🔍 Ethereum vs Solana: мнение Sygnum

The DAO был первым в истории венчурным фондом на смарт-контрактах. Юзеры вносили эфир и получали токены DAO, чтобы голосовать, куда инвестировать деньги. Всего было собрано $150 млн (в ETH) от 11,000 человек — это 15% всего эфира на тот момент 🔷 В чем была уязвимость? Баг был в функции splitDAO — она позволяла участнику “отколоться” и создать свой дочерний DAO с частью средств. Но внутри не было защиты от reentrancy-атаки — когда один и тот же вызов повторяется до обновления баланса 😳 Сценарий атаки: • Хакер вызвал splitDAO, чтобы создать “дочерний” DAO • Но вместо одного вызова — вызвал его рекурсивно (reentrancy), десятки раз до того, как баланс списался • Контракт не проверял, что средства уже выведены, и они продолжали поступать По сути, это как банкомат, из которого можно бесконечно снимать деньги, пока он не поймет, что баланс = 0 🎰 Как это исправили? Ethereum-комьюнити оказалось перед выбором: А) Оставить как есть и отдать хакеру $60 млн в ETH 😱 Б) Откатить блокчейн до момента взлома 🔙 Выбрали второе. Это вызвало хардфорк, вследствие чего родилось два блокчейна: • Ethereum (ETH) — с откатом и возвратом денег • Ethereum Classic (ETC) — “оригинальный” блокчейн, где был сохранен изначальный код Что изменилось после этого? 1️⃣ Reentrancy-атаки стали известным классом багов → теперь такие уязвимости проверяются в первую очередь 2️⃣ Появились аудиторские компании (OpenZeppelin, Trail of Bits и др.) → смарт-контракты серьезных крипто-проектов не запускают без аудита 3️⃣ Появились фреймворки типа XDAO, Aragon, DAOstack → никто не пишет код DAO “на коленке” с нуля 4️⃣ Улучшился UX и защита прав участников DAO → появились роли, мультисиг, лимиты, механизмы “rage quit” и пр. Почему XDAO защищён от такого сценария Ключевое отличие — аудит ✅ Главная ошибка The DAO — отсутствие полноценного аудита. Именно из-за невыявленного бага в коде хакер вывел десятки миллионов. Фреймворк XDAO прошёл аудит независимыми специалистами компаний Hacken и Pessimistic. Его используют в 40+ блокчейнах и тысячи реальных DAO. Смарт-контракты, на которых будет работать XDAO на TON, также в ближайшее время пройдут полноценный аудит 🫡 Закрытый интерфейс ✅ В The DAO пользователи напрямую взаимодействовали с контрактом и могли случайно (или специально) запускать уязвимые функции. В XDAO это невозможно: все действия будут проходить через Telegram-интерфейс, где доступны только заранее определённые, безопасные операции. Пользователь не может напрямую вызывать функции контракта — даже если захочет 🔓 Нет критических функций вроде splitDAO ✅ В коде The DAO был механизм, позволяющий участнику “отколоться” и вывести часть казны. В XDAO нет таких возможностей: любое перемещение средств требует голосования или мультиподписи, а поведение DAO чётко задаётся на этапе создания. В критические места встроены ограничения, роли и валидации 🖥 XDAO — не MVP, а зрелый продукт ✅ Фреймворк прошёл аудит, десятки релизов, поддержку в 40+ блокчейнах и обкатку на сотнях тысяч DAO. Это зрелая инфраструктура, проверенная на практике. И именно её мы используем для запуска DAO в TON ⚙️ Вывод The DAO были первопроходцами и, можно сказать, стали жертвой своей новизны. Это стало важным и болезненным уроком для всей индустрии. Сейчас мы в 2025 — за 9 лет было выстроено всё, чтобы такое не повторилось: архитектура, аудит, интерфейс, юридическая база и опыт индустрии. Всё, что было фатальным в 2016 — закрыто в XDAO на всех уровнях 🤩