BarnBridge Governance Attack

BarnBridge 是一个 DeFi 协议，其 SMART Yield 资金池会把用户的加密资产放到其他借贷平台上出借，并提供固定或浮动收益。它于2023年停止运营，同年以超过170万美元与美国 SEC 就指控达成和解。它的合约仍留在链上，许多用户授予这些合约的授权也依然存在。由于这个废弃的 DAO 中仍在质押的治理代币极少，攻击者只需价值约600美元的治理代币就能让投票通过。攻击者提交了一份伪装成常规升级的提案，而没有任何人投反对票。

2026年7月15日，该提案生效，将 SMART Yield 合约的控制权交给了攻击者。在大约12分钟内，攻击者利用这一控制权，直接从那些仍保留着多年前授权的钱包中转走 USDC，共计约77.66万 USDC，价值约77.7万美元。被盗的 USDC 随后被兑换成约415 ETH。安全公司 Blockaid 曾在资金被盗前不久公开警告这些危险提案，并敦促用户撤销授权，但攻击发生时，许多旧授权仍然有效。

Blockaid 还指出，另有一项已排队等待执行的提案，可能会使对其他 BarnBridge SMART Yield 合约的 DAI、USDT、GUSD 和 RAI 授权面临风险。这些合约也已包含在本条目中。如果您曾使用过 BarnBridge，无论涉及哪种代币，请立即撤销对其合约的所有授权。这次攻击表明，即使您已停止使用某个项目多年，对废弃项目的授权仍可能变得危险。撤销授权可以保护您钱包中剩余的资产，但无法追回已被盗走的资金。

受影响的用户只要没有撤销他们的授权，就仍处于风险之中。因此我们建议您使用下方的 Revoke.cash 漏洞检查器，以确保您的安全。