Augur 白皮书作者曝 MakerDAO 致命漏洞，MakerDAO 官方回应添加治理模块

区块律动 BlockBeats 消息，为了回应开发者对于 MakerDAO 漏洞的担忧，MakerDAO 官方推出了治理安全模块（GSM），而 GSM 是否确定添加需要投票表决。

MakerDAO 表示，GSM 可以让 MKR 持有者查看系统更新，在发现有漏洞时采取相应措施。自多抵押 DAI（MCD）启动以来，社区可以立即采取措施，以减轻技术错误、预言机故障或市场恐慌等异常情况。



12 月 9 日，独立开发者、去中心化预测市场 Augur 白皮书的作者之一 Micah Zoltu，发布了一篇文章，描述了 MakerDAO 的漏洞，他认为这种攻击可能会清空 Maker 系统中的所有 ETH，共价值3.4亿美元的 ETH。(用户将 ETH 锁定在 Maker 的协议中，以产生与美元挂钩的 DAI 稳定币的贷款。)

Zoltu 写道，问题在于如何治理 Maker:「一些大量持币的大户是能够控制系统的行为的。少数 MKR 的大户就可以达成攻击。」

Zoltu 说，如果攻击有一定的复杂性，那么只需要 40,000 MKR 就足够发起攻击了。在撰写本文时，基于 Maker 当前的投票系统设定，当某人或组织持有 48,400 个 MKR，那么发起的投票就可以立即得到执行。

这就意味着，发起攻击者需要投入 2,000 万至 2,500 万美元的加密资金才能完成这项攻击任务。这是假设一个人可以以不抬高价格的方式不断积累手头的 MKR，当然这是不可能的，这么巨额的 MKR 购入会对价格造成影响。

「值得注意的是，如果他们愿意，Maker 基金会现在就可以用这种方式攻击系统，」Zoltu 写道。「更糟糕的是，a16z 现在手头有足够的 MKR，可以耐心地实施攻击。」

不过也有人表示，积累足够的 MKR 来实施攻击可能是一个重大障碍。「我觉得它（MKR）的价格至少会翻倍，」Pantera Capital 的合伙人乔伊·克鲁格 (Joey Krug) 说。「如果你支付双倍的市场价格，你可能会吸引到大量的大户来场外交易。」不过，该假设是在攻击者必须从零开始作准备的情况下。

而另一方面，Zoltu 所提的攻击问题还由于 Maker 的另一个系统设置：治理延迟的当前参数为零秒。也就是说，任何经过投票通过的治理条款都将立即生效。当然这当中还涉及到一些操作问题，比如攻击者需要足够快的时间并且找到最精准的时机才有可能完成一个完美的攻击。但是虽然攻击看似并不容易，但是对于用户来说资金安全仍受到威胁。

不过 Maker 基金会的工程主管 Wouter Kampmann 表示，现在是有一小部分巨鲸拥有足够的 MKR 来执行这种攻击，但是它们不太可能这样做。因为这种攻击将对以太坊产生巨大的冲击，如果他们持有这么多 MKR，他们在其他资产上的损失可能会比偷取 ETH 的收益还要大 (ETH 的价值也可能会下降)。

根据 Kampmann 的说法，关心协议安全的 MKR 持有者所能做的最好的事情就是把他们的 MKR 押在选票上。质押的越多，攻击的代价就越大，现在有很多 MKR 在一旁观望。

然而，据统计现在有超过 16000 个 ETH 地址都在使用 MKR。如果一群持币量大者能够在 MakerDAO 社区的没有注意到的情况下进行串通，那么它们就能够在不引起价格波动的情况下凑够足够的 MKR。这也是一种隐患。不过对此，Maker 基金会表示，根据市场对 MKR 流动性的了解，这种情况不太可能发生。也就是说，MKR 的流动性还那么多。

但 Zoltu 坚持认为这还不够安全。他表示:「他们 (Maker 基金会）是在假定攻击者没有流动性暗池的情况下运作的。从定义上说，这是一个人无法知道的事情。」

区块律动 BlockBeats 提醒，根据银保监会等五部门于 2018 年 8 月发布《关于防范以「虚拟货币」「区块链」名义进行非法集资的风险提示》的文件，请广大公众理性看待区块链，不要盲目相信天花乱坠的承诺，树立正确的货币观念和投资理念，切实提高风险意识；对发现的违法犯罪线索，可积极向有关部门举报反映。    

—-

编译者/作者：区块律动BlockBeat

玩币族申明：玩币族作为开放的资讯翻译/分享平台，所提供的所有资讯仅代表作者个人观点，与玩币族平台立场无关，且不构成任何投资理财建议。文章版权归原作者所有。