Ein DAO ohne Code-Fehler hacken: Wie man durch einen Wahlsieg eine Schatzkammer leert

Im April 2022 verlor Beanstalk rund 181 Millionen Dollar durch einen Governance-Exploit.

Das Seltsame daran war nicht, dass der Angreifer das Berechtigungssystem des Protokolls irgendwie umgangen hätte.

Das Berechtigungssystem sagte Ja.

Der Governance-Vertrag von Beanstalk prüfte, ob ausreichend Stimmkraft einen Antrag unterstützte. Der Angreifer erwarb vorübergehend genügend Stimmkraft. Der Schwellenwert war erfüllt. Der Antrag wurde ausgeführt.

Der Code hat nicht vergessen, die Autorisierung zu prüfen.

Das Problem war, was das System bereit war, als Autorisierung zu akzeptieren.

Governance ist mehr als nur Abstimmung

Es ist leicht, sich DAO-Governance als Krypto-Version einer Wahl vorzustellen: Token-Inhaber diskutieren Anträge, stimmen ab und die Mehrheit gewinnt.

Aber in vielen On-Chain-Systemen kann eine erfolgreiche Abstimmung viel mehr tun, als nur eine Meinung zu äußern. Governance kann Protokollparameter ändern, Verträge aktualisieren, privilegierte Rollen zuweisen, Token prägen oder Vermögenswerte der Schatzkammer bewegen.

Das macht Governance zu einem Teil des Sicherheitsperimeters.

Ein Stimm-Token ist nicht buchstäblich ein Passwort, aber ökonomisch kann er sich wie ein Zugangsausweis verhalten. Ausreichende Stimmkraft kann die Autorität verleihen, dem Protokoll zu sagen, was es als Nächstes tun soll.

Und sobald Autorität durch einen übertragbaren Finanzwert repräsentiert wird, entsteht eine neue Sicherheitsfrage:

Wie teuer ist es, ausreichend Autorität zu erwerben?

Ein Blitzkredit bringt Kapital, keine Autorität

Hier kommen Blitzkredite (Flash Loans) ins Spiel.

Ein Blitzkredit ermöglicht es jemandem, große Mengen an Krypto ohne gewöhnliche Sicherheiten zu leihen, vorausgesetzt, die Mittel werden innerhalb derselben atomaren Transaktion zurückgezahlt. Kann der Kredit bis zum Ende nicht zurückgezahlt werden, wird die gesamte Transaktion rückgängig gemacht.

Das kann fast übernatürlich klingen: Hunderte Millionen leihen, nutzen, zurückzahlen und ohne langfristige Schulden abschließen.

Aber ein Blitzkredit für sich genommen kann keine DAO übernehmen.

Vorübergehendes Geld wird nur dann zu vorübergehender politischer Macht, wenn das Governance-System dies zulässt.

Ein gut gestaltetes Abstimmungssystem könnte fragen:

Wie viel Stimmkraft hatte diese Adresse vor Beginn des Antrags?

Ein anfälliges System fragt effektiv:

Wie viel Stimmkraft hat diese Adresse genau jetzt?

Dieser Unterschied kann enorm sein.

Beanstalk: Das Leihen einer Supermehrheit

Beanstalk hat diesen Unterschied schmerzhaft sichtbar gemacht.

Vor dem Exploit am 17. April 2022 hatte der Angreifer Governance-Anträge vorbereitet und die erforderliche Wartezeit des Protokolls verstreichen lassen. Dann, in einer einzigen Transaktion, lieh sich der Angreifer über 1 Milliarde Dollar an Vermögenswerten aus DeFi-Liquiditätsquellen und wandelte diese vorübergehenden Mittel in Positionen um, die Beanstalk-Stimmkraft erzeugten, bekannt als Stalk ^[1].

Diese vorübergehende Position verschaffte dem Angreifer mehr als die vom Notfall-Governance-Pfad von Beanstalk geforderte Zweidrittelmehrheit.

Der Angreifer nutzte diese Autorität dann, um einen bösartigen Antrag über die eigene Governance-Maschinerie des Protokolls auszuführen.

Nachdem der Antrag Protokollvermögenswerte übertragen hatte, wurden die vorübergehenden Positionen aufgelöst und die Blitzkredite zurückgezahlt — alles innerhalb derselben atomaren Transaktion.

Sicherheitsanalysen schätzten den breiteren Protokollverlust auf etwa 181–182 Millionen Dollar, während Beanstalk rund 77 Millionen Dollar an Nicht-Beanstalk-Nutzerguthaben als gestohlen beschrieb. Das sind unterschiedliche Zahlen, die unterschiedliche Teile des Schadens messen.

