なぜプロトコルは私の資金を管理するコードを警告なしに密かに入れ替えることができるのか？

ほとんどのDeFiプロトコルはアップグレード可能なプロキシコントラクトを使用しており、管理者キーがあれば単一のトランザクションで実装全体を置き換えることができる。プロトコルを利用しているユーザーには、アップグレードが保留中であることを検知したり、変更内容を確認したり、新しいコードが有効になる前に資金を引き出したりする信頼できる手段がない。OWASPは2026年版スマートコントラクトTop 10に、プロキシおよびアップグレード可能性の脆弱性を新カテゴリとして追加した。これはコードレベルのバグではなくガバナンスの失敗によって生まれた、初めての追加項目である。2025年12月、Unleash Protocolは攻撃者がマルチシグのガバナンス経路を悪用して不正なアップグレードを強制し、ユーザー資金を流出させたことで390万ドルの損失を被った。差し迫ったアップグレードを十分な猶予をもってユーザーに伝えるための標準は、監査会社・プロトコル・ウォレットのいずれにも存在しない。