许多 web3 项目使用可替代且可交易的原生代币进行无许可投票。 无许可投票可以提供许多好处，从降低准入门槛到增加竞争。 代币持有者可以使用他们的代币对一系列问题进行投票——从简单的参数调整到治理过程本身的大修。 （有关 DAO 治理的评论，请参阅“光速民主。“） 但是未经许可的投票很容易受到 治理攻击，其中攻击者通过合法方式（例如，在公开市场上购买代币）获得投票权，但使用该投票权来操纵协议以谋取自己的利益。 这些攻击纯粹是“协议内”，这意味着它们无法通过密码学解决。 反而， 预防 它们需要深思熟虑的机制设计。 为此，我们开发了一个框架来帮助 DAO 评估威胁并潜在地应对此类攻击。
实践中的治理攻击
治理攻击的问题不仅仅是理论上的问题。 他们不仅 能够 发生在现实世界中，但它们已经发生并将继续发生。
In 一个突出的例子，Steemit 是一家在其区块链上构建去中心化社交网络的初创公司 Steem，拥有一个由 20 名见证人控制的链上治理系统。 选民使用他们的 STEEM 代币（平台的本币）来选择见证人。 在 Steemit 和 Steem 获得关注的同时，孙宇晨制定了将 Steem 合并到 Tron 的计划，这是他在 2018 年创立的区块链协议。为了获得这样做的投票权，Sun 接触了 Steem 的一位创始人并购买了相当于占总供应量的 30%。 一旦当时的 Steem 目击者发现了他的购买行为，他们就冻结了 Sun 的代币。 接下来是 Sun 和 Steem 之间的公开争执，以控制足够的代币来安装他们首选的前 20 名见证人名单。 在涉及主要交易所并花费数十万美元购买代币后，Sun 最终获胜并有效地控制了网络。
In 另一个实例, 稳定币协议 Beanstalk 发现自己容易受到闪电贷的治理攻击。 攻击者借了一笔贷款来获得足够的 Beanstalk 治理令牌，以立即通过一个恶意提案，使他们能够没收 Beanstalk 的 182 亿美元储备金。 与 Steem 攻击不同的是，这次攻击发生在一个区块的跨度内，这意味着它在任何人都来不及反应之前就结束了。
虽然这两次攻击是在公开场合和公众视线下发生的，但治理攻击也可以在很长一段时间内秘密进行。 攻击者可能会创建大量匿名账户并慢慢积累治理令牌，同时表现得像任何其他持有者一样以避免怀疑。 事实上，鉴于许多 DAO 的选民参与度往往很低，这些账户可能会长时间处于休眠状态而不会引起怀疑。 从 DAO 的角度来看，攻击者的匿名账户可能有助于呈现健康水平的去中心化投票权。 但最终攻击者可能会达到一个阈值，即这些女巫钱包有权单方面控制治理，而社区却无法做出回应。 同样，恶意行为者可能会在投票率足够低时获得足够的投票权来控制治理，然后在许多其他代币持有者不活跃时尝试通过恶意提案。
虽然我们可能认为所有治理行动只是市场力量的结果，但在实践中，由于激励失败或协议设计中的其他漏洞，治理有时会产生低效的结果。 正如政府决策可能会被利益集团甚至是简单的惯性所俘获一样，如果 DAO 治理结构不当，可能会导致较差的结果。
那么如何通过机制设计来应对此类攻击呢？
基本挑战：难以区分
代币分配的市场机制无法区分想要制作的用户 有价值 对项目的贡献以及高度重视破坏或以其他方式控制项目的攻击者。 在一个可以在公共市场上买卖代币的世界里，从市场的角度来看，这两个群体在行为上没有区别：他们都愿意以越来越高的价格购买大量代币。
这种不可区分的问题意味着去中心化治理并不是免费的。 相反，协议设计者面临着公开分散治理和保护他们的系统免受试图利用治理机制的攻击者之间的基本权衡。 越多的社区成员可以自由地获得治理权和影响协议，攻击者就越容易使用相同的机制进行恶意更改。
这种不可区分性问题在权益证明区块链网络的设计中很熟悉。 还有一个 高流动性市场 在令牌中，攻击者更容易获得足够的权益来破坏网络的安全保证。 尽管如此，代币激励和流动性设计的结合使 PoS 网络成为可能。 类似的策略可以帮助保护 DAO 协议。
评估和解决脆弱性的框架
为了分析不同项目面临的漏洞，我们使用由以下等式捕获的框架：
对于被认为对治理攻击安全的协议，攻击者的利润应该是负数。 在为项目设计治理规则时，该等式可用作评估不同设计选择的影响的指南。 为了减少利用该协议的动机，该等式意味着三个明确的选择： 降低攻击的价值, 增加获得投票权的成本及 增加执行攻击的成本.
