避免治理攻击，蓝筹 DeFi 的治理经验

作者：0xEdwardyw，Tokeninsight

加密领域针对协议的攻击不时都会出现，其中之一是治理攻击。攻击者成功取得协议的治理权，铸造大量通证以及盗取全部协议金库资产。最近一次事件就在2月份，一个风险投资DAO-BuildFinance遭遇了治理攻击导致协议彻底失败。这篇文章会对几个蓝筹DeFi的治理机制进行对比介绍，看看它们是如何避免治理攻击。

不同级别的去中心化治理程度

Source:OurNetwork:DeepDive#2–GovernanceExtractableValue

一个协议发展的早期，控制权往往是由开发团队管理的，并且是由单一密钥控制，这种情况下不会存在治理攻击的可能性。随着协议的发展，开发团队把一部分控制权逐渐分散出去，协议变成由多签的形式管理。控制多签的人可能包括开发团队、社区的重要参与者、或者主要投资机构等等。这种情况同团队完全控制协议在本质上没有不同，都是由可信任的利益相关方一起治理，治理攻击依然不可能出现。

随着协议进一步向去中心化治理发展，发行治理通证将治理权完全分散给治理通证持有者，协议的重要改变由治理通证在链上投票决定，投票通过的治理提案按照预先设定的程序自动执行，这个时候治理攻击的问题才会出现，协议需要仔细的设计治理机制来避免治理攻击的发生。

报告：俄罗斯勒索软件项目更名以避免西方制裁:金色财经报道，区块链情报公司TRM Labs透露，一些与俄罗斯有关的主要勒索软件集团在2022年重新命名，以避免西方国家的制裁。根据最近发布的一份新报告，品牌重塑和其他重大活动表明，在俄罗斯入侵乌克兰后，网络犯罪空间和暗网市场发生了显著变化。

同样，美国外国资产控制办公室(OFAC)对流行的暗网平台Hydra实施的制裁也对勒索软件项目造成了影响。为了通过改变链上行为来加强匿名性，两大勒索软件集团LockBit和Conti重组了他们的活动。Conti停止了原来的业务，并重组为三个较小的集团，分别名为Black Basta、BlackByte和Karakut。在多元化之前，Karakut是Conti运营商运营的一个副项目。[2023/2/27 12:30:46]

BuildFinance的治理攻击实例

BuildFinance是一个由DAO进行治理的协议，治理通证持有者可以投票铸造通证和使用金库。2月9日，在协议的Discord中,社区的调解人发言通知有人发起了恶意的治理提案，如果提案通过将导致该攻击者自由铸造协议通证。社区成功投票否决了这个提案，第一次治理攻击没有成功。

攻击者把持有的通证转入了另一个钱包，第二次发起了提案。这一次，协议的Discord机器人没有侦测到新的提案。这一次治理提案在社区没有人注意到的情况下在2月10日获得了通过。

中央网信办熊希贤：坚持真应用，避免炒概念蹭热点为了用区块链而用区块链:12月26日，2021CCF中国区块链技术大会在海南海口举办，中央网信办信息化发展局政策规划处熊希贤发表致辞时分享了区块链创新应用工作的几点体会。

一是要坚持真创新，强化原始创新、集成创新和应用创新，加强对国际区块链技术发展和应用前沿的跟踪研究。

二是坚持真应用，避免炒概念蹭热点，为了用区块链而用区块链。要聚焦数字技术与实体经济深度融合的重点难点问题，挖掘真正适合区块链应用的场景。

三是构建良好生态，坚持胸怀全国，强化全局性谋划，前瞻性布局，整体性推进，统筹协调政企学研用国防资源共主开放友好，和持续的区块链技术生态和多方协同的产业生态。[2021/12/26 8:04:52]

Build协议有两天的时间锁，治理攻击的提案在2月10日通过，开发团队直到2月14日在Twitter上宣告攻击者完全控制了DAO和通证铸造权，并且铸造了110万通证。攻击者将所有新通证在DEX上抛售，协议通证已一文不值。

根据BuildFinance在其Medium页面的介绍，协议采用了GovernorBravo治理机制。GovernorBravo是由CompoundFinance创建的一套成功的治理机制，被很多蓝筹DeFi采用，包括了Uniswap和AAVE。

研究：加密交易者将BTC和ETH转换为XRP以避免网络拥塞:金色财经报道，Ripple表示，其最新的链上分析表明，交易者在将余额转移至或转移出加密货币交易所时越来越多地将BTC和ETH转换为XRP。Ripple开发部门Xpring表示，交易者在网络拥塞加剧的时期会使用XRP，以确保他们能够尽快转移资金。Xpring称，这种现象在以太坊网络上尤为明显。[2020/5/13]

