Blockchain

Tại sao một giao thức có thể âm thầm hoán đổi mã bên dưới quỹ của tôi mà không cảnh báo?

Cơ hội

Hầu hết các giao thức DeFi sử dụng các hợp đồng proxy có thể nâng cấp, nơi một khóa admin có thể thay thế toàn bộ quá trình triển khai trong một giao dịch duy nhất. Người dùng đang tham gia giao thức không có cách đáng tin cậy nào để phát hiện bản nâng cấp đang chờ xử lý, xác minh những gì đã thay đổi, hay thoát ra trước khi mã mới có hiệu lực. OWASP đã thêm các lỗ hổng proxy và khả năng nâng cấp như một danh mục mới trong Smart Contract Top 10 năm 2026, bổ sung đầu tiên được thúc đẩy bởi các lỗi quản trị chứ không phải lỗi ở cấp độ mã. Vào tháng 12 năm 2025, Unleash Protocol mất 3,9 triệu đô la khi một kẻ tấn công khai thác đường dẫn quản trị multisig để buộc nâng cấp trái phép và rút cạn tiền của người dùng. Không có tiêu chuẩn nào tồn tại giữa các công ty kiểm toán, giao thức, hay ví để thông báo bản nâng cấp sắp tới cho người dùng với đủ thời gian để hành động.

Tại sao quan trọng

Một bản nâng cấp proxy không được thông báo không thể phân biệt với một cuộc khai thác vào thời điểm nó thực thi, và hiện tại người dùng không có nguyên ngữ nào để phân biệt kịp thời.

Cách tôi đánh giá cơ hội

Điểm Cơ Hội là đánh giá riêng của tôi, không phải một phép đo chính xác: mức độ gây khó chịu, tần suất xuất hiện và sự khan hiếm của giải pháp hiện có. Điểm càng cao, tôi càng cho rằng vấn đề đó càng đáng để xây dựng.

Mức độ nghiêm trọng9/10

Mức độ phiền toái nó gây ra khi xuất hiện.

Tần suất7/10

Tần suất mọi người thực sự gặp phải nó.

Khoảng trắng8/10

Có rất ít công cụ tốt để xử lý nó hiện nay.