Um ataque de governança é uma tentativa de explorar o sistema de tomada de decisões de um protocolo blockchain para obter controle não autorizado sobre seus fundos, contratos inteligentes ou regras. Esses ataques geralmente visam organizações autônomas descentralizadas (DAOs) e protocolos de finanças descentralizadas (DeFi), onde os detentores de tokens votam em propostas.
Em sistemas de governança ponderada por tokens, o poder de voto é frequentemente proporcional ao número de tokens de governança que um participante controla. Um atacante pode acumular tokens, tomá-los emprestados temporariamente ou explorar vulnerabilidades na votação e na execução de propostas para aprovar uma proposta maliciosa. As consequências podem incluir roubo de recursos, emissão não autorizada de tokens, alterações nos parâmetros do protocolo ou transferência de privilégios administrativos.
Um dos exemplos mais conhecidos é a exploração da vulnerabilidade de governança da Beanstalk em 17 de abril de 2022. O atacante usou um empréstimo relâmpago para obter poder de governança temporário e executar uma proposta maliciosa. O incidente foi amplamente divulgado como envolvendo aproximadamente US$ 182 milhões em ativos afetados, embora o próprio relato da Beanstalk após o incidente tenha identificado aproximadamente US$ 77 milhões em ativos roubados que não pertenciam à Beanstalk. Esses valores descrevem diferentes dimensões do incidente e não devem ser considerados intercambiáveis. [ Link para o relato oficial da Beanstalk · Relatório do incidente do The Block]
Mecanismos de ataque à governança
A Exploração da Governança do Pé de Feijão (17 de abril de 2022)
O ataque demonstrou como empréstimos relâmpago e fragilidades na estrutura de governança podem se combinar para criar uma vulnerabilidade crítica de segurança.
- Empréstimo de ativos: O atacante obteve um grande empréstimo relâmpago, que supostamente envolveu quase US$ 1 bilhão em criptomoedas.
- Adquirir poder de governança: Os ativos emprestados foram usados para obter o poder de governança necessário para influenciar o mecanismo de votação da Beanstalk.
- Apresentação de uma proposta maliciosa: O atacante usou a vantagem temporária de votação para aprovar uma proposta que transferiu ativos do protocolo para um endereço sob seu controle.
- Executando a proposta: O mecanismo de governança do protocolo permitiu que a proposta maliciosa fosse executada dentro da mesma transação.
- Pagamento do empréstimo: O atacante quitou o empréstimo relâmpago conforme exigido pelos contratos de empréstimo.
- Impacto do protocolo: A Beanstalk perdeu ativos, seu mecanismo de governança foi desativado e, posteriormente, o projeto iniciou um processo de recuperação e recapitalização.
A principal vulnerabilidade não era simplesmente o fato de o atacante ter contraído um empréstimo vultoso. O problema residia no fato de o sistema de governança permitir que o poder de voto temporário fosse usado para aprovar e executar uma proposta importante sem um período de espera efetivo que tivesse impedido o ataque.
Prevenção de ataques à governança
| Mecanismo de defesa | Como Funciona |
|---|---|
| Timelocks | Introduza um atraso entre a aprovação da proposta e a sua execução, dando aos utilizadores e às equipas de segurança tempo para identificar e responder a alterações maliciosas. |
| Instantâneos históricos de votação | Determine o poder de voto a partir dos saldos de tokens em um bloco ou instantâneo anterior predefinido, reduzindo o risco de obter poder de voto apenas para um ataque imediato. |
| Requisitos de quorum | Exija um nível mínimo de participação para que uma proposta seja aprovada. O quórum, por si só, não impede que um atacante rico controle a votação. |
| Limiares de proposta | Exigir que os proponentes detenham ou controlem um nível mínimo de poder de governança antes de submeterem suas propostas. |
| Mecanismos de pausa de emergência | Permitir que as partes autorizadas suspendam funções vulneráveis quando uma exploração grave for detectada. Esses controles precisam de salvaguardas contra abusos. |
| Controles multisig | Exigir que vários signatários autorizados aprovem ações sensíveis, como transferências de tesouraria ou alterações administrativas. |
| Limites de poder de voto e salvaguardas de delegação | Reduzir o risco de um único participante obter controle excessivo, dependendo do modelo de governança. |
| Auditorias de segurança independentes | Analise a lógica de votação, a execução de propostas, a contabilização de tokens e as permissões administrativas em busca de vulnerabilidades exploráveis. |
Por que os bloqueios temporais são importantes?