GovernorBravo允许转移协议的控制权和金库资金，所以攻击者有机会获得协议的全部治理权。尽管被蓝筹DeFi协议广泛的采用，这套治理机制本身并不可以阻止治理攻击的发生。

成功的治理模型GovernorAlpha&Bravo

CompoundFinance的GovernorAlpha以及更新版本GovernorBravo治理模型被很多DeFi协议广泛使用。GovernorBravo的治理流程如下：

Source:Compound

治理提案的提出需要65,000$COMP，提出的提案有两天的审查期。之后进入3天的投票期，如果有超过一半的同意票，且不少于400,000的投票数，提案获得通过并进入时间锁。时间锁为2天，之后提案会被协议自动执行。

Uniswap使用GovernorBravo治理机制，治理的流程与Compound类似。Uniswap大幅提高了提出治理提案与治理提案的通过门槛。提出提案需要250万$UNI通证，按照2月21日价格这大约是2,500万美元。总投票数需要达到4,000万$UNI，接近4亿美元的价值。

声音 | 外媒：Coinbase或正整理资产以避免重放风险:据Trustnodes报道，在过去24小时内，有1360万比特币现金在流动，价值接近14亿美元，流动金额是ETH的7倍多，接近比特币的一半（36亿美元），流动金额高达总供应量的38.8%，然而这笔巨额资金的流动并不意味着交易活动的增加。Trustnodes分析称，这可能是因为Coinbase最近宣布正在调动资金，以为其客户提供更强的安全和保护。Coinbase通过将BCH和/或BTC发送到一个新地址来声明BSV，然后用相同的密钥将同一批加密货币发送到一个BSV地址从而加以声明，那么就不再存在重放风险了。BSV开发者已表示他们将增加重播保护，但是可能无法快速做到这一点。而对于Coinbase这样的交易所来说，目前最好的办法就是进行分割。[2018/12/14]

AAVE–GovernorBravo修改版

AAVE的治理模型与GovernorBravo类似，但是增加了两个元素。第一是将时间锁分为快与慢两种。重要性较低、风险较低的治理提案可以通过快时间锁，快速得到执行。而影响重大的提案则需要经过慢时间锁，让社区有更多的时间做出反应。比如说一个治理攻击提案被通过了，慢时间锁让社区有充足时间决定怎么补救，要不要将整个协议fork一个新地址。

Source

动态 | 避免在专项整治中误杀合法合规创新平台:7月27日讯，据人民创投消息，中央财经大学中国互联网经济研究院副院长欧阳日辉近期就虚拟货币市场监管发表观点，他提出，互联网金融风险防范的长效机制已在探索建立，但是，由于互联网金融的专业、复杂性，各级监管部门对互联网金融的认识仍不够。另外，各地区的互联网金融发展各有差异，将互联网金融专项整治时间放宽至1年至2年内完成，是监管层慎重对待互联网金融发展的表现，避免在专项整治中误杀合法合规创新平台。[2018/7/27]

另一个重要的元素是AAVE的多签卫士。在Governor机制里，是有一个Pause功能的。Pause可以暂停协议的铸造、借款、转移、清算这些功能，但是Pause没办法阻止治理攻击者用足够多的通证来通过一项治理提案。AAVE的卫士功能允许直接取消一个提案，只要这个提案还没有被执行，在整个流程的任何一点都可以直接取消。卫士功能可以最有效的阻止任何恶意治理提案。

安全措施

GovernorBravo的很多元素已经是治理领域的黄金标准，不论其他协议采用了多么不同的治理机制，都或多或少的包含了这些元素。

1.时间锁：几乎所有协议的采用了时间锁。提案通过后与被系统执行之间的缓冲时间给予社区和通证持有者做出反应的时间。理论上，如果协议的使用者和通证的持有者对于某一提案有相反的看法，可以在时间锁期间内退出协议以及卖出通证。时间锁越长对于协议的保护越强，但是过长的时间锁会导致当突发系统问题出现时，没有办法在短时间内修复。

2.对提案通过设定高要求：Uniswap的例子中，通过提案所需要的通证价值非常高，进行治理攻击的成本极高。而且，Uniswap的金库中全部为$UNI通证，就算攻击成功，拿到了金库控制权，$UNI的市场价会迅速下跌导致攻击者的收益未必能高过前期所付出的成本。

