Compound: voto de $24M expõe risco na governação DAO

A Proposta 289 da Compound foi aprovada depois de uma vaga tardia de apoio ter enviado 682.191 votos contra 633.636, autorizando a transferência de 499.000 COMP, então avaliados em cerca de 24 milhões de dólares, para um veículo gerador de rendimento. As carteiras por trás da campanha tinham acumulado mais de 682.000 COMP ao longo de quatro meses, incluindo tokens rastreados através de exchanges centralizadas e COMP obtido por empréstimo através da própria Compound. A medida foi posteriormente cancelada através de um acordo, e a Compound acrescentou uma função de veto que deu ao protocolo um mecanismo de emergência.

Porque é importante

O incidente mostra que uma DAO pode executar um assalto à tesouraria sem explorar uma falha no contrato inteligente. Investigadores que estudaram 28 incidentes em DAO classificaram 16 como ataques, incluindo dez que envolveram a compra ou o empréstimo de tokens suficientes para influenciar uma votação. O registo, o staking e a delegação destinam-se a impedir spam, tornar os ataques mais caros e dar representação aos detentores passivos, mas cada um destes mecanismos também pode concentrar a autoridade prática.

Em 48 grandes DAO da Ethereum, 36 exigiam alguma forma de registo, mas apenas quatro registaram mais de metade do fornecimento de tokens em circulação. A participação média registada foi de 21% entre essas 36 organizações. Quinze DAO exigiam staking, com uma mediana de 27,4% de tokens bloqueados, enquanto a delegação tornou o poder de voto ainda mais concentrado do que a votação direta em muitos casos.

Os dez maiores detentores controlavam mais de metade do poder de voto em 39 das 48 DAO. Em 14 DAO baseadas em registo, as carteiras de exchanges e de intermediários DeFi controlavam mais tokens do que todo o eleitorado registado. Os investigadores também descobriram que os blocos de voto associados a serviços de governação podiam atingir 53% do poder de voto na Curve, 46% na Frax, 57% na Angle e 65% na Balancer.

Impacto no mercado

Os protocolos enfrentam agora uma compensação de conceção, em vez de uma escolha simples entre descentralização e controlo. O prolongamento dos períodos de votação, a exigência de períodos mais longos de staking ou a atribuição de poder de veto a um conselho podem reduzir os ataques em fases avançadas, mas também transferem influência para detentores comprometidos, delegados profissionais, serviços de bloqueio ou um pequeno órgão de emergência. Os investigadores identificaram outras sete DAO com uma exposição semelhante a poder de voto facilmente disponível e acumulação tardia, incluindo Uniswap, Radicle, Gitcoin, Silo, Ampleforth, Hop e Cryptex.

A questão de segurança está, por isso, a mudar: em vez de perguntarem se o código de governação cumpre as suas regras, importa saber a quem essas regras distribuem autoridade.