Ein Governance-Angriff ist der Versuch, das Entscheidungssystem eines Blockchain-Protokolls auszunutzen, um unbefugte Kontrolle über dessen Gelder, Smart Contracts oder Regeln zu erlangen. Solche Angriffe zielen häufig auf dezentrale autonome Organisationen (DAOs) und dezentrale Finanzprotokolle (DeFi) ab, bei denen Token-Inhaber über Vorschläge abstimmen.
In tokenbasierten Governance-Systemen ist die Stimmkraft oft proportional zur Anzahl der Governance-Token, die ein Teilnehmer kontrolliert. Ein Angreifer kann Token anhäufen, sie vorübergehend ausleihen oder Schwachstellen im Abstimmungs- und Vorschlagsablauf ausnutzen, um einen schädlichen Vorschlag durchzusetzen. Die Folgen können Diebstahl von Guthaben, unautorisierte Token-Erstellung, Änderungen an Protokollparametern oder die Übertragung administrativer Rechte umfassen.
Eines der bekanntesten Beispiele ist der Governance-Exploit bei Beanstalk am 17. April 2022. Der Angreifer nutzte einen Flash-Kredit, um vorübergehend Governance-Rechte zu erlangen und einen schädlichen Vorschlag umzusetzen. Der Vorfall wurde weithin mit einem betroffenen Vermögen von rund 182 Millionen US-Dollar in Verbindung gebracht, obwohl Beanstalk in seinem eigenen Bericht nach dem Vorfall gestohlene Vermögenswerte außerhalb von Beanstalk im Wert von rund 77 Millionen US-Dollar auswies. Diese Zahlen beschreiben unterschiedliche Aspekte des Vorfalls und sollten nicht als austauschbar betrachtet werden. Offizieller Beanstalk-Bericht · Vorfallbericht von The Block
Mechanismen für Governance-Angriffe
Die Beanstalk-Governance-Schwachstelle (17. April 2022)
Der Angriff demonstrierte, wie sich Flash-Kredite und Schwächen im Governance-Design zu einer kritischen Sicherheitslücke verbinden können.
- Fremdkapitalaufnahme: Der Angreifer erschlich sich einen hohen Blitzkredit, bei dem es sich Berichten zufolge um Kryptowährung im Wert von fast einer Milliarde Dollar handelte.
- Erwerb von Regierungsmacht: Die geliehenen Vermögenswerte wurden genutzt, um die nötige Kontrollmacht zu erlangen, um den Abstimmungsmechanismus von Beanstalk zu beeinflussen.
- Einreichen eines böswilligen Vorschlags: Der Angreifer nutzte den vorübergehenden Abstimmungsvorteil, um einen Vorschlag durchzusetzen, der Protokollressourcen an eine unter seiner Kontrolle stehende Adresse übertrug.
- Umsetzung des Vorschlags: Der Governance-Mechanismus des Protokolls ermöglichte die Ausführung des bösartigen Vorschlags innerhalb derselben Transaktion.
- Rückzahlung des Darlehens: Der Angreifer zahlte den Blitzkredit gemäß den Kreditverträgen zurück.
- Auswirkungen des Protokolls: Beanstalk verlor Vermögenswerte, sein Governance-Mechanismus wurde außer Kraft gesetzt, und das Projekt verfolgte anschließend einen Sanierungs- und Rekapitalisierungsprozess.
Die entscheidende Schwachstelle bestand nicht einfach darin, dass der Angreifer einen hohen Geldbetrag geliehen hatte. Vielmehr lag sie darin, dass das Governance-System es ermöglichte, temporäre Stimmrechte zu nutzen, um einen folgenreichen Beschluss ohne wirksame Verzögerung zu genehmigen und umzusetzen, die den Angriff hätte verhindern können.
