内容来自“大橙子&小同的干货铺”的知识星球，作者康纳Repeat。
1. AdminUpgradeabilityProxy天然的负面影响一代理的逻辑合约可以被替换
2.AdminUpgradeabilityProxy权限没有移交timelock一项目方不受时间锁约束，可以随意使用1。所说的能力，替换逻辑合约最终项目方无限制地将正常合约替换成了攻击合约，卷款跑路。
1.项目方故意“坦诚”给出合约的timelock转移权限记录，展示的确执行了changeAdmin方法移交权限给timelock 地址，用于混淆视听
USDT占比特币交易比重约为57.96%:金色财经消息，据cryptocompare数据显示，目前比特币交易情况按照交易币种排名，排名名第一的是USDT，占比为57.96%；排名第二的是美元，占比为13.6%；排名第三的是日元，占比为8.06%；排名第四的是欧元，占比为4.27%；排名五的是韩元，占比为4.01%[2020/12/26 16:33:27]
2.0x7E0c621Ea9F7aFD5b86A50B0942eAee68B04A61C proxy 合约，changeAdmin方法内部调用追踪到304行，实际写入key为ADMIN_ SLOT， 但读取key却为ADMIN_ SLOT。即O (欧)和0 (零)的一个细微差异，让changeAdmin方法完全失效，从而达到了已经移交权限的假象
The Block研究总监：Coinbase昨日成交量是itBit过去30天成交量总和的近三倍:The Block研究总监Larry Cermak发推称，客观地说，Coinbase昨天的成交量是itBit过去30天成交量总和的近三倍。如果它真的是PayPal的准确代理，那么到目前为止，其交易额几乎毫无意义。我的猜测是，Paxos并不是通过itBit的交易来获取PayPal的全部交易量。itBit还设有一个场外交易柜台，其中很多交易不会出现在订单簿上。所以我对于PayPal将其当作代理持保留态度。不过，现在该平台的交易量已经出现了明显的好转。[2020/11/22 21:41:18]
1.高度警惕任何包含proxy 方式合约的项目，若未经timelock约束，合约有被瞬间替换的风险
2. never trust， always verify！ 不要相信项目方给出的timelock“证据”， 对于未经审计的fork项目，务必逐个contract做好与原项目的diff (如果你做到了，就可以躲过meerkat的障眼法)
3.基于1更要养成良好的approve 管理意识，meerkat在跑路后仍然通过无限授权，盗取用户钱包内资产，穷凶极恶。切勿麻痹大意，你永远不知道你曾经授权过的土矿，是否包含proxy模式，是否已经替换了恶意合约！
4. timelock是安全底线，无论是HECO的LLC，还是BSC的popcornswap、meerkat，犯罪方式越发隐蔽的，但万变不离其宗，都是无timelock、假timelock。 珍爱生命，远离无锁土矿
昨天案发后几乎没有看到个人或团队有明确解析，考虑到未来模仿犯罪不可避免，索性公开信息希望做到安全教育的目的。老农务必提高自己的姿势水平，留意此类风险。最后祝大家挖矿出入平安。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。