（圖片來自：pexels.com/）
來自Coinmonks的研究者Micah Zoltu，日前披露了MakerDAO治理系統存在的漏洞，其表示任何擁有約40000 MKR（約2000萬美元）的人，都可以竊取Maker DAO的所有抵押品，包括DAI、SAI以及來自Compound、Uniswap以及其它Maker集成系統的大量資產，共計超過3.4億美元。目前，Maker基金會已發布了緊急公告，稱會透過修改治理規則修復這一問題。
以下是Micah Zoltu披露的漏洞細節及Maker基金會的公告內容：
摘要
任何擁有約40000 MKR（約2000萬美元）的人，都可以竊取Maker DAO的所有抵押品，包括DAI、SAI以及來自Compound、Uniswap以及其它Maker集成系統的大量資產，共計超過3.4億美元。Maker DAO v2版本（又名多抵押DAI或McDAI）本應啟動安全措施（緊急關閉和治理延遲），以防惡意的MKR持有者竊取所有抵押品（攻擊者還可能在該過程中，搶劫與Maker集成的大量Uniswap、Compound及其它系統）。然而，他們並沒有選擇這樣去做。
一家銀行
Maker DAO，正是這個東西讓DAI在工作，目前，它在v1和v2版本中鎖定了價值約3.4億美元的ETH。它也是一個「被治理」的系統，與uniswap.exchange或者augur.net不同，這意味著一些財閥可以控制系統的行為。
辯方的回應
我已經向Maker提出了這個攻擊場景，他們已經明確表示，這不值得他們放棄即時的治理控制，來抵禦這種攻擊。他們的辯護理由一般如下（這是我的解釋，如果你想要第一手陳述，請與他們交談），以及我的反駁：
1、攻擊向量已經存在相當長的一段時間，但到目前為止一切都很好。
反駁：Heartbleed（OpenSSL攻擊）存在10年後才被發現。Maker的原始碼是出了名的難以理解，並且這些抱怨是來自以太坊開發社群中的很大一部分人。我之前曾親自告訴他們，我沒有審核Maker的合約，因為閱讀他們的代碼實在太難了。在Maker v2推出之後，我終於還是嘗試了，因為理論上它應該是安全的（不像Maker v1，很多人說它是不安全的，儘管我並不知道它有多不安全）。僅僅因為還沒有人執行攻擊，並不意味著他們將來不會執行攻擊。當向量變得更加廣為人知時，這一點尤其正確。
2、這種攻擊的代價對任何人來說都太昂貴了，只有少數人才能執行。
反駁：參見上面的「群體」部分，還要注意的是，它只需要一個人來攻擊，因此「太貴了，只有少數人擁有這種可能」並不能保證系統的安全。
3、攻擊者必然會洩露他們的攻擊。
反駁：只有當攻擊來自一大批共同工作的MKR持有者，只有當Maker願意在一個可能有人準備攻擊的提示下進行防禦時才發生。
4、我們會對任何攻擊者採取法律行動。
反駁：這基本上是在打臉#DeFi，以太坊生態系統中的很多人明確地試圖保護自己免受政府的侵害，「你的錢是安全的」的這種聲明，根本就不讓人放心。
此外，這還假定攻擊者不是匿名的（見下文）。
5、在以太坊平台上很難實現匿名。
反駁：是的，在以太坊是實現匿名是有點棘手，儘管如此，The DAO 的攻擊者至今都還是一個未知數，許多非常富有的ETH持有者至今也是未知的。對於一次大賺一筆的攻擊而言，強硬並不是一個好的防禦措施。
6、這是一個已知的風險，但還有一些未知的風險可能更糟。
反駁：我強烈反對這種風險評估，你有一個已知的風險，而透過它攻擊系統會是非常有利可圖的，然後去拿未知影響和未知風險進行比較。這種思路大致是這樣的：「沒有任何攻擊向量值得我們放棄控制。」
披露
Maker在Maker v2發布之前就已經意識到了這個問題，而且可能是從一開始就知道。儘管如此，他們還是選擇不堵住這個漏洞（要堵住它很容易）。正因為如此，我不認為讓我閉嘴是我的責任，也不希望任何攻擊者知道誰應該明白Maker的治理模式。
Maker基金會回應
截至發稿時，Maker基金會已發布新的治理規則提議，將延遲時間從0增加到24小時，該基金會在網站中這樣寫道：
自MCD啟動以來，延遲時間設置為0，這使得社群能夠立即採取行動，減少技術錯誤、預言機故障或異常情況，如市場恐慌或經濟攻擊。由於這些事件的可能性在MCD啟動後開始降低，現在就快到審查GSM關於制定最佳延遲量討論的時候了。由於基金會收到一篇文章的通知，該文章詳細介紹了一系列可能導致利用治理系統的事件，因此該版本現在已經升級。
此前，社群曾考慮過該exploit（譯者注：指可利用的規則，在駭客眼裡就是漏洞）的可能性，但這並不是一個緊迫的問題。然而，由於來自上述網站的潛在宣傳，利用此exploit的可能性增加了。出於這個原因，在我們典型的辯論和尋求共識的過程之前，社群正在接受一項民意測驗，以減輕這種假設性的利用。
譯者簡評：Maker基金會已快速作出反應，以解決這一潛在漏洞的威脅，但這也同時印證了漏洞提出者的說法。創新的同時，也需要謹慎，否則就容易重現The Dao式的慘劇，幸運的是，這一漏洞的執行要求非常高，而符合這一條件的幾個機構，也不太可能去進行這樣的攻擊，否則，這又是一場大禍。
本文為巴比特資訊授權刊登，原文標題為「15秒內從2000萬美元變成3.4億美元？MakerDAO緊急修復這一安全漏洞」