Token of Power（$TOP）今天在一次治理漏洞中损失了约 158 万美元。该漏洞清空了 Balancer V1 池，区块链安全公司报告称。由于该代币的总发行量仅为 16,384 个单位，攻击者获得了超过 50% 的 $TOP 投票权；随后，他们在通过 Aragon DAO 设置执行的一项单次恶意提案中，铸造了 100 亿个新代币。该漏洞延续了 2026 年针对低市值 DeFi 项目的治理攻击模式：由于流动性极低且参数宽松，接管成本变得可负担。
攻击者通过 Aragon DAO 提案铸造了 100 亿个代币
通过 Tornado Cash 资助的一个地址获得了超过 50% 的 $TOP 投票权，持有超过 16,384 个 TOP 总供应量的一半。攻击者使用带有 MiniMeToken 的 Aragon DAO 设置，在一笔交易中创建、投票并执行了一项恶意提案。这触发 TokenManager 将 100 亿个 TOP 直接铸造到攻击者合约。随后，新铸造的代币在 TOP/WETH 的 Balancer V1 池中被兑换为 944.2 WETH（约 158.5 万美元），从而耗尽其流动性。被盗资金随后通过 Tornado Cash 回流。Balancer 核心协议未发生损失。
BlockSec Phalcon 呼吁审查类似治理系统
BlockSec Phalcon 详细说明了攻击机制，并发出警告：“使用类似 Lido/Aragon 治理实现的项目应仔细审查其投票权分配、法定人数/通过门槛、铸币权限以及相关治理保护措施。”Cyvers Alerts 也报告了一笔可疑交易：涉及一个由 Tornado Cash 资助的地址，该地址执行了恶意交易，从 TOP/WETH Balancer V1 池中抽走资金。
漏洞要点：凸显低市值 DeFi 治理中持续存在的风险
该漏洞延续了 2026 年针对更小型 DeFi 项目的治理攻击模式：低流动性和宽松参数使接管变得负担得起。尽管主要协议已通过时间锁和更高的法定人数加强防御，但许多新兴代币仍面临暴露风险。低市值代币的投资者与流动性提供者应核实治理参数，监测大额代币的囤积，并避免未经审查的池。基于类似技术栈的项目可能会面临更严格的审查以及升级呼声。
常见问题（FAQ）
攻击者如何控制 Token of Power（$TOP）的治理？
攻击者通过 Tornado Cash 资助了一个地址，并因该代币总供应量仅为 16,384 个单位而获得了超过 50% 的 $TOP 投票权。通过使用带有 MiniMeToken 的 Aragon DAO 设置，他们在一笔交易中创建、投票并执行了恶意提案，从而触发 TokenManager 将 100 亿个 TOP 代币直接铸造到他们的合约中。
Token of Power（$TOP）漏洞中被盗资金发生了什么？
攻击者将新铸造的 100 亿个 TOP 代币在 TOP/WETH 的 Balancer V1 池中兑换为 944.2 WETH（约 158.5 万美元），随后将被盗资金通过 Tornado Cash 路由回去。Balancer 核心协议未发生损失。
