Upgradefähiger Vertrag

Ein upgradefähiger Vertrag behält seine Adresse und die dort verwahrten Guthaben, während die dahinterliegende Logik ausgetauscht werden kann — meist über einen Proxy, der Aufrufe an eine Implementierungsadresse weiterleitet, die ein Administrator ändern darf. Das erlaubt Fehlerbehebungen, ohne alle Nutzer zur Migration zu zwingen, bedeutet aber auch: Der heute geprüfte Code ist nicht zwingend der Code, der morgen läuft. Die Sicherheitsfrage lautet deshalb, wer ein Upgrade auslösen kann und nach welcher Verzögerung. Ein einzelner Schlüssel, der die Implementierung sofort tauscht, ist ein ganz anderes Risiko als eine Multisig hinter einem Timelock, der die Änderung vorab veröffentlicht.