YAM Finance遭治理接管攻击，恶意提案试图控制Timelock

事件概述

YAM Finance 遭遇治理接管攻击。攻击者自委托约 504,000 枚 YAM 代币（占总供应量约 3.3%），略超法定投票门槛，随后向 YamGovernorAlpha 提交了 提案 #45。

攻击手法

• 提案描述为空，仅包含调用 YAM Timelock 合约 setPendingAdmin 方法的操作


• 意图将权限重定向至攻击者地址


• 若提案通过并执行，攻击者可成为 pendingAdmin，通过 acceptAdmin 完全控制 Timelock


• 进而获得所有 YAM 协议合约及 DAO 金库的管理权限

风险提示

涉及风险金额约 $337,000。当前 YAM 协议处于休眠状态，Defimon Alerts 提醒 YAM 持有人在区块高度 25897343（约 34 小时后）前对该提案投反对票。