Un portefeuille unique a rassemblé le pouvoir de vote des délégués et a proposé de retirer 98 % de l'USDC du trésor d'Ampleforth. L'action s'est terminée sans votes ni transferts, mais a révélé une faille dans la gouvernance DeFi.
Faites de nous votre source préférée sur
gsoitsoitgjeet
Une vulnérabilité dans Gouvernance DeFi a été exposé après qu'un seul portefeuille a réussi à soumettre une proposition visant à retirer près de 98 % du solde USDC de la trésorerie d'Ampleforth, le protocole derrière le jeton élastique AMPL. L'opération n'a jamais été exécutée : elle s'est terminée avec zéro vote en faveur et sans aucun transfert de fonds, mais elle a révélé à quel point la conception des décisions en chaîne peut être fragile lorsque le pouvoir de vote est concentré.
Le déménagement a commencé à partir d'une adresse qui a reçu 87 238,5461 FORTH de pouvoir de vote délégué, selon la transaction de délégation enregistrée sur le réseau. FORTH est le gage de gouvernance du protocole, c'est-à-dire celui qui accorde le droit de proposer et de voter sur les modifications des fonds et des paramètres du système.
Comment a fonctionné l’échec de la gouvernance Ampleforth DeFi
Avec ce pouvoir délégué, le portefeuille a dépassé le seuil minimum requis pour créer une proposition et a soumis la proposition 54 via le portail de gouvernance. Le texte de la proposition appelait au transfert de la quasi-totalité de l'USDC disponible dans la trésorerie vers une adresse externe, ce qui aurait effectivement vidé les réserves de pièces stables du projet.
Le détail pertinent est que le système de gouvernance a permis à un seul acteur, sans appropriation significative, de satisfaire à l'exigence de proposer simplement en accumulant des délégations. Le contrat de type Governor Bravo utilisé par Ampleforth fixe un seuil de proposition ; une fois franchie, n'importe quelle direction peut soumettre au vote une action sur les actifs de la trésorerie, aussi agressive soit-elle.
Après avoir envoyé la proposition, le même portefeuille a transféré le 87 238.5461 FORTH hors de l'adresse, puis a exécuté la fonction Cancel(54), annulant sa propre proposition. L’épisode s’est terminé sans que l’USDC ne quitte le Trésor.
Un avis sur la concentration du pouvoir de vote
Bien qu’il n’y ait eu aucune perte de fonds, l’affaire constitue une preuve de concept inconfortable pour tout protocole gérant une trésorerie via un vote en chaîne. La capacité de mobiliser le pouvoir de vote délégué et de déclencher une proposition qui engage la quasi-totalité des réserves montre que le seuil de proposition, en lui-même, ne constitue pas une barrière suffisante contre un acteur déterminé.
Dans la mécanique de ces systèmes, entre la création de la proposition et son éventuelle exécution, il y a des phases de vote et, dans de nombreux cas, une période d'attente avec un délai. Ces étapes donnent à la communauté la possibilité de réagir, de voter contre ou d'annuler les actions suspectes. Dans cet épisode, l’absence totale de votes et l’annulation qui a suivi ont évité tout dommage, mais ont également montré que le frein dépendait du soutien de la manœuvre, et non d’un obstacle technique préalable.
La préoccupation sous-jacente est connue dans le secteur : la concentration des tokens de gouvernance entre quelques mains peut transformer un mécanisme conçu pour la décentralisation en un vecteur d’attaque. Lorsque le pouvoir de décision sur des millions d’actifs peut être rapidement délégué et mis en commun, la frontière entre participation légitime et capture protocolaire devient mince.
Quels protocoles peuvent examiner
L'incident rouvre le débat sur les garanties que les projets DeFi devraient renforcer pour protéger leurs trésoreries :
- Seuils de proposition supérieurs ou proportionnels à la taille de l’action demandée.
- Limites du pourcentage de la trésorerie qu'une seule proposition peut déplacer.
- Périodes de blocage et quorum minimum qui rendent difficiles les décisions expresses concernant les fonds.
- Des systèmes de surveillance et d’alerte qui détectent en temps réel les délégations massives et les propositions anormales.
La documentation officielle du projet décrit le fonctionnement de sa gouvernance basée sur FORTH, y compris le rôle des délégations et des seuils. Les sociétés de sécurité en chaîne telles que GoPlus Security ont également commencé à signaler publiquement ce type de modèles, qui jusqu'à présent passaient inaperçus jusqu'à ce qu'ils soient exploités.
Des cas récents de violations de données et d’attaques ciblées, comme la fuite qui a contraint Swiss Bitcoin Pay à fermer ses serveurs, renforcent l’idée que la sécurité en crypto ne se limite plus au code des contrats, mais englobe également la conception des processus de décision. Pour Ampleforth, la balance était un choc sans conséquences économiques ; Pour le reste de l'écosystème DeFi, rappelons qu'un trésor robuste ne vaut pas grand-chose si le mécanisme qui le garde peut être activé avec une délégation appropriée.
Voir l’article original en espagnol
