Los DAOs están obligando a los protocolos de criptomonedas a elegir entre el código y los frenos de emergencia

Compound es un protocolo de préstamos de criptomonedas gobernado por los titulares que delegan sus tokens COMP, una configuración conocida como organización autónoma descentralizada, o DAO. Funciona como una república en línea, donde los titulares de tokens debaten propuestas, votan y permiten que el software ejecute el resultado.

En julio de 2024, esa república casi envió una fortuna a un pequeño grupo de votantes. La propuesta 289 pedía a Compound que transfiriera 499,000 COMP, que entonces valían alrededor de 24 millones de dólares, a un vehículo generador de rendimiento que controlaban. Dos versiones anteriores habían fracasado, y la tercera parecía ir por el mismo camino.

Luego, durante los últimos 34 minutos, las direcciones de apoyo emitieron 563,591 votos, equivalentes al 82% de todo el apoyo a la propuesta. El último gran bloque llegó ocho minutos antes de la fecha límite, y la medida pasó por 682,191 votos a favor y 633,636 en contra.

Aunque esto fue extremadamente controvertido y sigue siendo muy disputado, no hubo problema con el código, ya que funcionó exactamente como se pretendía.

Pero ese fue el problema: las billeteras habían reunido suficientes COMP y delegado su poder de voto antes de que se cerrara el período, pero Compound carecía de una autoridad de emergencia que pudiera pausar el software. Varias reglas razonables se habían combinado en un camino conveniente para un asalto al tesoro.

Compound llegó a un acuerdo que canceló la asignación y luego agregó un rol de veto, colocando un freno en el sistema construido alrededor de la regla automática de los titulares de tokens.

Eso captura el dilema central de los DAOs, porque la mayoría de las defensas contra votos apresurados o hostiles le dan a alguien más control sobre la participación o el resultado final.

Dos estudios de 2026 del Instituto Max Planck para Sistemas de Software y la Vrije Universiteit Amsterdam rastrearon un problema similar en 48 grandes DAOs de Ethereum. Uno examinó cómo el registro, la participación y la delegación concentran el poder de voto, mientras que el otro mapeó ataques que utilizan reglas de gobernanza válidas.

El voto tiene una cuerda de terciopelo

Llamar a un token de gobernanza un voto no es realmente correcto. Dependiendo del DAO, un titular puede necesitar registrar una billetera, bloquear tokens, delegarlos, mantener un saldo mínimo o pagar por una transacción en la cadena antes de que realmente pueda emitir ese voto.

Las propuestas enfrentan obstáculos propios, porque alguien necesita suficientes tokens o apoyo delegado para introducirlas en primer lugar, y la idea puede pasar por un foro y una encuesta informal antes de una votación vinculante en la cadena o a través de un servicio fuera de la cadena como Snapshot.

Una vez que el conteo supera el quórum y la fórmula de aprobación, un contrato inteligente, una billetera multisignatura o una persona designada lleva el resultado a efecto.

Si bien cada una de estas puertas resuelve un problema real, también favorece a un participante particular o tipo de participante.

Los umbrales de propuesta desalientan el spam y el código malicioso, pero reservan inadvertidamente la autoría para los titulares adinerados y los delegados establecidos. La votación en la cadena hace que esos resultados sean ejecutables, pero las tarifas de transacción favorecen a las personas con suficiente dinero y convicción para usarla. Las encuestas gratuitas fuera de la cadena atraen a una multitud más amplia, pero luego dependen de un grupo más pequeño para la ejecución.

Los investigadores encontraron una división equitativa: 24 DAOs utilizaron votación en la cadena y 24 utilizaron sistemas fuera de la cadena.

Uniswap mostró cómo diferentes electores pueden formarse dentro de la misma organización: más billeteras se unieron a sus encuestas gratuitas fuera de la cadena, mientras que bloques de poder de voto mucho más grandes aparecieron durante la fase de pago en la cadena que podría hacer que una propuesta fuera vinculante.

La participación es solo una pequeña parte de esto, porque un protocolo puede tener miles de titulares de tokens mientras que unas pocas direcciones controlan propuestas, votos y ejecución. Para cuando aparece el conteo público, las reglas ya han elegido al electorado.

Las reglas de seguridad eligen la clase gobernante

Los DAOs a menudo mantienen tokens en contratos de tesorería, y los equipos fundadores o inversores pueden tener asignaciones que aún no se han liberado, por lo que el registro separa los tokens circulantes de los saldos que actualmente tienen derechos de voto.

Entre las 48 DAOs, 36 requerían algún tipo de registro, y solo cuatro habían registrado más de la mitad de su suministro pendiente. En esas 36 organizaciones, la participación registrada promedio fue del 21%, lo que significa que el electorado práctico generalmente cubría solo una pequeña fracción de todos los tokens.

Gran parte del suministro faltante pertenecía a usuarios cuyos tokens estaban en manos de intercambios o depositados en protocolos DeFi. Los intercambios centralizados mantenían más del 10% de los tokens pendientes en promedio en la muestra, y los contratos DeFi mantenían otro 3.5%.

