A DAO do ENS ativou um novo Conselho de Segurança de oito membros com poder limitado para cancelar propostas de governança maliciosas antes que sejam executadas.
O conselho operará por dois anos sob uma estrutura de multisig de cinco de oito, o que significa que pelo menos cinco membros devem concordar antes de bloquear uma transação.
A medida cria uma verificação de segurança final durante o bloqueio de tempo de dois dias da governança do ENS. Propostas bem-sucedidas não são executadas imediatamente após o encerramento da votação. Em vez disso, elas entram no período de espera, dando tempo à comunidade para inspecionar as transações em fila e permitindo que o conselho intervenha quando uma proposta atende às condições de emergência definidas. O mandato do conselho vai até 16 de julho de 2028.
O novo Conselho de Segurança não pode mover fundos do tesouro da DAO do ENS, criar propostas de governança ou alterar propostas que os detentores de tokens aprovaram. Ele também não pode substituir uma transação cancelada por outra ação. Seu contrato permite apenas que os membros cancelem operações que permanecem pendentes dentro do bloqueio de tempo da governança.
O ENS descreveu o conselho como um “freio de emergência” para casos em que uma proposta maliciosa já foi aprovada em uma votação da DAO, mas ainda não foi executada. Seu mandato cobre ataques envolvendo credenciais de governança roubadas, fraude, compra de votos, empréstimos relâmpago (flash loans) e outros métodos usados para obter poder de voto fora da participação ordinária de mercado. Decisões políticas controversas por si só não dão ao conselho motivos para intervir.
A estrutura também eleva o limiar exigido para intervenção. O Conselho de Segurança anterior utilizava um requisito de aprovação de quatro de oito. O novo grupo precisa de cinco assinaturas antes que possa parar uma proposta. Sua autoridade expirará automaticamente após dois anos, a menos que a DAO do ENS aprove uma extensão através de outra votação de governança.
Os membros também devem seguir um estatuto público, assinar acordos de nomeação com a Fundação ENS e passar por verificações de identidade e antecedentes. O ENS afirmou que a estrutura inclui um processo para remover membros do conselho que operem intencionalmente fora de sua autoridade aprovada.
O ENS anunciou o conselho pouco depois de um grande ataque de governança à BonkDAO. Conforme relatado pelo crypto.news, a BonkDAO disse que uma proposta maliciosa drenou cerca de US$ 20 milhões em BONK de seu tesouro em julho. A organização posteriormente contatou as autoridades e iniciou esforços para rastrear os fundos.
Uma análise posterior do ataque à BonkDAO feita pelo crypto.news descobriu que a DAO carecia de várias salvaguardas agora incorporadas ao modelo do ENS, incluindo um bloqueio de tempo (timelock) e um veto multisig de emergência. No caso da BonkDAO, o atacante adquiriu poder de voto suficiente para aprovar uma proposta válida, enquanto a baixa participação deixou o tesouro exposto à captura de governança.
O ENS citou o incidente da BonkDAO ao explicar por que a própria governança pode se tornar uma rota de ataque. Também apontou para o exploit de Beanstalk de 2022, onde um atacante ganhou temporariamente poder de voto suficiente através de um empréstimo relâmpago (flash loan) para aprovar propostas que transferiam ativos. O novo mandato do ENS permite especificamente a intervenção quando evidências documentais mostram que uma proposta foi aprovada por meio de um empréstimo relâmpago explorado ou manipulação de voto semelhante.
A abordagem do ENS não impede que uma proposta maliciosa entre na governança ou ganhe uma votação. Em vez disso, ela cria um período de dois dias entre a aprovação e a execução. Cinco membros do conselho podem agir durante essa janela se a proposta atender às regras de emergência estabelecidas no estatuto do conselho.
O ENS também apontou para a tomada de governança do Tornado Cash em 2023 como outro tipo de ameaça. Nesse caso, um atacante submeteu uma proposta que parecia legítima durante a revisão, mas que posteriormente alterou seu comportamento após a aprovação. O atacante então obteve controle sobre o sistema de governança do protocolo.
Como o crypto.news relatou na época, a proposta maliciosa deu ao atacante controle sobre a governança do Tornado Cash e permitiu a retirada de ativos de voto bloqueados. O incidente mostrou que os detentores de tokens podem aprovar código sem detectar comportamentos ocultos antes da execução.
O ENS afirmou que uma delegação mais forte e a participação dos eleitores podem tornar alguns ataques de governança mais caros, porque os atacantes precisam de maior poder de voto para controlar um resultado. No entanto, essas medidas não podem abordar completamente credenciais comprometidas, compras coordenadas de tokens, suborno ou propostas que contenham código malicioso. O Conselho de Segurança adiciona uma janela de revisão separada após o término da votação.
Esse poder permanece restrito às condições de emergência aprovadas pela DAO do ENS. Disputas ordinárias sobre gastos, direção do protocolo e política organizacional permanecem com os detentores de tokens e delegados, mesmo quando os membros do conselho discordam do resultado.
O novo conselho inclui o fundador do ENS Nick Johnson, Hudson Jameson, Pablo Sabbatella, Colton Liberacki, Kevin Gaspar, Alex Van de Sande, Griff Green e Alex Netto. O ENS selecionou os membros através de uma eleição de voto rankeado sob a proposta de governança EP 6.50.
Os candidatos precisavam de um histórico na governança do ENS ou experiência profissional em áreas como segurança de contratos inteligentes, resposta a incidentes, design de governança e operações multisig. A DAO então aprovou a proposta on-chain que concede ao novo contrato do Conselho de Segurança seu papel de cancelamento.
A autoridade de cancelamento do conselho anterior expira em 24 de julho, enquanto o novo mandato vai até 16 de julho de 2028. O ENS ativou a substituição antes que a autoridade anterior terminasse para evitar deixar a DAO sem um mecanismo de cancelamento de emergência durante a transição.
Sob a estrutura aprovada, a maioria das propostas de governança continuará através da votação e execução sem o envolvimento do conselho. O grupo de oito membros só entra no processo quando uma proposta bem-sucedida permanece dentro do bloqueio de tempo de dois dias e atende às condições definidas para um ataque de governança malicioso ou exploratório.
BONK
ENS