בינאנס: הצעת ממשל זדונית שאיימה על 1.2 מיליון דולר בקופת DAO נחסמה

בורסת המטבעות בינאנס מסרה כי צוות הניטור שלה איתר הצעת ממשל זדונית שהוגשה לפרויקט מבוזר, ואשר עלולה הייתה להעניק למגישיה גישה לטוקנים בשווי של כמיליון ומאתיים אלף דולר מקופת הפרויקט. לפי ההודעה, ההצעה נחסמה לפני שההצבעה עליה הושלמה, ולא אבדו כספים. שמו של הפרויקט שנפגע לא נמסר. הדיווח ב-Bitcoin.com News מציין כי בינאנס פרסמה את הפרטים ב-18 באוגוסט, ומתארת טיפול שנמשך פחות מארבעים ושמונה שעות מרגע הזיהוי.

חשוב להבהיר נקודה אחת כבר בפתיחה: כל הפרטים בפרשה הזו מגיעים מהודעת בינאנס עצמה. שלושת הדיווחים שלפנינו נשענים על אותו מקור, ואין בהם אישור עצמאי מצד הפרויקט שנפגע — שכאמור אף לא זוהה בשמו.

מהי בכלל "מתקפת ממשל"

הרבה פרויקטים מבוזרים מנוהלים באמצעות מה שמכונה DAO — ארגון שההחלטות בו מתקבלות בהצבעה של מחזיקי טוקן ייעודי, ולא על ידי הנהלה ממונה. הקופה המשותפת של הפרויקט מוחזקת בחוזה חכם, והדרך היחידה להוציא ממנה כסף היא הצעה שעברה הצבעה. זה המנגנון, וזו גם נקודת התורפה.

מתקפת ממשל אינה פריצה במובן הרגיל. אין כאן ניצול באג בקוד ואין גניבת מפתחות פרטיים. התוקף פועל בדיוק לפי הכללים: הוא צובר כמות מספקת של כוח הצבעה — בקנייה מהירה בשוק, בהשאלה, או בשילוב של השניים — מגיש הצעה שנראית תמימה או טכנית, ומעביר אותה ברוב קולות בזמן שרוב המחזיקים אינם מצביעים כלל. ברגע שההצעה עוברת, החוזה החכם מבצע אותה בנאמנות. הכסף יוצא מהקופה באופן "חוקי" לחלוטין מבחינת הפרוטוקול.

ההיסטוריה של התחום מכירה מקרים כאלה גם בפרויקטים גדולים ומוכרים, כולל הצבעות שהעבירו סכומים משמעותיים לפני שמישהו הבחין במה שקורה. השילוב של השתתפות נמוכה בהצבעות ושל אפשרות לגייס כוח הצבעה זמני הוא שהופך את השיטה הזו לאפשרית.

מה עצר את זה בפועל

לפי הדיווח, בינאנס לא הסתפקה באזהרה לפרויקט אלא תיאמה מול בורסות סגירה של הפקדות בטוקן הרלוונטי. הצעד הזה תוקף ישירות את שלב הצבירה: קשה הרבה יותר לרכז כוח הצבעה כאשר לא ניתן להזרים טוקנים פנימה או להזיז אותם בין זירות מסחר בזמן קצר. במקביל, לפי אותו דיווח, הפרויקט עודכן וההצבעה נחסמה.

Crypto Briefing מעלה מהמקרה טענה רחבה יותר, והיא ראויה לתשומת לב: דווקא הבורסות הריכוזיות — הגורם שהעולם המבוזר אמור להתקיים בלעדיו — הן שסיפקו כאן את קו ההגנה. פרויקט שמכריז על עצמו כמנוהל בידי הקהילה נשען, ברגע האמת, על צוות אבטחה של חברה מסחרית גדולה ועל שיתוף פעולה בין זירות מסחר. מסקנתם היא שמסגרות הממשל עצמן זקוקות לשיפור, ולא שהפתרון הוא ריכוזיות.

מה זה אומר למי שמחזיק טוקן ממשל

המנגנון שתואר כאן מוליד מסקנה מעשית אחת, ספציפית לסוג ההתקפה הזה: כוח ההצבעה שלכם אינו נכס פסיבי. הצעה זדונית עוברת בדיוק משום שהרוב השקט אינו מצביע, ולכן כמות קטנה יחסית של טוקנים מספיקה כדי להשיג רוב. מי שמחזיק טוקן של פרויקט מבוזר ומתייחס אליו כאל השקעה בלבד, מבלי לעקוב אחר ההצעות המוגשות בו, מותיר את הקופה המשותפת חשופה.

שני דברים שכדאי לבדוק בפרויקט שאתם מחזיקים בו: האם קיים בו עיכוב זמן (timelock) בין אישור הצעה לביצועה בפועל — פרק זמן שמאפשר לזהות הצעה חריגה ולפעול; והאם נדרש סף השתתפות מינימלי כדי שהצבעה תהיה תקפה. אלו שני החסמים שמפריעים בפועל למתקפה מהסוג הזה, והם נבדלים מפרויקט לפרויקט.

מה שנותר לא ידוע: זהות הפרויקט, זהות מגישי ההצעה, והאם התנהל בירור נוסף בעקבות האירוע. גם היקף הפרטים שיתפרסם בהמשך תלוי בעיקר בפרויקט עצמו, שטרם דיבר בקולו.

מקורות: Crypto Briefing · Bitcoin.com News · crypto.news

המידע בכתבה נועד להרחבת הדעת בלבד ואינו מהווה ייעוץ השקעות או תחליף לייעוץ מקצועי.