ทำไมโปรโตคอลถึงสามารถแอบเปลี่ยนโค้ดที่ควบคุมเงินของฉันได้โดยไม่มีคำเตือน?

โปรโตคอล DeFi ส่วนใหญ่ใช้ upgradeable proxy contracts ที่ admin key สามารถแทนที่การ implement ทั้งหมดได้ในธุรกรรมเดียว ผู้ใช้ที่ฝากเงินไว้ในโปรโตคอลไม่มีวิธีที่เชื่อถือได้ในการตรวจพบว่ามีการอัปเกรดที่รอดำเนินการ ตรวจสอบว่ามีอะไรเปลี่ยนแปลง หรือถอนตัวก่อนที่โค้ดใหม่จะมีผลบังคับใช้ OWASP เพิ่มช่องโหว่ proxy และ upgradeability เป็นหมวดหมู่ใหม่ใน Smart Contract Top 10 สำหรับปี 2026 ซึ่งเป็นการเพิ่มครั้งแรกที่ขับเคลื่อนโดยความล้มเหลวด้านการกำกับดูแลแทนที่จะเป็นบักระดับโค้ด ในเดือนธันวาคม 2025 Unleash Protocol สูญเสีย 3.9 ล้านดอลลาร์เมื่อผู้โจมตีใช้ประโยชน์จากเส้นทางการกำกับดูแล multisig เพื่อบังคับการอัปเกรดโดยไม่ได้รับอนุญาตและดูดเงินผู้ใช้ออก ไม่มีมาตรฐานที่ครอบคลุมบริษัทตรวจสอบ โปรโตคอล หรือ wallet ใดสำหรับการแจ้งเตือนผู้ใช้ถึงการอัปเกรดที่กำลังจะมาถึงล่วงหน้าอย่างเพียงพอเพื่อให้ทันดำเนินการ