a16z: Làm cách nào để xác định, đánh giá và tránh các cuộc tấn công quản trị DAO?

Tiêu đề gốc: " A16z: Ba cách để tránh các cuộc tấn công quản trị DAO 》

Nguồn gốc: a16z

Tác giả gốc: Pranav Garimidi, Scott Duke Kominers và Tim Roughgarden

Bản tổng hợp gốc: The Way of DeFi

Nhiều dự án Web3 sử dụng mã thông báo gốc có thể thay thế và có thể giao dịch để bỏ phiếu không được phép. Việc bỏ phiếu không được phép có thể mang lại nhiều lợi ích, từ giảm bớt rào cản gia nhập cho đến tăng tính cạnh tranh. Chủ sở hữu mã thông báo có thể sử dụng mã thông báo của mình để bỏ phiếu về nhiều vấn đề, từ việc điều chỉnh thông số đơn giản đến việc sửa đổi toàn bộ quy trình quản trị. (Để xem xét về quản trị DAO, hãy xem bài viết "Lightspeed Democracy") Tuy nhiên, việc bỏ phiếu không được phép dễ bị tấn công quản trị, trong đó kẻ tấn công có được quyền biểu quyết thông qua các phương tiện hợp pháp (chẳng hạn như mua mã thông báo trên thị trường mở) và sau đó sử dụng Biểu quyết đó quyền thao túng giao thức vì lợi ích riêng của kẻ tấn công. Các cuộc tấn công này hoàn toàn là các cuộc tấn công "trong giao thức", có nghĩa là chúng không thể được giải quyết bằng mật mã. Đúng hơn, việc ngăn chặn chúng đòi hỏi phải thiết kế cơ chế chu đáo. Để đạt được mục tiêu này, chúng tôi đã phát triển một khuôn khổ giúp DAO đánh giá các mối đe dọa và ứng phó với các cuộc tấn công tiềm ẩn.

Các cuộc tấn công quản trị đã xảy ra trên thực tế

Vấn đề tấn công quản trị không chỉ mang tính lý thuyết, nó đã xảy ra nhiều lần trong thế giới thực và sẽ tiếp tục xảy ra.

Lấy một ví dụ nổi bật, Steemit là một công ty khởi nghiệp đang xây dựng một mạng xã hội phi tập trung được xây dựng trên chuỗi khối Steem, có hệ thống quản trị trên chuỗi được kiểm soát bởi 20 người xác thực (nhân chứng). Cử tri sử dụng STEEM của họ Mã thông báo Để bầu ra những người xác nhận, trong khi Steemit và Steem đang phát triển, Justin Sun đã lập kế hoạch sáp nhập Steem vào Tron. Để có đủ số lượng quyền biểu quyết, Sun đã liên hệ với một trong những người sáng lập Steem và mua một số tiền tương đương với tổng nguồn cung. . 30% số lượng Mã thông báo . Khi người xác thực của Steem phát hiện ra hành vi mua hàng của Sun, họ đã đóng băng tài khoản của Sun. Mã thông báo . Sau đó, một cuộc tranh chấp công khai bắt đầu giữa Sun và Steem, với việc Sun muốn kiểm soát đủ số Token để bầu ra danh sách người xác thực mới. Với sự trợ giúp của một số nền tảng giao dịch, Sun cuối cùng đã giành chiến thắng và nắm quyền kiểm soát mạng Steem một cách hiệu quả.

Trong một ví dụ khác, giao thức stablecoin Beanstalk được phát hiện là dễ bị tấn công quản trị khoản vay nhanh, trong đó kẻ tấn công nhận được một khoản vay để có đủ số lượng quản trị Beanstalk Mã thông báo , qua đó ngay lập tức thông qua một đề xuất ác ý cho phép họ nắm quyền kiểm soát quỹ dự trữ 182 triệu USD của Beanstalk. Không giống như cuộc tấn công quản trị của Steem, cuộc tấn công của Beanstalk xảy ra trong khung thời gian của một khối, nghĩa là cuộc tấn công kết thúc trước khi bất kỳ ai kịp phản ứng.

