Apa Itu Governance Attack? Serangan pada Sistem Voting DAO

Governance attack adalah serangan di mana pelaku memborong cukup token voting untuk meloloskan proposal berbahaya dalam sistem DAO — dan Beanstalk Protocol membuktikan betapa mematikannya: $182 juta raib dalam satu transaksi pada 17 April 2022, setelah hacker menguasai 79% suara hanya lewat flash loan.

Bagaimana Governance Attack Bekerja

Setiap DAO punya sistem voting berbasis token — siapa pegang lebih banyak token, suaranya lebih besar. Mekanisme ini seharusnya demokratis, tapi jadi celah mematikan ketika seseorang bisa mengumpulkan mayoritas token secara instan.

Ada dua pola utama governance attack:

1. Flash Loan Attack (seperti Beanstalk)

Pelaku meminjam token governance dalam jumlah masif lewat flash loan — pinjaman yang harus dikembalikan dalam satu blok transaksi. Dalam satu blok itu, mereka:

• Meminjam token senilai ratusan juta dolar
• Deposit ke sistem voting DAO
• Mengajukan dan langsung meloloskan proposal berbahaya
• Mengeksekusi proposal (menguras treasury ke wallet sendiri)
• Mengembalikan flash loan

Seluruh proses selesai dalam hitungan detik, sebelum siapapun bisa bereaksi.

2. Gradual Accumulation (serangan terencana)

Pelaku membeli token perlahan selama berminggu-minggu atau berbulan-bulan tanpa memicu alarm pasar. Setelah menguasai minimal 51% suara, mereka mengajukan proposal yang terlihat sah tapi menyimpan jebakan — misalnya mengubah parameter treasury atau menambah alamat yang mereka kendalikan sebagai “multisig.”

Dalam kasus Beanstalk, hacker tidak butuh waktu berbulan-bulan. Satu flash loan senilai $1 miliar memberikan 79% suara — cukup untuk meloloskan proposal dalam satu blok blockchain.

Jenis Proposal yang Biasa Dieksploitasi

Governance attack tidak selalu langsung menguras dana. Beberapa vektor serangan yang umum:

Treasury drain langsung — Proposal mengirim dana treasury ke alamat yang dikontrol penyerang. Ini yang dilakukan Beanstalk: proposal “BIP-18” memindahkan semua aset protokol ke wallet hacker.

Parameter manipulation — Mengubah parameter protokol seperti fee, collateral ratio, atau oracle price feed. Dampaknya tidak langsung terlihat tapi bisa dimanfaatkan untuk arbitrase atau liquidasi yang menguntungkan penyerang.

Backdoor upgrade — Meloloskan upgrade smart contract yang menyisipkan fungsi tersembunyi. Penyerang bisa kembali lagi kapanpun untuk mengeksploitasi backdoor ini.

Whitelist address — Menambahkan alamat penyerang ke daftar yang mendapat akses khusus — bypass fee, akses fungsi admin, atau izin minting token.

Kelemahan yang Dieksploitasi

Mayoritas DAO yang kena serangan ini punya satu atau lebih kelemahan struktural:

Kelemahan	Risiko
Tidak ada timelock	Proposal bisa dieksekusi detik setelah voting selesai
Quorum rendah	Hanya butuh sedikit token untuk menang
Token governance bisa dipinjam	Flash loan attack jadi mungkin
Tidak ada veto mechanism	Tidak ada rem darurat
Voting period terlalu singkat	Komunitas tidak sempat bereaksi

Beanstalk secara khusus tidak memiliki timelock — proposal langsung bisa dieksekusi setelah voting. Ini yang membuat flash loan attack bisa berhasil dalam satu blok.

Cara Protokol Melindungi Diri

Setelah serangkaian serangan besar pada 2021-2022, ekosistem DeFi belajar dan mengadopsi beberapa mekanisme perlindungan:

Timelock wajib — Proposal yang sudah menang voting harus menunggu 24 hingga 72 jam sebelum bisa dieksekusi. Ini memberi waktu komunitas dan tim keamanan untuk membatalkan jika ada yang mencurigakan. Compound, Uniswap, dan Aave semuanya menggunakan timelock 48-72 jam.

Snapshot voting — Voting power dihitung dari saldo token pada blok tertentu di masa lalu (snapshot), bukan saldo saat voting. Ini memblokir flash loan attack karena flash loan tidak punya riwayat kepemilikan.

Vote-escrowed token (veToken) — Token harus dikunci selama berbulan-bulan atau bertahun-tahun untuk mendapat voting power. Model ini dipakai Curve (veCRV), Pendle, dan protokol lain. Flash loan tidak bisa mendapat veToken karena penguncian butuh waktu.

Quorum tinggi — Minimum 40-51% dari total token beredar harus ikut voting agar proposal valid. Makin tinggi quorum, makin susah untuk memanipulasi hasil.

Guardian multisig — Tim inti atau dewan keamanan punya hak veto darurat untuk membatalkan proposal mencurigakan sebelum timelock berakhir.

Tidak ada satu mekanisme yang cukup sendiri. Perlindungan terbaik adalah kombinasi timelock + snapshot + quorum tinggi, diterapkan bersamaan.

Governance Attack vs. Exploit Smart Contract

Penting membedakan dua jenis serangan ini karena cara penanganannya berbeda:

Exploit smart contract menyerang bug dalam kode — memanfaatkan logika yang salah, overflow, atau reentrancy. Solusinya adalah audit kode dan formal verification.

Governance attack tidak butuh bug kode sama sekali — semua dilakukan lewat mekanisme resmi yang berjalan sesuai desain. Governance berfungsi dengan benar, tapi desainnya yang lemah. Solusinya adalah desain governance yang lebih baik, bukan perbaikan kode.

Ini yang membuat governance attack lebih sulit dideteksi: tidak ada transaksi “aneh” di awal, tidak ada anomali on-chain sampai proposal dieksekusi.

Kesimpulan

Governance attack mengeksploitasi prinsip demokrasi token yang menjadi fondasi DAO — siapa pegang lebih banyak suara, dia menang. Ketika sistem tidak punya rem seperti timelock, snapshot voting, atau quorum tinggi, satu entitas bisa merebut kendali dalam hitungan detik. Kasus Beanstalk ($182 juta hilang) adalah pengingat bahwa desain governance sama pentingnya dengan keamanan kode smart contract itu sendiri. Sebelum berpartisipasi di DAO manapun, periksa apakah protokolnya punya mekanisme perlindungan governance yang memadai.

💡 Mau belajar lebih dalam? Kelas WhaleX mengajarkan strategy dan eksekusi nyata, bukan hanya teori. Lihat kelas tersedia →