DEX 流动性枯竭、部分成交），源资金会自动退回到发送地址。你不需要提工单。
路由池里的桥按审计历史与运营记录筛选；我们不路由经过未审计或近期被攻击过的合约。完整名单在安全披露中公开。
60 秒预检清单
对链、对地址：核对存款地址与目标地址各自的首尾 4 位字符与你想要的一致。剪贴板劫持是真实存在的。
大额先小额测试：若你要搬的金额超过一个月房租，先发 1-2% 当测试。报价引擎对测试单同等定价，你没多付测试费。
目标钱包能显示目标资产：确认目标钱包能正常展示目标资产（部分硬件钱包对某些代币要手动加 token 才显示）。
源链最终性：不要在已知网络不稳定窗口（如以太坊重组期）发起跨链。报价屏幕会就此发出警告。
常见问题
非托管兑换比中心化交易所更安全吗？
它去掉了一个风险（托管交易对手）、加上了另一个（钱包自管）。综合看，非托管避开了交易所的失败模式（破产、冻结账户、KYC 拒绝）；但你要自己保管好钱包。没有一刀切的「更安全」——它们是不同的风险画像。
AllSwap 会不会卷我的钱跑路？
机制上不会。资金直接从你的钱包转到与你这单订单绑定的一次性存款地址；AllSwap 的路由引擎没有权限把它们重新定向。风险面是底层桥合约，不是 AllSwap。
如果我的路径里有桥在我成交中途被攻击怎么办？
若攻击阻断了结算，路由引擎会尝试通过备用路径重路由。若无路径能完成，源资金退回发送地址。「在途资金被直接拿走」（桥在你转账途中被抽空）罕见但理论可能——这是任何跨链方法都共有的风险。