Mặc dù hai cuộc tấn công này diễn ra công khai và công khai, nhưng các cuộc tấn công quản trị cũng có thể được thực hiện một cách bí mật trong thời gian dài. Kẻ tấn công có thể tạo một số lượng lớn tài khoản ẩn danh và từ từ tích lũy quyền quản trị Mã thông báo , trong khi hành động giống như bất kỳ người nắm giữ nào khác để tránh bị nghi ngờ. Trên thực tế, do sự tham gia của cử tri vào nhiều DAO có xu hướng thấp nên những tài khoản này có thể không hoạt động trong thời gian dài mà không gây nghi ngờ. Từ góc độ DAO, tài khoản ẩn danh của kẻ tấn công có thể giúp thể hiện mức độ quyền biểu quyết phi tập trung lành mạnh. Nhưng cuối cùng những kẻ tấn công có thể đạt đến ngưỡng mà những chiếc ví phù thủy này có quyền đơn phương kiểm soát việc quản trị mà cộng đồng không thể phản ứng. Tương tự như vậy, một tác nhân độc hại có thể có đủ quyền biểu quyết để kiểm soát việc quản trị khi tỷ lệ cử tri đi bỏ phiếu đủ thấp và sau đó cố gắng thông qua các đề xuất độc hại khi nhiều chủ sở hữu khác không hoạt động.

Mặc dù chúng ta có thể nghĩ rằng tất cả các hành động quản trị đều là kết quả của các lực lượng thị trường, nhưng trên thực tế, quản trị đôi khi tạo ra kết quả không hiệu quả do thất bại trong khuyến khích hoặc các sơ hở khác trong thiết kế giao thức. Giống như các quyết định của chính phủ có thể bị các nhóm lợi ích nắm bắt hoặc thậm chí là theo quán tính đơn giản, việc quản trị DAO, nếu không được cấu trúc hợp lý, có thể dẫn đến kết quả kém hơn.

Vậy làm thế nào để chúng ta đối phó với những cuộc tấn công như vậy thông qua thiết kế cơ chế?

Thách thức cơ bản: tính không thể phân biệt

Mã thông báo Cơ chế phân bổ thị trường không thể phân biệt giữa người dùng muốn đóng góp có giá trị cho dự án và những kẻ tấn công tập trung cao độ vào việc gây thiệt hại hoặc kiểm soát dự án. ở một nơi có thể được mua và bán trên thị trường công cộng Mã thông báo Trên thế giới, nhìn từ góc độ thị trường, không có sự khác biệt trong hành vi giữa hai nhóm này. Cả hai đều sẵn sàng mua số lượng lớn Token với giá ngày càng cao.

Vấn đề không thể phân biệt này có nghĩa là quản trị phi tập trung không miễn phí. Thay vào đó, các nhà thiết kế giao thức phải đối mặt với sự đánh đổi cơ bản giữa việc phơi bày quản trị phi tập trung và bảo vệ hệ thống của họ khỏi những kẻ tấn công đang tìm cách khai thác các cơ chế quản trị. Càng nhiều thành viên cộng đồng có được quyền quản trị và quyền tự do tác động đến giao thức thì kẻ tấn công càng dễ dàng sử dụng các cơ chế tương tự để thực hiện các thay đổi độc hại.

Vấn đề không thể phân biệt này thường gặp trong thiết kế mạng chuỗi khối bằng chứng cổ phần (PoS). Mã thông báo Thị trường có tính thanh khoản cao giúp những kẻ tấn công dễ dàng giành được đủ cổ phần để làm suy yếu tính bảo mật của mạng. bất chấp điều này, Mã thông báo Sự kết hợp giữa ưu đãi và thiết kế thanh khoản giúp mạng PoS trở nên khả thi. Và các chiến lược tương tự có thể giúp bảo vệ giao thức DAO.

Khung đánh giá và giải quyết lỗ hổng

Để phân tích các lỗ hổng mà các dự án khác nhau gặp phải, chúng tôi sử dụng một khuôn khổ được tính theo phương trình sau:

Để giao thức được an toàn (chống lại các cuộc tấn công quản trị), lợi nhuận của kẻ tấn công phải âm. Phương trình này có thể được sử dụng như một hướng dẫn để đánh giá tác động của các lựa chọn thiết kế khác nhau khi thiết kế các quy tắc quản trị cho một dự án. Để giảm động lực khai thác giao thức, phương trình này bao hàm ba lựa chọn rõ ràng: giảm giá trị của cuộc tấn công, tăng chi phí để có được quyền biểu quyết và tăng chi phí thực hiện cuộc tấn công.

