t3anksm3@proton.me

# CPIMP攻击检测完整指南 ## TL;DR CPIMP（Clandestine Proxy In the Middle of Proxy）是一种针对可升级代理合约的高级隐藏攻击，通过抢跑初始化交易插入恶意中间代理。检测关键在于：检查交易追踪中的双delegatecall模式、初始化事件异常（双Upgraded事件）、存储槽欺骗行为，以及字节码中的后门签名。截至2025年12月5日，该攻击已在EtherFi、Pendle、Bera等数十个协议中被发现，但通过协调缓解措施已避免大规模损失。 ## 核心分析 ### CPIMP攻击机制解析 **攻击原理**：CPIMP代表"Clandestine Proxy In the Middle of Proxy"（隐蔽的代理中间代理），是一种针对未初始化可升级代理合约的复杂攻击向量。 **执行流程**： - **抢跑阶段**：攻击者监控未初始化代理合约，在合法初始化交易前插入恶意交易 - **伪装层**：恶意CPIMP设置为代理的实现地址，同时记录原始预期实现地址 - **透明转发**：合法初始化成功执行不会回退，CPIMP通过两次

是的，普通用户也可以创建 Yearn Vault V2。 Yearn Vault V2 采用了模块化、可组合的合约架构，任何拥有足够以太坊（或对应链）资产并满足基本安全要求的用户，都可以通过以下步骤自行部署一个新 Vault： 1. **准备环境** - 安装并配置好以太坊钱包（MetaMask、Ledger 等）。 - 搭建或使用已有的 Solidity 开发环境（Hardhat、Foundry 等），并确保能够与目标链（以太坊主网或 L2）交互。 2. **获取 Yearn Vault V2 合约模板** - Yearn 官方在 GitHub 上公开了 Vault V2 的合约代码（`Vault.sol`、`Strategy.sol` 等），可以直接克隆或下载。 - 参考官方文档或示例项目，了解每个合约的作用与参数。 3. **自定义参数** - **策略（Strategy）**：决定资金如何被投入收益产出协议（如 Aave、Compound、Curve 等）。可以选择已有的公开策略，也可以自行编写。 - **费

在 Yearn UI 上展示的 Vault 并不等同于“绝对安全”。下面是几个关键点，帮助你更好地评估这些 Vault 的风险： 1. **审计与代码公开** - 大多数官方上线的 Vault 都已经经过公开的安全审计（如 OpenZeppelin、Trail of Bits 等），审计报告会在 Yearn 社区或 GitHub 上公开。 - 但审计只能发现已知的漏洞，无法保证未来不会出现新漏洞或合约升级后出现风险。 2. **治理与社区监督** - Yearn 采用 DAO 治理，任何新 Vault 的上线都需要社区投票通过。投票过程本身是一层风险筛选，但仍然依赖投票者的专业判断。 - 社区会持续监测策略（Strategy）合约的表现和安全性，出现异常时会发出警告或暂停。 3. **策略（Strategy）层面的风险** - Vault 本身只是资金的聚合器，真正产生收益的是背后的 Strategy 合约。不同 Strategy 会把资金投入不同的 DeFi 协议（如 Aave、Curve、Lending、Yield‑Farmi

**Yearn Finance 的 DAO 治理网站**：https://gov.yearn.fi/ ### 关键说明 - **主要功能**：这是 Yearn 的官方治理论坛（基于 Discourse），用于提案讨论、投票提案和社区治理。持有 YFI 代币的用户可参与。 - **投票平台**：实际 Snapshot 投票在 https://snapshot.org/#/yearnfinance.eth （通过 YFI 代币 gasless 投票）。 - **官方文档**：更多治理细节见 https://docs.yearn.fi/resources/governance （包括提案流程、执行等）。 这些链接来自 Yearn 官方渠道（yearn.finance 和 docs）。若需最新提案或具体投票，可直接访问查看。

**简要回答**： Yearn 上的大多数 Vault 并不是普通用户随意自行创建的，而是经过 Yearn DAO 审核、社区投票并在官方 UI 中上线的合约。虽然 Vault 本身的代码是公开的、经过审计的，但实际的资金安全仍取决于 **Vault 所使用的 Strategy（策略）合约**。如果策略合约的作者是恶意的或出现漏洞，理论上仍有可能导致资金被“卷走”。 下面从几个关键维度说明风险与防护措施： | 维度 | 说明 | |------|------| | **创建方式** | - 新 Vault 必须提交 **Strategy 合约** 并通过 Yearn DAO 的提案投票。<br>- 投票通过后，Vault 才会在 Yearn UI 上展示。普通用户只能在已有 Vault 中存入资产，不能自行部署并直接在 UI 上出现。 | | **代码审计** | - 官方上线的 Vault 与 Strategy 大多数都有公开的安全审计报告（如 OpenZeppelin、Trail of Bits 等）。<br>- 审计报告会在 Yearn 文档或 GitHub 上公开，

Yearn DAO 的投票记录可以在以下官方渠道查看： | 渠道 | 访问方式 | 主要内容 | |------|----------|----------| | **Snapshot（无 gas 投票）** | <https://snapshot.org/#/yearnfinance.eth> | 所有提案的创建、投票时间、投票结果（赞成/反对/弃权）以及每个地址的投票权重。 | | **Yearn Governance 论坛** | <https://gov.yearn.fi/> | 论坛里会同步发布提案的讨论、投票链接以及投票结束后的结果摘要。 | | **Yearn Discord（#governance 频道）** | 进入 Yearn 官方 Discord，查看 #governance‑announcements | 实时公告新提案、投票开启/结束提醒，常会附带 Snapshot 链接。 | | **Yearn Docs – Governance** | <https://docs.yearn.fi/governance> | 详细说明治理流程、提案提交规则以及如何在 S