Een governance-aanval is een poging om het besluitvormingssysteem van een blockchainprotocol te misbruiken om ongeautoriseerde controle te krijgen over de fondsen, slimme contracten of regels ervan. Deze aanvallen zijn vaak gericht op gedecentraliseerde autonome organisaties (DAO's) en gedecentraliseerde financiële (DeFi) protocollen waar tokenhouders stemmen over voorstellen.
In op tokens gebaseerde bestuursstelsels is de stemkracht vaak evenredig met het aantal bestuurstokens dat een deelnemer beheert. Een aanvaller kan tokens verzamelen, ze tijdelijk lenen of zwakke punten in het stemproces en de uitvoering van voorstellen misbruiken om een kwaadwillig voorstel erdoor te krijgen. De gevolgen kunnen onder meer diefstal van de schatkist, ongeautoriseerde tokencreatie, wijzigingen in protocolparameters of de overdracht van beheerdersrechten zijn.
Een van de bekendste voorbeelden is de Beanstalk governance exploit op 17 april 2022. De aanvaller gebruikte een flash loan om tijdelijk governance-bevoegdheden te verkrijgen en een kwaadwillig voorstel uit te voeren. Het incident werd breed uitgemeten en betrof naar schatting $182 miljoen aan getroffen activa, hoewel Beanstalk zelf na het incident melding maakte van ongeveer $77 miljoen aan gestolen activa die niet van Beanstalk afkomstig waren. Deze cijfers beschrijven verschillende aspecten van het incident en mogen niet als onderling verwisselbaar worden beschouwd. (Officieel verslag van Beanstalk · Incidentrapport van The Block)
Mechanismen voor aanvallen op de overheid
De Beanstalk Governance Exploit (17 april 2022)
De aanval toonde aan hoe flitskredieten en zwakke punten in het governance-systeem samen een kritieke beveiligingskwetsbaarheid kunnen creëren.
- Leningactiva: De aanvaller verkreeg een grote flitslening, naar verluidt ter waarde van bijna 1 miljard dollar aan cryptovaluta.
- Het verwerven van bestuursmacht: De geleende activa werden gebruikt om de benodigde zeggenschap te verkrijgen om het stemmechanisme van Beanstalk te beïnvloeden.
- Een kwaadwillig voorstel indienen: De aanvaller maakte gebruik van het tijdelijke stemvoordeel om een voorstel aan te nemen dat protocolactiva overdroeg naar een adres onder hun controle.
- Het voorstel uitvoeren: Het governance-mechanisme van het protocol maakte het mogelijk dat het kwaadwillige voorstel binnen dezelfde transactie werd uitgevoerd.
- Het terugbetalen van de lening: De aanvaller betaalde de flitslening terug zoals vereist in de leenovereenkomst.
- Impact van het protocol: Beanstalk verloor activa, het bestuursmechanisme werd uitgeschakeld en het project ondernam vervolgens een herstel- en herkapitalisatieproces.
De belangrijkste kwetsbaarheid was niet alleen dat de aanvaller een groot bedrag had geleend. Het probleem was dat het bestuursysteem het mogelijk maakte om tijdelijke stembevoegdheid te gebruiken om een belangrijk voorstel goed te keuren en uit te voeren zonder een effectieve vertraging die de aanval had kunnen voorkomen.
Preventie van aanvallen op de governance
| Verdedigingsmechanisme | Hoe werkt onze technologie? |
|---|---|
| Tijdsloten | Introduceer een vertraging tussen de goedkeuring van het voorstel en de uitvoering ervan, zodat gebruikers en beveiligingsteams de tijd krijgen om kwaadwillige wijzigingen te identificeren en erop te reageren. |
| Historische momentopnamen van stemgedrag | Bepaal de stemkracht aan de hand van de tokenbalansen in een eerder, vooraf gedefinieerd blok of momentopname, waardoor het risico wordt verkleind dat de stemkracht alleen voor een directe aanval wordt gebruikt. |
| Quorumvereisten | Een minimumaantal deelnemers moet vereist zijn voordat een voorstel kan worden aangenomen. Een quorum alleen is niet voldoende om te voorkomen dat een rijke partij de stemming manipuleert. |
| Voorsteldrempels | Eis dat indieners een minimale mate van bestuursmacht bezitten of controleren voordat ze voorstellen indienen. |
| Noodstopmechanismen | Geef bevoegde partijen de mogelijkheid om kwetsbare functies op te schorten wanneer een ernstige kwetsbaarheid wordt gedetecteerd. Deze controles moeten waarborgen bieden tegen misbruik. |
| Multisig-besturingselementen | Vereis dat meerdere bevoegde ondertekenaars gevoelige acties goedkeuren, zoals overboekingen van kasgelden of administratieve wijzigingen. |
| Beperkingen op stemrecht en waarborgen voor delegatie | Verminder het risico dat één deelnemer buitensporige controle verwerft, afhankelijk van het governance-ontwerp. |
| Onafhankelijke beveiligingsaudits | Controleer de stemlogica, de uitvoering van voorstellen, de tokenadministratie en de beheerdersrechten op mogelijke zwakke punten. |
Waarom tijdsloten belangrijk zijn
Een tijdslot creëert een wachttijd tussen de goedkeuring van een voorstel en de uitvoering ervan. Dit geeft leden van de community de tijd om het voorstel te bekijken, andere tokenhouders te waarschuwen en beschikbare noodmaatregelen te gebruiken.