1. Giảm giá trị đòn tấn công

Việc hạn chế giá trị của một cuộc tấn công có thể khó khăn vì dự án càng thành công thì cuộc tấn công thành công sẽ càng có giá trị. Rõ ràng, một dự án không nên cố tình phá hoại thành công của chính nó chỉ để giảm giá trị của một cuộc tấn công.

Tuy nhiên, các nhà thiết kế có thể hạn chế giá trị của cuộc tấn công bằng cách giới hạn phạm vi của chức năng quản trị. Nếu quản trị chỉ bao gồm quyền thay đổi một số thông số nhất định trong dự án (chẳng hạn như lãi suất trong hợp đồng cho vay), thì phạm vi của các cuộc tấn công tiềm ẩn sẽ hẹp hơn nhiều so với việc quản trị cho phép toàn quyền kiểm soát hợp đồng thông minh quản trị.

Phạm vi quản trị có thể là một chức năng của giai đoạn dự án. Trong giai đoạn đầu của dự án, khi đã tìm được chỗ đứng, có thể có sự quản lý rộng hơn, nhưng trên thực tế, việc quản trị có thể sẽ được nhóm sáng lập và cộng đồng kiểm soát chặt chẽ. Khi dự án trưởng thành và việc kiểm soát được phân quyền, việc đưa ra một mức độ xung đột nhất định trong quản trị có thể hợp lý—ít nhất, những quyết định quan trọng nhất cần có sự tham gia của một số lượng lớn thành viên cộng đồng.

2. Tăng chi phí để có được quyền biểu quyết

Các dự án cũng có thể thực hiện các bước để gây khó khăn hơn trong việc giành được quyền biểu quyết cần thiết cho một cuộc tấn công. Mã thông báo Tính thanh khoản càng mạnh thì kẻ tấn công càng dễ dàng có được quyền biểu quyết. Điều này gần như nghịch lý và các bên tham gia dự án có thể muốn giảm tính thanh khoản để bảo vệ quyền quản trị. Người ta có thể thử hạ trực tiếp Mã thông báo khả năng giao dịch ngắn hạn, nhưng điều này có thể không khả thi về mặt kỹ thuật.

Để gián tiếp làm giảm tính thanh khoản, các bên tham gia dự án có thể đưa ra các biện pháp khuyến khích để cho phép các cá nhân Mã thông báo Người nắm giữ ít sẵn sàng bán hơn. Điều này có thể đạt được thông qua việc đặt cược khuyến khích hoặc bằng cách đưa ra Mã thông báo Để đạt được giá trị độc lập ngoài quản trị thuần túy. Mã thông báo Những người nắm giữ giá trị nhận được càng cao thì họ càng gắn bó với sự thành công của dự án.

Độc lập Mã thông báo Lợi ích có thể bao gồm các hoạt động trực tiếp hoặc trải nghiệm xã hội. Điều quan trọng là những lợi ích như vậy có giá trị đối với các cá nhân làm việc với dự án nhưng vô dụng đối với những kẻ tấn công. Việc cung cấp những lợi ích này làm tăng khả năng của kẻ tấn công để có được Mã thông báo Giá thực tế phải đối mặt khi Mã thông báo giá trị của.

3. Tăng chi phí thực hiện các cuộc tấn công

Ngoài việc tăng chi phí quyền biểu quyết, chúng tôi cũng có thể gây ra xích mích khiến những kẻ tấn công thậm chí Mã thông báo Việc thực hiện quyền bầu cử cũng sẽ khó khăn hơn. Ví dụ: nhà thiết kế có thể yêu cầu một số loại xác thực người dùng để tham gia bỏ phiếu, chẳng hạn như kiểm tra KYC hoặc ngưỡng điểm danh tiếng. Người ta thậm chí có thể hạn chế khả năng những người tham gia chưa được xác thực nhận được mã thông báo biểu quyết ngay từ đầu, có thể yêu cầu một số trình xác thực hiện tại chứng minh tính hợp pháp của những người tham gia mới.

