治理攻击是指试图利用区块链协议的决策系统，非法控制其资金、智能合约或规则。这类攻击通常针对去中心化自治组织（DAO）和去中心化金融（DeFi）协议，在这些协议中，代币持有者会对提案进行投票。
在代币加权治理系统中，投票权通常与参与者控制的治理代币数量成正比。攻击者可能囤积代币、临时借用代币，或利用投票和提案执行机制中的漏洞来通过恶意提案。其后果可能包括国库资金被盗、未经授权的代币铸造、协议参数被篡改或管理权限被转移。
其中最著名的案例之一是2022年4月17日发生的Beanstalk治理漏洞攻击。攻击者利用闪电贷获取临时治理权，并执行恶意提案。该事件被广泛报道涉及约182亿美元的资产，但Beanstalk事后发布的报告显示，被盗的非Bean资产约为7700万美元。这些数字反映了事件的不同影响，不应混为一谈。Beanstalk官方账号· The Block事件报告
治理攻击机制
Beanstalk 治理漏洞（2022 年 4 月 17 日）
这次攻击表明，闪电贷和治理设计缺陷如何结合起来造成严重的安全漏洞。
- 借用资产： 据报道，攻击者获得了一笔数额巨大的闪电贷，涉及近 1 亿美元的加密货币。
- 获取统治权力： 借入的资产被用来获取影响 Beanstalk 投票机制所需的治理权力。
- 提交恶意提案： 攻击者利用临时的投票优势通过了一项提案，将协议资产转移到他们控制的地址。
- 执行该方案： 该协议的治理机制允许恶意提案在同一笔交易中执行。
- 偿还贷款： 攻击者已按照贷款合同的要求偿还了闪电贷。
- 协议影响： Beanstalk 项目损失了资产，其治理机制失效，随后该项目开始了复苏和资本重组过程。
关键漏洞并非仅仅在于攻击者借入了巨额资金，而在于治理体系允许利用临时投票权批准并执行一项影响深远的提案，而没有采取有效的延迟措施来阻止攻击。
治理攻击预防
| 防御机制 | 它是如何运行的？ |
|---|---|
| 时间锁 | 在提案批准和执行之间引入延迟，以便用户和安全团队有时间识别和应对恶意更改。 |
| 历史投票概况 | 根据预定义的较早区块或快照中的代币余额确定投票权，从而降低仅用于立即攻击的投票权的风险。 |
| 法定人数要求 | 提案通过前必须达到最低参与人数。仅靠法定人数无法阻止财力雄厚的攻击者操纵投票。 |
| 提案门槛 | 要求提案人在提交提案前拥有或控制一定程度的治理权力。 |
| 紧急暂停机制 | 允许授权方在检测到严重漏洞利用时暂停易受攻击的功能。这些控制措施需要防范滥用行为。 |
| 多重签名控制 | 要求多名授权签字人批准敏感操作，例如国库转账或行政变更。 |
| 投票权限制和授权保障 | 根据治理设计，降低单个参与者获得过度控制权的风险。 |
| 独立安全审计 | 检查投票逻辑、提案执行、代币记账和管理权限是否存在可被利用的漏洞。 |
为什么时间锁很重要
时间锁机制会在提案获得批准和执行之间设置一个等待期。这使得社区成员有时间审查提案、通知其他代币持有者并使用可用的紧急控制措施。
时间锁通过将投票与执行在交易或区块之间分离，可以使某些闪电贷攻击变得难以实施。然而，时间锁本身并不能提供完全的防御。如果攻击者保持投票控制权、社区无法有效应对，或者协议的紧急机制不足，恶意提案仍然可能成功。
没有一个固定的时间锁时长适用于所有协议。延迟时间应反映提案的潜在影响、协议的响应能力，以及在安全性和及时升级之间取得平衡的必要性。
历史治理攻击
| 协议 | 年份 | 攻击方法 | 已报告的影响 |
|---|---|---|---|
| 魔豆 | 2022 | 闪电贷辅助治理漏洞 | 据报道，受影响的资产约达 182 亿美元；Beanstalk 报告称，被盗的非 Bean 资产约达 77 万美元。 |
| 构建金融 DAO | 2022 | 利用积累的投票权进行敌意收购，夺取政权 | 国库相关损失约 470,000 万美元。 |
