一朝跌落云端 Yam Financial智能合约漏洞事件分析
红薯刚种下,就得挖出来了?
今日DeFi领域再次发生一起魔幻事件,呼声极高的红薯项目一经上线,流动性矿工们就开始疯狂涌入。短短8个小时内,Yam Finance中锁仓总价值就超过2亿美元。COMP挖矿带动了DeFi产业出圈,而YAM直接带动了DeFi头部项目集体上涨,堪称“一飞冲天”。
然而短短36小时内,眼见它高楼起,高楼塌。数亿美元因为一个小小的漏洞,消失于无形。本以为反应迟钝的自己损失了一个亿,没想到保住了自己的五块钱。
好好的小红薯,究竟承受了什么?
事件背景
8月12日,YAM Finance官方宣布他们发现了一个智能合约漏洞,并称该漏洞将生成超出最初设定数量的YAM代币。在这种情况下,大量的保留代币将造成治理操作所需的代币数量过大。这意味着社区将来将没有足够的代币来执行任何治理操作。
智能合约漏洞出现在哪里?
该漏洞发生在YAM项目智能合约YAM.sol的rebase功能上,如下图所示:
图片来源:
https://github.com/yam-finance/yam-protocol/blob/767e3a4a6918b6fb6100ad6bb356164408f5d82f/contracts/token/YAM.sol#L340
上图中的rebase功能应该执行rebase,以保持稳定的价格。但是,有一行代码(已标注蓝色)在计算totalSupply时,给出了错误的结果,这会导致系统保留的代币数量过多。
这行代码的正确代码/计算方程形式应类似于以下代码/方程:
totalSupply =initSupply.mul(yamsScalingFactor).div(BASE);
那么是否可以在截止日期之前通过治理操作来修复此漏洞?
第二次调整是在美国东部时间8月13日凌晨4点。
YAM Finance公开宣布,在美东时间凌晨3点之前,他们需要约16万YAM委托要求才能提交治理提案。如果在投票窗口中得到的委托超过40万YAM,则该提案将允许用户将YAM自行转移或存入储备池。
有一个好消息是,YAM获得了其社区的大力支持,并且该提案已成功提交。但是,新提交的提案无法在智能合约中运行,所以YAM目前依旧是一个不可管理的状态。
YAM的现状
YAM Finance目前已经失去了治理能力,75%的流动资金已经从YAM / yCRV未拨出资金池中移出。但是,其余的流动资金将从储备库中删除。
据官方消息,Gate.io将为YAM Gitcoin捐赠,捐赠资金将被用于对YAM合约进行审计。审计完成后,YAM合约将迁移到YAM2.0。
如何避免?
CertiK安全团队强烈建议:
所有区块链项目在正式发布之前不仅需要使用严格的软件测试工具来验证项目的代码安全性,更是应该邀请多个第三方区块链安全团队,做好对区块链项目中代码的验证审计工作,并在每次更新代码后进行重新审计。从而设计一个更好的项目管理系统,以备进行项目紧急更新的需求。
来源:CertiK中文社区
比推快讯
更多 >>- 美联储卡什卡利:我对中性利率的估计值从2%适度上调至2.5%
- Botanix Labs获总计1150万美元融资
- QCP Capital:比特币期权交易员押注9月看涨价格将突破10万美元
- 目前丢失状态的BTC估值约为1210亿美元
- Steve Eisman:加密货币与纳斯达克指数有75%相关性
- Gary Gensler:许多加密货币根据法律都是证券
- Scroll生态项目PenPad完成新一轮融资
- 香港首批现货虚拟资产ETF资产管理规模已超24亿港元
- 美国超20%摇摆州选民将加密货币视为关键议题
- Stanley Druckenmiller已在三月大幅减持英伟达股票
- 香港金管局:基于区块链的深港跨境数据验证平台已上线试行
- 新加坡Web3平台Galaxis完成1000万美元融资
- QCP Capital获阿布扎比监管机构原则性批准
- 外媒:韩民主党拟要求FSC重新审查现货比特币ETF以寻求开放此类产品
- 币安CEO:曾有不明身份人士寻求币安支付大量加密货币以解决针对Tigran Gambaryan指控
- 尼日利亚将禁止使用奈拉进行P2P加密交易
- 印尼当局捣毁一家以加密货币支付原材料的合成大麻实验室
- 香港金管局成立Ensemble项目架构工作小组 初期聚焦代币化资产交易
- 币安CEO:Tigran Gambaryan是无辜的,必须被释放
- 肖风:HashKey Group将为各种金融资产的通证化提供Web3基础设施支持,包括银行存款和绿色债券
- 熊猫证券成虚拟资产现货ETF首批承销商
- 花旗:美联储无惧融资利率短暂飙升,缩表将持续至明年
- Starknet基金会将为其开发者提供约500万美元资助
- 中银香港、汇丰、微软等七家机构成为香港金管局Ensemble项目架构工作小组初始成员
- 哥伦比亚银行Bancolombia推出加密交易所Wenia以及稳定币COPW
- 前美国联邦检察官:SEC将在明日之前提交针对Ripple诉讼的修订版的补救措施摘要
- StarDust Project宣布在Immutable zkEVM上启动
- Vitalik:Plasma能够以一种具有自洽规则的方式来防止任何资产的双重退出
- 加密货币交易平台Revolut X已向专业加密交易者开放
- Aave社区已投票通过“弃用V2上以太坊网络小市值稳定币” ARFC提案
- 数字财富管理平台CapBridge成为香港首批虚拟资产ETF國际合作伙伴
- LayerZero CEO:所有员工禁止参与申领空投,违者将被解雇
- Starknet基金会向链上元宇宙游戏Realms.World授予200万枚STRK赠款
- 美CFTC主席:针对加密的“执法行动周期”将在未来六个月到两年内进行
- 美 SEC 推迟对 Invesco Galaxy 现货以太坊 ETF 提案做出决定
- Bitwise CIO:Coinbase 受益于“恶劣的监管环境”
- Web3社交网络Bondex完成新一轮战略轮融资,DEXT Force Ventures参投
- Arbitrum 在 Uniswap 上的交易量突破 1500 亿美元
- Jack Dorsey旗下比特币公司Block将通过发行高级票据筹集15亿美元
- 美联储Thomas Barkin:加息的全面影响尚未完全显现
- Visa报告:以太坊、Tron、Solana链上超90%的稳定币交易由智能合约或机器人达成
- 美联储Barkin:今年的通胀数据令人失望,工作尚未完成
- 机构级代币化资产管理公司DwellFi完成300万美元种子轮融资,Stanford Blockchain等参投
- 美国现货比特币ETF今日增持3710枚BTC,价值约合2.36亿美元