En 14 DAOs basadas en registro, esas billeteras intermediarias controlaban más tokens que todo el electorado registrado.

Eso crea un problema de custodia muy extraño y bastante único, porque una billetera de intercambio puede representar a miles de clientes, aunque la blockchain vea una dirección con un saldo gigante.

Permitir que el intercambio vote convierte a un custodio en un peso pesado político, mientras que excluirlo despoja a los clientes de los derechos de gobernanza asociados a los tokens que pagaron. La mayoría de las DAOs también permiten que una billetera envíe todo su poder a un solo delegado, lo que dificulta dividir los votos entre los propietarios subyacentes.

El staking aborda una vulnerabilidad diferente al hacer que el poder de voto sea costoso de construir y lento de deshacer. Un posible atacante puede comprar o pedir prestada una gran posición, aprobar una propuesta favorable y vender una vez que termine la votación, mientras que un bloqueo mantiene a ese votante financieramente expuesto al resultado por más tiempo.

Quince DAOs requerían staking, con una mediana del 27.4% de los tokens bloqueados. Algunas impusieron un tiempo de espera de retiro de una o dos semanas, mientras que Curve, Angle y Frax ofrecieron un poder de voto más fuerte para bloqueos de hasta cuatro años. El sistema recompensa la paciencia y convierte la riqueza líquida en un requisito previo para la influencia política.

Las criptomonedas pronto produjeron intermediarios para las personas que querían influencia y la libertad de comerciar. Estos servicios mantienen bloqueos largos, emiten sustitutos negociables y conservan los derechos de voto originales. El arreglo concentró enormes bloques de votación dentro de unos pocos servicios, según las mediciones de los investigadores:

La delegación funciona de la misma manera porque la mayoría de los titulares tienen un apetito limitado por argumentos en foros sobre ratios de colateral. Delegar votos a un participante profesional tiene sentido, y la delegación repetida construye bloques políticos duraderos.

Los diez mayores titulares controlaban más de la mitad del poder de voto en 39 de las 48 DAOs, mientras que la votación delegada era generalmente más concentrada que la votación directa.

El registro protege los saldos del tesoro, el staking hace que un ataque rápido sea más costoso, y la delegación da voz a los titulares pasivos a través de alguien que presta atención. Juntos, los que tienen más capital, tiempo, fluidez técnica o control sobre los activos de los clientes tienden a dirigir el lugar.

Un voto legal de DAO aún puede ser una incursión

El segundo documento define un ataque de gobernanza como un actor que utiliza el proceso autorizado para ganar un resultado que perjudica a la organización en general.

Entre 28 incidentes de DAO, los investigadores clasificaron 16 como ataques que un mecanismo diferente podría haber prevenido. Seis involucraron errores de contrato, mientras que diez dependieron de comprar o pedir prestados suficientes tokens para influir en un voto.

Compound es el mejor ejemplo porque las billeteras asociadas con la Propuesta 289 reunieron más de 680,000 COMP en cuatro meses.

Los investigadores rastrearon 563,790 tokens a través de cuatro intercambios centralizados y otros 118,089 prestados a través de Compound, a pesar de que esas direcciones solo habían mantenido 853 COMP antes de la acumulación y tenían poca historia en la política del protocolo. Las billeteras asociadas con la campaña de la Propuesta 289 construyeron una posición de más de 682,000 COMP en cuatro meses mientras tres propuestas del tesoro se movían a través de la gobernanza de Compound. Fuente: Pahari et al

El último impulso aprovechó una comunidad que esperaba que la tercera propuesta fracasara. Compound podría haber extendido la votación cuando un gran bloque apareció cerca de la fecha límite, requerido un staking más largo, o permitido que un consejo de confianza pausara la ejecución.

Cada opción habría movido el poder hacia votantes reactivos, tenedores comprometidos, servicios de bloqueo, o un pequeño cuerpo de emergencia.

Pero Compound eligió el freno de emergencia, y en las configuraciones de 2024 que los investigadores revisaron, siete otros DAOs compartieron su exposición al poder de votación fácilmente disponible y la acumulación tardía de votos: Uniswap, Radicle, Gitcoin, Silo, Ampleforth, Hop y Cryptex.

Esos sistemas pueden evolucionar a través de la gobernanza, por lo que la lista registra un momento en 2024, mientras que una calificación de seguridad actual requeriría una revisión fresca.

La descentralización necesita una contabilidad más rica que la distribución de tokens sola. Un buen informe de gobernanza mostraría cuánto suministro puede votar, cuánto poder controlan los delegados más grandes, qué intermediarios mantienen tokens apostados, y quién puede introducir, ejecutar o vetar propuestas.

Las auditorías de contratos inteligentes ya preguntan si el código de gobernanza sigue su especificación, mientras que una auditoría constitucional preguntaría a dónde envía esa especificación la autoridad.

Los DAOs pueden distribuir la propiedad a través de miles de billeteras y aún así canalizar el control práctico hacia unas pocas docenas de profesionales, custodios y grandes tenedores, con software que funciona a la perfección en todo momento.

Este contenido se ofrece únicamente con fines informativos generales y no constituye un asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, operar o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.