Compound : un vote de 24 M$ révèle le risque des DAO

La proposition 289 de Compound a été adoptée après un afflux tardif de soutien, avec 682 191 voix contre 633 636, autorisant le transfert de 499 000 COMP, alors évalués à environ $24 million, vers un véhicule portant intérêt. Les portefeuilles à l’origine de la campagne avaient accumulé plus de 682 000 COMP sur quatre mois, notamment des jetons retracés via des échanges centralisés et des COMP empruntés par l’intermédiaire de Compound lui-même. La mesure a ensuite été annulée dans le cadre d’un accord, et Compound a ajouté un rôle de veto offrant au protocole un mécanisme de freinage d’urgence.

Pourquoi c’est important

L’incident montre qu’un DAO peut mener une attaque contre sa trésorerie sans exploiter de bug dans un smart contract. Des chercheurs ayant étudié 28 incidents concernant des DAO en ont classé 16 comme des attaques, dont dix impliquant l’achat ou l’emprunt d’un nombre suffisant de jetons pour influencer un vote. L’enregistrement, le staking et la délégation visent à empêcher le spam, à renchérir le coût des attaques et à donner une représentation aux détenteurs passifs, mais chacun peut également concentrer l’autorité réelle.

Sur 48 grands DAO Ethereum, 36 exigeaient une forme d’enregistrement, mais seuls quatre avaient enregistré plus de la moitié de leur offre de jetons en circulation. La part moyenne enregistrée était de 21 % parmi ces 36 organisations. Quinze DAO exigeaient un staking, avec une médiane de 27,4 % des jetons verrouillés, tandis que la délégation concentrait souvent encore davantage le pouvoir de vote que le vote direct.

Les dix plus grands détenteurs contrôlaient plus de la moitié du pouvoir de vote dans 39 des 48 DAO. Dans 14 DAO fondés sur l’enregistrement, les portefeuilles d’échanges et d’intermédiaires DeFi contrôlaient plus de jetons que l’ensemble de l’électorat enregistré. Les chercheurs ont également constaté que les blocs de vote associés aux services de gouvernance pouvaient atteindre 53 % du pouvoir de vote chez Curve, 46 % chez Frax, 57 % chez Angle et 65 % chez Balancer.

Impact sur le marché

Les protocoles sont désormais confrontés à un compromis de conception plutôt qu’à un simple choix entre décentralisation et contrôle. Allonger les périodes de vote, exiger une période de staking plus longue ou conferir à un conseil un pouvoir de veto peut réduire les attaques en fin de processus, mais cela déplace aussi l’influence vers les détenteurs engagés, les délégués professionnels, les services de verrouillage ou un petit organe d’urgence. Les chercheurs ont identifié sept autres DAO présentant une exposition similaire à un pouvoir de vote facilement accessible et à une accumulation tardive, notamment Uniswap, Radicle, Gitcoin, Silo, Ampleforth, Hop et Cryptex.

La question de la sécurité évolue donc. Il ne s’agit plus seulement de savoir si le code de gouvernance respecte ses règles, mais de déterminer à qui ces règles attribuent l’autorité.