Der wichtige Punkt ist nicht die exakte Gesamtsumme.

Es ist der Autorisierungspfad:

Kapital leihen
      ↓
Kapital in Stimmkraft umwandeln
      ↓
Governance-Schwelle überschreiten
      ↓
Antrag autorisieren
      ↓
ausführen
      ↓
geliehenes Kapital zurückzahlen

Der Angreifer musste keine dauerhafte Kontrollmehrheit an Beanstalk halten.

Für eine Transaktion reichte vorübergehendes Kapital aus, um vorübergehende Autorität zu werden.

Das fehlende Sicherheitsmerkmal war Zeit

Beanstalk offenbart etwas Gegenintuitives über Sicherheit:

Verzögerung kann Schutz sein.

Governance-Systeme müssen nicht nur fragen, wie viele Stimmen einen Antrag unterstützen. Sie müssen auch fragen, wann diese Stimmen erworben wurden und wie lange das System warten sollte, bevor es danach handelt.

Moderne Governance-Frameworks nutzen daher Mechanismen wie historische Abstimmungs-Snapshots und Ausführungs-Timelocks ^[2].

Ein Snapshot kann die Stimmkraft an einem früheren Block messen und nicht in dem Moment, in dem jemand eine Stimme abgibt. Das Leihen von Token und deren Rückgabe innerhalb derselben Transaktion erzeugt dann nicht magisch historische Stimmkraft.

Ein Timelock löst ein anderes Problem. Selbst nach dem Bestehen eines Antrags wartet die Ausführung.

Diese Verzögerung gibt Nutzern, Delegierten, Sicherheitsteams und Protokollwächtern Zeit, zu bemerken, was genehmigt wurde, und zu reagieren, bevor der Befehl unumkehrbar wird.

In gewöhnlicher Software fühlt sich Verzögerung oft wie Reibung an.

In der Governance kann Reibung ein Sicherheitsmerkmal sein.

Build Finance: Kein Milliarden-Kredit erforderlich

Beanstalk könnte Governance-Angriffe wie exotische Finanzkonstrukte klingen lassen.

Build Finance zeigte die viel einfachere Version.

Im Februar 2022 sammelte ein Angreifer genügend BUILD-Governance-Token, um vorzuschlagen, sich selbst die Kontrolle über wichtige Teile des Protokolls zu übertragen ^[3].

Der erste Versuch wurde bemerkt und abgewehrt.

Der Angreifer übertrug die Token dann auf eine andere Wallet und versuchte es erneut. Laut Berichten, die auf den eigenen Angaben des Projekts basieren, wurde der zweite Antrag nicht vom üblichen Discord-Benachrichtigungsbot der Community erfasst und stieß auf weit weniger Widerstand.

Er wurde angenommen.

Sobald der Governance-Antrag dem Angreifer die Kontrolle über die Prägungs- und Governance-Infrastruktur gewährte, erstellte der Angreifer neue BUILD-Token, verkaufte sie in verfügbare Liquidität, griff auf Vermögenswerte der Schatzkammer zu und verursachte Verluste von rund 470.000 Dollar.

Kein riesiger Blitzkredit war nötig.

Das Protokoll hatte Autorität zur Übernahme bereitstehen, und es erschien zu wenig effektiver Widerstand, bevor diese Autorität den Besitzer wechselte.

Wie dezentral ist die Entscheidung?

Hier kann das Zählen von Token-Inhabern irreführend werden.

Eine DAO kann Tausende Wallets haben, die ihren Governance-Token halten, und dennoch die Entscheidungsmacht in sehr wenigen Händen konzentriert wissen.

Feichtinger und Kollegen untersuchten 21 On-Chain-Governance-Systeme und fanden heraus, dass in 17 davon weniger als zehn Token-Inhaber oder Delegierte ausreichten, um mehr als die Hälfte der relevanten Stimmkraft zu kontrollieren ^[4].

Das bedeutet nicht, dass jede dieser DAOs bösartig gesteuert wurde.

Es bedeutet, dass die wichtige Governance-Metrik nicht einfach lautet:

Wie viele Inhaber gibt es?

Sondern:

Wie viele unabhängige Akteure sind erforderlich, um das Ergebnis zu bestimmen?

Das können sehr unterschiedliche Zahlen sein.

Dann bekommen Stimmen einen Preis

Es gibt eine weitere Konsequenz der Umwandlung von Governance in ein tokenisiertes Asset.

