Risiko Governance Attack: Saat Voting Dipakai Menguras Kas

Berdasarkan laporan yang dipublikasikan, Beanstalk Farms kehilangan sekitar $182 juta pada April 2022 setelah penyerang meminjam token governance dalam jumlah besar lewat flash loan, memakainya untuk meloloskan proposal berbahaya dalam satu transaksi, lalu mengeksekusi proposal itu untuk memindahkan seluruh treasury protokol ke wallet sendiri — semua terjadi sebelum komunitas sempat bereaksi. Ini bukan bug kode dalam arti tradisional; sistem voting bekerja persis seperti didesain, hanya saja desainnya rentan diambil alih sesaat.

Bagaimana Governance Attack Bekerja

Protokol DeFi yang terdesentralisasi biasanya memberi kekuasaan pengambilan keputusan ke pemegang token governance — mengubah parameter, menambah aset yang didukung, bahkan memindahkan dana treasury. Definisi teknis serangan ini sudah dibahas di governance attack. Yang penting untuk Anda pahami sebagai pengguna adalah tiga elemen yang membuat serangan ini bisa berhasil:

1. Voting power bisa dipinjam sesaat. Kalau protokol menghitung hak suara berdasarkan saldo token saat proposal dieksekusi (bukan snapshot di masa lalu), penyerang bisa meminjam token dalam jumlah besar lewat flash loan, memakainya untuk voting, lalu mengembalikan pinjaman dalam transaksi yang sama — tanpa pernah benar-benar “memiliki” token itu dalam jangka waktu berarti.

2. Tidak ada jeda antara voting selesai dan eksekusi. Governance yang sehat biasanya punya timelock — jeda waktu (idealnya 48–72 jam atau lebih) antara proposal disetujui dan benar-benar dieksekusi on-chain. Jeda ini memberi komunitas waktu mendeteksi proposal berbahaya dan bereaksi. Protokol yang mengizinkan eksekusi instan menghilangkan lapisan pertahanan ini.

3. Quorum rendah atau partisipasi voting yang tipis. Kalau mayoritas pemegang token tidak aktif voting, ambang quorum yang dibutuhkan untuk meloloskan proposal jadi jauh lebih kecil dari yang terlihat di atas kertas — memudahkan pihak dengan modal terkonsentrasi mendominasi hasil voting.

Faktor yang memperparah risiko ini: kebanyakan pemegang token governance adalah investor pasif yang tidak rutin memantau forum governance atau membaca proposal secara detail. Semakin besar treasury protokol dan semakin rendah partisipasi voting aktif dari komunitasnya, semakin menarik protokol itu sebagai target — karena biaya untuk “membeli” hasil voting relatif kecil dibanding potensi dana yang bisa diambil dari treasury.

Dana pengguna yang terdampak biasanya bukan dana yang secara langsung “dipilih” oleh voting, melainkan treasury bersama atau pool likuiditas protokol yang jadi target eksekusi setelah proposal berbahaya lolos.

Ada juga varian yang lebih halus: penyerang tidak langsung mengeksekusi proposal jahat secara terbuka, melainkan meloloskan perubahan parameter kecil yang terlihat wajar — misalnya menambah aset “yang didukung” sebagai jaminan, padahal aset itu adalah token yang mereka kontrol dan bisa dimanipulasi nilainya kemudian. Proposal semacam ini lebih sulit dideteksi komunitas karena tidak terlihat seperti serangan langsung saat pertama kali diajukan.

Red Flag yang Bisa Anda Cek

• Tidak ada timelock, atau timelock sangat pendek (kurang dari 24 jam) antara proposal disetujui dan dieksekusi.
• Voting power dihitung dari saldo real-time, bukan snapshot block height di masa lalu — cek dokumentasi governance protokol untuk detail ini.
• Partisipasi voting historis sangat rendah dibanding total supply token governance yang beredar.
• Treasury protokol bisa dipindahkan hanya lewat satu jenis proposal, tanpa lapisan persetujuan tambahan (misalnya multisig terpisah untuk transaksi besar).
• Token governance mudah dipinjam dalam jumlah besar di platform lending — semakin likuid pasar peminjamannya, semakin murah biaya mengumpulkan voting power sesaat.
• Proposal teknis yang sulit dipahami awam diajukan tanpa penjelasan sederhana dari tim atau komunitas — bahasa teknis yang rumit kadang sengaja dipakai untuk menyamarkan dampak sebenarnya dari sebuah proposal.

Langkah Mitigasi

1. Cek apakah protokol memakai snapshot voting power, bukan saldo real-time — ini menutup celah flash loan voting yang paling umum.
2. Pastikan ada timelock yang cukup panjang sebelum proposal yang disetujui benar-benar dieksekusi, idealnya minimal 48 jam untuk perubahan non-darurat.
3. Perhatikan konsentrasi kepemilikan token governance — kalau segelintir wallet memegang porsi besar supply, risiko manipulasi voting naik meski tanpa flash loan.
4. Batasi eksposur dana ke protokol dengan governance yang belum teruji — protokol yang sudah bertahun-tahun tanpa insiden governance biasanya sudah melalui beberapa kali iterasi memperkuat mekanisme ini.
5. Jangan anggap desentralisasi otomatis berarti aman — sistem yang “terdesentralisasi” tetap bisa dikuasai sesaat kalau mekanisme votingnya tidak dirancang menahan manipulasi jangka pendek, sebagaimana dibahas lebih luas di risiko DeFi dan cara mitigasi.
6. Perhatikan juga siapa yang memegang admin key di luar governance — banyak protokol punya kombinasi governance token dan admin key terpisah, dan risiko dari sisi admin key dibahas di risiko kontrak upgradeable dan admin key.
7. Baca ringkasan proposal dalam bahasa sederhana sebelum dieksekusi, jangan hanya mengandalkan judul proposal — kalau tidak ada yang menjelaskan dampaknya secara jelas ke komunitas awam, anggap ini sinyal untuk berhati-hati.

Kalau Sudah Terlanjur

Kalau protokol yang Anda pakai baru saja kena governance attack dan treasury-nya terkuras, langkah pertama adalah memantau kanal resmi tim (bukan grup atau akun tiruan yang sering muncul mendadak pasca-insiden) untuk update apakah ada rencana kompensasi lewat fork protokol, snapshot saldo sebelum serangan, atau mekanisme lain. Realistisnya, dana yang sudah keluar dari treasury lewat eksekusi on-chain jarang bisa ditarik kembali tanpa kerja sama sukarela penyerang. Kalau Anda sedang menghadapi situasi ini, kena rug pull, apa yang bisa dilakukan membahas langkah yang realistis diambil.

⚠️ Disclaimer: Artikel ini bersifat edukatif, bukan saran keuangan atau investasi personal.