復盤 COMP 2500 美元治理攻擊,DeFi 協議爲何屢次遭遇 DAO 攻擊?

發表於 2024-07-31 10:44 作者: 鏈捕手

作者: 西柚 , ChainCatcher

編輯: Marco , ChainCatcher

 

7月29日,“49.9萬枚COMP代幣價值2500萬美元”被社區投票“合法”地從Compound國庫中轉移至一個陌生且無法監控的多籤地址中,引發了一場DAO治理攻擊風波。

在COMP轉移提案被通過後,COMP代幣價格24小時內下跌了近7%,從50美元跌至46.6美元。

7月30日,Compound增長官Bryan Colligan表示,在與本次提案背後的巨鯨交流後,推出COMP代幣的質押產品Stake COMP(簡稱stCOMP),該產品將由Compound DAO控制,Compound協議未來每年新增市場儲備金的30%將分配給COMP質押者,以作爲取消該提案的條件。

目前“價值2400萬美元COMP轉移”289提案已被取消,受此消息影響,COMP代幣日內漲幅超13%,現報價爲51.4美元。

風波復盤始末:三次提案才獲得最終通過

7月29日,DeFi借貸協議Compound社區投票通過的一項關於國庫資產COMP轉移的提案引發了社區成員對治理攻擊的指控。該289提案提議,將Compound國庫資金的5%(價值約2400萬美元的49.9萬枚COMP代幣)轉移給Golden Boys設計的收益協議goldCOMP中,爲期一年。

經過提案梳理發現,“將49.9萬枚COMP代幣轉移至新協議”的提案通過並不是一蹴而就的,且經過了兩次被取消、被質疑動機等,直到第三次提案才險些被批准通過。

“將國庫中5%的COMP投資到goldCOMP協議”的提案,首次出現在5月6日的提案247中,該提案建議Compound國庫將其COMP持有量的5%投資到Golden Boys創建的goldCOMP協議中,但由於提案投票參與人數未能達到法定人數被取消。

7月15日,社區提案279中再次出現“爲DAO投資的GoldCOMP設立信托”,該提案中寫道,Golden Boys創建的goldCOMP協議可以爲COMP代理提供收益,並提議轉移國庫中的9.2萬枚COMP至該協議中,爲期一年,賺取收益。在7月20日因由於未能達到法定人數,該提案被取消。

7月24日,提案289中再次出現“DAO投資GoldCOMP的信托設置”信息,該提案提議將國庫中的49.9萬枚COMP代幣投資到GoldCOMP協議中,爲期一年。

但在5月發布的247提案後,安全公司OpenZeppelin就在社區論壇提示,這可能是一場治理攻擊。

他解釋到,247提案提議把國庫中5%的COMP代幣轉移至一個聲稱由“Golden Boys”控制的多籤中,並將資金投資於goldCOMP協議中,但該提案人員並沒有向社區亮明自己的身份,且提案事先也未在論壇中經過討論,這可能或是一場治理攻擊。

Wintermute的治理账戶也表示,未經論壇或社區討論就直接提出鏈上提案是被反對的,且也沒有充分的理由說明爲什么需要將COMP轉移到多重籤名中並脫離DAO的控制。

在後期的“信托設置”提議中,Wintermute質疑該行爲實際上是否阻止了資金轉移的說法寫道,任何形式的撤回行動(撤資)完全由 GoldenBoyzMultisig 控制,這意味着DAO無法自行召回資金。

經過重重阻礙和質疑,“49.9萬枚COMP代幣投資到GoldCOMP協議”的提案最終在7月29日,以68.2萬票贊成、63.3萬票反對獲得批准。

盡管提案是合法的流程,但Compound社區用戶對於“49.9萬枚COMP被轉移未知協議”提案的通過有諸多質疑和擔憂,COMP國庫資產轉移提案爲何在沒有經過社區論壇公开討論就會被通過?投票是否有操控?轉至goldCOMP協議中的COMP代幣安全性如何?會不會卷款而逃?等等。

