The DAO 去中心化基金：为什么募到 1.5 亿美元的 The DAO，会在上线 51 天后被人一次性搬空？
把一个未经审计的合约当成制度，用不可撤销的代码去承载可撤销的人性
The DAO 去中心化基金：巅峰期史上规模最大的众筹项目，28 天募集超过 1200 万个以太币，被视作「代码即法律」的自治组织范本；终局是上线不到两个月因智能合约漏洞被盗走约 360 万个以太币，以太坊为追回资金实施硬分叉，项目本身被终止。
史上规模最大的众筹项目，28 天募集超过 1200 万个以太币，被视作「代码即法律」的自治组织范本
上线不到两个月因智能合约漏洞被盗走约 360 万个以太币，以太坊为追回资金实施硬分叉，项目本身被终止
4,986 票參與
1 方案 · 2 見解
投稿会先进入待审，通过后才进入公开目录和站点地图。
核心敗因全民歸因公投
投票選擇您認為導致該企業/項目最終死亡的最核心死穴，認同即可即時投票計入權重
核心合约未经充分安全审计就承载全部资金
递归调用属于当时已知的漏洞类型，但既没有被发现，也没有用分批解锁或额度上限来限制损失范围
把「代码即法律」当成免责条款
没有预留任何人工紧急制动或分期拨款机制，问题出现时只能靠修改链本身的共识规则来补救
治理结构无法处理利益冲突
提案与投票没有身份与责任约束，攻击者可以用匿名身份走完全部流程
募集规模远超技术与治理的承受能力
资金一次性到位并全部锁定在同一个合约里，把单点风险直接放大成系统级风险
時間線：從高峰到終局
众筹创纪录
28 天募集超过 1200 万个以太币，成为当时规模最大的众筹项目
合约接管资金
合约开始管理全部资金，任何持币人都可以提交提案并投票通过资金拨付
资金被搬空
攻击者利用合约在转账前未清零余额的漏洞反复递归提取，约 360 万个以太币被转入一个子合约
硬分叉与终止
社区为追回资金在区块高度 192 万实施硬分叉，形成以太坊与以太坊经典两条链，The DAO 被终止
四大維度全景復盤剖析
發展背景與全盛期基石
2016 年，一个由智能合约自动管理资金的去中心化自治组织在以太坊上发起众筹，凭借开放治理的叙事在 28 天内募集超过 1200 万个以太币，按当时价格约合 1.5 亿美元，成为那个周期里最受关注的链上实验巅峰期的成绩单是：史上规模最大的众筹项目，28 天募集超过 1200 万个以太币，被视作「代码即法律」的自治组织范本。此时的它拥有渠道、品牌与资本的合力，看起来没有任何理由会输。
致命轉折點的戰略誤判
团队把「自动执行」等同于「安全执行」，在合约仍可被递归调用、外部资金又没有仲裁机制的情况下，就一次性开放了全部资金的支配权底层架构的缺陷被增长掩盖了很多年，真正爆发时表现为线上事故、体验崩塌与迭代停滞，修复成本远高于当年重做的代价。
內部組織文化與盲目傲慢
技术决策长期被短期交付目标绑架，「先上线，以后再改」变成永久状态，没人对架构健康度负责。
轟然倒塌的崩盤推演
上线不到两个月因智能合约漏洞被盗走约 360 万个以太币，以太坊为追回资金实施硬分叉，项目本身被终止。The DAO 去中心化基金的结局不是某一次意外，而是上面这些判断在数年里不断叠加、又始终没有被纠正的必然结果。
商業落地避坑實操法則
以血淋淋的商業代價淬煉出的創業與經營行動準則（DOs & DONTs）
自动化不能替代治理设计
智能合约可以替代执行，但不能替代仲裁与追责。
- •关键资金合约必须经过独立审计并设置额度上限
- •为不可逆流程预留可验证的紧急停止机制
- •不要把「不可篡改」当成「不用负责」
- •不要在缺少争议解决机制时放开全部资金
絕地求生模擬器：如果你是當時的CEO，在關鍵轉折點該如何挽狂瀾於既倒？
歷史不可更改，但思維可以淬煉。針對核心轉折點，提出手術刀式改革方案與資源調配破局法，交由全網創業者與投資人可行度公投。
分片托管资金，重写合约并引入人工仲裁层
關鍵干預時點：2016 年 5 月合约正式接管资金之前
- •停止让单一合约持有全部资金
- •取消一次性全额拨款
- •暂停未经审计的提案执行
- •把资金拆到多个独立合约并设置单笔与累计额度上限
- •高额度拨款必须经过多签与延时执行
- •由独立第三方完成审计并公开报告后再开放投票
把「代码即法律」改为「代码加仲裁」，明确异常时谁有权按下暂停键，以及暂停的代价由谁承担。
项目以更小的规模继续运行；即使出现单点漏洞，损失也能被限制在一个分片内，不至于动摇整条链的共识。
行家深度復盤見解
