A Binance informou em 18 de agosto que sua equipe de segurança ajudou a deter uma proposta de governança maliciosa que poderia ter exposto aproximadamente US$ 1,2 milhão em tokens da tesouraria de uma organização autônoma descentralizada não nomeada.
A corretora de criptomoedas afirmou que seus sistemas de monitoramento identificaram independentemente a proposta com menos de 48 horas restantes antes da execução. A Binance então contatou o projeto e coordenou com outras corretoras centralizadas o fechamento de depósitos para o token afetado.
O projeto votou contra a proposta antes que ela pudesse ser executada, de acordo com o relato publicado pela Binance. A empresa disse que nenhum fundo foi perdido.
A corretora disse que o atacante tentou explorar uma fraqueza no mecanismo de governança on-chain do projeto. O limite para a criação de uma proposta era, segundo relatos, baixo o suficiente para permitir que o atacante contornasse os requisitos de protocolo pretendidos.
A empresa não explicou quais eram esses requisitos nem como a proposta teria acesso à tesouraria. Também não divulgou se o atacante acumulou tokens de governança, emprestou poder de voto ou ocultou instruções maliciosas dentro de um código executável.
Os sistemas de governança permitem que os detentores de tokens votem nos gastos da tesouraria, atualizações e configurações de protocolo. Um atacante pode ganhar controle quando os limites das propostas são baixos, a participação na votação é fraca ou os atrasos na execução são muito curtos para os delegados responderem.
O processo de votação da DAO afetada forneceu tempo suficiente para intervenção, mas a Binance disse que restavam menos de dois dias. A corretora não divulgou quando a proposta foi enviada ou o prazo exato de execução.
Após identificar a proposta, a Binance contatou o projeto e outras corretoras que listam seu token. Essas plataformas fecharam os depósitos como precaução, caso a proposta fosse aprovada e o atacante tentasse mover os tokens da tesouraria através de plataformas centralizadas.
Os fechamentos de depósitos não teriam parado a proposta maliciosa em si. Eles teriam, em vez disso, restringido uma rota potencial para a venda, conversão ou lavagem de tokens comprometidos após a execução.
A comunidade do projeto finalmente votou contra a proposta. A Binance não disse quantos votos a rejeitaram, se os delegados mudaram suas posições anteriores ou se os administradores do projeto usaram autoridade de emergência.
O diretor de segurança da Binance, Jimmy Su, disse que sua equipe identificou uma ameaça que "nenhum provedor de segurança externo havia sinalizado". Essa declaração não recebeu confirmação do projeto não nomeado ou de empresas de segurança independentes.
A corretora não identificou o projeto, o token afetado, a plataforma de governança ou as corretoras cooperantes. Também não publicou o identificador da proposta, o endereço do contrato, o registro de voto ou as transações relevantes na blockchain.
Essas omissões impedem a verificação independente da exposição de US$ 1,2 milhão e do cronograma de intervenção. O valor deve, portanto, ser tratado como uma estimativa da Binance, e não como um valor de perda estabelecido independentemente.
Além disso, não houve reação de mercado identificável porque o ativo afetado permanece não divulgado. Nenhum fundo foi movimentado sob a proposta, o que significa que o caso representa uma tentativa de ataque, e não um roubo de tesouraria concluído.
O incidente segue outros ataques que usaram processos de governança para alcançar ativos de protocolo. Como o crypto.news relatou anteriormente, atacantes drenaram aproximadamente US$ 20 milhões da BonkDAO por meio de uma proposta maliciosa em julho.
Em outro caso, preocupações sobre o poder de voto comprado afetando decisões da DAO mostraram como a baixa participação e os votos delegados podem enfraquecer as proteções de governança sem explorar o código do contrato.
O projeto precisaria alterar as regras que permitiram que a proposta fosse votada. Os controles possíveis incluem limites de submissão mais altos, timelocks mais longos, requisitos de quórum e revisões independentes de propostas executáveis.
A autoridade de cancelamento de emergência também pode interromper ações maliciosas, embora introduza controle centralizado. Os projetos devem equilibrar a intervenção rápida com o modelo de governança prometido aos detentores de tokens.
A corretora não disse se o projeto afetado concluiu essas mudanças. Também não anunciou planos para publicar mais detalhes técnicos ou identificar o projeto após o risco imediato passar.
Uma análise post-mortem pública permitiria aos usuários confirmar a votação, entender a vulnerabilidade e avaliar se o mesmo caminho permanece aberto. Até então, a intervenção bem-sucedida e a exposição de US$ 1,2 milhão permanecem baseadas principalmente no relato da Binance.
DAO
BTC