Attacchi alla governance e modalità di fallimento

Quando i voti dei token controllano una tesoreria o l'aggiornamento di un contratto, i voti diventano qualcosa che vale la pena comprare, prendere in prestito o falsificare. Alcune delle maggiori perdite della DeFi non sono state causate da bug nella logica di prestito o di trading, ma dalla governance stessa; per questo i team di rischio considerano il sistema di governance parte della superficie di attacco.

La governance come superficie di attacco

L'economia di base è semplice. Un aggressore confronta il costo per acquisire voti sufficienti con il valore che una proposta approvata può spostare. Supponiamo che un protocollo richieda 400.000 voti a favore per approvare una proposta, che il token sia scambiato a 50 USD e che l'affluenza alle votazioni sia generalmente bassa. Comprare o prendere in prestito 400.000 token costa circa 20 milioni di USD, gran parte dei quali può essere recuperata rivendendoli in seguito. Se la governance può trasferire una tesoreria da 150 milioni di USD o sostituire un contratto che detiene depositi degli utenti, l'attacco è redditizio anche dopo il calo del prezzo del token.

Tre variabili determinano il grado di esposizione di un protocollo:

• quanto valore può raggiungere la governance (tesoreria, diritti di upgrade, diritti di emissione);
• quanto poco costa ottenere potere di voto (profondità del mercato, mercati di prestito, flash loan, bassa affluenza);
• quanto tempo e controllo intercorrono tra una votazione e la sua esecuzione (snapshot, timelock, guardiani).

Un analista del rischio può effettuare un rapido test di esposizione. Per prima cosa, elenca ogni contratto e fondo che la governance può raggiungere, compresi i diritti di upgrade sui contratti che detengono depositi degli utenti. In secondo luogo, calcola il quorum ai valori di mercato correnti e verifica quanta parte dell'offerta del token può essere presa in prestito sui mercati di prestito. In terzo luogo, confronta l'affluenza tipica con il quorum. In quarto luogo, misura il tempo minimo che intercorre tra la proposta e la sua esecuzione. Un protocollo in cui il valore raggiungibile è molte volte superiore al costo del quorum, i token sono facili da prendere in prestito e l'esecuzione richiede meno di un giorno merita un punteggio elevato di rischio di governance, secondo il quadro descritto nella lezione Valutare il rischio DeFi.

Attacco alla governance con flash loan: Beanstalk (aprile 2022)

Beanstalk era un protocollo di stablecoin algoritmica la cui governance assegnava potere di voto agli asset depositati nel suo «Silo». Aveva inoltre una funzione emergencyCommit che consentiva l'esecuzione immediata di una proposta una volta raggiunta una supermaggioranza dei due terzi e trascorse 24 ore dalla sua apertura.

Il 17 aprile 2022 un aggressore ha sfruttato entrambe le funzionalità:

1. Il giorno prima, l'aggressore aveva presentato proposte malevole: la BIP-18, che avrebbe trasferito gli asset del protocollo all'aggressore, e la BIP-19, che avrebbe inviato circa 250.000 USD a un indirizzo per donazioni all'Ucraina.
2. Trascorse le 24 ore, con un'unica transazione l'aggressore ha preso in prestito circa 1 miliardo di USD tramite flash loan (prestiti contratti e rimborsati nell'ambito di un'unica transazione), principalmente da Aave.
3. Le stablecoin prese in prestito sono state convertite in token di pool di liquidità legati a Beanstalk e depositate nel Silo, conferendo all'aggressore più di due terzi del potere di voto.
4. L'aggressore ha chiamato emergencyCommit, ha eseguito la BIP-18, ha sottratto circa 182 milioni di USD di asset del protocollo, ha rimborsato i prestiti e ha trattenuto una somma stimata tra 76 e 80 milioni di USD.

Nel senso consueto, non è stato «hackerato» nulla: i contratti hanno fatto ciò che la governance aveva ordinato. Le cause alla radice sono state la misurazione del potere di voto al momento della votazione anziché in uno snapshot precedente e la possibilità di eseguire la proposta nella stessa transazione della votazione.

Acquisto di voti e mercati delle tangenti

Non tutti gli acquisti di voti sono nascosti. I sistemi vote-escrow, in cui i detentori bloccano i token per ottenere potere di voto, hanno creato mercati aperti per i voti. Su Curve, i detentori di veCRV (CRV bloccati per un massimo di quattro anni) votano ogni settimana sui «gauge» che indirizzano le emissioni di CRV verso specifici pool di liquidità. I protocolli che volevano ottenere emissioni per i propri pool si contendevano quei voti, in una competizione nota come «guerre di Curve». Aggregatori come Convex hanno accumulato grandi posizioni in veCRV e mercati come Votium hanno consentito ai protocolli di pagare direttamente i detentori per i voti sui gauge.