Um bloqueio temporal cria um período de espera entre a aprovação de uma proposta e sua execução. Isso dá aos membros da comunidade tempo para inspecionar a proposta, alertar outros detentores de tokens e usar os controles de emergência disponíveis.
Os bloqueios temporais também podem tornar certos ataques de empréstimo relâmpago impraticáveis, separando a votação da execução entre transações ou blocos. No entanto, eles não constituem uma defesa completa por si só. Uma proposta maliciosa ainda pode ser bem-sucedida se o atacante mantiver o controle da votação, se a comunidade não conseguir responder de forma eficaz ou se os mecanismos de emergência do protocolo forem inadequados.
Não existe uma duração de bloqueio temporal única que seja adequada para todos os protocolos. O atraso deve refletir o impacto potencial de uma proposta, as capacidades de resposta do protocolo e a necessidade de equilibrar a segurança com atualizações oportunas.
Obtenha o cartão UPay Crypto
Experimente o melhor do pagamento on-line e transações criptográficas perfeitas.
RegistrarAtaques históricos à governança
| Protocolo | Ano | Método de ataque | Impacto relatado |
|---|---|---|---|
| Pé de Feijão | 2022 | Exploração de governança facilitada por empréstimos relâmpago | Aproximadamente US$ 182 milhões em ativos afetados foram amplamente divulgados; a Beanstalk relatou cerca de US$ 77 milhões em ativos roubados que não pertenciam à Beanstalk. |
| Build Finance DAO | 2022 | Tomada hostil do poder governamental usando o poder de voto acumulado | Aproximadamente US$ 470,000 em perdas relacionadas ao Tesouro. |
| Mercados de manga | 2022 | Manipulação de preços de mercado e de oráculos era usada para obter empréstimos com garantias inflacionadas. | Inicialmente, foi relatado que o valor explorado foi de aproximadamente US$ 116 milhões. Tratava-se principalmente de uma exploração de oráculos de preços e empréstimos, e não de uma simples tomada de controle da governança. |
Fontes: Beanstalk , relatório de incidentes da Build Finance , análise de incidentes da Mango Markets.
Vantagens de uma Governança Robusta em Segurança
| Beneficiar | Descrição |
|---|---|
| Proteção do Tesouro | Reduz a probabilidade de propostas maliciosas transferirem fundos comunitários. |
| Atualizações mais seguras | Dá aos usuários e às equipes de segurança tempo para analisar as alterações de protocolo relevantes. |
| Maior responsabilidade | Controles multisig, votação transparente e propostas públicas podem facilitar a fiscalização do processo de tomada de decisões. |
| Maior confiança do usuário | Salvaguardas claras ajudam os usuários a avaliar como um protocolo gerencia os riscos de governança. |
Desvantagens e concessões
| Limitação | Descrição |
|---|---|
| Atualizações mais lentas | Bloqueios temporais e períodos de revisão podem atrasar correções urgentes e melhorias legítimas de protocolo. |
| Concentração em governança | Grandes detentores de tokens ainda podem dominar a votação, mesmo quando existem requisitos de quórum e bloqueio temporal. |
| riscos de controle de emergência | Uma tecla de pausa ou assinatura múltipla pode reduzir os danos causados por exploits, mas também introduz confiança nas pessoas que controlam esses privilégios. |
| Baixa participação | Uma proposta pode ser aprovada com oposição limitada quando a maioria dos detentores de tokens não vota. |
| Implementação complexa | Instantâneos históricos, regras de delegação, atrasos na execução e sistemas de emergência devem ser implementados e testados cuidadosamente. |
Dicas de gerenciamento de risco
- Revisar as regras de governança: Verifique como o poder de voto é calculado, qual o quórum necessário e quem pode apresentar propostas.