OpenZeppelin的安全解決方案架構師、Compound的安全顧問Michael Lewellen在X 上指出,多個账戶在公开市場上大量購买COMP代幣,並提出了多個意圖將COMP持有量轉移到Golden Boys創建的goldCOMP產品的提案,並通過控制COMP代幣數量來強行通過審批程序通過該提案。

隨後被爆出,Compound社區的289案是巨鯨Humpy在背後操縱投票方向,企圖通過利用DAO的治理流程來獲取更多的個人利益。

Humpy利用自己的投票權將價值2500萬美元從Compound金庫中直接存入自己的goldCOMP金庫中,用於Golden Boys社區。其中,Golden Boys社區還發行了治理代幣GOLD,在Compound事件後,其價值翻了一番,GOLD代幣當日漲幅超46%,獲利豐厚。

DeFi協議爲何屢次遭遇治理攻擊?該如何避免?

雖然是Humpy行爲是合法的,但它引發了關於去中心化DAO治理的問題思考,巨鯨可通過控制投票方向來影響爲自己獲取重大利益的決策走向。

盡管Compound最終宣布以推出代幣COMP質押產品stCOMP爲條件,取消了289提案,將本次治理攻擊危機轉化爲了對COMP代幣的應用場景及收益的賦能,如未來協議收入將以COMP形式獎勵(減少 DAO儲備)給COMP質押用戶,Compound的收入與COMP價格掛鉤等,並迎來了用戶的反饋好評,但此類治理攻擊事件在DeFi應用中不是第一次,也不會是最後一次。

早在2022年,Humpy就曾在通過大量控制DeFi協議Balancer的代幣veBAL來影響該協議的代幣排放方向和發行量,爲自己獲利,並與項目方上演了貓鼠遊戲。

今年三月,Humpy還被SushiSwap的Jared Grey指控發動攻擊,他表示,如果Humpy治理攻擊得逞,就會通過增加SUSUI代幣發行量來榨取Sushi的價值。

爲何DeFi協議屢次發生此類治理,類似的DAO攻擊劫持行爲該如何避免?

加密用戶Esk3nder表示,目前 DeFi DAO治理攻擊基本上有兩種形式,一種是金融性質的,主要目的是從國庫中獲取資金;另一種是治理形式的攻擊,主要是通過增加投票權來控制治理。

其中,Humpy對Balancer和SushiSwap的攻擊都是試圖通過控制協議的代幣發行量來獲取更多的資金;而對Compound的攻擊則是通過控制投票權來影響決策,對協議的影響會更大。

用戶SOSE表示,DeFi協議的治理攻擊更多是與DeFi失敗的代幣經濟學策略有關。就拿本次Compound攻擊來說,COMP代幣自2021年以來持續下跌,也是DeFi崩盤的代表性案例,COMP代幣的下跌讓代幣積累起來更加容易,從而導致代幣更容易被大戶控制,而現在DeFi協議的治理權往往通過代幣持有量的權重來決定的,這就必然會成爲大戶逐利的遊戲。

雖然爲取消289提案,Compound提出的stCOMP質押方案給COMP代幣經濟帶來了新變化,如COMP質押導致賣方流動性短期減少、Compound協議的收入與COMP價格掛鉤等,並在社區達成了共識,但從Compound DAO的角度來看,這是被迫的行爲,Humpy仍有很大可能再次從這種情況中受益。

他提醒道,DeFi DAO應該根據這些案例考慮應對治理攻擊和代幣經濟學的策略。

而DeFi資深玩家@DefiIgnas認爲,現在DeFi協議的官方DAO組織不作爲更讓人惱火,他解釋道Compound上的多個提案都是悄悄通過的,如7月份V3推出的USDT市場等,現在Compound官方社交媒體甚至沒有轉發過相關提案,導致很多DAO代表團錯過了相關提案的投票,現在如何讓DAO組織更多人員參與進來才是關鍵。

標題:復盤 COMP 2500 美元治理攻擊,DeFi 協議爲何屢次遭遇 DAO 攻擊?

地址:https://www.coinsdeep.com/article/148144.html

鄭重聲明:本文版權歸原作者所有,轉載文章僅為傳播信息之目的,不構成任何投資建議,如有侵權行為,請第一時間聯絡我們修改或刪除,多謝。

你可能還喜歡
熱門資訊