YAM遭遇空提案治理接管嘗試
安全監控機構Defimon稱，YAM Finance出現治理接管攻擊：攻擊者自我委託約50.4萬枚YAM後，提交YamGovernorAlpha提案45，試圖奪取協議Timelock管理員權限。
攻擊者控制的投票權約佔YAM總供應量3.3%，略高於法定提案門檻。攻擊不依賴閃電貸、預言機價格操縱或合約重入漏洞，而是利用長期休眠治理體系中代幣分散、投票參與低和治理門檻相對較低的條件取得足夠提案權。
提案45的描述字段僅爲“0x”，未向普通投票者提供可讀的治理說明；其唯一執行動作是調用YAM Timelock的setPendingAdmin函數，將待生效管理員地址設爲攻擊者控制的錢包。該結構把惡意控制權轉移隱藏在極簡的鏈上調用參數內。
若投票通過且Timelock執行該調用，攻擊者將先成爲pendingAdmin；隨後調用acceptAdmin完成管理員身份接收。Timelock管理員通常能夠排隊、取消或執行對協議受控合約的特權調用，因此控制權可擴展至YAM協議合約與DAO金庫。
Defimon估計，受威脅資產約33.7萬美元。攻擊者不需要先盜取用戶私鑰或突破智能合約底層安全性，只要在治理投票中獲得通過並跨越時間鎖窗口，就可能通過合法合約權限轉移控制金庫及協議參數。
投票截止區塊爲25897343，Defimon在預警時估算剩餘約34小時。YAM持有人若仍擁有未委託或可投票代幣，可通過投反對票阻止該提案達到通過條件；但投票結果、法定人數、代幣實際委託狀態及提案是否已被取消，必須以治理合約的實時鏈上數據爲準。
市場機制上，攻擊者是YAM治理權的買方或控制方，潛在賣方是未參與治理、未及時委託或無法在截止前組織投票的持幣者。若提案失敗，資金仍保留在DAO控制體系；若提案成功，資產可能從金庫轉向攻擊者地址，YAM代幣持有人將承擔治理信用崩塌和流動性退出壓力。該風險對YAM整體市值未必構成大額市場衝擊，卻會直接考驗休眠DAO的治理防線。
來源：公開信息
ABAB AI 解讀
YAM Finance在2020年DeFi夏季以彈性供應算法穩定幣項目迅速走紅，但上線數日後即因治理合約代碼缺陷導致再鑄造機制失效，團隊只能通過遷移提案將社區資產與治理權轉移至新合約。該項目此後經歷多次產品和治理調整，活躍度逐步下降。當前攻擊延續了YAM的歷史問題：協議代碼本身未必需要出現新漏洞，但當治理代幣長期缺少投票、權限仍集中在Timelock時，控制權可被低成本累積的代幣投票奪取。
資本路徑上，攻擊者首先積累或取得約50.4萬枚YAM的委託投票權，再利用剛剛超過門檻的數量提交提案。提案本身不要求公開宣稱“轉走金庫”，而是先把Timelock的pendingAdmin指向攻擊者；管理員接受權限後，才具備調度更大範圍資產轉移或協議修改的能力。資金並不是從用戶錢包直接流失，而是先通過治理合法化地奪取鑰匙，再用管理員權限處理金庫。這種路徑的成本通常低於直接攻擊高安全等級多籤或尋找底層合約漏洞。
歷史上，Beanstalk在2022年遭遇治理攻擊，攻擊者通過閃電貸獲取大量治理權、推動惡意提案並盜走約1.82億美元；2026年的Term Finance事件也顯示，治理層權限被奪取後，時間鎖和投票否決機制若無法及時發揮作用，金庫可能在單個治理序列中被抽空。YAM與這些案例的共同點是治理權本身成爲攻擊面；不同點在於，本次披露的YAM攻擊看起來依賴長期持有或委託的低流動性治理代幣，而不是短時閃電貸投票。
這屬於資本集中。DAO的理想是把控制權分散給代幣持有人，但治理權是否真正分散，取決於活躍投票權，而非總供應量。休眠協議中，大部分代幣持有人不投票、委託關係失效或不關注提案時，少量可動員代幣就能控制關鍵權限。時間鎖只能提供反應時間，不能替代法定人數、提案白名單、緊急多籤、權限分層和最小延遲約束；當“沒人蔘與”成爲常態，去中心化治理會把控制權以折價賣給最願意行動的人。
ABAB News · 認知定律
代幣分散不等於權力分散
沉默的持有人，給攻擊者投了票
時間鎖能延遲攻擊，不能替代治理