Schutz vor Governance-Angriffen
| Verteidigungsmechanismus | So funktioniert’s |
|---|---|
| Zeitschlösser | Führen Sie eine Verzögerung zwischen der Genehmigung des Vorschlags und seiner Ausführung ein, um Benutzern und Sicherheitsteams Zeit zu geben, böswillige Änderungen zu erkennen und darauf zu reagieren. |
| Historische Momentaufnahmen von Abstimmungen | Die Stimmrechte werden anhand der Token-Guthaben eines vordefinierten früheren Blocks oder Snapshots ermittelt, wodurch das Risiko verringert wird, dass die Stimmrechte nur für einen unmittelbaren Angriff erlangt werden. |
| Quorumanforderungen | Eine Mindestbeteiligung ist erforderlich, damit ein Vorschlag angenommen werden kann. Ein Quorum allein verhindert nicht, dass ein finanzstarker Angreifer die Abstimmung kontrolliert. |
| Vorschlagsschwellenwerte | Die Antragsteller müssen vor Einreichung ihrer Vorschläge über ein Mindestmaß an Kontrollmacht verfügen. |
| Notstoppmechanismen | Autorisierte Parteien können gefährdete Funktionen deaktivieren, sobald eine schwerwiegende Sicherheitslücke erkannt wird. Diese Kontrollmechanismen müssen vor Missbrauch geschützt werden. |
| Multisig-Steuerungen | Verlangen Sie mehrere Zeichnungsberechtigte zur Genehmigung sensibler Vorgänge, wie z. B. Überweisungen an die Finanzbehörde oder administrative Änderungen. |
| Beschränkungen der Stimmrechte und Schutzmechanismen für die Delegation | Je nach Governance-Design kann das Risiko verringert werden, dass ein einzelner Teilnehmer übermäßige Kontrolle erlangt. |
| Unabhängige Sicherheitsprüfungen | Überprüfen Sie die Abstimmungslogik, die Ausführung von Vorschlägen, die Token-Buchhaltung und die administrativen Berechtigungen auf ausnutzbare Schwachstellen. |
Warum Zeitschlösser wichtig sind
Eine Zeitsperre schafft eine Wartezeit zwischen der Genehmigung eines Vorschlags und seiner Ausführung. Dies gibt den Community-Mitgliedern Zeit, den Vorschlag zu prüfen, andere Token-Inhaber zu informieren und verfügbare Notfallmaßnahmen zu ergreifen.
Zeitsperren können bestimmte Flash-Loan-Angriffe praktisch unmöglich machen, indem sie die Abstimmung von der Ausführung über Transaktionen oder Blöcke hinweg trennen. Sie bieten jedoch allein keinen vollständigen Schutz. Ein bösartiger Vorschlag kann dennoch erfolgreich sein, wenn der Angreifer die Kontrolle über die Abstimmung behält, die Community nicht effektiv reagieren kann oder die Notfallmechanismen des Protokolls unzureichend sind.
Es gibt keine allgemeingültige Sperrdauer, die für jedes Protokoll geeignet ist. Die Verzögerung sollte die potenziellen Auswirkungen eines Vorschlags, die Reaktionsfähigkeit des Protokolls und die Notwendigkeit, Sicherheit und zeitnahe Aktualisierungen in Einklang zu bringen, berücksichtigen.
Holen Sie sich die UPay Crypto Card
Erleben Sie das Beste aus Online-Zahlungen und nahtlosen Krypto-Transaktionen.
Jetzt registrierenHistorische Angriffe auf die Regierungsführung
| Protokoll | Jahr | Angriffsmethode | Gemeldete Auswirkungen |
|---|---|---|---|
| Beanstalk | 2022 | Ausnutzung von Governance-Schwachstellen durch Flash-Kredite | Es wurde allgemein über einen Schaden von rund 182 Millionen Dollar berichtet; Beanstalk meldete einen Diebstahl von Vermögenswerten außerhalb von Beanstalk im Wert von rund 77 Millionen Dollar. |
| Build Finance DAO | 2022 | Feindliche Regierungsübernahme durch Nutzung angesammelter Stimmkraft | Verluste im Zusammenhang mit dem Treasury in Höhe von ca. 470,000 US-Dollar. |
| Mango-Märkte | 2022 | Oracle und Marktmanipulation wurden genutzt, um gegen überhöhte Sicherheiten Kredite aufzunehmen. | Zunächst wurde ein Schaden von rund 116 Millionen US-Dollar gemeldet. Dabei handelte es sich primär um einen Ausnutzer von Preis- und Kreditsystemen, nicht um eine direkte Übernahme der Unternehmensführung. |
Quellen: Beanstalk , Build Finance Vorfallbericht , Mango Markets Vorfallanalyse.
