The DAO: как хак на $60 млн расколол Ethereum надвое

30 апреля 2016 года на Ethereum запустился The DAO — децентрализованный инвестиционный фонд, устроенный как DAO (децентрализованная автономная организация): все решения об инвестициях принимались голосованием держателей токенов, без совета директоров и центрального управления. За три недели токен-сейла The DAO собрала свыше $150 млн от более чем 11 000 участников — на тот момент крупнейший краудфандинг в истории.

17 июня 2016 года анонимный злоумышленник воспользовался уязвимостью в смарт-контракте: рекурсивный вызов функции вывода средств позволял запрашивать деньги многократно за одну транзакцию, прежде чем контракт успевал обновить внутренний баланс. В результате было выведено около 3,6 млн ETH — примерно треть всего фонда, на тот момент около $60 млн, сообщает The Block.

Сообщество Ethereum раскололось на два лагеря: одни настаивали на хардфорке, который технически «отменит» хак, отправив украденные средства на контракт для возврата инвесторам, другие считали, что менять историю блокчейна ради одного инцидента противоречит самой идее неизменности — «код есть закон». 20 июля 2016 года, на блоке 1 920 000, хардфорк был реализован и получил поддержку 85–89% голосующих. Те, кто отказался его принять, остались на исходной цепи — она стала известна как Ethereum Classic, а форкнутая версия сохранила название Ethereum.

К чему это ведёт: спустя 10 лет, в 2026 году, невостребованные средства из оригинального механизма компенсации — 70 500 ETH из контракта ExtraBalance и 4 600 ETH с мультиподписи кураторов, суммарно около $130 млн по текущему курсу — превращаются в Ethereum Security Fund. Управляют им семь кураторов, включая сооснователя Ethereum Виталика Бутерина и экс-главу безопасности MetaMask Тейлор Монахан, а доходность от стейкинга (около $8 млн в год) идёт на исследования безопасности, инструменты и реагирование на инциденты.

Гриф Грин, один из создателей The DAO в 2016 году, признаёт: «Мы застряли в этой колее последние шесть лет» — имея в виду, что базовая киберграмотность рядовых пользователей крипты так и не выросла настолько, насколько хотелось бы. Марцин Казьмерчак из RedStone формулирует парадокс безопасности во всей индустрии так: «Это не убирает доверие — оно просто перемещается» с кода на людей, которые этот код пишут и проверяют.

Материал носит информационный характер и не является инвестиционной рекомендацией.