yapeswap

またしても「ガバナンスの投票権が非常に低くても権限を奪える」ことを示す教科書的な事例です。

SlowMistなどのセキュリティ情報によると、Yapeswapが攻撃を受け、約2.19万ドルの損失が発生しました。攻撃者はWorkersUnionのガバナンスの仕組みにおける極めて低い投票権を利用して、YapeFactoryのfeeToSetter権限を奪取。その後、悪意あるコントラクトをデプロイして資金を引き出しました。金額は大きくありませんが、手口は非常に典型的です。

ポイント：小規模なガバナンス＋過大な権限＝低コストで乗っ取り可能。プロジェクト側は、重要な権限が低いハードルの提案で変更できてしまわないか、タイムロックやマルチシグがあるか、fee関連の権限が過度に集中していないかを確認する必要があります。ユーザー側も「ガバナンスへの参加率が低い」ことを良いことだと思わないでください。それは往々にして攻撃の隙になります。被害額が小さくても記録しておく価値はあります。同種の脆弱性による次の被害は、もっと大きくなるかもしれません。

#Yapeswap #慢雾 #治理攻击 #DeFiセキュリティ