YAM遭遇空提案治理接管尝试
安全监控机构Defimon称，YAM Finance出现治理接管攻击：攻击者自我委托约50.4万枚YAM后，提交YamGovernorAlpha提案45，试图夺取协议Timelock管理员权限。
攻击者控制的投票权约占YAM总供应量3.3%，略高于法定提案门槛。攻击不依赖闪电贷、预言机价格操纵或合约重入漏洞，而是利用长期休眠治理体系中代币分散、投票参与低和治理门槛相对较低的条件取得足够提案权。
提案45的描述字段仅为“0x”，未向普通投票者提供可读的治理说明；其唯一执行动作是调用YAM Timelock的setPendingAdmin函数，将待生效管理员地址设为攻击者控制的钱包。该结构把恶意控制权转移隐藏在极简的链上调用参数内。
若投票通过且Timelock执行该调用，攻击者将先成为pendingAdmin；随后调用acceptAdmin完成管理员身份接收。Timelock管理员通常能够排队、取消或执行对协议受控合约的特权调用，因此控制权可扩展至YAM协议合约与DAO金库。
Defimon估计，受威胁资产约33.7万美元。攻击者不需要先盗取用户私钥或突破智能合约底层安全性，只要在治理投票中获得通过并跨越时间锁窗口，就可能通过合法合约权限转移控制金库及协议参数。
投票截止区块为25897343，Defimon在预警时估算剩余约34小时。YAM持有人若仍拥有未委托或可投票代币，可通过投反对票阻止该提案达到通过条件；但投票结果、法定人数、代币实际委托状态及提案是否已被取消，必须以治理合约的实时链上数据为准。
市场机制上，攻击者是YAM治理权的买方或控制方，潜在卖方是未参与治理、未及时委托或无法在截止前组织投票的持币者。若提案失败，资金仍保留在DAO控制体系；若提案成功，资产可能从金库转向攻击者地址，YAM代币持有人将承担治理信用崩塌和流动性退出压力。该风险对YAM整体市值未必构成大额市场冲击，却会直接考验休眠DAO的治理防线。
来源：公开信息
ABAB AI 解读
YAM Finance在2020年DeFi夏季以弹性供应算法稳定币项目迅速走红，但上线数日后即因治理合约代码缺陷导致再铸造机制失效，团队只能通过迁移提案将社区资产与治理权转移至新合约。该项目此后经历多次产品和治理调整，活跃度逐步下降。当前攻击延续了YAM的历史问题：协议代码本身未必需要出现新漏洞，但当治理代币长期缺少投票、权限仍集中在Timelock时，控制权可被低成本累积的代币投票夺取。
资本路径上，攻击者首先积累或取得约50.4万枚YAM的委托投票权，再利用刚刚超过门槛的数量提交提案。提案本身不要求公开宣称“转走金库”，而是先把Timelock的pendingAdmin指向攻击者；管理员接受权限后，才具备调度更大范围资产转移或协议修改的能力。资金并不是从用户钱包直接流失，而是先通过治理合法化地夺取钥匙，再用管理员权限处理金库。这种路径的成本通常低于直接攻击高安全等级多签或寻找底层合约漏洞。
历史上，Beanstalk在2022年遭遇治理攻击，攻击者通过闪电贷获取大量治理权、推动恶意提案并盗走约1.82亿美元；2026年的Term Finance事件也显示，治理层权限被夺取后，时间锁和投票否决机制若无法及时发挥作用，金库可能在单个治理序列中被抽空。YAM与这些案例的共同点是治理权本身成为攻击面；不同点在于，本次披露的YAM攻击看起来依赖长期持有或委托的低流动性治理代币，而不是短时闪电贷投票。
这属于资本集中。DAO的理想是把控制权分散给代币持有人，但治理权是否真正分散，取决于活跃投票权，而非总供应量。休眠协议中，大部分代币持有人不投票、委托关系失效或不关注提案时，少量可动员代币就能控制关键权限。时间锁只能提供反应时间，不能替代法定人数、提案白名单、紧急多签、权限分层和最小延迟约束；当“没人参与”成为常态，去中心化治理会把控制权以折价卖给最愿意行动的人。
ABAB News · 认知定律
代币分散不等于权力分散
沉默的持有人，给攻击者投了票
时间锁能延迟攻击，不能替代治理