هل لاحظ أحد غيرك أن كل هجوم كبير على الحوكمة يتبع الدورة نفسها؟

يتم كشف نقطة ضعف، وتُفقد ملايين، وتَعِد الصناعة بالتعلم، وبعد أشهر يكرر بروتوكول آخر الخطأ نفسه
الهجمات على الحوكمة ليست جديدة، والجزء المُقلق هو أن الصناعة تفهم بالفعل كيف تحدث، لكن السؤال الأصعب الذي لا يريد أحد الإجابة عنه هو لماذا تظلّ نفس الإصلاحات على رفوف الانتظار
خسر Build Finance DAO ما يقرب من $500K في فبراير 2022 ولم يتعافَ، وخسر Beanstalk $182M بعد ذلك بشهرين عبر هجوم حوكمة باستعمال القرض السريع، وتم الاستيلاء على حوكمة Tornado Cash DAO في 2023 عبر عقد اقتراح خبيث، وخسر GreenField DAO $31M في 2025 مكررًا حرفيًا مخطط Beanstalk الخاص بالقرض السريع قبل ثلاث سنوات، وخلال أيام قليلة مضت خسر BonkDAO $20M دون الحاجة أصلاً إلى قرض سريع
لا يوجد استغلال معقد، ولا توجد ثغرة مجهولة، فقط 4.4 مليون دولار من عمليات الشراء في البورصة لتمكّن سبعة محافظ من اكتساب نفوذ كافٍ للسيطرة على قرار يشمل أكثر من 18,000 عضو
بروتوكولات مختلفة، سنوات مختلفة، لكن الدرس نفسه يستمر في التكرار
الجزء غير المريح هو أن الإصلاحات كانت موجودة منذ سنوات
تدابير تأخير التنفيذ، ومُجمّعات متعددة للمحفظة (multisigs) في الخزينة، والتصويت بالاعتماد على لقطات (snapshot)، وحمايات النصاب (quorum) ليست أفكارًا جديدة؛ إنها ممارسات أمنية أساسية يستخدمها بالفعل كبار بروتوكولات التمويل اللامركزي مثل Compound وAave وUniswap
المشكلة ليست أن التشفير لا يعرف كيفية إصلاح الحوكمة
المشكلة هي أن إصلاح الحوكمة غالبًا ما يتعارض مع الحوافز الخاصة بالأشخاص الذين يديرون هذه الأنظمة
لأن اللامركزية أيضًا مجرد سردية
يريد كثير من المشاريع أن يصدق المستخدمون أن القرارات مدفوعة بالكامل من المجتمع وبدون حاجة للثقة، لكن إضافة ضمانات يعني الاعتراف بأن البشر ما زالوا ضروريين لحماية النظام
يوفر تأخير التنفيذ حماية للخزينة من المهاجمين، لكنه في الوقت نفسه يبطّئ المؤسسين والفرق التي تريد قرارات أسرع، وهذا يخلق مفاضلة صعبة لأن السرعة نفسها التي تبدو كفاءة أثناء الأوقات الجيدة يمكن أن تصبح سببًا لاختفاء ملايين عندما يحدث شيء خاطئ
التمويل التقليدي يختلف أيضًا لأن عندما تتجاهل شركة مخاطرة معروفة وتخسر أموال المساهمين، تكون عادة هناك عواقب: يمكن مساءلة مجالس الإدارة، وتتبع المسؤولية
لكن في كثير من DAOs تظل المسؤولية غير واضحة
غالبًا ما تكون تكلفة تجاهل الأمن صفرًا حتى اليوم الذي تصبح فيه ملايين
أكبر مفارقة هي أن إصلاحات الحوكمة تتطلب الحوكمة نفسها
تحتاج إلى تصويت لتحسين نظام التصويت، وتحتاج إلى مشاركة لمعالجة ضعف المشاركة، لكن كثيرًا من بروتوكولات التمويل اللامركزي تعاني أصلًا من ضعف إقبال الناخبين، ما يخلق حلقة يكون فيها نفس الضعف الذي يمكّن الهجمات هو الذي يمنع الحل
المشكلة ليست تقنية فقط، بل سلوك بشري
لا تقوم العديد من DAOs بتحديث إجراءات الأمان عندما تكون صغيرة لأنها تعتقد أنها ليست هدفًا، لكن عندما ينمو الرمز يصبح وجود خزينة قيمة، وعندما يصبح التحكم في الحوكمة مربحًا، تصبح نقطة الضعف فجأة واضحة
يصل الأمن عادة بعد الهجوم، لا قبله
وكل استغلال ناجح يخلق مخططًا تفصيليًا للهجوم التالي
الضرر الحقيقي ليس فقط الأموال التي سُرقت، بل الدرس الذي يتم توزيعه عبر الصناعة
الحقيقة غير المريحة هي أن الأمر لم يكن أبدًا سؤالًا عن أي DAOs ستُستهدف، بل سؤالًا عن أي DAOs لم تُستهدف بعد
إذا كانت خزانتك بقيمة أعلى من تكلفة السيطرة على حوكمة مشروعك، فأنت لست محميًا باللامركزية؛ أنت محمي لأنك لم تُلاحظ
“الشفرة هي القانون” لم تكن أبدًا حجة ضد الأمن، بل أصبحت ذريعة لتجاهل الطبقة البشرية في التشفير
لن تكون الـ DAOs التي ستنجو خلال السنوات الخمس القادمة هي تلك التي تمتلك أفضل تسويق لللامركزية، بل تلك التي تفهم أن الحوكمة ليست مجرد ميزة
لكنها أيضًا سطح هجوم🧘‍♂️