Tijdsloten kunnen bepaalde flash-loan-aanvallen ook onuitvoerbaar maken door het stemmen en de uitvoering van transacties of blokken van elkaar te scheiden. Ze bieden echter op zichzelf geen volledige bescherming. Een kwaadwillig voorstel kan nog steeds slagen als de aanvaller de stemcontrole behoudt, de community niet effectief kan reageren of de noodmechanismen van het protocol ontoereikend zijn.
Er bestaat geen standaard tijdsvertraging die geschikt is voor elk protocol. De vertraging moet de potentiële impact van een voorstel weerspiegelen, de reactiemogelijkheden van het protocol en de noodzaak om een balans te vinden tussen beveiliging en tijdige updates.
Ontvang een UPay Crypto Card
Ervaar het beste van online betalen en probleemloze cryptotransacties.
RegistrerenHistorische aanvallen op het bestuur
| Protocol | Jaar | Aanval methode | Gerapporteerde impact |
|---|---|---|---|
| Beanstalk | 2022 | Misbruik van door flitskredieten ondersteunde bestuursvormen | Er werd algemeen gerapporteerd dat er voor ongeveer 182 miljoen dollar aan activa was getroffen; Beanstalk meldde dat er voor ongeveer 77 miljoen dollar aan niet-Bean-gerelateerde activa was gestolen. |
| Bouw Financiën DAO | 2022 | Vijandige machtsovername door middel van opgebouwde stemkracht | Ongeveer $470,000 aan verliezen gerelateerd aan de schatkist. |
| Mango-markten | 2022 | Oracle en marktmanipulatie werden gebruikt om leningen te verkrijgen met opgeblazen onderpand. | Aanvankelijk werd er melding gemaakt van een bedrag van ongeveer 116 miljoen dollar dat was misbruikt. Dit betrof voornamelijk een prijsorakel- en kredietmisbruik, en geen rechtstreekse overname van de governance. |
Bronnen: Beanstalk , incidentrapport van Build Finance , incidentanalyse van Mango Markets.
Voordelen van een sterke governance en beveiliging
| Voordeel | Beschrijving |
|---|---|
| Schatkistbescherming | Vermindert de kans op frauduleuze voorstellen om gemeenschapsgelden over te hevelen. |
| Veiligere upgrades | Geeft gebruikers en beveiligingsteams de tijd om de gevolgen van protocolwijzigingen te beoordelen. |
| Grotere verantwoording | Multisignatuurcontroles, transparante stemmingen en openbare voorstellen kunnen het besluitvormingsproces gemakkelijker controleerbaar maken. |
| Verbeterd gebruikersvertrouwen | Duidelijke waarborgen helpen gebruikers te beoordelen hoe een protocol omgaat met governance-risico's. |
Nadelen en afwegingen
| Beperking | Beschrijving |
|---|---|
| Langzamere upgrades | Tijdsbeperkingen en beoordelingsperioden kunnen dringende oplossingen en legitieme protocolverbeteringen vertragen. |
| Concentratie in bestuur | Grote tokenhouders kunnen nog steeds de stemming domineren, zelfs wanneer er quorum- en tijdslimietvereisten gelden. |
| Risico's voor noodbeheersing | Een pauzetoets of multisig kan de schade van een exploit beperken, maar schept ook vertrouwen in de personen die deze privileges beheren. |
| Lage deelname | Een voorstel kan met beperkte tegenstand worden aangenomen wanneer de meeste tokenhouders niet stemmen. |
| Complexe implementatie | Historische momentopnamen, delegatieregels, uitvoeringsvertragingen en noodsystemen moeten zorgvuldig worden geïmplementeerd en getest. |
Tips voor risicobeheer
- Bekijk de bestuursregels: Controleer hoe de stembevoegdheid wordt berekend, welk quorum vereist is en wie voorstellen mag indienen.
- Controleer de uitvoeringsvertragingen: Ga na of goedgekeurde voorstellen aan een tijdslimiet gebonden zijn en of kritieke functies deze limiet kunnen omzeilen.
