该文系统阐述五类智能合约夜间安全审查要点：一查暂停功能启用状态及权限集中风险；二验预言机数据更新频率以防清算异常；三审代币无限批准隐患并指导撤销；四析重入防护机制是否健全；五核代理升级模式安全性，包括初始化校验与权限控制。
-
Binance币安
-
欧易OKX ️
-
Huobi火币️
一、检查合约是否启用暂停功能
部分智能合约部署时集成了暂停（Pause）机制，可在紧急情况下冻结所有交易操作。若合约已启用该功能且控制权集中于单一地址，存在被恶意调用暂停的风险。
1、访问Etherscan或BSCScan，输入合约地址进入合约详情页。
2、点击“Contract”标签页，查找是否存在paused状态变量或pause()、unpause()函数。
3、在“Read Contract”区域调用paused()函数，确认当前返回值是否为true。
4、查看合约源码中onlyOwner或onlyRole修饰符是否限制暂停权限，判断控制权是否过度集中。
二、验证预言机数据更新频率
依赖外部价格源的合约（如借贷、衍生品）若预言机未在夜间持续喂价，可能导致清算异常或估值失真，引发非预期资产变动。
1、在合约源码或项目文档中定位所用预言机服务，例如Chainlink、TWAP或Uniswap V3观察者。
2、访问对应预言机的数据页面（如Chainlink Data Feeds），查看目标资产最近24小时的更新时间戳。
3、比对UTC时间与本地时区，确认最后一次成功更新是否发生在过去8小时内。
4、若使用自建TWAP机制，检查合约中timeWeightedAveragePrice计算窗口是否覆盖跨日时段。
三、审查授权代币的无限批准状态
用户对合约的代币无限授权（infinite approval）可能被长期利用，尤其在合约逻辑升级或前端被篡改后，存在资产被批量转出隐患。
1、打开Etherscan，粘贴钱 包地址，切换至“Token Approvals”标签页。
2、筛选目标合约地址，确认对应代币的“Spender”字段是否匹配该合约。
3、查看“Amount”列数值，若显示为MAX或十六进制全F字符串，则代表无限授权。
4、通过Revoke.cash等工具发起撤销交易，或在支持批量撤销的钱 包中执行清理操作。
四、分析合约是否含重入防护机制
缺乏重入锁（ReentrancyGuard）或未采用Checks-Effects-Interactions模式的合约，在跨合约回调场景下易被夜间自动化攻击程序利用。
1、在Etherscan合约验证页面点击“Full Contract Source Code”，定位核心资金操作函数（如withdraw、claim）。
2、搜索关键词ReentrancyGuard、nonReentrant或locked状态变量，确认是否存在重入防护逻辑。
3、检查函数内部是否遵循先修改状态变量、再执行外部调用的顺序，避免先调用后更新结构。
4、若使用OpenZeppelin库，核对导入版本是否为v4.9.0及以上，确保修复了早期Guard漏洞。
五、核查合约升级代理模式安全性
采用UUPS或Transparent Proxy模式的合约，若升级权限未设限或初始化函数未关闭，可能在夜间被未经授权的地址触发逻辑替换。
1、在Etherscan合约页查看“Contract Creator”与“Implementation”地址是否分离，确认是否为代理合约。
2、点击Implementation地址，进入其源码页，查找initialize()函数是否包含initialized == false校验及后续置位逻辑。
3、返回代理合约页，在“Write Contract”中尝试调用owner()或admin()，确认返回地址是否为多签钱 包或DAO地址而非EOA。
4、检查代理合约是否实现_isDelegateCallAllowed类校验，防止非预期delegatecall执行。