Vorteile einer starken Governance-Sicherheit
| Vorteile | Beschreibung |
|---|---|
| Schutz der Staatskasse | Verringert die Wahrscheinlichkeit böswilliger Anträge auf Umverteilung von Gemeinschaftsgeldern. |
| Sicherere Upgrades | Gibt Benutzern und Sicherheitsteams Zeit, um die weitreichenden Protokolländerungen zu überprüfen. |
| Größere Rechenschaftspflicht | Mehrfachsignaturkontrollen, transparente Abstimmungen und öffentliche Vorschläge können die Entscheidungsfindung leichter überprüfbar machen. |
| Verbessertes Benutzervertrauen | Klare Schutzmechanismen helfen den Nutzern zu beurteilen, wie ein Protokoll Governance-Risiken managt. |
Nachteile und Abwägungen
| Einschränkung | Beschreibung |
|---|---|
| Langsamere Upgrades | Zeitliche Beschränkungen und Überprüfungsfristen können dringende Fehlerbehebungen und legitime Protokollverbesserungen verzögern. |
| Konzentration auf die Governance | Große Token-Inhaber können die Abstimmung weiterhin dominieren, selbst wenn Quorum- und Zeitlimitvorgaben bestehen. |
| Risiken der Notfallmaßnahmen | Eine Pause-Taste oder Multisignatur kann den Schaden durch Exploits verringern, schafft aber auch Vertrauen in die Personen, die diese Berechtigungen kontrollieren. |
| Geringe Beteiligung | Ein Vorschlag kann mit geringem Widerstand angenommen werden, wenn die meisten Token-Inhaber nicht abstimmen. |
| Komplexe Umsetzung | Historische Momentaufnahmen, Delegationsregeln, Ausführungsverzögerungen und Notfallsysteme müssen sorgfältig implementiert und getestet werden. |
Tipps zum Risikomanagement
- Überprüfung der Governance-Regeln: Prüfen Sie, wie die Stimmkraft berechnet wird, welches Quorum erforderlich ist und wer Anträge einreichen kann.
- Ausführungsverzögerungen prüfen: Erkundigen Sie sich, ob genehmigte Vorschläge einer zeitlichen Sperre unterliegen und ob kritische Funktionen diese umgehen können.
- Aktivitäten im Zusammenhang mit Vorschlägen überwachen: Vorschläge prüfen, die Änderungen an den Berechtigungen der Finanzbehörde, den Prägerechten, den Upgrade-Kontrollen oder den administrativen Rollen betreffen.
- Wählerkonzentration einschätzen: Überlegen Sie, ob eine kleine Anzahl von Wallets Vorschläge auch ohne nennenswerte Unterstützung aus der Community durchsetzen kann.
- Notfallmaßnahmen verstehen: Prüfen Sie, ob ein Protokoll über einen Pausenmechanismus verfügt und wer diesen aktivieren kann.
- Vermeiden Sie es, sich auf nur eine Schutzmaßnahme zu verlassen: Zeitsperren, Abstimmungs-Snapshots, Vorschlagsschwellenwerte, Audits und Notfallverfahren funktionieren am besten als sich ergänzende Kontrollmechanismen.
Häufig gestellte Fragen
Lässt sich ein Governance-Angriff rückgängig machen?
Nicht unbedingt. Blockchain-Transaktionen lassen sich nach ihrer Bestätigung in der Regel nur schwer oder gar nicht über herkömmliche Protokollvorgänge rückgängig machen. Eine Community kann betroffene Verträge pausieren, Governance-Strukturen ändern, die Rückzahlung von Geldern aushandeln oder einen Wiederherstellungsplan genehmigen. Eine Abstimmung über die Wiederherstellung kann jedoch nicht garantieren, dass bereits an einen Angreifer übertragene Vermögenswerte zurückgegeben werden.
