YAM:CertiK：一朝跌落云端，Yam Finance智能合约漏洞事件分析 ?

红薯刚种下，就得挖出来了？今日DeFi领域再次发生一起魔幻事件，呼声极高的红薯项目一经上线，流动性矿工们就开始疯狂涌入。短短8个小时内，YamFinance中锁仓总价值就超过2亿美元。COMP挖矿带动了DeFi产业出圈，而YAM直接带动了DeFi头部项目集体上涨，堪称“一飞冲天”。然而短短36小时内，眼见它高楼起，高楼塌。数亿美元因为一个小小的漏洞，消失于无形。本以为反应迟钝的自己损失了一个亿，没想到保住了自己的五块钱。

Balancer推出Orb Collective用于扩大其生态系统:金色财经消息，去中心化交易协议Balancer推出Orb Collective，其目标是扩大Balancer协议的全球采用率，并继续为DeFi的下一个十年创新培育Balancer生态系统。据悉，Orb Collective由前Balancer Labs和Balancer DAO贡献者组成的团队创建，Orb提供了一种解决方案，通过合作伙伴关系、营销、集成、设计和人员运营工作来促进Balancer协议的发展。[2022/8/2 2:53:20]

CertiK以近10亿美元估值完成8000万美元B2轮融资，红杉资本领投:12月1日消息，区块链安全公司CertiK于2021年11月30日宣布完成8000万美元的B2轮融资，再次刷新区块链安全赛道单笔最大融资额。该轮融资由红杉资本领投，Tiger Global、高瓴创投、Coatue Management、顺为资本等老股东持续跟投。CertiK在四个月内共完成三轮融资，总融资额超过1.4亿美元，估值近10亿美元。在过去一年中，CertiK完成了20倍的收入增长，员工人数增加了4倍。此外，CertiK为超过1800家企业级客户提供区块链安全服务，挖掘了超过31000个代码漏洞、保护了超过3000亿美元的数字资产安全。[2021/12/1 12:42:55]

好好的小红薯，究竟承受了什么？事件背景

Aave推出自动做市商（AMM）市场，Uniswap和Balancer LP代币可作为抵押品:3月16日消息，Aave推出自动做市商（AMM）市场，用户可以开始从Aave AMM Liquidity Pool存入和借入加密资产，允许Uniswap V2和Balancer的流动性提供者（ LP）使用其LP代币作为Aave协议中的抵押品。[2021/3/16 18:49:54]

8月12日，YAMFinance官方宣布他们发现了一个智能合约漏洞，并称该漏洞将生成超出最初设定数量的YAM代币。在这种情况下，大量的保留代币将造成治理操作所需的代币数量过大。这意味着社区将来将没有足够的代币来执行任何治理操作。智能合约漏洞出现在哪里？该漏洞发生在YAM项目智能合约YAM.sol的rebase功能上，如下图所示：

图片来源：https://github.com/yam-finance/上图中的rebase功能应该执行rebase，以保持稳定的价格。但是，有一行代码在计算totalSupply时，给出了错误的结果，这会导致系统保留的代币数量过多。这行代码的正确代码/计算方程形式应类似于以下代码/方程：totalSupply=initSupply.mul(yamsScalingFactor).div(BASE);那么是否可以在截止日期之前通过治理操作来修复此漏洞？第二次调整是在美国东部时间8月13日凌晨4点。YAMFinance公开宣布，在美东时间凌晨3点之前，他们需要约16万YAM委托要求才能提交治理提案。如果在投票窗口中得到的委托超过40万YAM，则该提案将允许用户将YAM自行转移或存入储备池。有一个好消息是，YAM获得了其社区的大力支持，并且该提案已成功提交。但是，新提交的提案无法在智能合约中运行，所以YAM目前依旧是一个不可管理的状态。YAM的现状

YAMFinance目前已经失去了治理能力，75％的流动资金已经从YAM/yCRV未拨出资金池中移出。但是，其余的流动资金将从储备库中删除。据官方消息，Gate.io将为YAMGitcoin捐赠，捐赠资金将被用于对YAM合约进行审计。审计完成后，YAM合约将迁移到YAM2.0。如何避免？

CertiK安全团队强烈建议：所有区块链项目在正式发布之前不仅需要使用严格的软件测试工具来验证项目的代码安全性，更是应该邀请多个第三方区块链安全团队，做好对区块链项目中代码的验证审计工作，并在每次更新代码后进行重新审计。从而设计一个更好的项目管理系统，以备进行项目紧急更新的需求。

标签：YAMCERNCEANCYAM币Experiencerelk-financeWeiner Finance

SHIB热门资讯