DAO задумывались как честная децентрализованная модель управления. Но на практике governance нередко становится точкой атаки: если получить достаточно голосов, можно легально провести вредоносное решение через сам протокол.
Как происходят атаки на управление DAO:
Скупка токенов управления
Если токен DAO торгуется на рынке с низкой ликвидностью, злоумышленник может быстро набрать крупную долю и повлиять на голосование. Иногда это делается постепенно, чтобы не привлекать внимание.Flash loan-атаки
Одна из самых опасных схем. Атакующий берет крупный мгновенный заем, получает временный контроль над governance-токенами, голосует за нужное предложение и возвращает заем в рамках одной транзакции. Если в механике DAO не учтен снимок балансов или задержка исполнения — протокол уязвим.Захват через делегирование
Многие держатели токенов не голосуют сами и делегируют право голоса. Если делегаты действуют непрозрачно или их контроль слишком велик, DAO фактически превращается в квази-централизованную систему.Низкая активность сообщества
Часто для принятия решения достаточно сравнительно небольшого числа голосов. При слабой явке даже не очень крупный держатель может протолкнуть предложение, особенно в непопулярное время или без широкой огласки. 😶Вредоносные предложения
Формально proposal может выглядеть как “обновление параметров”, но внутри содержать изменение адреса казначейства, выпуск новых токенов, вывод ликвидности или передачу прав администратора.
Чем это грозит DAO:
выводом средств из treasury 💸
изменением токеномики в пользу атакующего
захватом контрактов и ролей управления
обвалом цены governance-токена
потерей доверия сообщества и инвесторов
Как протоколы защищаются:
Timelock — задержка между принятием и исполнением решения, чтобы сообщество успело среагировать
Snapshot-механика — учет балансов на определенный момент, а не в реальном времени
Порог кворума и supermajority — усложняют принятие критических решений
Разделение полномочий — не все изменения должны проходить одной кнопкой
Guardian / emergency veto — временный предохранитель для экстренной отмены опасных proposal
Аудит governance-логики — проверка не только смарт-контрактов, но и самой модели управления 🔍
На что смотреть инвестору:
насколько распределен governance-токен
есть ли timelock и защита от flash loans
каков реальный кворум и активность голосований
кто контролирует делегированные голоса
были ли в истории спорные или внезапные proposals
Главный вывод: атака на DAO — это не всегда “взлом” в классическом смысле. Часто злоумышленник использует правила системы лучше, чем само сообщество. Поэтому безопасность в DeFi — это не только код, но и архитектура управления. 🛡️
📌 Подборку каналов про криптовалюты, DeFi и безопасность рынка стоит держать под рукой — это помогает быстрее замечать риски и важные сигналы.