2026-10-28事件
恶意提案在最后阶段通过
攻击者利用治理参与不足，在临近截止时取得决定性票数。
Hifi Finance DAO 治理接管事件事件 · 归零档案
攻击者在投票截止前集中投票通过恶意 DAO 提案，随后升级核心合约并转走约100万美元用户抵押品。
攻击者在投票截止前集中投票通过恶意 DAO 提案，随后升级核心合约并转走约100万美元用户抵押品。
暴雷时间线
接口实时同步2026-10-28处置进展
核心合约被升级
治理权限被用于替换或升级关键协议逻辑。
2026-10-28处置进展
用户抵押品被转走
公开记录显示约100万美元抵押资产遭提取。
链上证据
公开事件记录恶意提案通过，核心合约被升级，约 100 万美元抵押品被转走CRITICAL
攻击者利用治理参与不足，在临近截止时取得决定性票数；治理权限被用于替换或升级关键协议逻辑，公开记录显示约 100 万美元抵押资产遭提取。 · Hifi Finance 合约 → 攻击者地址 · 公开事件记录 · 抵押品损失 约 100 万美元
损失分布与影响范围
公开报告损失约100万美元以事件披露时公开估值记录，后续可能调整。
主要攻击路径低参与度治理与恶意升级提案按当前公开调查结论归类。
受影响网络Ethereum记录直接受影响的主要网络或基础设施。
攻击者在投票截止前集中投票通过恶意 DAO 提案，随后升级核心合约并转走约100万美元用户抵押品。
攻击路径：治理参与不足：临近截止的低参与度使攻击者以少数票控制治理，属治理流程缺陷。
处置与后续：项目方处置被劫持的治理权限并追踪资产。
社区情绪反转
2026-10-28 至 2026-10-28恶意提案在最后阶段通过攻击者利用治理参与不足，在临近截止时取得决定性票数。
核心合约被升级治理权限被用于替换或升级关键协议逻辑。
用户抵押品被转走公开记录显示约100万美元抵押资产遭提取。
事件披露后，社区关注从异常资金流出迅速转向攻击根因、项目响应速度、资产安全边界和补偿安排；当前结论仍应随官方复盘更新。
法律进展
事件调查中事件调查
DAO 治理接管事件调查
项目方就恶意提案与合约升级展开调查，公开记录未见刑事立案。 · 调查进行中 · 公开事件记录
公开记录未见刑事立案。
教训与启示
1权限与密钥最小化
定期盘点管理员、签名者、授权地址和遗留组件，撤销不再需要的权限。 重点：权限与密钥最小化
2监控关键安全不变量
对异常铸造、治理权突增、报价偏离、桥接根写入和大额转账设置实时阻断。 重点：监控关键安全不变量
3预先演练事件响应
明确暂停、隔离、通知、证据保全和补偿决策流程，避免处置窗口被继续利用。 重点：预先演练事件响应
本事件显示，低参与度治理与恶意升级提案不能仅依赖上线前审计，必须配合持续监控、权限最小化和可快速执行的应急机制。
评论
暂无评论