Ataques de governança e modos de falha

Quando votos de tokens controlam uma tesouraria ou a atualização de um contrato, os votos se tornam algo que vale a pena comprar, tomar emprestado ou falsificar. Algumas das maiores perdas em DeFi ocorreram não por bugs na lógica de empréstimos ou negociações, mas na própria governança; por isso, as equipes de risco tratam o sistema de governança como parte da superfície de ataque.

Governança como superfície de ataque

A lógica econômica básica é simples. Um atacante compara o custo de adquirir votos suficientes com o valor que uma proposta aprovada pode movimentar. Suponha que um protocolo precise de 400.000 votos favoráveis para aprovar uma proposta, que o token seja negociado a USD 50 e que a participação nas votações normalmente seja baixa. Comprar ou tomar emprestados 400.000 tokens custa cerca de USD 20 milhões, valor que em grande parte pode ser recuperado com a venda posterior dos tokens. Se a governança puder transferir uma tesouraria de USD 150 milhões ou substituir um contrato que mantém depósitos de usuários, o ataque será lucrativo mesmo depois que o preço do token cair.

Três variáveis determinam o grau de exposição de um protocolo:

• quanto valor a governança pode alcançar (tesouraria, direitos de atualização, direitos de emissão);
• quão barato é obter poder de voto (profundidade de mercado, mercados de empréstimos, empréstimos relâmpago, baixa participação);
• quanto tempo e supervisão existem entre uma votação e sua execução (instantâneos, bloqueios temporais, guardiões).

Um analista de risco pode fazer um teste rápido de exposição. Primeiro, listar todos os contratos e fundos que a governança pode alcançar, incluindo direitos de atualização sobre contratos que mantêm depósitos de usuários. Segundo, calcular o valor do quórum aos preços de mercado atuais e verificar quanto do suprimento do token pode ser tomado emprestado nos mercados de empréstimos. Terceiro, comparar a participação típica com o quórum. Quarto, medir o tempo mínimo entre a proposta e a execução. Um protocolo em que o valor acessível é muitas vezes maior que o custo do quórum, os tokens são fáceis de tomar emprestados e a execução ocorre em menos de um dia merece uma pontuação alta de risco de governança na estrutura descrita na aula Avaliação de risco em DeFi.

Ataque de governança com empréstimo relâmpago: Beanstalk (abril de 2022)

Beanstalk era um protocolo de stablecoin algorítmica cuja governança concedia poder de voto aos ativos depositados em seu “Silo”. Ele também tinha uma função emergencyCommit que permitia executar uma proposta imediatamente quando ela alcançasse uma supermaioria de dois terços e estivesse aberta havia 24 horas.

Em 17 de abril de 2022, um atacante explorou os dois recursos:

1. Um dia antes, o atacante enviou propostas maliciosas: BIP-18, que transferiria os ativos do protocolo para o atacante, e BIP-19, que enviaria cerca de USD 250.000 para um endereço de doação à Ucrânia.
2. Depois de transcorridas as 24 horas, em uma única transação, o atacante tomou emprestado aproximadamente USD 1 bilhão em empréstimos relâmpago (empréstimos tomados e pagos dentro de uma única transação), principalmente da Aave.
3. As stablecoins emprestadas foram convertidas em tokens de pools de liquidez relacionados à Beanstalk e depositadas no Silo, concedendo ao atacante mais de dois terços do poder de voto.
4. O atacante chamou emergencyCommit, executou a BIP-18, drenou cerca de USD 182 milhões em ativos do protocolo, pagou os empréstimos e ficou com uma quantia estimada entre USD 76 milhões e USD 80 milhões.

Nada foi “hackeado” no sentido usual: os contratos fizeram o que a governança lhes ordenou. As causas fundamentais foram medir o poder de voto no momento da votação, em vez de em um instantâneo anterior, e permitir a execução na mesma transação da votação.

Compra de votos e mercados de suborno

Nem toda compra de votos é oculta. Os sistemas de voto em escrow, nos quais os detentores bloqueiam tokens para receber poder de voto, criaram mercados abertos para votos. Na Curve, detentores de veCRV (CRV bloqueado por até quatro anos) votam semanalmente em “gauges” que direcionam emissões de CRV a pools de liquidez específicos. Protocolos que queriam emissões para seus pools competiam por esses votos, em uma disputa conhecida como “guerras da Curve”. Agregadores como a Convex acumularam grandes posições de veCRV, e mercados como o Votium permitiram que protocolos pagassem diretamente aos detentores por votos em gauges.

