Dziesięć lat temu The DAO zostało zhakowane, wyczerpując miliony etheru (ETH) z największego w tamtym czasie wydarzenia crowdfundingowego w historii i ostatecznie zmuszając Ethereum do podjęcia najbardziej doniosłej decyzji: hard forka, który podzielił łańcuch na Ethereum i Ethereum Classic.

The DAO zostało zbudowane przez niemiecką firmę blockchainową Slock.it pod kierownictwem dewelopera Christopha Jentzscha, gromadząc około 12 milionów ETH, czyli około 150 milionów dolarów w tamtym czasie, od ponad 11 000 inwestorów w ramach sprzedaży tokenów, która zakończyła się niespełna trzy tygodnie przed atakiem.

17 czerwca 2016 roku, wówczas niezidentyfikowany atakujący wykorzystał lukę reentrancyjną w funkcji splitDAO The DAO, wielokrotnie wyprowadzając ether, zanim kontrakt zdążył zaktualizować swoje salda.

Około 3,6 miliona ETH, czyli około jedna trzecia funduszu, trafiła do „child DAO” z 28-dniową blokadą wypłat, co dało społeczności Ethereum czas na reakcję.

Luźna grupa deweloperów, znana jako White Hat Group, w tym menedżer społeczności The DAO, Griff Green, ścigała się, aby wyprowadzić pozostałe, wrażliwe środki do kontrolowanych przez siebie kontraktów, co było bezprecedensową akcją ratunkową przeprowadzoną w pełni publicznie na żywym blockchainie.

Debata „kod jest prawem”

Ten incydent podzielił społeczność Ethereum na dwa obozy.

Jeden argumentował, że hack był zgodny z zapisanym kodem kontraktu i że wynik powinien zostać utrzymany, co stało się później podstawą Ethereum Classic.

Drugi argumentował, że błąd nie był zamierzonym zachowaniem i że społeczność powinna użyć swojego wspólnego osądu, aby zrekompensować straty ofiarom.

Obecne Ethereum wybrało to drugie podejście.

20 lipca 2016 roku, na bloku 1 920 000, sieć wykonała hard fork, który cofnął stan łańcucha do momentu sprzed ataku, z poparciem około 85% do 89% głosujących. Wyprowadzony ETH trafił do kontraktu odzyskiwania, a pierwotni posiadacze tokenów DAO mogli wycofać swoją część po kursie 1 ETH za 100 tokenów DAO.

Uczestnicy na nowym łańcuchu zostali zrekompensowani i otrzymali dodatkowe ETC z podziału. Na oryginalnym łańcuchu, Ethereum Classic, hack pozostał zarejestrowany, a atakujący zachował swoją część ETC. Był to pierwszy duży hard fork Ethereum i wydarzenie, które na stałe podzieliło sieć na dwie części.

Dekada później

Hack wpłynął na zdecentralizowane finanse znacznie szerzej niż tylko na sam fork. Do dziś jest powszechnie uznawany za impuls do powstania branży bezpieczeństwa inteligentnych kontraktów w krypto, ponieważ audyty i formalna weryfikacja stały się standardową praktyką, a nie dodatkowym elementem.

Stało się to również kamieniem milowym w amerykańskim prawie papierów wartościowych. Raport SEC USA z 2017 roku dotyczący The DAO stwierdził, że tokeny DAO kwalifikują się jako papiery wartościowe zgodnie z obowiązującym prawem, a analiza faktów i okoliczności od tamtej pory stanowi podstawę działań egzekucyjnych w krypto.

The DAO, odrodzone

Dekadę później, The DAO powraca, ale tym razem jako fundusz bezpieczeństwa, a nie fundusz venture.

Fundusz The DAO Fund wywodzi się z zobowiązania podjętego krótko po ataku: wszelkie uratowane ETH, które pozostaną nieodebrane do stycznia 2017 roku, miały ostatecznie wesprzeć prace nad bezpieczeństwem Ethereum.

Obietnica pozostawała w uśpieniu, dopóki badacz z Wintermute nie odkrył starego posta na blogu i nie zgłosił go Greenowi, który ogłosił uruchomienie funduszu w styczniu.

Ponad 75 000 ETH z pierwotnego odzyskania, około 70 500 ETH znajdujących się w nieodebranym kontrakcie ExtraBalance plus kolejne 4 600 ETH w multisigu kuratorów The DAO, jest stakowane jako długoterminowa darowizna, z której dochody finansują badania nad bezpieczeństwem, narzędzia i reagowanie na incydenty.

