可升级 NFT 合约的真相：你买的可能不是“永久资产” 图 1
可升级 NFT 合约的真相：你买的可能不是“永久资产” · 图 1

一句话理解

很多人以为 NFT 合约部署后就定死了。事实是：相当一部分 NFT 合约是“门面 + 后厨”的代理结构——你交易的地址只是一层转发壳，真正的规则代码住在另一个地址，而这个指向可以被更换。可升级本身是中性技术，合理用于修漏洞；但它确实意味着“你买到的规则，原则上可以被改写”。

代理模式怎么工作

最常见的两种结构：

  • 透明代理：门面合约把调用转发给逻辑合约；只有管理员地址能改指向，普通用户调用全部转发。代价是管理员函数与用户函数不能重名，逻辑合约要多做一层守卫。
  • UUPS：升级函数写在逻辑合约里，门面合约更省 Gas，但逻辑合约编写错误更容易殃及所有代理，近年新项目采用较多。

两者的共同点是“存储与逻辑分离”：资产归属、供应量这些状态存在门面合约一侧，规则函数在逻辑合约一侧。更换逻辑合约地址，状态原封不动，行为说变就变。EIP-1967 把“当前逻辑合约地址存在哪个存储槽”标准化，正是为了让人能直接查。

怎么查一个 NFT 合约能不能被升级

  1. 看代理槽。在区块浏览器的存储读取功能里查 EIP-1967 约定的实现地址槽，能读到非零值，说明它是代理。
  2. 看验证源码。已验证合约里搜 upgradeTo、upgradeToAndCall、_upgrade 等函数，并重点看它们的权限修饰符：onlyOwner 是常见答案，关键问题是 owner 是谁——多签、团队地址还是_timelock（延时生效）合约，含义天差地别。
  3. 看是否声明了永久不可升级。部分项目在部署时把实现地址指向自身或主动放弃升级权（如 renounceOwnership 或指向不可变实现），此时升级窗口才算真正关闭。

哪些改动是真风险

升级权不等于为所欲为：不能凭空改余额（余额存在代理侧），不能把已铸造的 NFT 变没了。但下列改动都可以通过升级实现，收藏者应当把它们列进风险清单：

  • 修改转移规则：给转账加黑名单、加审核开关；
  • 修改版税查询逻辑，改变交易分成；
  • 改变 tokenURI 的生成方式，让所有图的指向统一改变——配合ERC-4906 通知机制看，这类变更理论上应触发 MetadataUpdate 事件；
  • 新增铸造函数，扩大供应量；
  • 设置暂停开关，冻结全体转账。

对“规则会漂移”的担忧，本质上是对管理权限集中度的担忧。评估顺序建议：升级权在不在多签/延时机制里 > 项目历史升级记录是否公开 > 合约是否声明不可变。

常见问答

问：可升级合约是不是等于 scam？

不是。大量认真经营的项目保留升级权是为了修补真实漏洞——NFT 合约史上因不可升级而眼睁睁带着 bug 运行多年的例子同样存在。判断框架在正文第“哪些改动是真风险”一节：看权限的分散程度与历史记录，而不是看“有没有升级函数”这一个信号。

问：已验证源码显示用了代理，还能进一步确认改不了吗？

可以查两点：实现地址槽指向的合约是否自毁或不可变实现；管理员是否已弃权或多签门槛高。有些项目会在文档里公开升级策略（例如仅限安全修复、改动需公示三十天），把承诺对照链上权限结构验证，比相信文案可靠。

问：不可升级的合约是不是就一定安全？

不一定。不可升级意味着 bug 也永远修不了，历史上出现过规则里埋着可被利用的漏洞而全员无能为力的案例。安全评估的完整问题是“风险以什么形态存在”：可升级是权力集中风险，不可升级是缺陷固化风险，两者都真实。看团队在治理透明度、审计记录上的投入，比看单一的升级开关更有信息量。

风险提示

本文为技术风险科普，不构成投资建议。可升级性既可能是维护能力也可能是滥权通道，评估以链上权限结构与公开记录为准，勿以单一信号下结论。