Wenn Abstimmungen darüber entscheiden, wohin Geld fließt, wird die Stimmkraft selbst wirtschaftlich wertvoll.

Das Gauge-System von Curve hat dies besonders sichtbar gemacht. Inhaber von governance-gebundener Stimmkraft können beeinflussen, wohin Token-Emissionen geleitet werden, und Plattformen wie Votium entstanden, um Anreize rund um diese Stimmen zu koordinieren ^[5].

Das ist nicht dasselbe wie eine feindselige Übernahme der Schatzkammer.

Das System ist explizit darauf ausgelegt, wirtschaftliche Akteure um Governance-Einfluss konkurrieren zu lassen.

Aber das macht den breiteren Punkt ungewöhnlich klar:

Governance-Macht hat einen Marktpreis.

Sobald eine Stimme Cashflows steuert, können Protokolle berechnen, was diese Stimme wert ist. Andere Akteure können dasselbe tun.

Was kostet es, die DAO zu werden?

Dies verändert die Art und Weise, wie Governance-Sicherheit gedacht werden sollte.

Die wichtige Frage ist nicht bloß, ob ein Angreifer einen Bug finden kann.

Es ist auch, ob das Erlangen der Kontrolle wirtschaftlich praktikabel ist.

Konzeptionell hängen die Kosten von mehreren Dingen ab:

wie viel Governance-Autorität erforderlich ist
      ×
wie teuer diese Autorität zu erwerben ist
      ×
wie lange sie gehalten werden muss
      +
das Risiko, dass jemand es bemerkt und Sie stoppt

Das ist keine wörtliche Gleichung. Es ist ein Weg, die Angriffsfläche zu sehen.

Ein Protokoll wird schwerer zu übernehmen, wenn Stimmkraft vor einem Antrag existieren muss, wenn Autorität über die Zeit gebunden bleiben muss, wenn gefährliche Aktionen hinter einem Timelock warten und wenn offensichtlich feindselige Anträge vor der Ausführung storniert oder eingedämmt werden können.

Mit anderen Worten: DAO-Sicherheit hat eine ökonomische Dimension.

Das Protokoll muss feindselige Autorität teuer genug zu erwerben und langsam genug zu entdecken machen.

Mehr Reibung kann mehr Sicherheit bedeuten

Die naheliegende Antwort könnte sein: Lasst jeden über alles abstimmen.

Das skaliert nicht sonderlich gut.

Governance erfordert Aufmerksamkeit, Expertise, Koordination und Zeit. Kleine Inhaber können rational entscheiden, dass die Recherche zu jeder Parameteränderung den Aufwand nicht wert ist.

Reife Governance-Systeme fügen daher oft Strukturen hinzu, die weniger rein dezentral klingen:

• Delegierte, die sich auf Governance spezialisieren;
• Antragsschwellen, die trivialen Spam verhindern;
• historische Abstimmungs-Snapshots;
• Timelocks vor der Ausführung;
• Wächter oder Räte mit streng begrenzten Notfallbefugnissen;
• Veto-Fenster für eindeutig gefährliche Änderungen.

Jeder dieser Mechanismen führt irgendwo Reibung oder Vertrauen ein.

Das erzeugt ein reales gestalterisches Spannungsfeld.

Entfernen Sie zu viele Bremsen, und feindselige Autorität bewegt sich möglicherweise schneller, als die Community reagieren kann.

Fügen Sie zu viele Wächter und Sonderrechte hinzu, und das System wirkt weniger autonom.

Es gibt keine Reineinstellungen, die diesen Zielkonflikt verschwinden lassen.

Das Recht, dem Code Befehle zu erteilen

Ein Smart Contract kann mechanische Fragen sehr gut beantworten.

Hat dieser Antrag die erforderliche Schwelle erreicht?

Ist die Abstimmungsfrist abgelaufen?

Ist der Timelock abgelaufen?

Was er nicht von selbst feststellen kann, ist, ob die repräsentierte Stimmkraft eine breite Zustimmung, einen einzelnen dominanten Inhaber, eine delegierte Konzentration oder vorübergehend zusammengetragenes Kapital widerspiegelte.

Das sind Eigenschaften des Governance-Systems um den Vertrag herum.

Deshalb ist sicherer Code nur ein Teil der DAO-Sicherheit.

Die Schatzkammer mag durch einwandfreie Berechtigungsprüfungen geschützt sein.

Aber jemand muss immer noch entscheiden, wer sie erfüllen darf.

Manchmal wird nicht der Code gehackt. Gehackt wird das Recht, dem Code zu sagen, was er tun soll.