Wie trägt eine Zeitsperre dazu bei, Governance-Angriffe zu verhindern?
Eine Zeitsperre trennt die Genehmigung eines Vorschlags von seiner Ausführung. Dadurch erhalten die Community und die Sicherheitsteams Zeit, einen Vorschlag zu prüfen und darauf zu reagieren, bevor er in Kraft tritt. Außerdem kann sie verhindern, dass ein Angreifer die durch kurzfristige Kredite finanzierte Stimmkraft nutzt, um innerhalb derselben Transaktion eine schädliche Aktion zu genehmigen und auszuführen. Ihre Wirksamkeit hängt vom übergeordneten Governance-Design und den verfügbaren Reaktionsmechanismen ab.
Können Flash-Kredite immer zur Manipulation der DAO-Governance missbraucht werden?
Nein. Flash-Kredite sind zwar ein mögliches Angriffswerkzeug, aber kein universelles Mittel zur Kontrolle der Governance. Ein Protokoll, das historische Abstimmungsdaten, angemessene Schwellenwerte für Vorschläge und verzögerte Ausführung nutzt, kann verhindern, dass temporär geliehene Token verwendet werden, um einen bösartigen Vorschlag durchzubringen und sofort auszuführen. Andere Schwächen, wie konzentrierter Tokenbesitz oder unzureichende Zugriffskontrollen, können weiterhin Governance-Risiken darstellen.
Sollte ich mir Sorgen um Governance-Angriffe auf die von mir verwendeten Protokolle machen?
Es empfiehlt sich, die Sicherheitsvorkehrungen jedes Protokolls zu prüfen, in dem Sie Guthaben oder Governance-Token verwahren. Achten Sie dabei auf die Konzentration der Stimmrechte, Quorumregeln, Zeitsperren, Genehmigungen für Vorschläge, Sicherheitsaudits und Notfallmaßnahmen. Keine einzelne Sicherheitsmaßnahme kann absolute Sicherheit garantieren, und das Governance-Design sollte stets im Zusammenhang mit Smart Contracts, Oracles und operationellen Risiken betrachtet werden.
Worin besteht der Unterschied zwischen einem Governance-Angriff und einem Oracle-Angriff?
Ein Governance-Angriff zielt auf die Entscheidungsfindung oder die administrativen Kontrollmechanismen eines Protokolls ab. Ein Oracle-Angriff manipuliert oder nutzt die externen Daten oder Marktdaten, die ein Protokoll verwendet, wie beispielsweise Vermögenspreise. Der Mango-Markets-Vorfall im Jahr 2022 ist vor allem für die Preismanipulation bekannt, die eine übermäßige Kreditaufnahme ermöglichte, während Beanstalk ein prominentes Beispiel für die Ausnutzung einer Governance-Schwachstelle darstellt.
Verwandte Begriffe
DAO · Governance · Zeitsperre · Flash-Kredit · Token-Abstimmung · Multisignatur · Smart-Contract-Exploit · Oracle-Manipulation · Beanstalk
Fazit
Governance-Angriffe nutzen Schwächen in der Entscheidungsfindung und -umsetzung dezentraler Protokolle aus. Angreifer können Stimmrechte anhäufen, temporäre Kredite ausnutzen oder unzureichende Schutzmechanismen für Vorschläge ausnutzen, um die Kontrolle über Protokollgelder oder administrative Funktionen zu erlangen.
Protokolle können diese Risiken durch historische Abstimmungs-Snapshots, Zeitsperren, Quorumsanforderungen, sichere Vorschlagsausführung, Multisignaturkontrollen und unabhängige Prüfungen reduzieren. Allerdings ist kein einzelner Mechanismus allein ausreichend. Nutzer sollten daher prüfen, wie die Stimmrechte verteilt sind und wie das Protokoll auf böswillige Vorschläge reagiert, bevor sie sich auf sein Governance-System verlassen.
