过去一周，三个 DeFi 项目的治理权被外部拿走。10 月 24 日，X100 的三席治理「参议院」被人用闪电贷借来的资金占下两席，提案几乎立即执行，据报道损失约 485 万美元。10 月 26 日，Yapeswap 的治理法定人数为零被利用，损失约 2.2 万美元。10 月 28 日，据安全研究人员披露，Hifi Finance 一项提案在投票截止前由 4 个地址集中投票通过、无人反对，内容包括增发 2500 万治理代币、转走约 100 万美元用户抵押资产。项目方尚未公开回应。
三起的共同点：攻击者没有绕过权限，用的是项目自己写好的治理流程。
对小团队来说，风险在这几处
流程
治理合约上线后少有人值守，提案没人看，项目进入低活跃期后更是如此。
风险
投票参与率低时，法定人数很容易凑齐；没有快照、持仓期和执行延迟，借来的票当场就能用。
权限
治理合约往往能升级合约、增发代币、动金库和用户资产，权限最高的一把钥匙交给了投票。
可以马上做的 5 件事
- 盘点治理合约能做什么：能否升级合约、增发、转移用户资产，逐项写下来
- 投票权按提案创建时的快照计算，设最低持仓期，闪电贷借来的票不能当场用
- 设执行延迟（时间锁），配多签否决权或安全委员会，延迟期内能叫停
- 给新提案、投票异常集中、时间锁入列设告警，推到有人值守的频道
- 项目停更或收缩前，先收回治理对用户资产的权限，或把资产迁出
X100、Yapeswap 的经过和金额来自安全公司与媒体公开报道；Hifi Finance 提案内容来自安全研究人员披露，项目方尚未公开回应，提案是否已执行以链上记录为准。本文不涉及攻击细节。
