A Binance disse em 18 de agosto que sua equipe de segurança ajudou a impedir uma proposta de governança maliciosa que poderia ter exposto aproximadamente US$ 1,2 milhão em tokens do tesouro de uma organização autônoma descentralizada não identificada.
Resumo
- A Binance diz que sua equipe de segurança detectou uma proposta de governança maliciosa ameaçando aproximadamente US$ 1,2 milhão em tokens.
- Faltavam menos de 48 horas para a proposta ser executada contra o tesouro do projeto não identificado.
- A Binance contatou o projeto e coordenou o fechamento preventivo de depósitos com outras exchanges centralizadas de criptomoedas imediatamente.
- O projeto rejeitou a proposta antes da execução, e a Binance relatou que nenhum fundo foi perdido.
- A Binance não identificou o projeto, não publicou o identificador da proposta nem forneceu registros de transações on-chain.
O projeto votou contra a proposta antes que ela pudesse ser executada, de acordo com o relato publicado pela Binance. A empresa disse que nenhum fundo foi perdido.
A Binance detectou uma fraqueza na criação de propostas
A exchange disse que o atacante tentou explorar uma fraqueza no mecanismo de governança on-chain do projeto. O limite para criar uma proposta era supostamente baixo o suficiente para permitir que o atacante contornasse os requisitos pretendidos do protocolo.
A empresa não explicou quais eram esses requisitos ou como a proposta teria acessado o tesouro. Também não divulgou se o atacante acumulou tokens de governança, tomou emprestado poder de voto ou ocultou instruções maliciosas dentro do código executável.
Os sistemas de governança permitem que os detentores de tokens votem em gastos do tesouro, atualizações e configurações do protocolo. Um atacante pode obter controle quando os limites de proposta são baixos, a participação na votação é fraca ou os atrasos de execução são curtos demais para que os delegados respondam.
O processo de votação do DAO afetado forneceu tempo suficiente para intervenção, mas a Binance disse que restavam menos de dois dias. A exchange não divulgou quando a proposta foi submetida ou o prazo exato de execução.
Fechamento de depósitos na exchange reduziu a rota de saída
O fechamento de depósitos não teria impedido a proposta maliciosa em si. Em vez disso, teria restringido uma rota potencial para vender, converter ou lavar tokens comprometidos após a execução.
A comunidade do projeto acabou votando contra a proposta. A Binance não disse quantos votos a rejeitaram, se os delegados mudaram posições anteriores ou se os administradores do projeto usaram autoridade de emergência.
O Diretor de Segurança da Binance, Jimmy Su, disse que sua equipe identificou uma ameaça que "nenhum provedor de segurança externo havia sinalizado". Essa declaração não recebeu confirmação do projeto não identificado ou de empresas de segurança independentes.
Detalhes-chave permanecem indisponíveis para verificação
A exchange não identificou o projeto, o token afetado, a plataforma de governança ou as exchanges cooperantes. Também não publicou o identificador da proposta, endereço do contrato, registro de votação ou transações blockchain relevantes.
Essas omissões impedem a verificação independente da exposição de US$ 1,2 milhão e da linha do tempo da intervenção. Portanto, o valor deve ser tratado como uma estimativa da Binance, e não como um valor de perda estabelecido de forma independente.
Além disso, não houve reação de mercado identificável porque o ativo afetado permanece não divulgado. Nenhum fundo foi movido sob a proposta, o que significa que o caso representa uma tentativa de ataque, em vez de um roubo de tesouro concluído.
O incidente segue outros ataques que usaram processos de governança para acessar ativos de protocolo. Como o crypto.news relatou anteriormente, atacantes drenaram aproximadamente US$ 20 milhões da BonkDAO por meio de uma proposta maliciosa em julho.
Em outro caso, preocupações sobre poder de voto comprado afetando decisões de DAOs mostraram como baixa participação e votos delegados podem enfraquecer as proteções de governança sem explorar o código do contrato.
A DAO não nomeada ainda precisa fechar a vulnerabilidade
O projeto precisaria alterar as regras que permitiram que a proposta chegasse a votação. Os controles possíveis incluem limites de submissão mais altos, timelocks mais longos, requisitos de quórum e revisões independentes de propostas executáveis.
A autoridade de cancelamento de emergência também pode interromper ações maliciosas, embora introduza controle centralizado. Os projetos devem equilibrar a intervenção rápida com o modelo de governança prometido aos detentores de tokens.
A exchange não disse se o projeto afetado concluiu essas mudanças. Também não anunciou planos para publicar mais detalhes técnicos ou identificar o projeto depois que o risco imediato passar.
Um postmortem público permitiria que os usuários confirmassem a votação, entendessem a vulnerabilidade e avaliassem se o mesmo caminho permanece aberto. Até então, a intervenção bem-sucedida e a exposição de US$ 1,2 milhão permanecem baseadas principalmente no relato da Binance.
