質押 APY 漏洞讓 8% 報酬變成 49%

一項對質押智能合約的審計發現 APY 計算錯誤：對一筆鎖定 60 天、金額為 10,000 枚代幣的存款，合約支付了約 800 枚代幣，而不是 131 枚。合約對每次 60 天鎖定都套用了完整的 8% 年化收益率，而不是依照鎖定期間按比例計算獎勵。 因此，使用者若反覆鎖定資金，每年可從原始存款賺取約 49%，若計算複利則約為 60%。這個漏洞不需要特殊權限或攻擊合約；一般質押者也會收到過高獎勵。由於獎勵池是按照 8% APY 提供資金，提早提款可能耗盡流動性，導致後續使用者無法取回本金。 概念驗證顯示，Alice 可以從一個以 800 枚獎勵代幣提供資金的池子提領 10,800 枚代幣，導致 Bob 的提款交易回復失敗。建議的修正方式是將年利率乘以 60 天的鎖定期間，再除以 365 天。採用修正後的公式，每筆 10,000 枚代幣的存款可取回約 10,131 枚代幣。 這項質押 APY 漏洞屬於商業邏輯失誤，而不是區塊鏈攻擊。交易者與流動性提供者在向類似 DeFi 協議投入資金前，應檢查獎勵公式、資金準備金、提款償付能力及稽核揭露內容。