Compound: un voto de 24 millones revela el riesgo de las DAO

La Propuesta 289 de Compound se aprobó tras un último impulso de apoyo que sumó 682.191 votos frente a 633.636, autorizando la transferencia de 499.000 COMP, por entonces valorados en unos 24 millones de dólares, a un vehículo generador de rendimiento. Las wallets detrás de la campaña habían acumulado más de 682.000 COMP durante cuatro meses, incluyendo tokens rastreados a través de exchanges centralizados y COMP tomado en préstamo a través del propio Compound. La medida se canceló más tarde mediante un acuerdo, y Compound añadió un rol de veto que otorgó al protocolo un freno de emergencia.

Por qué importa

El incidente demuestra que una DAO puede ejecutar un saqueo de tesorería sin explotar un fallo en el contrato inteligente. Investigadores que estudiaron 28 incidentes en DAO clasificaron 16 como ataques, incluyendo diez que implicaban la compra o el préstamo de suficientes tokens para influir en una votación. El registro, el staking y la delegación están pensados para prevenir spam, encarecer los ataques y dar representación a los holders pasivos, pero cada uno también puede concentrar la autoridad efectiva.

En 48 grandes DAO de Ethereum, 36 requerían alguna forma de registro, pero solo cuatro registraron más de la mitad de su oferta de tokens en circulación. La cuota media registrada fue del 21% entre esas 36 organizaciones. Quince DAO exigían staking, con una mediana del 27,4% de tokens bloqueados, mientras que la delegación hizo que el poder de voto se concentrara aún más que en la votación directa en muchos casos.

Los diez mayores holders controlaban más de la mitad del poder de voto en 39 de las 48 DAO. En 14 DAO basadas en registro, las wallets de exchanges e intermediarios de DeFi controlaban más tokens que todo el electorado registrado. Los investigadores también hallaron que los bloques de votación asociados a servicios de gobernanza podían alcanzar el 53% del poder de voto en Curve, el 46% en Frax, el 57% en Angle y el 65% en Balancer.

Impacto en el mercado

Los protocolos se enfrentan ahora a un dilema de diseño en lugar de una simple elección entre descentralización y control. Alargar los periodos de votación, exigir periodos de staking más largos o dar a un consejo autoridad de veto puede reducir los ataques en fases avanzadas, pero también desplaza la influencia hacia holders comprometidos, delegados profesionales, servicios de bloqueo o un pequeño órgano de emergencia. Los investigadores identificaron otras siete DAO con una exposición similar a poder de voto fácilmente disponible y acumulación tardía, entre ellas Uniswap, Radicle, Gitcoin, Silo, Ampleforth, Hop y Cryptex.

Por ello, la cuestión de seguridad pasa de preguntarse si el código de gobernanza sigue sus reglas a preguntarse a quién distribuyen esas reglas la autoridad.