- Volg de activiteiten rondom het voorstel: Beoordeel voorstellen die de machtigingen van de schatkist, de rechten voor het slaan van munten, de controlemechanismen of de administratieve rollen wijzigen.
- Beoordeel de stemconcentratie: Overweeg of een klein aantal mensen met een beperkt budget voorstellen kan goedkeuren zonder noemenswaardige steun vanuit de gemeenschap.
- Begrijp de noodmaatregelen: Controleer of een protocol een pauzemechanisme heeft en wie dit kan activeren.
- Vermijd het vertrouwen op slechts één beveiligingsmaatregel: Tijdsloten, stemmomentopnamen, drempelwaarden voor voorstellen, audits en noodprocedures werken het beste als aanvullende beheersmaatregelen.
Veelgestelde Vragen / FAQ
Kan een governance-aanval ongedaan gemaakt worden?
Niet per se. Blockchaintransacties zijn over het algemeen moeilijk of onmogelijk terug te draaien via gewone protocolbewerkingen zodra ze zijn bevestigd. Een community kan mogelijk getroffen contracten pauzeren, governance-regelingen wijzigen, onderhandelen over de teruggave van fondsen of een herstelplan goedkeuren. Een herstelstemming kan echter niet garanderen dat activa die al aan een aanvaller zijn overgedragen, ook daadwerkelijk worden teruggegeven.
Hoe helpt een tijdslot bij het voorkomen van aanvallen op de governance?
Een tijdslot scheidt de goedkeuring van een voorstel van de uitvoering ervan. Dit geeft de community en de beveiligingsteams de tijd om een voorstel te beoordelen en erop te reageren voordat het van kracht wordt. Het kan ook voorkomen dat een aanvaller stemrecht, gefinancierd met flash-loans, gebruikt om een kwaadwillige actie binnen dezelfde transactie goed te keuren en uit te voeren. De effectiviteit ervan hangt af van het bredere governance-ontwerp en de beschikbare reactiemechanismen.
Kunnen flitskredieten altijd worden gebruikt om het bestuur van DAO's te manipuleren?
Nee. Flashleningen zijn slechts één mogelijk aanvalsinstrument, geen universele manier om governance te controleren. Een protocol dat gebruikmaakt van historische stemmomentopnamen, passende drempelwaarden voor voorstellen en uitgestelde uitvoering, kan voorkomen dat tijdelijk geleende tokens worden gebruikt om een kwaadwillig voorstel aan te nemen en direct uit te voeren. Andere zwakke punten, zoals geconcentreerd tokenbezit of gebrekkige toegangscontrole, kunnen nog steeds governance-risico's met zich meebrengen.
Moet ik me zorgen maken over aanvallen op de governance van de protocollen die ik gebruik?
Het is de moeite waard om de beveiligingsmaatregelen van elk protocol waarin u fondsen of governance-tokens beheert, te beoordelen. Kijk naar de concentratie van stemrecht, quorumregels, tijdsloten, toestemmingen voor voorstellen, beveiligingsaudits en noodcontroles. Geen enkele individuele beveiligingsmaatregel garandeert volledige veiligheid, en het ontwerp van de governance moet worden bekeken in samenhang met smart-contract-, oracle- en operationele risico's.
Wat is het verschil tussen een governance-aanval en een oracle-aanval?
Een governance-aanval richt zich op de besluitvorming of administratieve controles van een protocol. Een oracle-aanval manipuleert of misbruikt de externe of marktgegevens die een protocol gebruikt, zoals activaprijzen. Het Mango Markets-incident in 2022 is vooral bekend vanwege de prijsmanipulatie die leidde tot buitensporige leningen, terwijl Beanstalk een prominent voorbeeld is van een governance-aanval.
Gerelateerde termen
DAO · Governance · Timelock · Flash Loan · Token Voting · Multisig · Smart Contract Exploit · Oracle Manipulation · Beanstalk
Conclusie
Governance-aanvallen maken gebruik van zwakke punten in de manier waarop gedecentraliseerde protocollen beslissingen nemen en uitvoeren. Een aanvaller kan stemrecht vergaren, tijdelijke leningen misbruiken of profiteren van onvoldoende waarborgen bij voorstellen om controle te krijgen over protocolgelden of administratieve functies.
Protocollen kunnen deze risico's verminderen door middel van historische stemmomentopnamen, tijdsloten, quorumvereisten, veilige uitvoering van voorstellen, multisig-controles en onafhankelijke audits. Geen enkel mechanisme is echter op zichzelf voldoende. Gebruikers moeten onderzoeken hoe de stemkracht is verdeeld en hoe het protocol reageert op kwaadwillige voorstellen voordat ze vertrouwen op het governance-systeem.
