Innerhalb einer Woche wurden drei DeFi-Projekte durch „Abstimmungen“ leergeräumt – die Hacker knackten keine Smart Contracts, sondern setzten sich auf legalem Weg bei der Governance durch.⚠️
🧵 Laut der On-Chain-Analyse von BlockintAI nahm Arkadiko auf Stacks am 22. Oktober einen als gewöhnliches Upgrade getarnten Vorschlag (#12) an – mit nur einer Stimme, der des Angreifers. Anschließend transferierte dieser rund 206,5 Mio. stSTX und 1,65 sBTC und prägte etwa 1,5 Mrd. USDA nach. Der USDA verlor seine Bindung.
🔓 Laut PandaSecurity (unter Berufung auf SlowMist) lag das Quorum des Governance-Vertrags der kleinen Ethereum-DEX Yapeswap am 25. Oktober bei null. Mit rund 0,000055 % der Stimmrechte konnte jemand die Kontrolle über die Factory übertragen. Der Schaden belief sich auf etwa 21.900 US-Dollar – fast den gesamten TVL des Protokolls.
⚡ Laut Crypto Adventure lieh sich jemand am 24. Oktober per Flash Loan rund 1,94 Mio. USDT, um Stimmen für X100 zu kaufen und 2 von 3 Sitzen zu übernehmen. Vorschlag und Ausführung erfolgten in derselben Transaktion. Der Schaden: etwa 4,85 Mio. USDT.
🛡️ Allen drei Fällen gemeinsam: Das Quorum war praktisch bedeutungslos, es gab keine Zeitsperre und niemand prüfte den Code der Vorschläge.
💡 Meine Einschätzung: Bei kleinen Projekten ist Governance oft nur „Deko“ – doch auch Deko kann Transfers ausführen. Bevor ihr euch an einem DeFi-Protokoll mit Governance-Token beteiligt, solltet ihr mindestens drei Dinge prüfen: Gibt es eine Ausführungsverzögerung? Wie hoch ist das Quorum? Welchen Code hat der jüngste Vorschlag geändert?
Liest bei den Protokollen, an denen ihr teilnehmt, wirklich jemand die Governance-Vorschläge? Würdet ihr wegen Governance-Risiken eure Gelder abziehen?👇
Wenn ihr den Beitrag hilfreich findet, lasst ein Like da und teilt ihn mit Freunden, die noch am Mining sind~
#DeFi安全 #治理攻击 #Web3-Sicherheit