Кто может переписать контракт 🔧
Смарт-контракт называют неизменяемым, но у большинства крупных протоколов есть владелец: админский ключ может подменить код, и правила меняются без всякого взлома.
• Код живёт за прокси-контрактом: владелец подключает новую логику, адрес остаётся тем же, а правила внутри уже другие.
• 22 сентября так вынесли $9,4 млн из Neutron: атакующий скупил токены управления за $20 тыс., набрал 82% голосов «за» и перевёл контракты Astroport и Drop на код с функцией вывода.
• Проверить несложно: кто владелец — мультисиг, таймлок или один кошелёк 🔑? И есть ли задержка между решением и исполнением?
Зачем знать: аудит отвечает на вопрос «есть ли баги в коде». Он не отвечает, кто может изменить этот код завтра.
Смарт-контракт называют неизменяемым, но у большинства крупных протоколов есть владелец: админский ключ может подменить код, и правила меняются без всякого взлома.
• Код живёт за прокси-контрактом: владелец подключает новую логику, адрес остаётся тем же, а правила внутри уже другие.
• 22 сентября так вынесли $9,4 млн из Neutron: атакующий скупил токены управления за $20 тыс., набрал 82% голосов «за» и перевёл контракты Astroport и Drop на код с функцией вывода.
• Проверить несложно: кто владелец — мультисиг, таймлок или один кошелёк 🔑? И есть ли задержка между решением и исполнением?
Зачем знать: аудит отвечает на вопрос «есть ли баги в коде». Он не отвечает, кто может изменить этот код завтра.