- Verificar atrasos na execução: Descubra se as propostas aprovadas estão sujeitas a um período de restrição e se as funções críticas podem contorná-lo.
- Acompanhar a atividade da proposta: Analisar propostas que alterem permissões do tesouro, direitos de cunhagem, controles de atualização ou funções administrativas.
- Avaliar a concentração de votos: Analise se um pequeno número de usuários pode aprovar propostas sem um apoio significativo da comunidade.
- Compreenda os procedimentos de emergência: Verifique se um protocolo possui um mecanismo de pausa e quem pode ativá-lo.
- Evite depender de uma única medida de segurança: Bloqueios temporais, capturas instantâneas de votação, limites de propostas, auditorias e procedimentos de emergência funcionam melhor como controles complementares.
Perguntas frequentes
É possível reverter um ataque à governança?
Não necessariamente. Transações em blockchain são geralmente difíceis ou impossíveis de reverter por meio de operações comuns de protocolo, uma vez confirmadas. Uma comunidade pode ser capaz de pausar contratos afetados, alterar acordos de governança, negociar a devolução de fundos ou aprovar um plano de recuperação. No entanto, uma votação de recuperação não garante que os ativos já transferidos para um atacante serão devolvidos.
Como um bloqueio temporal ajuda a prevenir ataques à governança?
Um bloqueio temporal separa a aprovação da proposta da sua execução. Isso cria tempo para que a comunidade e as equipes de segurança revisem uma proposta e respondam antes que ela entre em vigor. Também pode impedir que um invasor use o poder de voto financiado por empréstimos relâmpago para aprovar e executar uma ação maliciosa na mesma transação. Sua eficácia depende do modelo de governança mais amplo e dos mecanismos de resposta disponíveis.
Os empréstimos relâmpago podem sempre ser usados para manipular a governança de uma DAO?
Não. Empréstimos relâmpago são uma possível ferramenta de ataque, não uma forma universal de controlar a governança. Um protocolo que utiliza snapshots históricos de votação, limites de propostas apropriados e execução atrasada pode impedir que tokens emprestados temporariamente sejam usados para aprovar e executar imediatamente uma proposta maliciosa. Outras vulnerabilidades, incluindo a concentração de propriedade de tokens ou controles de acesso deficientes, ainda podem criar riscos de governança.
Devo me preocupar com ataques à governança dos protocolos que utilizo?
Vale a pena avaliar as salvaguardas de qualquer protocolo onde você possua fundos ou tokens de governança. Analise a concentração do poder de voto, as regras de quórum, os bloqueios temporais, as permissões de propostas, as auditorias de segurança e os controles de emergência. Nenhuma salvaguarda isolada garante segurança, e o design da governança deve ser considerado juntamente com os riscos operacionais, de contratos inteligentes e de oráculos.
Qual a diferença entre um ataque de governança e um ataque de oráculo?
Um ataque de governança visa os controles administrativos ou de tomada de decisão de um protocolo. Um ataque de oráculo manipula ou explora os dados externos ou de mercado que um protocolo utiliza, como os preços dos ativos. O incidente do Mango Markets em 2022 é conhecido principalmente pela manipulação de preços que permitiu empréstimos excessivos, enquanto o Beanstalk é um exemplo notório de exploração de governança.
Termos relacionados
DAO · Governança · Bloqueio Temporário · Empréstimo Relâmpago · Votação por Token · Multisig · Exploração de Contrato Inteligente · Manipulação de Oráculo · Pé de Feijão
Conclusão
Os ataques de governança exploram as fragilidades na forma como os protocolos descentralizados tomam e executam decisões. Um atacante pode acumular poder de voto, explorar empréstimos temporários ou tirar proveito de salvaguardas insuficientes nas propostas para obter controle sobre os fundos ou funções administrativas do protocolo.
Os protocolos podem reduzir esses riscos por meio de registros históricos de votação, bloqueios temporais, requisitos de quórum, execução segura de propostas, controles multisig e auditorias independentes. No entanto, nenhum mecanismo isolado é suficiente. Os usuários devem examinar como o poder de voto é distribuído e como o protocolo responde a propostas maliciosas antes de confiar em seu sistema de governança.
