治理攻击

ChainCatcher 消息，固定利率借贷协议 Term Finance 的开发团队 Term Labs 宣布，在治理攻击事件后，所有 Term Meta Vaults 已永久关闭，DAO 治理权限被撤销，但提款通道仍保持开放。在 8 月 23 日的更新中，Term 表示此次关闭不可逆转，并永久阻止后续存款，但未披露金库中剩余资产规模，仅表示将“探索路径”以解决任何缺口，存款者可收回的金额仍悬而未决。区块链安全公司 PeckShield 估计，攻击者盗走约 2,843 枚 ETH（当时价值约 687 万美元）及 168 万枚 USDC（后被兑换为约 168 万枚 DAI），总损失约 850 万美元。链上记录印证了相关转账：一笔交易将 2,841.74 WETH 转至被 Etherscan 标记为“Term Finance Exploiter 1”的地址，另一笔交易将 168 万枚 USDC 转至标记为“Term Finance Exploiter 2”的地址。Yearn 表示 Term 的金库合约使用其 V3 架构，但攻击发生在 Term 的自定义治理包装器上，该攻击向量不适用于标准 Yearn 金库。Term 表示，根据目前调查，其底层协议及直接借贷市场未受影响，并正与外部安全团队合作进行补救与追回，但未给出赔偿承诺或时间表。

ChainCatcher 消息，据 CertiK 监测，Term Labs 遭遇治理攻击，导致约 850 万美元资产损失。目前攻击者地址持有 2,843 枚 ETH（约 710 万美元）以及约 160 万枚 DAI。

ChainCatcher 消息，币安表示，其监测团队发现一项针对某未具名去中心化自治组织 (DAO) 的恶意治理提案，涉及约 120 万美元金库代币风险，距离执行不足 48 小时。币安联系该项目，并与上架相关代币的中心化交易所协调关闭充值；该项目随后投票否决提案，阻止其执行。币安未披露项目及代币名称。 该提案利用项目链上治理机制较低的提案门槛。BonkDAO 今年 7 月确认，一项恶意提案曾从其金库转出约 2000 万美元 BONK 代币，攻击者通过积累足够投票权授权转账。

ChainCatcher 消息，币安安全团队近日独立发现一个针对某项目去中心化自治组织的恶意治理提案，该提案可能使约 120 万美元国库代币面临风险。 币安在提案执行前不到 48 小时通知项目方投票反对，并协调相关中心化交易所暂停受影响代币充值，以降低潜在资金转移风险。最终，该恶意提案被否决，攻击未被执行，未造成资金损失。

ChainCatcher 消息，据链上分析师余烬监测，此前通过治理提案转出 Bonk 财库价值 2,120 万美元 BONK 的相关地址，在昨日向币安转入 1.186 万亿枚 BONK（约 411 万美元）后，今日再次向 Coinbase 转入 4000 亿枚 BONK，价值约 128 万美元。 数据显示，该地址通过治理提案从 Bonk 财库转出的 4.426 万亿枚 BONK 中，已有 1.626 万亿枚 BONK（约 558 万美元）转入中心化交易所。此外，自该地址转出 Bonk 财库资产至今的 11 天内，BONK 价格已下跌约 36%，由 0.0000047 美元跌至 0.000003 美元。

ChainCatcher 消息，据 BlockSec Phalcon 监测，BarnBridge SMART Yield（cUSDC）协议在以太坊上遭攻击，损失约 77.6 万美元，疑似为治理攻击。攻击者首先获得 DAO 治理权限，随后将 SmartYield/controller 代理升级为恶意实现合约，该合约随后调用 CompoundProvider 的 _takeUnderlying 特权函数，利用 50 个用户账户预先存在的 USDC 授权，通过 transferFees 将聚合资金转移至攻击者手中。

ChainCatcher 消息，链上安全员 Specter 发文称，对 BONK DAO 治理攻击事件进行初步调查后发现，存在值得关注的链上关联：Realms 创始人以及 Crypto Notte 均被发现与疑似攻击者关联地址存在链上资金暴露。 Specter 指出，攻击者于 2026 年 6 月 30 日通过某地址创建恶意治理提案，该提案要求获得相当于 BONK 流通供应量 1% 的投票权支持后才能通过，随后于 7 月 4 日至 5 日期间通过交易所购买以及在 marginfi 借贷方式获得所需投票权，其中借贷规模约为 400 万美元。

ChainCatcher 消息，链上安全机构 Specter 发布 BONK DAO 治理攻击初步调查结果，追踪链上资金链路后发现重要疑点：Realms 创始人、Crypto Notte 相关地址与疑似攻击者钱包存在资金往来痕迹。据复盘，攻击者于 6 月 30 日发布恶意治理提案，提案通过门槛为 BONK 流通总量 1% 投票权；7 月 4 日至 5 日，攻击者通过交易所购币、Marginfi 借贷合计约 400 万美元获取足额投票权重，推动提案落地完成治理攻击。

