Yapeswap потеряла почти все резервы из-за нулевого кворума в управлении

25 октября 2026 года атакующий вывел около $21,9 тыс. из DEX Yapeswap на Ethereum — почти весь TVL протокола (~$25 тыс.). Причина: в контракте WorkersUnion кворум был нулевым, и предложение с 0,000055% голосов передало роль feeToSetter фабрики атакующему.

• Ущерб: ~$21,9 тыс. по SlowMist, ~$39,7 тыс. по трём транзакциям Oculr
• Кворум в WorkersUnion был нулевым — хватило пылевого объёма VISION
• Публичный updateRegistry() в YapePair копировал адрес реестра без проверки
• rebalance() перевёл резервы в поддельные vault вместо настоящих Yearn