Esses mercados de suborno são transparentes e voluntários, e seus defensores os consideram uma descoberta eficiente de preços para a influência. O risco é que os votos sigam o pagamento, e não o interesse de longo prazo do protocolo, e que o mesmo mecanismo possa ser usado para comprar votos em propostas que prejudiquem outros detentores. Outras formas são menos visíveis: tokens tomados emprestados em mercados de empréstimos antes de um instantâneo ou acordos fora da blockchain para votar de determinada maneira.

Captura por grandes detentores e saques da tesouraria: Compound (2024)

Um grande detentor, ou um grupo coordenado, pode vencer votações legitimamente e ainda assim agir contra o protocolo. Em 2024, um detentor conhecido como Humpy e um grupo chamado “Golden Boys” fizeram tentativas repetidas de transferir COMP da tesouraria da Compound para um cofre, goldCOMP, controlado pela própria multisig do grupo:

O consultor de segurança da Compound chamou a proposta 289 de ataque à governança, e delegados alertaram que somente a multisig do grupo poderia sacar os fundos. Em poucos dias, chegou-se a uma trégua: a proposta 289 foi retirada e sua execução cancelada antes do vencimento do bloqueio temporal, em troca de um programa de staking proposto que compartilharia as reservas do protocolo com os stakers de COMP. O bloqueio temporal foi o que tornou a negociação possível; sem ele, os fundos teriam sido transferidos imediatamente.

Um padrão relacionado apareceu na Mango Markets em outubro de 2022, quando um operador que havia drenado o protocolo por meio da manipulação de preços usou então os tokens de governança que detinha para votar em um acordo que lhe permitiria ficar com cerca de USD 47 milhões como “recompensa”.

Propostas maliciosas e enganosas

Muitos eleitores leem a descrição da proposta, não o código que ela executará. Em maio de 2023, um atacante conseguiu que a governança da Tornado Cash aprovasse uma proposta apresentada como cópia de outra anterior, já aprovada; ela continha uma função extra que, quando executada, concedia aos endereços do atacante cerca de 1,2 milhão de votos, muito mais do que o suprimento legítimo de votos, e, com isso, o controle total da governança. Antes disso, em fevereiro de 2022, um atacante assumiu o controle da Build Finance DAO simplesmente adquirindo tokens suficientes para aprovar uma proposta que lhe concedia controle do contrato do token e, em seguida, emitiu e vendeu tokens.

As defesas incluem exigir código-fonte verificado para cada conteúdo de proposta, revisão técnica independente, simulação dos efeitos da proposta na blockchain antes da votação e guardiões que possam vetar ações claramente maliciosas durante o bloqueio temporal.

Chaves administrativas e poderes de emergência

A maioria dos protocolos mantém poderes de emergência: um guardião de pausa, uma multisig de atualização ou um conselho de segurança. Esses poderes podem interromper um exploit em minutos, algo que votos de tokens não conseguem fazer. Mas também representam uma concentração de poder e um alvo. Uma chave comprometida, um signatário coagido ou um quórum de signatários em conluio pode atualizar contratos ou drenar fundos sem qualquer votação. Os hacks de pontes causados pelo roubo de chaves de validadores e o incidente da Drift em abril de 2026, no qual membros do conselho de segurança foram manipulados socialmente para assinar transações antecipadamente, são abordados na aula Avaliação de risco em DeFi.

A pergunta profissional não é se existem poderes de emergência, mas como eles são limitados:

As estruturas de risco de rollups e DeFi avaliam cada vez mais os protocolos exatamente com base nesses pontos: quem pode fazer atualizações, com que rapidez e se os usuários têm tempo para sair antes.

Foco no exame: a lógica econômica do ataque (custo dos votos versus valor que a governança pode alcançar); Beanstalk (poder de voto obtido por empréstimo relâmpago, execução na mesma transação por meio de emergencyCommit e as duas causas fundamentais); voto em escrow, gauges e mercados de suborno (guerras da Curve, Convex, Votium); proposta 289 da Compound (um saque da tesouraria aprovado com baixa participação e cancelado após uma trégua possibilitada pelo bloqueio temporal); conteúdos enganosos de propostas (Tornado Cash, maio de 2023); poderes de emergência como controle e risco; tabela de ameaças e controles.