前几天 Term Finance 丢了大约 $8.5M，但这次最离谱的地方，不是攻击有多复杂，而是那个恶意 Governance Proposal 在链上公开放了 6 天。 投票窗口结束时，没有任何 veto。12 秒后，提案被执行，随后 2,841.74 WETH 被转走，另一笔交易又带走了约 168 万 USDC。 没有 leaked key，没有 oracle manipulation，也没有 reentrancy 或 flash loan。 攻击者走的就是 Term 自己的 Governance Module：提交参数修改，进入等待期，没人反对，最后按规则执行。 这件事其实反应出 DeFi 有个挺容易被忽略的问题。 这些年大家一直在增加 Timelock、Governance、DAO、Veto，本质上都是想把规则做得更透明，也减少对某一个人的依赖。 但规则公开，不代表一定有人在看。 代码可以给你 6 天时间，却不会主动提醒你：“这个提案有问题，赶紧去 veto。” 所以 DeFi 下一阶段的安全问题，可能不只是 Smart Contract 有没有漏洞，还要多问一句： 到底谁在盯着 Governance？ 去中心化可以减少对一个人的依赖，但如果最后变成所有人都以为“别人会看”，那可能又是另一种风险。(AiCoin中文)