ده سال پیش در همین روز، The DAO هک شد و میلیون‌ها اتر (ETH) را از بزرگترین رویداد تامین مالی جمعی تاریخ در آن زمان تخلیه کرد و در نهایت اتریوم را مجبور به مهمترین تصمیم خود کرد: یک هارد فورک که زنجیره را به اتریوم و اتریوم کلاسیک تقسیم کرد.

The DAO توسط شرکت بلاکچین آلمانی Slock.it و تحت نظر توسعه‌دهنده کریستوف ینتسش ساخته شده بود و حدود 12 میلیون ETH، معادل 150 میلیون دلار در آن زمان، را از بیش از 11,000 سرمایه‌گذار در یک فروش توکن جمع‌آوری کرده بود که کمتر از سه هفته قبل از حمله بسته شد.

در 17 ژوئن 2016، یک مهاجم که در آن زمان ناشناس بود، از یک آسیب‌پذیری بازگشت‌پذیری (reentrancy bug) در تابع splitDAO مربوط به The DAO سوءاستفاده کرد و به طور مکرر اتر را تخلیه می‌کرد تا زمانی که قرارداد بتواند موجودی‌های خود را به‌روز کند.

تقریباً 3.6 میلیون ETH، حدود یک سوم سرمایه، به یک "DAO فرعی" منتقل شد که دارای یک قفل برداشت 28 روزه بود؛ این تاخیر به جامعه اتریوم فرصت داد تا واکنش نشان دهد.

گروهی از توسعه‌دهندگان به نام "گروه کلاه سفید"، شامل گریف گرین، مدیر جامعه The DAO، برای تخلیه وجوه آسیب‌پذیر باقیمانده به قراردادهایی که کنترل می‌کردند، مسابقه دادند. این یک عملیات نجات بی‌سابقه بود که به طور کامل و در دید عموم بر روی یک بلاکچین زنده انجام شد.

بحث "کد قانون است"

این حادثه جامعه اتریوم را به دو اردوگاه تقسیم کرد.

یکی استدلال می‌کرد که هک طبق کد قرارداد همانطور که نوشته شده بود عمل کرده و نتیجه باید پابرجا بماند؛ موضعی که در نهایت به اتریوم کلاسیک تبدیل شد.

دیگری استدلال می‌کرد که یک باگ رفتار مورد انتظار نبوده و جامعه باید از قضاوت جمعی خود برای جبران خسارت قربانیان استفاده کند.

اتریوم که امروزه می‌شناسیم، گزینه دوم را انتخاب کرد.

در 20 جولای 2016، در بلوک 1,920,000، شبکه یک هارد فورک را اجرا کرد که وضعیت زنجیره را به قبل از هک بازگرداند، با حمایت تقریباً 85% تا 89% از رای‌دهندگان. اتر تخلیه شده به یک قرارداد بازیابی منتقل شد و دارندگان توکن اصلی DAO می‌توانستند سهم خود را با نرخ 1 ETH به ازای هر 100 توکن DAO برداشت کنند.

شرکت‌کنندگان در زنجیره جدید خسارتشان جبران شد و ETC پاداش از این انشعاب دریافت کردند. در زنجیره اصلی، اتریوم کلاسیک، هک همانطور که ثبت شده بود پابرجا ماند و مهاجم سهم خود از ETC را نگه داشت. این اولین هارد فورک بزرگ اتریوم و رویدادی بود که شبکه را برای همیشه به دو بخش تقسیم کرد.

یک دهه پس از آن

این هک فراتر از فورک، بر امور مالی غیرمتمرکز تاثیر گذاشت. تا به امروز، به طور گسترده‌ای به این هک اعتبار داده می‌شود که صنعت امنیت قراردادهای هوشمند در کریپتو را راه‌اندازی کرده، زیرا ممیزی و راستی‌آزمایی رسمی به جای یک موضوع ثانویه، به رویه‌ای استاندارد تبدیل شد.

این هک همچنین به یک نقطه عطف در قانون اوراق بهادار ایالات متحده تبدیل شد. گزارش 2017 SEC ایالات متحده در مورد DAO نتیجه گرفت که توکن‌های DAO تحت قانون موجود به عنوان اوراق بهادار واجد شرایط هستند؛ تحلیلی مبتنی بر واقعیت‌ها و شرایط که از آن زمان تاکنون اقدامات اجرایی در حوزه کریپتو را لنگر انداخته است.

The DAO، تولد دوباره

یک دهه بعد، The DAO بازگشته است، اما این بار به عنوان یک صندوق امنیتی و نه یک صندوق سرمایه‌گذاری خطرپذیر.

صندوق The DAO به تعهدی برمی‌گردد که کمی پس از هک داده شد: هر ETH نجات‌یافته‌ای که تا ژانویه 2017 مطالبه نشود، در نهایت از کارهای امنیتی اتریوم حمایت خواهد کرد.

این وعده تا زمانی که یک پژوهشگر Wintermute آن پست وبلاگ قدیمی را دوباره کشف کرد و به گرین اطلاع داد، غیرفعال مانده بود. گرین در ژانویه راه‌اندازی این صندوق را اعلام کرد.

بیش از 75,000 ETH از بازیابی اولیه، حدود 70,500 ETH که در یک قرارداد ExtraBalance مطالبه‌نشده قرار دارد به علاوه 4,600 ETH دیگر در مولتی‌سیگ سرپرست The DAO، به عنوان یک موقوفه بلندمدت استیک می‌شود که بازدهی آن به تامین مالی تحقیقات امنیتی، ابزارسازی و واکنش به حوادث اختصاص می‌یابد.