Siedmiu kuratorów nadzoruje fundusz, w tym współzałożyciel Ethereum Vitalik Buterin i były szef bezpieczeństwa MetaMask, Taylor Monahan, a fundusz współpracuje z inicjatywą Trillion Dollar Security Fundacji Ethereum.

„Od sześciu lat tkwimy w martwym punkcie” – powiedział Green w styczniu The Block, wskazując na ataki phishingowe i drenaże portfeli jako dowód na to, że bezpieczeństwo dla zwykłych użytkowników Ethereum pozostaje w tyle, mimo że sam protokół dojrzał.

Fundusz przeprowadził swoją pierwszą alokację, Ethereum Security QF Round, od 23 kwietnia do 14 maja, rozdzielając ponad 1 milion dolarów w ETH na 134 projekty wybrane spośród ponad 250 kandydatów, a wśród współtwórców był animator rynku Wintermute, który dodał 200 000 dolarów do puli dopasowania.

75 000 ETH było warte ponad 220 milionów dolarów, kiedy Green ogłosił fundusz w styczniu. Przy obecnej cenie ETH w pobliżu 1750 dolarów, ta sama stawka jest warta bliżej 130 milionów dolarów.

Ryzyko się przeniosło

Nie wszyscy odczytują ponowne uruchomienie jako pełne potwierdzenie wyboru Ethereum z 2016 roku.

„’Kod jest prawem’ zawsze było ramą, która nie była w pełni do utrzymania” – powiedział Ido Ben-Natan, dyrektor generalny firmy Blockaid zajmującej się bezpieczeństwem portfeli. Każdy system, który rozlicza prawdziwą wartość, potrzebuje miejsca na ludzki osąd na marginesach, jego zdaniem, a ograniczenie nowego funduszu do uśpionych, już odzyskanych aktywów utrzymuje go w konserwatywnym tonie, ponieważ nie otwiera na nowo transakcji, które sieć już rozliczyła w 2016 roku.

Marcin Kaźmierczak, współzałożyciel dostawcy oracle RedStone, argumentował, że finansowanie bezpieczeństwa z trwałej darowizny stakingowej, zamiast zbierania funduszy po każdym hacku, stanowi prawdziwy postęp, ale nie eliminuje zaufania do systemu, jedynie je przenosi.

Uczestnicy ufają teraz siedmiu kuratorom i procesowi finansowania, aby mądrze alokować około 8 milionów dolarów rocznie z zysków, zamiast ufać, że leżący u podstaw kod jest bezbłędny.

„To nie eliminuje zaufania, po prostu je przenosi” – powiedział Kaźmierczak The Block.

Wartości dolarowe również wyglądają inaczej w kontekście. Krypto straciło 3,4 miliarda dolarów w wyniku hacków w 2025 roku, jak wykazała Chainalysis, a samo naruszenie Bybit w lutym o wartości 1,5 miliarda dolarów stanowiło 44% tej sumy.

Wobec takich liczb, runda grantowa o wartości 1 miliona dolarów ledwo się rejestruje, powiedział Kaźmierczak. Wielkość strat to nadal zły miernik, powiedział, ponieważ bardziej znaczącą zmianą jest to, że Ethereum ma teraz stałą, samofinansującą się pulę bezpieczeństwa, której wcześniej nie miało.

Zastanawiał się również, czy fundusz ściga właściwe zagrożenie. Hack The DAO był błędem kontraktowym, kategorią obecnie w dużej mierze pod kontrolą, ponieważ audytowanie dojrzało, podczas gdy dzisiejsze katastrofalne straty coraz częściej pochodzą z operacji: skradzionych kluczy, inżynierii społecznej i skompromitowanych interfejsów podpisywania.

Naruszenie Bybit było najjaśniejszym przykładem, nie błędem Solidity, ale, jak ujął to Kaźmierczak, „sfałszowanym ekranem podpisu, który zamienił zatwierdzenia portfeli sprzętowych w ślepe podpisy”. Finansowanie kolejnej fali audytów inteligentnych kontraktów, argumentował, oznaczałoby pominięcie tego, gdzie faktycznie idą teraz pieniądze.

Ben-Natan ujął tę samą zmianę bardziej dosadnie. Powiedział The Block, że reentrancy nauczyła branżę audytowania kodu, ale „musimy również obserwować, co się dzieje, gdy ludzie klikają „zatwierdź”.”