降低攻击的价值
限制攻击的价值可能很困难，因为项目越成功，成功的攻击可能变得越有价值。 显然，一个项目不应仅仅为了降低攻击的价值而故意破坏其自身的成功。
然而，设计者可以通过限制治理的范围来限制攻击的价值。 如果治理仅包括更改项目中某些参数的权力（例如，贷款协议的利率），那么潜在攻击的范围比治理允许对治理智能合约的完全一般控制时要窄得多。
治理范围可以是项目阶段的函数。 在项目的早期，当它找到立足点时，可能会有更广泛的治理，但在实践中，治理可能会受到创始团队和社区的严格控制。 随着项目的成熟和分散控制，在治理中引入一定程度的摩擦可能是有意义的——至少，最重要的决策需要大量的法定人数。
增加获得投票权的成本
项目还可以采取措施使获得攻击所需的投票权变得更加困难。 代币的流动性越强，就越容易要求投票权——因此，几乎自相矛盾的是，项目可能希望减少流动性以保护治理。 人们可以尝试直接降低代币的短期可交易性，但这在技术上可能是不可行的。
为了间接减少流动性，项目可以提供激励措施，使个人代币持有者不太愿意出售。 这可以通过激励质押或通过赋予代币超越纯粹治理的独立价值来实现。 代币持有者获得的价值越多，他们就越能与项目的成功保持一致。
独立的代币福利可能包括参加面对面的活动或社交体验。 至关重要的是，像这样的好处对与项目一致的个人来说是高价值的，但对攻击者来说却毫无用处。 提供这些好处会提高攻击者在获取代币时所面临的有效价格：由于独立的好处，当前持有者将不太愿意出售，这应该会提高市场价格； 然而，虽然攻击者必须付出更高的代价，但独立功能的存在并没有提高攻击者获取代币的价值。
增加执行攻击的成本
除了提高投票权的成本外，还可能引入摩擦，使攻击者即使在获得代币后也更难以行使投票权。 例如，设计人员可能需要某种用户身份验证才能参与投票，例如 KYC（了解您的客户）检查或声誉评分阈值。 甚至可以首先限制未经身份验证的参与者获取投票令牌的能力，可能需要一些现有的验证者来证明新参与方的合法性。
从某种意义上说，这正是许多项目分配其初始代币的方式，确保受信任方控制很大一部分投票权。 （许多权益证明解决方案使用类似的技术来保护他们的安全——严格控制谁可以访问早期权益，然后从那里逐步去中心化。）
或者，项目可以做到这一点，即使攻击者控制了大量的投票权，他们在通过恶意提案时仍然面临困难。 例如，一些项目有时间锁，因此在兑换后的一段时间内无法使用硬币进行投票。 因此，寻求购买或借入大量代币的攻击者将面临在他们实际投票之前等待的额外成本——以及投票成员在此期间会注意到并阻止他们的潜在攻击的风险。 代表团 也有帮助 这里。 通过赋予积极但非恶意的参与者代表他们投票的权利，不想在治理中发挥特别积极作用的个人仍然可以为保护系统贡献他们的投票权。
一些项目使用否决权，允许将投票推迟一段时间，以提醒不活跃的选民注意潜在危险的提案。 在这样的方案下，即使攻击者提出恶意提案，选民也有能力做出回应并关闭它。 这些和类似设计背后的想法是阻止攻击者偷偷通过恶意提案，并为项目的社区提供时间来制定响应。 理想情况下，明确符合协议优点的提案不必面对这些障碍。
At 名词 DAO例如，否决权由 Nouns Foundation 持有，直到 DAO 本身 已准备好实施替代模式。 正如他们在他们的网站上所写的那样，“Nouns Foundation 将否决那些给 Nouns DAO 或 Nouns Foundation 带来重大法律或存在风险的提案。”