| 芒果市场 | 2022 | 利用预言机和市场价格操纵来获取以虚高抵押品为抵押的贷款 | 最初报告称，被利用的资金约为116亿美元。这主要是一起利用价格预言机和贷款系统进行诈骗的案件，而非直接的公司治理接管。 |
资料来源：Beanstalk、Build Finance 事件报告、Mango Markets 事件分析。
强治理安全优势
| 好处 | 描述 |
|---|---|
| 国库保护 | 降低恶意提案转移社区资金的可能性。 |
| 更安全的升级 | 让用户和安全团队有时间审查重要的协议变更。 |
| 加强问责制 | 多重签名控制、透明投票和公开提案可以使决策更容易受到审查。 |
| 用户信心提升 | 明确的保障措施有助于用户评估协议如何管理治理风险。 |
缺点和权衡
| 局限性 | 描述 |
|---|---|
| 升级速度变慢 | 时间限制和审查周期可能会延误紧急修复和合理的协议改进。 |
| 治理集中度 | 即使存在法定人数和时间锁定要求，持有大量代币的投资者仍然可能主导投票。 |
| 应急控制风险 | 暂停键或多重签名可以减少漏洞利用造成的损失，但也需要对控制这些权限的人建立信任。 |
| 参与度低 | 当大多数代币持有者不投票时，提案可能会在阻力较小的情况下获得通过。 |
| 实施复杂 | 历史快照、委托规则、执行延迟和应急系统必须认真实施和测试。 |
风险管理技巧
- 审查治理规则： 查看投票权的计算方式、法定人数要求以及谁可以提交提案。
- 检查执行延迟： 查明已批准的提案是否受时间限制，以及关键功能是否可以绕过时间限制。
- 监控提案活动： 审查有关改变国库权限、铸币权、升级控制或管理角色的提案。
- 评估投票集中度： 考虑一下，在缺乏实质性社区支持的情况下，少数钱包是否能够通过提案。
- 了解紧急控制措施： 检查协议是否具有暂停机制以及谁可以激活该机制。
- 避免依赖单一保障措施： 时间锁、投票快照、提案阈值、审计和应急程序作为补充控制措施效果最佳。
常見問題解答
治理攻击可以逆转吗？
不一定。区块链交易一旦确认，通常很难甚至不可能通过常规协议操作进行撤销。社区或许可以暂停受影响的合约、更改治理安排、协商资金返还或批准恢复计划。然而，恢复投票并不能保证已经转移给攻击者的资产能够返还。
时间锁如何帮助防止治理攻击？
时间锁机制将提案批准与执行分开。这为社区和安全团队提供了时间，以便在提案生效前对其进行审查并做出回应。它还可以防止攻击者利用闪电贷提供的投票权在同一笔交易中批准并执行恶意操作。其有效性取决于更广泛的治理设计和可用的响应机制。
闪电贷是否总能被用来操纵DAO治理？
不。闪电贷只是一种可能的攻击手段，并非控制治理的通用方法。采用历史投票快照、适当的提案阈值和延迟执行机制的协议可以防止临时借入的代币被用于通过并立即执行恶意提案。其他弱点，例如代币所有权集中或访问控制不力，仍然会造成治理风险。
我是否应该担心我使用的协议会受到治理攻击？
对于任何持有资金或治理代币的协议，评估其安全保障措施都至关重要。应关注投票权集中度、法定人数规则、时间锁、提案权限、安全审计和应急控制措施。没有任何单一的安全保障措施能够完全保证安全，治理设计应与智能合约、预言机和运营风险一并考虑。
治理攻击和预言机攻击有什么区别？
治理攻击的目标是协议的决策或管理控制。预言机攻击则是操纵或利用协议使用的外部数据或市场数据，例如资产价格。2022 年的 Mango Markets 事件主要以价格操纵导致过度借贷而闻名，而 Beanstalk 事件则是治理漏洞攻击的典型案例。
相关条款
DAO ·治理· 时间锁 ·闪电贷·代币投票·多重签名·智能合约漏洞利用· 预言机操纵 · Beanstalk
结语
治理攻击利用去中心化协议在决策制定和执行方面的漏洞。攻击者可能通过积累投票权、利用临时借贷或利用提案保障措施的不足来控制协议资金或管理职能。
协议可以通过历史投票快照、时间锁、法定人数要求、安全提案执行、多重签名控制和独立审计来降低这些风险。然而，任何单一机制都不足以完全解决问题。用户在依赖协议的治理系统之前，应仔细审查投票权的分配方式以及协议对恶意提案的响应机制。
