DeFi的火爆催生了很多项目，但Yam这个在整个密码界引起轰动的明星项目，在上线仅37小时后就宣告结束。 　　

　　

　　一行代码毁了一个项目。8月12日凌晨3点，DeFi项目Yam正式开始流动性挖掘(即通过为DeFi提供流动性获得收益)。 　　

　　

　　Yam，全称Yam Finance，是社区孵化的DeFi协议。根据官方介绍，YAM引用了安普尔福思(AMPL)的柔性供应机制和YFI的代币发行理念，采用了DeFi项目中最流行的分散治理(DAO)，其中YAM是社区治理的代币。 　　

　　

　　山药本质上是一种供给灵活的加密货币。YAM每天都会根据价格重定基数来调整代币的供应量。同时，YAM非常分散，没有预售和预挖，创始人团队也没有股份，所有人都可以参与。山药总量为500万片，官方首发价格为1美元。 　　

　　

　　Yam把挖矿的用户称为“农民”，YAM token icon就是“YAM”。大家都把这个项目叫做“挖山药”，这个项目一开始就搅动了整个密码界。 　　

　　

　　尽管该项目在项目开始前警告说其合同未经审计，但“农民”仍在不到一小时内将7600万美元存入该项目。项目开始8小时后，Yam的总锁定价值超过2亿美元。 　　

　　

　　随后，BKEX Global、CoinW等交易所相继推出了山药/USDT交易对。15个小时后，BitMEX的创始人亚瑟海斯(Arthur Hayes)声称参与了山药流动性开采。据报道，许多人参与了这项工程。此时，任的锁定价值已经超过3亿美元。8月13日零点，山药锁仓价值达到4.6亿美元，山药代币价格涨到167美元的历史新高。 　　

　　

　　 　　

　　

　　山药价格趋势，来源：CoinMarketCap 　　

　　

　　但8月13日5点，YAM发推文称Rebase合约发现bug，会导致Yam比预期多。 　　

　　

　　山药官方给出了两条修复建议，并呼吁山药持有人通过代理投票的方式帮助修复建议。消息一出，山药代币价格下跌超过90%，至14美元。 　　

　　

　　然而，在大约8个小时的时间里，YAM投票数达到了18万YAM，超过了16万Yam投票的最低门槛。Yam项目方表示，参与投票的用户将获得一定的奖励。 　　

　　

　　下午15: 00，Yam锁定了价值超过7.3亿美元的仓库。Yam官方建议用户在16: 00 rebase之前退出Uniswap YAM/yCRV池，因为存在潜在的缺陷，可能会阻止该建议的实施。如果治理未能通过提案，重计基期间积累的yCRV将面临无法移动的风险。 　　

　　

　　然而，山药项目并没有被挽救。一个小时后，Yam核心开发者贝尔莫尔在推特上表示，“对不起大家。我失败了。感谢大家今天的大力支持。我好难过。”Yam官员表示，该项目中储存的约75万美元的曲线令牌全部丢失。 　　

　　

　　 　　

　　

　　事后，YAM在发表的博客中指出了错误代码： 　　

　　

　　total supply=init supply . mul(yamsScalingFactor)； 　　

　　

　　这一行代码应该是： 　　

　　

　　total supply=init supply . mul(yamsScalingFactor)。div(基数)； 　　

　　

　　区块链安保公司Quantstamp的首席执行官理查德马(Richard Ma)说，加上“div(BASE)”实际上是将总供应量除以一个非常大的数――10 ^ 18。没有这个除数，这个网络将产生“津巴布韦式”的通货膨胀。 　　

　　

　　比特币开发者詹姆斯普雷斯蒂奇(James Prestwich)表示，这个rebase漏洞导致了数十亿的山药投入到治理库中。这些山药确实存在，但不能投票表决。鉴于YAM的治理模块，这意味着没有投票提案可以通过，因为提案永远无法达到所需的票数。 　　

　　

　　据马说，目前还没有办法修复这个漏洞。价值约75万美元的加密货币将被永久锁定。 　　

　　

　　审计不成为营销工具？这是一个从开始到启动只用了10天的项目。 　　

　　