* * *
项目必须取得平衡，以允许对社区变更具有一定程度的开放性（有时可能不受欢迎），同时不允许恶意提案从裂缝中溜走。 通常只需要一个恶意提案就可以破坏协议，因此清楚地了解接受与拒绝提案的风险权衡至关重要。 当然，在确保治理安全和使治理成为可能之间存在一个高水平的权衡——任何引入摩擦来阻止潜在攻击者的机制当然也会使治理过程的使用更具挑战性。
我们在这里勾勒的解决方案介于完全去中心化治理和部分牺牲一些去中心化理想以实现协议的整体健康之间的范围内。 我们的框架强调了项目在寻求确保治理攻击不会获利时可以选择的不同路径。 我们希望社区将使用该框架，通过他们自己的实验进一步开发这些机制，以使 DAO 在未来更加安全。
***
Pranav Garimidi 是哥伦比亚大学的一名大三学生，也是一名暑期研究实习生。 a16z加密.
斯科特杜克矿工 是哈佛商学院的工商管理教授，哈佛经济系的附属学院，以及研究合作伙伴 a16z加密.
蒂姆·拉夫加登 是计算机科学教授和哥伦比亚大学数据科学研究所的成员，以及研究负责人 a16z加密.
***
致谢：我们感谢您提供有用的意见和建议 安迪·霍尔. 还要特别感谢我们的编辑， 蒂姆·沙利文.
***
披露：Kominers 持有许多加密代币，并且是许多 NFT 社区的一部分； 他为各种市场业务、初创公司和加密项目提供建议； 他还担任 NFT 相关事务的专家。
此处表达的观点是引用的个人 AH Capital Management, LLC (“a16z”) 人员的观点，而不是 a16z 或其关联公司的观点。 此处包含的某些信息是从第三方来源获得的，包括来自 a16z 管理的基金的投资组合公司。 虽然取自被认为可靠的来源，但 a16z 并未独立验证此类信息，也不对信息的持久准确性或其对特定情况的适用性做出任何陈述。 此外，该内容可能包含第三方广告； a16z 未审查此类广告，也不认可其中包含的任何广告内容。
此内容仅供参考，不应被视为法律、商业、投资或税务建议。 您应该就这些事项咨询您自己的顾问。 对任何证券或数字资产的引用仅用于说明目的，并不构成投资建议或提供投资咨询服务的要约。 此外，本内容并非针对也不打算供任何投资者或潜在投资者使用，并且在任何情况下都不得在决定投资于 a16z 管理的任何基金时作为依据。 （投资 a16z 基金的要约仅通过私募备忘录、认购协议和任何此类基金的其他相关文件提出，并应完整阅读。）任何提及、提及或提及的投资或投资组合公司所描述的并不代表对 a16z 管理的车辆的所有投资，并且不能保证这些投资将是有利可图的，或者将来进行的其他投资将具有类似的特征或结果。 由 Andreessen Horowitz 管理的基金进行的投资清单（不包括发行人未允许 a16z 公开披露的投资以及对公开交易的数字资产的未宣布投资）可在 https://a16z.com/investments 获得/。
其中提供的图表仅供参考，在做出任何投资决定时不应依赖。 过去的表现并不预示未来的结果。 内容仅在所示日期生效。 这些材料中表达的任何预测、估计、预测、目标、前景和/或意见如有更改，恕不另行通知，并且可能与他人表达的意见不同或相反。 有关其他重要信息，请参阅 https://a16z.com/disclosures。
