Útoky na governance mechanismy

Proč záleží governance: vliv na hodnotu tokenu a bezpečnost protokolu

On-chain governance je soubor pravidel a procesů, kterými komunita mění parametry, updaty a směřování protokolu. V kryptoprostoru je governance přímo spojená s bezpečností aktiv: škodlivý nebo nekompetentní návrh může přesměrovat treasury, změnit poplatky, oslabit model rizika či dokonce odklonit kontrolu nad smart kontrakty. Pro investora, liquidity providera (LP) nebo integrátora proto due diligence governance není „nice-to-have“, ale primární vrstvou bezpečnosti.

Taxonomie governance útoků

„51 % hlasů“ prostřednictvím akumulace hlasů – útočník kumuluje hlasovací práva nákupem tokenů, delegací nebo sloučením delegátů a prosadí škodlivý návrh.
Flash-loan hlasování – dočasné zapůjčení tokenů ke zvýšení hlasovací síly během snapshotu, následné vrácení kapitálu; obchází ekonomickou logiku „skin-in-the-game“.
Bribing/vote-buying a meta-governance – přímé či nepřímé motivování delegátů; využívání protokolů, které agregují hlasy (ve-tokeny, gauge systémy) k prosazení vlastních cílů.
Manipulace quorum – načasování hlasování na nízkou účast, rozdělení komunity alternativními návrhy, snížení prahů quora pomocí „dočasných“ návrhů.
Proposal stuffing a „rider clauses“ – škodlivé klauzule skryté v rozsáhlých balících změn; nebo „no-op“ s nenápadnou změnou kritického parametru.
Upgrade hijack – změna implementace upgradovatelného kontraktu (proxy) a převod práv na novou adresu pod kontrolou útočníka.
Trezor a granty – přesun treasury na adresy pod kontrolou útočníka prostřednictvím legitimně vypadajících grantů, buybacků či „likviditních incentiv“.
Governance-oracle útok – změna zdrojů oracle, vah nebo časových oken tak, aby umožnila ekonomickou exploataci.
Parametrické útoky – úprava poplatků, collateral faktorů, LTV, úrokových modelů nebo výjimek ze seznamu rizikových aktiv k iniciaci pozdějšího ekonomického útoku.
Získání admin klíče – získání kontroly nad nouzovými funkcemi (pause, guardian, bypass timelocku) prostřednictvím sociálního inženýrství či koluze multisigu.

Kde vzniká povrch útoku: architektura governance

Tokenomika hlasů – 1 token = 1 hlas versus vote-escrowed (ve) modely vážící hlas na čas; delegace a jejich koncentrace.
Snapshot versus on-chain hlasování – off-chain signalizace (levnější, ale nezávazná) versus on-chain hlasování (dražší, ale závazné).
Timelock a grace period – odklad exekuce po schválení a okno na reakci komunity/guardianů.
Guardianové a nouzové mechanismy – práva na pozastavení, blacklist, kill-switch; jejich prahy a proces aktivace.
Upgrade pattern – transparentnost a kontrola nad proxy adminem, UUPS versus Transparent proxy, požadavky na vícečetná potvrzení.

Indikátory zranitelnosti governance před vstupem

Koncentrace hlasů – top 10 delegátů a jejich podíl; historická synchronizace jejich hlasování (koluze).
Quorum a prahy – jsou prahy realistické vůči historické účasti? Je snadné „prošlápnout“ návrh při nízké účasti?
Anti-flash-loan ochrana – požadavky na token age, snapshot s prior balance, blokování delegací těsně před snapshotem.
Parametry timelocku – délka (hodiny versus dny), možnost zkrácení, kdo může parametr měnit.
Práva guardianů – počet podpisů, veřejná identita, geografická a organizační diverzifikace.
Práva na upgrade – kdo je proxy admin, je to multisig s timelockem, existuje upgradability scope (whitelist funkcí)?
Pravidla treasury – grantové procesy, rozpočtové stropy, audit výplat milestone-based.
Dokumentace a transparentnost – specifikace návrhů, kontrolní seznamy, formální šablony a simulace dopadů.

Mechanika flash-loan hlasování a jak mu předcházet

Flash-loan hlasování zneužívá možnost krátkodobě vlastnit velký objem governance tokenů v době snapshotu. Ochrany zahrnují:

Hlasovací síla na základě „staré“ bilance – snapshot N bloků před otevřením hlasování.
Minimální holding/lock – požadavek na vázání tokenů po celou dobu návrhu.
Delegation delay – delegace nabývají účinnosti až po X blocích/epochách.
Pojistné quorum – vyšší prahy u návrhů zasahujících treasury, updatů a změn oracle.

Bribing a vote-buying: rozlišení mezi incentivem a korupcí

Ekosystémy s gauge alokací emisí (vyřazování odměn) umožňují legitimní „bribe“ trhy. Rizikem je, když stimuly skrývají střety zájmů nebo prosazují technicky nebezpečné změny. Mitigace: povinné zveřejnění protistran, limit na hlasovací sílu přenesenou z bribe kontraktů, reputační skóre delegátů, kteří akceptují platby.

Proposal hygiene: šablony, audity a simulace

Jednotná šablona – jasný cíl, změněné funkce/parametry, rizika, alternativy, vliv na treasury a bezpečnost.
On-chain diffs – porovnání bytekódu před a po (v případě upgrade); čitelné abi-level diffs.
Simulace (forked testnet) – scénáře „co kdyby“ pro rizikové parametry (např. LTV, likvidační prahy).
Externí governance review – peer review od nezávislých týmů; čas na námitky a zpětnou vazbu.

