Dewan koperasi yang saya duduki mengelola dana perbaikan bersama yang dilepas melalui suara mayoritas. Anggaran dasar memungkinkan mayoritas sederhana menyetujui setiap penarikan, tanpa masa tenggang (cooling-off), tanpa tanda tangan kedua yang diperlukan.
Suatu kuartal, seseorang yang telah membeli sejumlah unit tepat sebelum rapat tahunan hadir dengan proksi yang cukup untuk membentuk mayoritas. Pemungutan suara untuk melepaskan $40.000 untuk "jasa konsultasi" lolos dalam waktu kurang dari sepuluh menit. Transfer itu sudah dilakukan sebelum siapa pun sempat bertanya.
Cara paling jelas yang bisa saya sampaikan: kuorum untuk sewa — kendali yang tidak perlu memiliki kepentingan pada hasil, hanya perlu mengumpulkan suara yang cukup untuk melewati ambang batas. Perbendaharaan DAO memiliki paparan yang sama: siapa pun yang mengumpulkan token yang cukup untuk meloloskan sebuah proposal bisa menggerakkan dana.
Pada 6 Juli, seseorang menghabiskan sekitar $4,4 juta untuk membeli token BONK guna mendominasi pemungutan suara tata kelola — persetujuan 99,9% dari tujuh dompet, melawan lebih dari 18.000 anggota yang tidak pernah memberikan suara. Tidak ada timelock, tidak ada pemeriksaan multisig, tidak ada tinjauan anomali di antara pemungutan suara dan transfer. $20M keluar otomatis dari kas BonkDAO.
Dewan Keamanan Babylon memiliki kekuatan yang lebih sempit memang dengan sengaja: kuorum 3 dari 5 hanya bisa menyiarkan transaksi "council no payout" untuk membekukan klaim yang bersifat penipuan — tidak ada alamat yang bisa menerima BTC, tidak ada jalur untuk mengalihkan dana ke mana pun. Dokumen risiko TBV sendiri menyatakan bahwa dewan yang dikompromikan mengurangi kapasitas pemulihan darurat; itu tidak menciptakan cara untuk mencuri dari brankas. Ia tidak bisa melakukan apa yang dilakukan penyerang BonkDAO — mengubah akumulasi suara menjadi sebuah transfer.
Yang terus saya ingat: blok itu hanya bekerja di dalam jendela waktu yang dibuka oleh klaim berbahaya. Jika Dewan Keamanan membutuhkan waktu lebih lama untuk mengoordinasikan tiga tanda tangan daripada jendela yang tersedia, blok tiba terlalu terlambat, baik secara struktural benar maupun tidak.
Sepuluh menit tetap angka yang melekat pada saya — betapa sedikit waktu yang dibutuhkan mayoritas ketika tidak ada yang dibangun untuk memperlambatnya.
Saya masih mengerjakan pinjaman berbasis Bitcoin native di Aave v4 testnet — senang bertukar catatan dengan siapa pun yang ada di sana minggu ini.
@BabylonLabs_io $BABY #baby
Suatu kuartal, seseorang yang telah membeli sejumlah unit tepat sebelum rapat tahunan hadir dengan proksi yang cukup untuk membentuk mayoritas. Pemungutan suara untuk melepaskan $40.000 untuk "jasa konsultasi" lolos dalam waktu kurang dari sepuluh menit. Transfer itu sudah dilakukan sebelum siapa pun sempat bertanya.
Cara paling jelas yang bisa saya sampaikan: kuorum untuk sewa — kendali yang tidak perlu memiliki kepentingan pada hasil, hanya perlu mengumpulkan suara yang cukup untuk melewati ambang batas. Perbendaharaan DAO memiliki paparan yang sama: siapa pun yang mengumpulkan token yang cukup untuk meloloskan sebuah proposal bisa menggerakkan dana.
Pada 6 Juli, seseorang menghabiskan sekitar $4,4 juta untuk membeli token BONK guna mendominasi pemungutan suara tata kelola — persetujuan 99,9% dari tujuh dompet, melawan lebih dari 18.000 anggota yang tidak pernah memberikan suara. Tidak ada timelock, tidak ada pemeriksaan multisig, tidak ada tinjauan anomali di antara pemungutan suara dan transfer. $20M keluar otomatis dari kas BonkDAO.
Dewan Keamanan Babylon memiliki kekuatan yang lebih sempit memang dengan sengaja: kuorum 3 dari 5 hanya bisa menyiarkan transaksi "council no payout" untuk membekukan klaim yang bersifat penipuan — tidak ada alamat yang bisa menerima BTC, tidak ada jalur untuk mengalihkan dana ke mana pun. Dokumen risiko TBV sendiri menyatakan bahwa dewan yang dikompromikan mengurangi kapasitas pemulihan darurat; itu tidak menciptakan cara untuk mencuri dari brankas. Ia tidak bisa melakukan apa yang dilakukan penyerang BonkDAO — mengubah akumulasi suara menjadi sebuah transfer.
Yang terus saya ingat: blok itu hanya bekerja di dalam jendela waktu yang dibuka oleh klaim berbahaya. Jika Dewan Keamanan membutuhkan waktu lebih lama untuk mengoordinasikan tiga tanda tangan daripada jendela yang tersedia, blok tiba terlalu terlambat, baik secara struktural benar maupun tidak.
Sepuluh menit tetap angka yang melekat pada saya — betapa sedikit waktu yang dibutuhkan mayoritas ketika tidak ada yang dibangun untuk memperlambatnya.
Saya masih mengerjakan pinjaman berbasis Bitcoin native di Aave v4 testnet — senang bertukar catatan dengan siapa pun yang ada di sana minggu ini.
@BabylonLabs_io $BABY #baby