هفت سرپرست بر این صندوق نظارت می‌کنند، از جمله ویتالیک بوترین، هم‌بنیان‌گذار اتریوم، و تیلور موناهان، رئیس سابق امنیت MetaMask، و این صندوق با ابتکار امنیت یک تریلیون دلاری بنیاد اتریوم هماهنگ است.

گرین در ژانویه به The Block گفت: "ما در شش سال گذشته در یک بن‌بست گیر کرده‌ایم." او به حملات فیشینگ و تخلیه کیف پول‌ها به عنوان شواهدی اشاره کرد که امنیت برای کاربران عادی اتریوم عقب مانده، حتی با وجود آنکه خود پروتکل بالغ شده است.

این صندوق اولین تخصیص خود، "دور QF امنیت اتریوم"، را از 23 آوریل تا 14 مه اجرا کرد و بیش از 1 میلیون دلار اتر را بین 134 پروژه انتخاب شده از بیش از 250 متقاضی توزیع کرد. بازارساز Wintermute نیز در میان مشارکت‌کنندگان بود که 200,000 دلار به مجموعه تطبیق افزود.

هنگامی که گرین این صندوق را در ژانویه اعلام کرد، 75,000 ETH بیش از 220 میلیون دلار ارزش داشت. با قیمت فعلی ETH نزدیک به 1,750 دلار، همان مقدار استیک شده اکنون نزدیک به 130 میلیون دلار ارزش دارد.

ریسک جابجا شده است

همه راه‌اندازی مجدد را به عنوان تایید قاطع انتخاب اتریوم در سال 2016 نمی‌بینند.

ایدو بن ناتان، مدیر عامل شرکت امنیت کیف پول Blockaid، گفت: "عبارت 'کد قانون است' هرگز چارچوبی کاملاً قابل دفاع نبود." به نظر او، هر سیستمی که ارزش واقعی را تسویه می‌کند، در نواحی حساس به قضاوت انسانی نیاز دارد، و محدود کردن صندوق جدید به دارایی‌های راکد و از قبل بازیابی‌شده، آن را محافظه‌کارانه نگه می‌دارد، زیرا تراکنش‌هایی را که شبکه در سال 2016 قبلاً تسویه کرده بود، دوباره باز نمی‌کند.

مارسین کازمیرچاک، هم‌بنیان‌گذار ارائه‌دهنده اوراکل RedStone، استدلال کرد که تامین مالی امنیت از طریق یک موقوفه استیکینگ دائمی به جای جمع‌آوری کمک پس از هر هک، پیشرفت واقعی است، اما اعتماد به سیستم را از بین نمی‌برد، بلکه فقط آن را جابجا می‌کند.

شرکت‌کنندگان اکنون به هفت سرپرست و یک فرآیند تامین مالی اعتماد دارند که تقریباً 8 میلیون دلار در سال از بازدهی را هوشمندانه تخصیص دهند، نه اینکه به بی‌نقص بودن کد زیربنایی اعتماد کنند.

کازمیرچاک به The Block گفت: "این اعتماد را از بین نمی‌برد، فقط آن را جابجا می‌کند."

ارقام دلاری نیز در این چارچوب متفاوت به نظر می‌رسند. چین‌آنالیسیس دریافت که کریپتو در سال 2025، 3.4 میلیارد دلار به دلیل هک‌ها از دست داده است، که تنها نقض امنیتی 1.5 میلیارد دلاری بای‌بیت در فوریه 44% از کل آن را تشکیل می‌دهد.

کازمیرچاک گفت، در مقابل چنین اعدادی، یک دور اعطای کمک مالی 1 میلیون دلاری به سختی قابل توجه است. او گفت که اندازه ضرر هنوز معیار اشتباهی است، زیرا تغییر معنادارتر این است که اتریوم اکنون یک مجموعه امنیتی دائمی و خودگردان دارد، در حالی که قبلاً هیچ کدام را نداشت.

او همچنین پرسید که آیا صندوق تهدید درستی را دنبال می‌کند. هک The DAO یک باگ قرارداد بود، مقوله‌ای که اکنون با بلوغ ممیزی تا حد زیادی تحت کنترل است، در حالی که ضررهای فاجعه‌بار امروزی به طور فزاینده‌ای از عملیات ناشی می‌شوند: کلیدهای سرقت شده، مهندسی اجتماعی و رابط‌های امضا آسیب‌دیده.

نقض امنیتی بای‌بیت واضح‌ترین نمونه بود، نه یک باگ Solidity، بلکه، به قول کازمیرچاک، "یک صفحه امضای دستکاری شده که تاییدیه کیف پول سخت‌افزاری را به امضای کور تبدیل کرد." او استدلال کرد که تامین مالی موج دیگری از ممیزی قراردادهای هوشمند، نادیده می‌گیرد که پول اکنون واقعاً به کجا می‌رود.

بن ناتان همین تغییر را صریح‌تر بیان کرد. او به The Block گفت که آسیب‌پذیری بازگشت‌پذیری به صنعت آموخت که کد را ممیزی کند، اما "ما همچنین باید مراقب باشیم که وقتی مردم تایید را کلیک می‌کنند، چه اتفاقی می‌افتد."