Questi mercati delle tangenti sono trasparenti e volontari; i loro sostenitori li considerano un meccanismo efficiente per determinare il prezzo dell'influenza. Il rischio è che i voti seguano il pagamento anziché l'interesse a lungo termine del protocollo e che lo stesso meccanismo possa essere usato per comprare voti su proposte dannose per altri detentori. Altre forme sono meno visibili: token presi in prestito sui mercati di prestito prima di uno snapshot o accordi fuori dalla blockchain per votare in un certo modo.

Controllo da parte di una whale e saccheggio della tesoreria: Compound (2024)

Un grande detentore, o un gruppo coordinato, può vincere votazioni legittimamente e agire comunque contro gli interessi del protocollo. Nel 2024 un detentore noto come Humpy e un gruppo chiamato «Golden Boys» hanno tentato ripetutamente di trasferire COMP dalla tesoreria di Compound a un vault, goldCOMP, controllato dal multisig del gruppo:

Il consulente per la sicurezza di Compound ha definito la proposta 289 un attacco alla governance e i delegati hanno avvertito che solo il multisig del gruppo avrebbe potuto prelevare i fondi. Nel giro di pochi giorni è stata raggiunta una tregua: la proposta 289 è stata ritirata e la sua esecuzione annullata prima della scadenza del timelock, in cambio di un programma di staking proposto che avrebbe condiviso le riserve del protocollo con gli staker di COMP. Il timelock ha reso possibile la negoziazione; senza di esso, i fondi sarebbero stati trasferiti immediatamente.

Un caso correlato si è verificato su Mango Markets nell'ottobre 2022, quando un trader che aveva prosciugato il protocollo manipolando i prezzi ha poi usato i token di governance in suo possesso per votare a favore di un accordo che gli avrebbe permesso di tenere circa 47 milioni di USD come «ricompensa».

Proposte malevole e ingannevoli

Molti votanti leggono la descrizione della proposta, non il codice che verrà eseguito. Nel maggio 2023 un aggressore ha indotto la governance di Tornado Cash ad approvare una proposta presentata come copia di una proposta precedente già approvata; conteneva una funzione aggiuntiva che, una volta eseguita, ha attribuito agli indirizzi dell'aggressore circa 1,2 milioni di voti, molti più di quelli disponibili legittimamente, garantendogli così il pieno controllo della governance. In precedenza, nel febbraio 2022, un aggressore aveva preso il controllo di Build Finance DAO semplicemente acquisendo abbastanza token da approvare una proposta che gli conferiva il controllo del contratto del token, per poi emettere e vendere token.

Le difese includono l'obbligo di verificare il codice sorgente di ogni payload di proposta, una revisione tecnica indipendente, la simulazione degli effetti on-chain della proposta prima della votazione e guardiani che possano porre il veto ad azioni chiaramente malevole durante il timelock.

Chiavi amministrative e poteri di emergenza

La maggior parte dei protocolli mantiene poteri di emergenza: un guardiano che può mettere in pausa, un multisig per gli upgrade o un consiglio di sicurezza. Questi poteri possono fermare un exploit in pochi minuti, cosa che i voti dei token non possono fare. Ma costituiscono anche una concentrazione di potere e un bersaglio. Una chiave compromessa, un firmatario costretto o un quorum di firmatari collusi possono aggiornare i contratti o sottrarre fondi senza alcuna votazione. Gli attacchi ai bridge causati da chiavi di validatori rubate e l'incidente di Drift dell'aprile 2026, in cui i membri del consiglio di sicurezza sono stati indotti con tecniche di ingegneria sociale a firmare transazioni in anticipo, sono trattati nella lezione Valutare il rischio DeFi.

La domanda professionale non è se esistano poteri di emergenza, ma in che modo siano limitati:

I framework di rischio di rollup e DeFi valutano sempre più spesso i protocolli proprio su questi aspetti: chi può effettuare upgrade, con quale rapidità e se gli utenti hanno il tempo di uscire prima.

Focus sull'esame: l'economia dell'attacco (costo dei voti rispetto al valore raggiungibile dalla governance); Beanstalk (potere di voto ottenuto tramite flash loan, esecuzione nella stessa transazione tramite emergencyCommit e le due cause alla radice); vote-escrow, gauge e mercati delle tangenti (guerre di Curve, Convex, Votium); proposta 289 di Compound (un saccheggio della tesoreria approvato con bassa affluenza e annullato dopo una tregua resa possibile dal timelock); payload ingannevoli (Tornado Cash, maggio 2023); poteri di emergenza come strumento di controllo e fonte di rischio; la tabella delle minacce e dei controlli.