ChainCatcher 消息，据 The Block 报道，DeFi 借贷协议 Moonwell 在 Moonriver 部署上正遭遇治理攻击。一名未知攻击者约花费 1800 美元买入约 4000 万枚 MFAM 代币，在约 11 分钟内完成买入、发起提案并投票过审，试图通过将 7 个借贷市场、控制器及预言机等核心合约的管理员权限转移至其控制合约，从而可提取约 108 万美元用户资金。目前该提案投票将持续至 3 月 27 日，早期已达法定人数，随后反对票占优，但最终结果仍取决于剩余投票及协同。Moonwell 还可通过紧急多签“Break Glass Guardian”否决该提案并收回控制权。

ChainCatcher 消息，针对以太坊联创 Vitalik 提出需要更多、更好的 DAO，DeFi 研究员 Ignas 在 X 平台发文驳斥称，DAO 通常由三类群体运营：核心团队或基金会、专业委托代表、以及巨鲸，专业委托代表的存在是由于多数代币持有者忽视治理，95%的投票是技术升级类型，且需要有人获得报酬来关注这些事务。 这种三方联盟存在缺陷和系统性风险，比如 2024 年价值 2400 万美元的 COMP 代币被社区投票“合法”地从 Compound 财库中转移至一个陌生且无法监控的多签地址中，引发了一场 DAO 治理攻击事件。 理论上只要项目创始人决定关心 DAO，这一切都是可行的，但很多人根本不会在意。

ChainCatcher 消息，据 CoinDesk 报道，Tally 协议首席执行官兼联合创始人 Dennison Bertram 表示，最近一群治理代币持有者决定在 Compound 借贷协议上创建一款收益产品，这并不是“治理攻击”,你不能责怪人们遵守规则；仅仅因为其他 COMP 代币持有者反应冷漠，并不意味着 Humpy 和 Golden Boys 的提议是一种攻击；智能合约没有被利用，所采取的行动符合运行该协议 DAO 的规则；这表明治理 DAO 的民主程序并不完善，需要改进。 Bertram 表示，最近宣布的Tally协议将在未来几周内投入测试网，该协议旨在通过激励积极参与来解决 DAO 治理参与度低和关注度低的问题。Tally 此前已于 2021 年进行两轮融资，以构建 DAO 治理仪表板和工具。

ChainCatcher 消息，据 The Block 报道，Compound Finance 通过的一项提案引发了社区有关治理攻击的指控，他们声称一个小团体在公开市场上获得大量代币后，能够通过批准程序强行实施该提案。 上周日，289 号提案以 682,191 票对 633,636 票的微弱优势获得通过，该提案将 Compound 财库 5%的资金（49.9 万枚 COMP 代币，价值约 2400 万美元）分配给“Golden Boys”设计的一项为期一年的生息协议。对该提案的投票于当地时间周四晚上 11 点 40 分开始，一直持续到周末。 然而，社区成员声称，在这些投票总数背后还有隐情。OpenZeppelin 安全解决方案架构师 Michael Lewellen 是 Compound Finance 的安全顾问，其在 X 发文表示，一些在公开市场上积累 COMP 代币的账户与几个旨在将 COMP 资产转移到由“Golden Boys”创建的 goldCOMP 产品的提案存在关联。 针对 Lewellen 的安全警报，Wintermute Governance、Columbia Blockchain、Penn Blockchain 和 StableLab 等几个社区成员也表达了类似的担忧。

ChainCatcher 消息，Paradigm 研究员 Samczsun 发布推文表示，2023 年 5 月 20 日 15:25，Tornado Cash 遭遇治理攻击，攻击者通过恶意提议授予自己 120 万投票权，超过约 70 万正当选票，获得了治理控制。 这意味着，攻击者可以：撤回所有锁定的选票；耗尽治理合约中的所有代币；禁用路由器。不过，攻击者仍无法耗尽个别资金池。 据悉，截止目前，攻击者已提取出售约 1 万枚 TORN。（来源链接）

ChainCatcher 消息，据 The Block 报道，Swerve Finance 在过去一周时间内持续遭受治理攻击，目前已损失价值 130 万美元的稳定币。 据悉，治理攻击是指黑客控制足够的投票权来执行旨在从协议中窃取 Token 的提案。 此前报道，2021 年 2 月，Swerve Finance 多签持有者以及其 Discord 频道版主 chickenpie347 发文指出，因创始人 John 消失、Token 经济学设计以及多签持有者存在利益冲突等问题，Swerve 团队决定将项目移交给社区，并转向新项目 Boot Finance。（来源链接）