CertiK: Yam Finance 스마트 계약 취약성 이벤트 분석

고구마는 이제 막 심었으니 파내야 한다?

오늘 DeFi 분야에서 또 한 번 마법 같은 일이 벌어졌습니다.고구마 프로젝트가 출시되자마자 유동성 채굴자들이 미친 듯이 쏟아지기 시작했습니다. 불과 8시간 만에 Yam Finance에 잠긴 총 가치는 2억 달러를 초과했습니다. COMP 마이닝은 DeFi 산업을 원 밖으로 몰아냈고 YAM은 "하늘을 나는 것"이라고 할 수 있는 상위 DeFi 프로젝트의 집합적 상승을 직접 주도했습니다.

그러나 불과 36시간 만에 고층 빌딩이 무너지고 무너지는 것을 목격했습니다. 작은 허점 때문에 수억 달러가 사라졌습니다. 무반응이라 1억을 잃은 줄 알았는데 5달러를 지킬 줄은 몰랐다.

보조 제목

이벤트 배경

8월 12일, YAM Finance는 스마트 컨트랙트 허점을 발견했다고 공식적으로 발표했습니다. 허점이 초기 설정 금액보다 더 많은 YAM 토큰을 생성할 것이라고 합니다. 이 경우 많은 수의 예약된 토큰은 거버넌스 운영에 필요한 과도한 양의 토큰을 생성합니다. 이것은 커뮤니티가 미래에 거버넌스 작업을 수행하기에 충분한 토큰을 갖지 못한다는 것을 의미합니다.

스마트 계약 취약성은 어디에서 발생합니까?

이미지 출처:

이미지 출처:https://github.com/yam-finance/

위 이미지의 리베이스 기능은 안정적인 가격을 유지하기 위해 리베이스를 수행해야 합니다. 그러나 totalSupply를 계산할 때 잘못된 결과를 제공하는 한 줄의 코드(파란색으로 표시)가 있어 시스템이 너무 많은 토큰을 예약하게 됩니다.

이 코드 라인에 대한 올바른 코드/방정식 계산 형식은 다음 코드/방정식과 유사해야 합니다.

totalSupply =initSupply.mul(yamsScalingFactor).div(BASE);

그렇다면 기한 전에 거버넌스 조치를 통해 이 취약점을 수정할 수 있습니까?

두 번째 조정은 8월 13일 오전 4시(ET)입니다.

YAM Finance는 거버넌스 제안을 제출하려면 동부 표준시 오전 3시 이전에 약 160,000건의 YAM 위임 요청이 필요하다고 공개적으로 발표했습니다. 이 제안은 투표 기간 동안 400,000개 이상의 YAM이 위임된 경우 사용자가 YAM을 예비 풀로 이전하거나 입금할 수 있도록 합니다.

보조 제목

YAM의 현재 상태

YAM Finance는 현재 거버넌스 기능을 상실했으며 유동성의 75%가 YAM/yCRV 할당되지 않은 자금 풀에서 이동되었습니다. 그러나 나머지 유동성은 예비 풀에서 제거됩니다.

보조 제목

그것을 피하는 방법?

CertiK 보안 팀은 다음을 강력히 권장합니다.

모든 블록체인 프로젝트는 공식 출시 전에 엄격한 소프트웨어 테스트 도구를 사용하여 프로젝트의 코드 보안을 확인해야 할 뿐만 아니라 여러 제3자 블록체인 보안 팀을 초대하여 블록체인 프로젝트의 코드를 잘 확인해야 합니다. 감사 모든 코드 업데이트 후 작업 및 재감사. 따라서 긴급한 프로젝트 업데이트의 필요성에 대비하기 위해 더 나은 프로젝트 관리 시스템을 설계합니다.