Binance dijo el 18 de agosto que su equipo de seguridad ayudó a detener una propuesta de gobernanza maliciosa que podría haber expuesto aproximadamente $1.2 millones en tokens del tesoro de una organización autónoma descentralizada no identificada.
Resumen
- Binance dice que su equipo de seguridad detectó una propuesta de gobernanza maliciosa que amenazaba aproximadamente $1.2 millones en tokens.
- Quedaban menos de 48 horas antes de que la propuesta pudiera ejecutarse contra el tesoro del proyecto no identificado.
- Binance contactó al proyecto y coordinó cierres de depósitos preventivos con otros intercambios centralizados de criptomonedas de inmediato.
- El proyecto rechazó la propuesta antes de su ejecución, y Binance informó que no se perdieron fondos.
- Binance no identificó el proyecto, no publicó el identificador de la propuesta ni proporcionó registros de transacciones en cadena.
El proyecto votó en contra de la propuesta antes de que pudiera ejecutarse, según el relato publicado por Binance. La compañía dijo que no se perdieron fondos.
Binance detectó una debilidad en la creación de propuestas
El intercambio dijo que el atacante intentó explotar una debilidad en el mecanismo de gobernanza en cadena del proyecto. Según se informó, el umbral para crear una propuesta era lo suficientemente bajo como para permitir que el atacante eludiera los requisitos de protocolo previstos.
La compañía no explicó cuáles eran esos requisitos ni cómo la propuesta habría accedido al tesoro. Tampoco reveló si el atacante acumuló tokens de gobernanza, tomó prestado poder de voto u ocultó instrucciones maliciosas dentro del código ejecutable.
Los sistemas de gobernanza permiten a los titulares de tokens votar sobre el gasto del tesoro, las actualizaciones y la configuración del protocolo. Un atacante puede obtener el control cuando los umbrales de propuesta son bajos, la participación en la votación es débil o los retrasos de ejecución son demasiado cortos para que los delegados respondan.
El proceso de votación de la DAO afectada proporcionó tiempo suficiente para la intervención, pero Binance dijo que quedaban menos de dos días. El intercambio no reveló cuándo se presentó la propuesta ni la fecha límite de ejecución precisa.
El cierre de depósitos en los intercambios redujo la vía de salida
Los cierres de depósitos no habrían detenido la propuesta maliciosa en sí. En cambio, habrían restringido una posible vía para vender, convertir o lavar tokens comprometidos después de la ejecución.
La comunidad del proyecto finalmente votó en contra de la propuesta. Binance no dijo cuántos votos la rechazaron, si los delegados cambiaron sus posiciones anteriores o si los administradores del proyecto utilizaron autoridad de emergencia.
El director de seguridad de Binance, Jimmy Su, dijo que su equipo identificó una amenaza que "ningún proveedor de seguridad externo había señalado". Esa declaración no ha recibido confirmación del proyecto no identificado ni de firmas de seguridad independientes.
Los detalles clave siguen sin estar disponibles para su verificación
El intercambio no identificó el proyecto, el token afectado, la plataforma de gobernanza ni los intercambios cooperantes. Tampoco publicó el identificador de la propuesta, la dirección del contrato, el registro de votos ni las transacciones relevantes en la cadena de bloques.
Estas omisiones impiden la verificación independiente de la exposición de $1.2 millones y el cronograma de intervención. Por lo tanto, la cifra debe tratarse como una estimación de Binance, no como una cantidad de pérdida establecida de forma independiente.
Además, no hubo una reacción de mercado identificable porque el activo afectado sigue sin revelarse. No se movieron fondos bajo la propuesta, lo que significa que el caso representa un intento de ataque, no un robo de tesorería consumado.
El incidente sigue a otros ataques que utilizaron procesos de gobernanza para acceder a los activos del protocolo. Como informó anteriormente crypto.news, los atacantes drenaron aproximadamente $20 millones de BonkDAO a través de una propuesta maliciosa en julio.
En otro caso, las preocupaciones sobre el poder de voto comprado que afecta las decisiones de las DAO mostraron cómo la baja participación y los votos delegados pueden debilitar las protecciones de gobernanza sin explotar el código del contrato.
La DAO anónima aún necesita cerrar la vulnerabilidad
El proyecto necesitaría cambiar las reglas que permitieron que la propuesta llegara a votación. Los controles posibles incluyen umbrales de presentación más altos, bloqueos de tiempo más largos, requisitos de quórum y revisiones independientes de propuestas ejecutables.
La autoridad de cancelación de emergencia también puede detener acciones maliciosas, aunque introduce control centralizado. Los proyectos deben equilibrar la intervención rápida con el modelo de gobernanza prometido a los titulares de tokens.
El intercambio no ha dicho si el proyecto afectado completó esos cambios. Tampoco ha anunciado planes para publicar más detalles técnicos o identificar el proyecto después de que pase el riesgo inmediato.
Una autopsia pública permitiría a los usuarios confirmar la votación, comprender la vulnerabilidad y evaluar si el mismo camino sigue abierto. Hasta entonces, la intervención exitosa y la exposición de $1.2 millones se basan principalmente en la cuenta de Binance.