Role delegátů: kompetence, střety zájmů a odpovědnost

Delegáti by měli zveřejňovat mandát, portfolio, střety zájmů (zaměstnavatel, investice), docházku a historii hlasování. Vysoká koncentrace hlasů u delegátů bez reputace je varovný signál. Mechanismy rage-quit nebo „delegation clawback“ snižují trvalé zachycení moci.

Provozní bezpečnost governance: lidé, klíče, procesy

Multisig – minimálně 2-z-3 nebo 3-z-5 s geografickou a organizační separací; důkaz držení klíčů; pravidelná rotace.
Timelock pro privilegované akce – i guardian/pause by měli mít odklad, pokud nejde o urgentní incident.
Runbook incidentů – postup pro freeze/pause, reverzi návrhu, kontaktování burz a partnerů.
Change-management – kódové recenze, CI/CD s podepisováním release, deterministické buildy.

Parametrické útoky v praxi: příklady

Zvýšení LTV/collateral faktorů na rizikových aktivech → větší poptávka po půjčkách → manipulace ceny oracle → odčerpání likvidity.
Změna poplatků a rozdělení odměn → vytlačení dlouhodobých LP, nárazový příliv „mercenary“ kapitálu a následný odliv.
Změna whitelistu/blacklistu → umožnění vkladu toxického aktiva nebo uvolnění kolaterálu před exploatem.

Governance a oracle: zvláštní pozornost

Každá změna oracle modelu (zdroje, váhy, heartbeat, deviation threshold) musí projít rizikovým hodnocením. Požadujte shadow-mode monitorování nové konfigurace paralelně s produkcí, bez okamžitého přepnutí.

Checklist due diligence před vstupem (investice, LP, integrace)

Jaká je koncentrace hlasů a historie účasti na hlasováních?
Existuje anti-flash-loan politika a snapshot delay?
Je proxy admin pod multisigem s timelockem? Kdo jsou signatáři?
Jak dlouhý je timelock a lze jej zkrátit? Kdo může měnit jeho délku?
Jsou treasury převody limitovány (per transakce, per čas)? Existují milestone-based granty?
Je publikována šablona návrhu s povinnými on-chain diffs a simulacemi?
Má protokol incident playbook a veřejný záznam zásahů guardianů?
Existuje slashing/odvolání delegátů při evidentních střetech zájmů či absenci?

Riziková matice: hrozby, expozice a mitigace

Hrozba	Expozice	Dopad	Mitigace
Flash-loan hlasování	Vysoká při volném delegování/bez snapshot delay	Krátkodobé převzetí kontroly	Snapshot N bloků před, token-age, delegation delay
Koncentrace delegací	Střední–Vysoká	Plutokratická rozhodnutí	Stropy hlasů, reputační skóre, diverzifikace delegátů
Upgrade hijack	Střední	Trvalá ztráta kontroly	Multisig + timelock, on-chain diffs, audit upgradů
Čerpání treasury	Střední	Finanční ztráta, reputace	Limity, vícestupňové schvalování, výplaty dle milníků
Změna oracle	Střední	Ekonomický exploit	Shadow-mode, nezávislé zdroje, emergency pause

Ochranné vzory (design patterns) pro robustní governance

Modulární prahy – vyšší quorum/majorita pro „kritické“ návrhy (treasury, oracle, upgrade) než pro běžné parametry.
Hlasovací okna rozdělená v čase – dvoukrokové schvalování (princip approval → exekuční návrh).
Oboustranný timelock – odklad před i po schválení s různými právy guardianů.
Komunitní veto – držitelé tokenů mohou během grace period vetovat schválený návrh nad rámec prahu.
Canary změny – parametry nejprve na části TVL nebo v „sandbox“ modulu.

Měření zdraví governance: metriky a dashboardy

Účast a koncentrace – Gini koeficient hlasů, Herfindahl index delegátů, průměrné quorum vs. prahy.
Latence procesu – čas od návrhu po exekuci, délka diskuse, počet revizí.
Kvalitativní skóre návrhů – procento návrhů s diffs, simulacemi, externím review; míra chyb/rollbacků.
Zásahy guardianů – frekvence pozastavení, důvody, průměrný čas do unpause.

Praktický postup pro investora/LP: od skríningu po hlasování

Skríning – zkontrolujte prahy, timelock, delegační mapy a top delegáty.
Hlubší analýza – projděte posledních 6–12 návrhů, jestli obsahovaly diffs/simulace a jak dopadly.
Scoring – ohodnoťte protokol podle kontrolního seznamu (koncentrace, anti-flash-loan, guardian, upgrade).
Watchlist – nastavte alerty na návrhy zasahující treasury, oracle a updaty; zúčastněte se diskuse.
Hlasování – uveďte veřejné odůvodnění; při střetu zájmů delegujte jinam nebo se zdržte.

Pro DAO a core týmy: organizační zásady

Transparentní kalendář – pravidelné cykly: RFC → temp-check → final proposal; minimální lhůty.
Edukační program delegátů – školení základů rizik, oraclů a upgrade patternů.
Open-source nástroje – generování on-chain diffs, simulace ve forked mainnet režimu, formální šablony.
Nezávislá komise pro kritické návrhy – dobrovolný „second look“ od expertů bez exekuční moci.