Source:TokeninsightAnnualDeFireport

3.多签护卫：只要恶意治理提案被发现，这是最有效阻止治理攻击的方法。但是在一个去中心化治理的框架中，应该把这种过大的权利赋予给谁是一个问题。AAVE采用社区投票来决定10个护卫成员，在其中5个同意的情况下可以否决任何提案。

MakerDAO的投票机制

MakerDAO有一个和上述Governor治理机制完全不同的投票方式。在Governor中，治理通证持有者对某一项治理提案进行投票，无论最终通过还是否决，这一个投票流程都会终止，治理通证也会返还。

MakerDAO使用持续的同意投票制(continuousapprovalvoting)。特点在于你对某一个提案用治理通证$MKR进行投票，当这个提案获得通过及执行后，你的$MKR仍然在这个提案内，而不会像其他投票机制会将治理通证自动退还。你持有的$MKR仅能对某一提案进行投票，无法复投。因此如果你想对新的提案进行投票时，需要手动将$MKR从旧的提案中取出来。

新的提案获得通过的条件是投票的数量超过前一个成功获得通过的提案。

Source:MakerDao

例如2022年2月25日的提案收到82,001.5$MKR的投票，并且获得通过等待执行。如果此时有新的提案需要进行投票，通过新提案所需要的票数便是82,001.5$MKR。

更早之前已经获得投票通过并且已经执行的提案，例如2022年1月24日获得通过并且在1月26日已执行的提案。我们可以看到仍有20,050个$MKR留存在这个提案里没有被手动取出。

这种投票方法增大了新提案通过的门槛。由于很多$MKR留存在旧的提案里，市场上可用来投票的通证数量相应的变少了，新提案要获得通过需要吸引用户把票从旧的提案中手动取出来。

Curve的Vote-Lock治理机制

在GovernorBravo和MakerDAO的持续同意投票制，每一个治理通证代表一票。治理通证可以在公开市场交易，也可以从借贷协议中借出。理论上，只要有足够的抵押品，例如$ETH，就可以借到足够多的治理通证，例如$UNI。可以用借来的治理通证发起治理攻击，这样就无需担心成本的问题，如果$UNI跌倒一文不值，攻击者可以无成本还回给借贷协议。

在vote-lock机制里，治理通证本身没有投票权，需要将$CRV质押锁定为veCRV才获得投票权。锁定期可以长达4年，锁定期越长，投票权越大，投票权会随着锁定期时间流逝而减少。这令从市场上借来$CRV投票的可行性大大降低。

ve机制广受欢迎

自去年开始，veto-lock(ve机制)这种治理机制热度快速提升，受到很多新项目的采用。其中一个例子是IzumiFinance，主打流动性即服务的项目。与Curve相似，Izumi有两类通证，$iZi和veiZi。$iZi持有者质押锁定后获得有治理权的veiZi，veiZi无法交易和转让。治理权和锁定期成比例变化。

新型ve机制的出现

原始的ve机制无法交易和转让，近期像IzumiFinance和AndreCronje支持的Solidly项目开始尝试一个新模式，veNFT。

IzumiFinance的$iZi质押锁定后获得的将是veiZiNFT。原本的治理通证依然无法交易，但是代表治理权的NFT可以在NFT市场，例如Opensea进行交易。这个方法解决了ve机制资本利用效率低的问题，但是会对治理安全产生什么影响还没有出现相关的讨论。

结语

蓝筹DeFi协议所使用的治理机制都经受了时间的考验，但他们并非完美，问题还是会时不时出现。没有100%安全的治理机制，安全性是由不同类别的机制组合在一起达成的。这包括了一个好的治理机制，一个活跃的社区，以及一个经济激励机制来反激励治理攻击，让攻击的潜在收益无法覆盖成本。

在风险管理领域，有一个瑞士奶酪理论。奶酪的每一切片就像是一个风控措施，但是每一个切片都有众多小孔，就像每一个措施都有其弱点。当把这些奶酪切片堆积在一起时，其他切片就可以覆盖别的切片上的小孔，风险事件穿透所有切片的几率大幅降低。

Source:https://thedecisionlab.com/reference-guide/management/swiss-cheese-model/

就像BuildFinance，攻击者的第一次治理攻击成功被社区否决，第二次攻击由于社区没有注意到才导致了提案被通过。一个活跃的社区就是一道风险防线，让这类攻击无法成功。又比如发起治理攻击的成本过大，可能根本不会有人做出尝试。

点击下载TokenInsight?APP

标签：GOVVERERNRNOMetagovRake GovernanceBERNTernoa

Fil热门资讯