來自創業者、投資人、前員工和行業專家的真實第一手復盤反思
The DAO 的技术错误本身并不高级，属于当时已经被记录过的递归调用类型。真正的问题是它没有给自己留任何缓冲：没有额度上限、没有分期拨款、没有人工叫停，于是唯一能用的补救手段就是修改整条链的共识规则，代价由所有人承担。
任何管理大额资金的自动化系统，都应该把「最坏情况能挽回多少」当作第一设计目标，而不是把「不会被干预」当作卖点。
The DAO 的技术错误本身并不高级，属于当时已经被记录过的递归调用类型。真正的问题是它没有给自己留任何缓冲：没有额度上限、没有分期拨款、没有人工叫停，于是唯一能用的补救手段就是修改整条链的共识规则，代价由所有人承担。
任何管理大额资金的自动化系统，都应该把「最坏情况能挽回多少」当作第一设计目标，而不是把「不会被干预」当作卖点。
商業復盤與避坑備忘錄 · The DAO 去中心化基金
为什么募到 1.5 亿美元的 The DAO，会在上线 51 天后被人一次性搬空？
# 商業復盤備忘錄：The DAO 去中心化基金 > 为什么募到 1.5 亿美元的 The DAO，会在上线 51 天后被人一次性搬空？ > 週期: 2016 - 2016 | 行業: 金融與科技 > 巔峰: 史上规模最大的众筹项目，28 天募集超过 1200 万个以太币，被视作「代码即法律」的自治组织范本 > 終局: 上线不到两个月因智能合约漏洞被盗走约 360 万个以太币，以太坊为追回资金实施硬分叉，项目本身被终止 ## 核心概覽 把一个未经审计的合约当成制度，用不可撤销的代码去承载可撤销的人性。巅峰期史上规模最大的众筹项目，28 天募集超过 1200 万个以太币，被视作「代码即法律」的自治组织范本；终局是上线不到两个月因智能合约漏洞被盗走约 360 万个以太币，以太坊为追回资金实施硬分叉，项目本身被终止。 ## 社區公投頭號死因 1. [產品技術] 核心合约未经充分安全审计就承载全部资金 (1,640 票) 2. [戰略決策] 把「代码即法律」当成免责条款 (1,378 票) 3. [組織管理] 治理结构无法处理利益冲突 (1,115 票) ## 可執行教訓 ### 自动化不能替代治理设计 > 智能合约可以替代执行，但不能替代仲裁与追责。 - ✅ 推薦做 (DOs): - 关键资金合约必须经过独立审计并设置额度上限 - 为不可逆流程预留可验证的紧急停止机制 - ❌ 絕不能做 (DON'Ts): - 不要把「不可篡改」当成「不用负责」 - 不要在缺少争议解决机制时放开全部资金 ## 救亡方案 ### 分片托管资金，重写合约并引入人工仲裁层 — 良略编辑部 干預時點: 2016 年 5 月合约正式接管资金之前 - 必須斷腕: - 停止让单一合约持有全部资金 - 取消一次性全额拨款 - 暂停未经审计的提案执行 - 破局動作: - 把资金拆到多个独立合约并设置单笔与累计额度上限 - 高额度拨款必须经过多签与延时执行 - 由独立第三方完成审计并公开报告后再开放投票 - 預期結果: 项目以更小的规模继续运行；即使出现单点漏洞，损失也能被限制在一个分片内，不至于动摇整条链的共识。 ## 社區見解 ### 把不可撤销的代码和不可撤销的资金绑在一起，等于把一次普通的 bug 直接放大成一次系统性事故。 — 良略编辑部 (工程师) The DAO 的技术错误本身并不高级，属于当时已经被记录过的递归调用类型。真正的问题是它没有给自己留任何缓冲：没有额度上限、没有分期拨款、没有人工叫停，于是唯一能用的补救手段就是修改整条链的共识规则，代价由所有人承担。 - 如果重來一次的糾偏招式 任何管理大额资金的自动化系统，都应该把「最坏情况能挽回多少」当作第一设计目标，而不是把「不会被干预」当作卖点。 ### 把不可撤销的代码和不可撤销的资金绑在一起，等于把一次普通的 bug 直接放大成一次系统性事故。 — 岑柏舟 (工程师) The DAO 的技术错误本身并不高级，属于当时已经被记录过的递归调用类型。真正的问题是它没有给自己留任何缓冲：没有额度上限、没有分期拨款、没有人工叫停，于是唯一能用的补救手段就是修改整条链的共识规则，代价由所有人承担。 - 如果重來一次的糾偏招式 任何管理大额资金的自动化系统，都应该把「最坏情况能挽回多少」当作第一设计目标，而不是把「不会被干预」当作卖点。 --- 來源: 良略 · https://www.lianglue.com/c/the-dao