Lido协议安全升级 DAO治理漏洞如何修复？

Lido Finance完成了针对DAO治理漏洞的安全升级，修复了可能导致恶意提案通过的潜在风险。本次升级涉及多重签名机制优化和提案验证流程改进，核心治理代币LDO持币人需重新授权合约权限。据数据显示，Lido目前管理着约340亿美元的质押资产，此次升级将进一步提升这一最大流动质押协议的安全性。

1.漏洞本质与修复方案

本次修复的DAO治理漏洞属于”提案执行劫持”类型，主要指攻击者通过精心构造的恶意提案，在特定条件下绕过常规治理检查。Lido团队通过以下三方面进行修复：

在提案执行阶段新增多重签名验证环节，要求至少5个核心签名者中的3个进行人工复核；

优化时间锁机制，关键提案必须经过48小时冷却期；

升级智能合约的权限验证模块，防止未授权操作。

这些改动已在以太坊主网(区块高度19,843,721)和L2网络同步部署。

2.技术实施细节

从技术实现看，此次升级包含两个智能合约替换和五个参数调整。最核心的改动是STAKING_ROLE权限模块的更新，现在需要满足”提案通过且3/5多签确认”的双重条件才能执行资金操作。项目方使用了OpenZeppelin的Defender平台进行安全审计，共发现并修复了2个中危和1个低危漏洞（CVE-2025-13822至13824）。链上数据显示，升级过程消耗了约12.7ETH的Gas费用，全部由Lido DAO金库支付。

3.用户影响与应对措施

普通Lido用户(stETH持有者)采取任何操作，所有升级已在后端完成。对于参与治理的LDO代币持有者需要注意：

原授权合约地址已失效，需在治理平台重新授权；

新的提案规则要求最低100万LDO(约240万美元)的提案保证金；

投票权重计算方式新增时间加权因素。

据Nansen过去30天数据，Lido DAO平均每周处理1.2个提案，预计新规将使提案数量减少约40%。

4.行业同类案例比较

类似DAO治理漏洞在2024年已发生3起公开案例，包括Balancer的BIP-19漏洞(损失85万美元)和Frax Finance的治理攻击尝试(未遂)。

相比而言，Lido采取了更保守的修复策略：不追求完全去中心化，而是通过”链上+链下”混合验证安全。

这种模式更接近MakerDAO的多层次防护体系，但保留了Lido特有的节点运营商委员会监督机制。Messari分析师指出，这类安全升级可能成为流动性质押赛道的标准实践。

5.总结与风险提示

Lido此次安全升级提升了治理体系抗攻击能力，特别是对”闪电贷+治理攻击”组合拳的防御效果值得肯定。但用户仍需注意：

新治理规则可能降低决策效率；

中心化组件增加带来信任风险；

staking收益短期内可能因安全开销增加而下降0.1%-0.3%。

大额质押用户应关注节点运营商委员会的季度透明度报告，并考虑分散资产至多个质押协议以降低集中风险。