一周之内,三个 DeFi 项目被“投票”掏空——黑客没破解合约,只是合法地赢了治理。⚠️
🧵 据 BlockintAI 链上复盘,10月22日 Stacks 上的 Arkadiko 通过了一个伪装成常规升级的提案 #12,只有攻击者一票,随后转走约206.5万 stSTX 和1.65 sBTC,并增发约15亿 USDA,USDA 脱锚。
🔓 据 PandaSecurity(引 SlowMist),10月25日以太坊小型 DEX Yapeswap 的治理合约法定票数为0,约0.000055%的票权就把工厂管理权转走,损失约2.19万美元,几乎是协议全部 TVL。
⚡ 据 Crypto Adventure,10月24日 X100 被闪电贷借来约194万 USDT 买票,夺取3个议席中的2个,在同一笔交易里提案并执行,损失约485万 USDT。
🛡️ 三起的共同点:法定票数形同虚设、没有时间锁、提案代码没人审。
💡 我的看法:小项目的治理往往是“摆设”,但摆设一样能执行转账。参与任何带治理代币的 DeFi 前,至少看三件事:有没有执行延迟、法定票数多少、最近提案改了什么代码。
你参与的协议里,有人真的在读治理提案吗?你会因为治理风险撤出资金吗?👇
觉得有用点个赞,转给还在挖矿的朋友~
#DeFi安全 #治理攻击 #Web3安全