一週之內,三個 DeFi 項目被“投票”掏空——黑客沒破解合約,只是合法地贏了治理。⚠️
🧵 據 BlockintAI 鏈上覆盤,10月22日 Stacks 上的 Arkadiko 通過了一個僞裝成常規升級的提案 #12,只有攻擊者一票,隨後轉走約206.5萬 stSTX 和1.65 sBTC,並增發約15億 USDA,USDA 脫錨。
🔓 據 PandaSecurity(引 SlowMist),10月25日以太坊小型 DEX Yapeswap 的治理合約法定票數爲0,約0.000055%的票權就把工廠管理權轉走,損失約2.19萬美元,幾乎是協議全部 TVL。
⚡ 據 Crypto Adventure,10月24日 X100 被閃電貸借來約194萬 USDT 買票,奪取3個議席中的2個,在同一筆交易裏提案並執行,損失約485萬 USDT。
🛡️ 三起的共同點:法定票數形同虛設、沒有時間鎖、提案代碼沒人審。
💡 我的看法:小項目的治理往往是“擺設”,但擺設一樣能執行轉賬。參與任何帶治理代幣的 DeFi 前,至少看三件事:有沒有執行延遲、法定票數多少、最近提案改了什麼代碼。
你參與的協議裏,有人真的在讀治理提案嗎?你會因爲治理風險撤出資金嗎?👇
覺得有用點個贊,轉給還在挖礦的朋友~
#DeFi安全 #治理攻击 #Web3安全