Apakah ada orang lain yang menyadari bahwa setiap serangan besar terhadap tata kelola mengikuti siklus yang sama?

Sebuah kelemahan terungkap, jutaan dolar hilang, industri berjanji akan belajar, dan berbulan-bulan kemudian protokol lain mengulangi kesalahan yang sama
Serangan tata kelola bukan hal baru, dan bagian yang menyeramkan adalah industri sudah memahami bagaimana serangan itu terjadi, tetapi pertanyaan yang lebih sulit yang tidak mau dijawab siapa pun adalah mengapa perbaikan yang sama terus dibiarkan di rak
Build Finance DAO kehilangan kira-kira $500K pada Februari 2022 dan tidak pernah pulih, Beanstalk kehilangan $182M dua bulan kemudian lewat serangan tata kelola flash loan, Tornado Cash DAO tata kelolanya dirampas pada 2023 melalui kontrak proposal berbahaya, GreenField DAO kehilangan $31M pada 2025 mengulang playbook flash-loan Beanstalk yang persis sama tiga tahun kemudian, dan beberapa hari lalu BonkDAO kehilangan $20M tanpa bahkan perlu flash loan
Tidak ada eksploit yang rumit, tidak ada kerentanan yang tidak diketahui, hanya $4,4M senilai transaksi pembelian di bursa dan tujuh dompet mendapatkan cukup pengaruh untuk mengendalikan keputusan yang melibatkan lebih dari 18.000 anggota
Protokol berbeda, tahun berbeda, tetapi pelajaran yang sama terus berulang
Bagian yang tidak nyaman adalah bahwa perbaikannya sudah ada selama bertahun-tahun
Execution timelocks, treasury multisigs, pemungutan suara berbasis snapshot, dan perlindungan kuorum bukan ide baru; itu praktik keamanan dasar yang sudah dipakai oleh protokol DeFi besar seperti Compound, Aave, dan Uniswap
Masalahnya bukan bahwa crypto tidak tahu cara memperbaiki tata kelola
Masalahnya adalah memperbaiki tata kelola sering berbenturan dengan insentif orang-orang yang menjalankan sistem-sistem ini
Karena desentralisasi juga merupakan narasi
Banyak proyek ingin pengguna percaya bahwa keputusan sepenuhnya digerakkan komunitas dan tanpa kepercayaan, tetapi menambahkan pengaman berarti mengakui bahwa manusia masih dibutuhkan untuk melindungi sistem
Timelock melindungi treasury dari penyerang, tetapi juga memperlambat pendiri dan tim yang menginginkan keputusan lebih cepat, dan itu menciptakan trade-off yang sulit karena kecepatan yang terasa efisien pada masa baik dapat menjadi alasan jutaan dolar lenyap saat sesuatu berjalan salah
Keuangan tradisional punya perbedaan lain karena ketika sebuah perusahaan mengabaikan risiko yang sudah diketahui dan kehilangan uang pemegang saham, biasanya ada konsekuensi; dewan bisa dipertanyakan dan tanggung jawab dapat ditelusuri, tetapi di banyak DAO, tanggung jawab itu masih belum jelas
Biaya mengabaikan keamanan sering kali nol sampai hari itu berubah menjadi jutaan
Ironi terbesar adalah bahwa perbaikan tata kelola membutuhkan tata kelola itu sendiri
Anda butuh suara untuk meningkatkan sistem pemungutan suara, Anda butuh partisipasi untuk mengatasi partisipasi rendah, tetapi banyak protokol DeFi sudah kesulitan dengan kehadiran pemilih, sehingga menciptakan lingkaran di mana kelemahan yang sama yang memungkinkan serangan juga menghalangi solusinya
Masalahnya tidak hanya teknis, ini perilaku manusia
Banyak DAO tidak melakukan upgrade keamanan ketika masih kecil karena mereka yakin mereka bukan target, tetapi ketika token tumbuh, treasury menjadi berharga, dan mengendalikan tata kelola menjadi menguntungkan, kelemahan itu tiba-tiba jadi jelas
Keamanan biasanya datang setelah serangan, bukan sebelum serangan
Dan setiap eksploit yang berhasil menciptakan blueprint untuk penyerang berikutnya
Kerusakan yang sesungguhnya bukan hanya uang yang dicuri; itu adalah pelajaran yang didistribusikan ke seluruh industri
Kebenaran yang tidak nyaman adalah bahwa ini tidak pernah soal pertanyaan DAO mana yang akan diserang, melainkan soal DAO mana yang belum diserang
Jika treasury Anda bernilai lebih dari biaya untuk mengendalikan tata kelola Anda, maka Anda tidak dilindungi oleh desentralisasi, Anda dilindungi karena tidak terlihat
“Code is law” tidak pernah menjadi argumen untuk menentang keamanan, itu berubah menjadi alasan untuk mengabaikan lapisan manusia dari crypto
DAO yang bertahan melewati lima tahun ke depan bukanlah yang memiliki pemasaran desentralisasi terbaik, mereka adalah yang memahami bahwa governance bukan sekadar fitur
Tapi juga permukaan serangan🧘‍♂️