Theo một nghĩa nào đó, đây chính xác là điều mà nhiều dự án phân bổ ban đầu Mã thông báo cách để đảm bảo rằng bên được tin cậy kiểm soát một phần đáng kể quyền biểu quyết. (Nhiều giải pháp bằng chứng cổ phần sử dụng các kỹ thuật tương tự để bảo vệ tính bảo mật của họ, tức là kiểm soát chặt chẽ những ai có quyền truy cập vào cổ phần sớm và sau đó phân quyền dần dần)

Ngoài ra, các bên tham gia dự án có thể thực hiện việc này và ngay cả khi những kẻ tấn công kiểm soát một số lượng lớn quyền biểu quyết, họ vẫn sẽ gặp khó khăn trong việc thông qua các đề xuất độc hại. Ví dụ: một số dự án bị khóa thời gian và do đó không khả dụng trong một khoảng thời gian sau khi hoán đổi. Mã thông báo Bỏ phiếu. Vì vậy, cố gắng mua hoặc vay số tiền lớn Mã thông báo Những kẻ tấn công sẽ phải đối mặt với chi phí bổ sung vì họ cần phải chờ để bỏ phiếu thực sự và có nguy cơ các thành viên bỏ phiếu có thể nhận thấy và chặn cuộc tấn công tiềm tàng của họ. Ở đây, việc ủy quyền cũng rất hữu ích, bằng cách trao cho những tác nhân tích cực nhưng không có ác ý quyền bỏ phiếu thay mặt họ, những cá nhân không muốn đóng vai trò đặc biệt tích cực trong quản trị vẫn có thể đóng góp quyền biểu quyết của mình để bảo vệ hệ thống.

Một số dự án còn sử dụng cơ chế phủ quyết, cho phép hoãn bỏ phiếu trong một khoảng thời gian để cảnh báo những cử tri không hoạt động về những đề xuất nguy hiểm tiềm ẩn. Theo kế hoạch như vậy, ngay cả khi kẻ tấn công đề xuất một đề xuất độc hại, cử tri vẫn có khả năng phản hồi và dập tắt nó. Ý tưởng đằng sau những thiết kế này là ngăn chặn những kẻ tấn công lén lút xem qua các đề xuất độc hại và cho cộng đồng dự án thời gian để đưa ra phản hồi. Lý tưởng nhất là các đề xuất rõ ràng có lợi cho giao thức sẽ không phải đối mặt với những rào cản này.

Ví dụ: trong Nouns DAO, quyền phủ quyết do Nouns Foundation nắm giữ cho đến khi chính DAO sẵn sàng triển khai một giải pháp thay thế. Khi họ viết trên trang web của họ:

"Nouns Foundation sẽ phủ quyết các đề xuất mang lại rủi ro hoặc rủi ro pháp lý đáng kể cho Nouns DAO hoặc Nouns Foundation."

Các dự án phải đạt được sự cân bằng cho phép mức độ cởi mở đối với những thay đổi của cộng đồng (điều này đôi khi có thể không được hoan nghênh) trong khi không cho phép các đề xuất độc hại lọt qua kẽ hở. Thông thường, chỉ cần một đề xuất độc hại có thể vô hiệu hóa một giao thức, vì vậy điều quan trọng là phải hiểu rõ sự đánh đổi rủi ro khi chấp nhận và từ chối các đề xuất. Tất nhiên, có sự đánh đổi ở mức độ cao giữa việc đảm bảo quản trị được an toàn và khả năng quản trị có thể thực hiện được, vì bất kỳ cơ chế nào tạo ra xung đột để ngăn chặn những kẻ tấn công tiềm năng tất nhiên cũng sẽ khiến quá trình quản trị trở nên khó khăn hơn.

Các giải pháp mà chúng tôi phác thảo ở đây nằm ở đâu đó giữa việc quản trị phi tập trung hoàn toàn và hy sinh một số quyền phân cấp để đảm bảo sức khỏe tổng thể của giao thức. Khuôn khổ của chúng tôi nêu bật những con đường khác nhau mà các bên tham gia dự án có thể chọn khi tìm cách đảm bảo rằng các cuộc tấn công quản trị không mang lại lợi nhuận. Chúng tôi hy vọng rằng cộng đồng sẽ sử dụng khuôn khổ này để phát triển hơn nữa các cơ chế này thông qua các thử nghiệm của riêng họ, giúp DAO an toàn hơn trong tương lai.

Liên kết gốc

Chào mừng bạn tham gia cộng đồng chính thức của BlockBeats:

Nhóm Telegram đăng ký: https://t.me/theblockbeats

Nhóm Telegram thảo luận: https://t.me/BlockBeats_App

Tài khoản Twitter chính thức: https://twitter.com/BlockBeatsAsia