Что случилось с тем самым The DAO в 2016 🍒
The DAO был первым в истории венчурным фондом на смарт-контрактах. Юзеры вносили эфир и получали токены DAO, чтобы голосовать, куда инвестировать деньги. Всего было собрано $150 млн (в ETH) от 11,000 человек — это 15% всего эфира на тот момент 🔷
В чем была уязвимость?
Баг был в функции splitDAO — она позволяла участнику “отколоться” и создать свой дочерний DAO с частью средств. Но внутри не было защиты от reentrancy-атаки — когда один и тот же вызов повторяется до обновления баланса 😳
Сценарий атаки:
• Хакер вызвал splitDAO, чтобы создать “дочерний” DAO
• Но вместо одного вызова — вызвал его рекурсивно (reentrancy), десятки раз до того, как баланс списался
• Контракт не проверял, что средства уже выведены, и они продолжали поступать
По сути, это как банкомат, из которого можно бесконечно снимать деньги, пока он не поймет, что баланс = 0 🎰
Как это исправили?
Ethereum-комьюнити оказалось перед выбором:
А) Оставить как есть и отдать хакеру $60 млн в ETH 😱
Б) Откатить блокчейн до момента взлома 🔙
Выбрали второе. Это вызвало хардфорк, вследствие чего родилось два блокчейна:
• Ethereum (ETH) — с откатом и возвратом денег
• Ethereum Classic (ETC) — “оригинальный” блокчейн, где был сохранен изначальный код
Что изменилось после этого?
1️⃣ Reentrancy-атаки стали известным классом багов
→ теперь такие уязвимости проверяются в первую очередь
2️⃣ Появились аудиторские компании (OpenZeppelin, Trail of Bits и др.)
→ смарт-контракты серьезных крипто-проектов не запускают без аудита
3️⃣ Появились фреймворки типа XDAO, Aragon, DAOstack
→ никто не пишет код DAO “на коленке” с нуля
4️⃣ Улучшился UX и защита прав участников DAO
→ появились роли, мультисиг, лимиты, механизмы “rage quit” и пр.
Почему XDAO защищён от такого сценария
Ключевое отличие — аудит ✅
Главная ошибка The DAO — отсутствие полноценного аудита. Именно из-за невыявленного бага в коде хакер вывел десятки миллионов. Фреймворк XDAO прошёл аудит независимыми специалистами компаний
Hacken и
Pessimistic. Его используют в 40+ блокчейнах и тысячи реальных DAO. Смарт-контракты, на которых будет работать XDAO на TON, также в ближайшее время пройдут полноценный аудит 🫡
Закрытый интерфейс ✅
В The DAO пользователи напрямую взаимодействовали с контрактом и могли случайно (или специально) запускать уязвимые функции. В XDAO это невозможно: все действия будут проходить через Telegram-интерфейс, где доступны только заранее определённые, безопасные операции. Пользователь не может напрямую вызывать функции контракта — даже если захочет 🔓
Нет критических функций вроде splitDAO ✅
В коде The DAO был механизм, позволяющий участнику “отколоться” и вывести часть казны. В XDAO нет таких возможностей: любое перемещение средств требует голосования или мультиподписи, а поведение DAO чётко задаётся на этапе создания. В критические места встроены ограничения, роли и валидации 🖥
XDAO — не MVP, а зрелый продукт ✅
Фреймворк прошёл аудит, десятки релизов, поддержку в 40+ блокчейнах и обкатку на сотнях тысяч DAO. Это зрелая инфраструктура, проверенная на практике. И именно её мы используем для запуска DAO в TON ⚙️
Вывод
The DAO были первопроходцами и, можно сказать, стали жертвой своей новизны. Это стало важным и болезненным уроком для всей индустрии. Сейчас мы в 2025 — за 9 лет было выстроено всё, чтобы такое не повторилось: архитектура, аудит, интерфейс, юридическая база и опыт индустрии. Всё, что было фатальным в 2016 — закрыто в XDAO на всех уровнях 🤩
