智能合约升级模式与安全边界

为什么要升级合约？

合约部署后代码不可变，但业务会迭代、漏洞要修补。可升级模式让逻辑与数据分离：用户始终与固定地址（代理合约）交互，实际执行的是可替换的逻辑合约。

主流升级模式

1. Transparent Proxy

代理合约根据调用者身份决定是转发还是管理升级。简单可靠，但额外 Gas 开销与管理员权限集中。

2. UUPS（Universal Upgradeable Proxy Standard）

升级逻辑放在实现合约内，更省 Gas，是 OpenZeppelin 推荐的现代方案。风险：实现合约若未正确初始化可被接管。

3. Beacon Proxy

多个代理共享一个 Beacon 指向实现，一次升级全部生效，适合工厂模式（批量铸造的合约账户）。

4. Diamond (EIP-2535)

按函数选择器拆分到多个 Facet，突破 24KB 合约体积限制，适合复杂协议。

升级权限：真正的权力中心

谁能发起升级决定了协议的信任假设：

• 多签（Multisig）：如 5/9 签名才能执行，Safe 是标准实现
• 治理合约：代币投票通过提案后经时间锁（Timelock）延迟执行，给用户退出窗口
• EOA 直控：开发团队私钥直接可升级——重大风险信号

用户自查清单

1. 查看合约源码是否验证（Etherscan 绿色对勾）
2. 查找 Proxy Admin / Owner 地址，判断是多签还是普通地址
3. 是否有 Timelock 延迟，能否在恶意升级前取回资产
4. 审计报告覆盖的是当前版本还是历史版本

关键认知："去中心化"不等于无权限。可升级性是效率与信任的权衡，理解每个协议的权力结构是 DeFi 进阶的必修课。