Defimon: YAM Finance bị tấn công tiếp quản quản trị, kẻ tấn công đã nộp đề xuất trống nhằm kiểm soát Timelock

Công ty an ninh Defimon đã phát đi cảnh báo rằng, đã phát hiện một cuộc tấn công chiếm quyền quản trị nhằm vào YAM Finance. Kẻ tấn công đã tự ủy thác khoảng 504,000 YAM (chiếm khoảng 3.3% tổng cung, hơi cao hơn ngưỡng bỏ phiếu hợp pháp) và sau đó đã nộp đề xuất YamGovernorAlpha #45, đề xuất này mô tả là trống rỗng ("0x"), với thao tác duy nhất là gọi phương thức setPendingAdmin của hợp đồng YAM Timelock, chỉ định đến địa chỉ của kẻ tấn công.

Theo thông tin được tiết lộ, nếu đề xuất này được bỏ phiếu thông qua và thực hiện, kẻ tấn công sẽ trở thành pendingAdmin, sau đó có thể hoàn toàn kiểm soát Timelock thông qua acceptAdmin, tức là quyền quản lý tất cả các hợp đồng của giao thức YAM và kho DAO, liên quan đến số tiền rủi ro khoảng 337,000 USD. Do giao thức hiện đang trong trạng thái ngủ đông, Defimon Alerts nhắc nhở người dùng nắm giữ YAM hãy bỏ phiếu phản đối đề xuất này trước độ cao khối 25897343 (còn khoảng 34 giờ).