　　项目发布前，Yam在官方博客中明确表示项目代码未经审计：“虽然Yam协议的原创建者已经尽力保证合同的安全性，包括从现有的经过良好审计的项目中派生出大量代码库，并征求朋友们的意见，但Yam协议目前还没有正式收紧。 　　

格审计。“

　　

但这并没有影响投资者们的热情，因为不经审计便启动项目在业内已经不是新鲜事了。

　　

Ma 在接受媒体采访时表示，许多 DeFi 项目未经审计就启动了，像 Yearn Finance、Cream 和 Yearn Finance II 都是以这样的方式推出的。

　　

“目前不进行审计被认为是利用逆向心理进行营销的一种好方法，”Ma 补充说：“这会使人感觉到这些项目非常抢手，而你在别人还没听说之前就已经抢先一步了。”

　　

Ma 表示：“最大的危险在早期。”如果一个项目在早期的成长过程中幸存下来，就会开始积累许多非正式的安全审查。比如 Yearn Finance 项目，Quantstamp 后来进行了一次正式的安全审计，只是 Yam 没有那么幸运能够走到那个阶段。

　　

其实，Yam 启动后，也有开发人员对其进行了审核，但可惜并没有发现该漏洞。

　　

8 月 12 日，Aave 开发人员 Emilio Frangella 在推特上发布自己对 Yam 的审核，他认为该协议“很大程度上基于原始的 Synthetix 奖励合同”，配置设置的更改很少，对安全性没有任何影响。

　　

项目不死，计划推出 YAM 2.0宣布项目失败后，Yam 官方表示，只要以太坊继续支持这份合约，Yam 将继续生存下去。

　　

Yam 不能再通过治理进行修改，因此在技术层面上将以类似于其他 rebasing 资产 (如 AMPL) 的方式运行。而 YAM / yCRV Uniswap V2 池将永远保持不安全的状态。尽管 YAM 在第二次 rebase 前已从池中取出了 75% 的流动性，但任何剩余的流动性都应尽快移除。

　　

同时，Yam 还表示，YAM 社区应该有机会坚持下去。Yam 将设立 Gitcoin 捐赠，以协调由社区资助的对 Yam 合约的审计。如果资金目标达到，在审计完成后，Yam 将启动迁移计划，让社区控制项目，并推出 Yam 2.0。

　　

如果获得社区支持， Yam 将在未来几周内通过两个阶段的启动程序推动 Yam 协议迁移到审计合约版本。

　　

第一阶段，Yam 部署地址将建立一个迁移合约，Yam 持有者将在一定的期限内销毁此前代币同时铸造新的 Yamv2 代币。在第二阶段，完整的 Yam 系统预计将通过审核，并重新部署为 Yamv3。Yamv2 持有者将通过附加的合约迁移到更新后 Yamv3 代币地址。

　　

Yam Finance 表示，在任何时候都没有也不打算对协议进行管理和控制。在成功迁移之后，计划奖励一些代币持有者，但这需要获得投票批准。目前，Yam 代币持有人无需采取任何行动。

　　

针对此事件，区块链安全公司慢雾团队建议，项目中去中心化治理应循序渐进，在项目开始阶段，需要设置适当的权限以防发生黑天鹅事件。由于 DeFi 合约的高度复杂性，任何 DeFi 项目都需在经过专业的安全团队充分审计后再进行上线，降低合约发生意外的风险。

　　

8 月 13 日，Yam 核心开发者 belmore 在推特上称，用户现在看到的任何 Yam 分叉几乎可以肯定都是骗局，不要参与。如果想要获取收益，请转向定期进行审核且信誉良好的 DeFi 产品。

　　

受 YAM 事件影响，协议中可用于投资的其他代币，如 WETH、LINK、YFI、AAVE、SNX、MKR 和 COMP 的价格也受到了影响。

　　

不过，Ma 认为 Yam 的崩溃不会破坏 DeFi，因为 DeFi 用户可以很好地应对波动。

　　

关注我并转发此篇文章，私信我“领取资料”，即可免费获得InfoQ价值4999元迷你书！