事件概述
区块链安全公司Decurity旗下的链上监控服务Defimon警告，YAM Finance面临一次治理接管企图。一名攻击者通过自我委托约504,000枚YAM代币（占总供应量3.3%），获得了超过治理法定人数的投票权，并提交了提案#45。
攻击手段与风险
提案#45描述为空的“0x”，仅调用YAM Timelock合约的setPendingAdmin函数，将攻击者控制的地址设为待定管理员。若提案通过并执行，攻击者将先成为Timelock待定管理员，随后可调用acceptAdmin完成控制权转移，从而控制协议合约及DAO金库。Defimon估计约337,000美元资产面临风险。
Defimon呼吁YAM持有者在区块高度25,897,343之前投票反对该提案。截至警报时，持有者约有34小时响应。YAM Finance近期活跃度低，低参与度使治理系统易被少量委托代币操控。
行业类似事件
近期多次发生针对休眠DAO的治理攻击：
- 8月，StrongBlock被恶意提案控制Governor合约，盗走约72,000美元STRONG和STRNGR。
- 8月，Term Labs攻击者花费约951美元获取治理代币控制权，抽走策略金库约850万美元。
- 7月，BonkDAO攻击者积累BONK投票权转移约2000万美元，仅7个钱包参与投票。
- ENS DAO随后激活八人安全委员会以否决恶意提案。
- 8月Binance检测到一未命名DAO恶意提案，约120万美元风险，最终被拒绝。
当前状态
截至Defimon警报，YAM提案#45尚未造成资金损失，仍需通过治理流程并执行。安全机构持续关注并敦促持有者行动。