Kryptowalutowa afera: zgarnął 56 mln dol. i obnażył słabość wirtualnej waluty

TheDAO przytrafiła się katastrofa. Sam projekt w założeniach miał być rewelacyjny. Można go rozumieć jak zdecentralizowany fundusz inwestycyjny. Tysiące ludzi mogło kupować udziały, przekładające się na głosy i podnosić tym samym kapitalizację funduszu. Następnie cała społeczność większością bezwzględną miała decydować w co zainwestować pieniądze.

Udziałowcy mieli dogłębnie prześwietlać kolejne przedsięwzięcia, aby ulokować środki tam, gdzie przewiduje się największe zwroty. TheDAO miał więc przynosić zyski większe niż tradycyjne, centralnie zarządzane fundusze.

TheDAO to tylko jeden z funduszów działających w opisanym wyżej modelu, który nazywa się DAO (Decentralized Autonomous Organization). U jego fundamentów leżą kryptowaluty, takie jak bitcoin. Można w nich zaszyć tzw. smart contracty, który wywołują określone działanie po wystąpieniu danego czynnika. Przykładowo taki „sprytny kontrakt” może zostać wpisany w umowę leasingu. Jeśli kierowca nie opłaci raty, to samochód zostanie automatycznie zablokowany.

Na podobnej zasadzie działa DAO – jeśli zostanie osiągnięty konsensus co do inwestycji, to pieniądze zostaną przelane. W tym przypadku nie byłyby to jednak bitcoiny, a ich alternatywa – Ethereum.

Wynosiła, bo na wieść o wykorzystaniu luki w oprogramowaniu smart contractu i wyciągnięciu 56 mln dol. z funduszu, kurs Ethereum spadł o 20 proc. Atakujący wykorzystał błąd dotyczący funkcji przesyłania środków przy wychodzeniu z funduszu i przelewał sobie po kolei krypto-monety.

Problem był jednak już wcześniej znany. Zwracał na niego uwagę choćby Emin Gun Sirer z Uniwersytetu Cornell:

Choć atakujący uzyskał do nich dostęp, to nie są one jeszcze na jego koncie, bo zgodnie z zapisami w kontrakcie musi na nie poczekać – jeszcze 25 dni.

Teoretycznie transakcję wyciagnięcia pieniędzy można cofnąć (sforkować). Do tego potrzeba jednak zgody większości górników, czyli osób wydobywających walutę, którzy posiadają znaczne udziały mocy w całej sieci Ethereum.

Atakujący też jest tego świadom i zaoferował, że odda górnikom 1/3 pozyskanych pieniędzy, jeśli nie zgodzą są na potwierdzenie aktualizacji!

Jeśli jednak rozwój wypadków nie poszedłby po jego myśli, to mielibyśmy do czynienia z kryzysem zaufania do Ethereum i być może wszystkich kryptowalut. Opierają się one przecież na stwierdzeniu, że nie ma nadrzędnej siły, która mogłaby cofnąć transakcję.

Wszystko to jest jednak pewnego rodzaju umową społeczną. Umówiliśmy się, że papierowe banknoty są coś warte i można za nie dostać różne dobra. Umówiliśmy się, że bitcoin działa jak pieniądz i też można za niego kupić czego dusza zapragnie. Jaki problem, aby społeczność zgodziła się, że wyciągnięcie 56 mln dol. było niewłaściwe?

Problem oczywiście istnieje. Złamanie zasady nienaruszalności może spowodować,  że kurs zacznie gwałtownie spadać i odzyskane środki będą niewspółmiernie małe w stosunku do pierwotnych.

Dalej – skoro błąd był znany, a inwestorzy i tak kupowali udziały, to tym samym godzili się na zapisy kontraktu z błędem. To ich wina, że nie sprawdzili gdzie wrzucają swoje pieniądze i wina programistów, którzy nie przeprowadzali wystarczająco dobrych audytów bezpieczeństwa.

Nie można pominąć względów prawnych. Osoba podająca się za atakującego napisała:

Co zrobi społeczność? Czy poprze cofnięcie transakcji i zaryzykuje stratę zaufania, po której będzie się podnosiła dłużej niż bitcoin po Mt.Gox? A może jej nie poprze i doprowadzi do skupienia w jednym ręku ogromnej liczby monet Ethereum?

Ten drugi scenariusz ma też podwójne dno. Ethereum w przyszłym roku zacznie działać inaczej niż bitcoin. Obecnie nad siecią panują do pewnego stopnia górnicy, którzy mogą np. cofać transakcje. Już niedługo kopanie monet ustanie i najbardziej liczyć się będą ogromni posiadacze Ethereum. Jeśli jedna osoba będzie miała aż tyle monet, może znacznie wpływać na całą walutę.