TREE NEWS 报道， Yapeswap 遭遇攻击，损失约 2.19 万美元。事件根源在于 WorkersUnion 治理机制的法定人数要求为零，导致一项仅获约 0.000055% 投票权支持的提案便将 YapeFactory 的 feeToSetter 权限转移给攻击者。攻击者随后部署恶意 Registry 合约，使 latestVault() 返回伪造金库地址，而 vaults() 仍列出真实金库。YapePair 将转移的存款计入农场资产，却未收到可赎回份额，最终造成资金损失。
慢雾：Yapeswap 遭攻击损失约 2.19 万美元，零法定人数治理漏洞被利用
AI 解读
这起事件的核心并非金额，而是治理参数设计的结构性风险：法定人数为零意味着极低投票权即可完成权限转移，攻击面从代码漏洞转移到了治理配置本身。受影响的不只是 Yapeswap 用户，还包括所有采用类似低门槛治理模板的 DeFi 项目，尤其是分叉或复用 WorkersUnion 类机制的协议。值得观察的是，攻击者利用真实金库与伪造金库并存的信息差完成记账套利，这类“合约返回不一致”的手法是否会成为后续审计的重点方向，以及同类零法定人数治理结构是否会引发更广泛的排查。
由 AI 生成，仅供参考。