Інтеграція OpenZeppelin Governor для управління DAO

Уявіть: DAO з мільйоном токенів, але quorum у 10% не набирається місяць. Терміновий хардфорк відкладається, ціна токена падає. Це реальність багатьох протоколів. Оптимістичне голосування змінює логіку: пропозиція виконується за замовчуванням, якщо спільнота не скаже «проти». Такий підхід уже працює в Optimism Foundation та Gnosis DAO, де пасивність учасників раніше блокувала розвиток. У традиційній моделі кожен proposal вимагає голосування, що дорого та повільно. Наприклад, на Ethereum mainnet голосування може коштувати $100 у газі. Доводиться обирати між безпекою та ефективністю. Оптимістичний підхід пропонує третій шлях: довіряти за замовчуванням, але дати інструменти для блокування небезпечних дій. Йдеться про on-chain управління DAO.

Ми інтегруємо OpenZeppelin Governor з кастомним VetoRegistry (документація OpenZeppelin Governor). Це рішення знижує поріг участі та прискорює прийняття рішень. Нижче — як це працює та чому безпечніше, ніж здається.

Ключова перевага — відсутність quorum. Коли 90% власників пасивні, стандартний Governor не приймає рішення. Оптимістичний Governor приймає їх автоматично, якщо veto не набирає поріг. Це економить дні та тисячі доларів газу.

Чому оптимістичне голосування вирішує проблему низької явки?

Стандартний Governor вимагає активного голосування більшості. При явці 10% quorum може ніколи не набратися. Оптимістичний: пропозиція автоматично виконується після затримки, якщо не набрано потрібну кількість голосів проти. Спільнота не голосує «за» — вона голосує «проти» лише якщо вважає за потрібне. Це знижує поріг участі до активних опонентів.

Оптимістичне голосування — ефективна модель децентралізованого управління. Результат: навіть при 90% пасивних власників рішення проходять. Ключовий параметр — veto threshold (наприклад, 10% токенів). Якщо проти набралося менше — proposal виконується. Це економить час і газ, які витрачалися б на голосування всіх учасників.

Коли оптимістичний підхід виправданий?

Підходить для:

• Операційні рішення SubDAO (гранти, параметри ризику)
• Високочастотні адміністративні дії (whitelist активів)
• Команди з делегованим мандатом і правом veto спільноти

Не підходить для: зміни tokenomics, оновлення core контрактів — там потрібен повний Governor.

Як працює veto механізм?

Ми розробляємо контракт VetoRegistry, який взаємодіє з OpenZeppelin TimelockController. При досягненні veto threshold він автоматично скасовує операцію. Snapshot фіксується при постановці в чергу — це захищає від маніпуляцій з токенами.

contract VetoRegistry {
    TimelockController public immutable timelock;
    IVotes public immutable votingToken;
    uint256 public vetoQuorumBps; // 1000 = 10%
    mapping(bytes32 => uint256) public vetoVotes;
    mapping(bytes32 => uint256) public vetoSnapshotBlock;

    function castVeto(bytes32 operationId) external {
        require(timelock.isOperationPending(operationId), "Not pending");
        uint256 snapshot = vetoSnapshotBlock[operationId];
        uint256 weight = votingToken.getPastVotes(msg.sender, snapshot);
        require(weight > 0, "No voting power");
        vetoVotes[operationId] += weight;
        uint256 totalSupply = votingToken.getPastTotalSupply(snapshot);
        if (vetoVotes[operationId] * 10000 / totalSupply >= vetoQuorumBps) {
            timelock.cancel(operationId);
        }
    }
}

Цей механізм децентралізований: veto не вимагає дозволу адміністратора. Будь-який власник токенів може заблокувати небезпечну пропозицію, якщо набереться потрібна вага. Наприклад, при порозі 10% для скасування потрібно лише 10% від загальної пропозиції — це робить veto доступним для великих власників.

Як оптимістичне голосування знижує газові витрати?

Газ для veto голосування може бути дорогим: $5–50 на Ethereum mainnet. Рішення:

• Газовий рефанд при успішному veto
• Gasless voting через EIP-712 + relayer
• Використання L2 (наприклад, Arbitrum) — газ у центах

На L2 витрати падають у десятки разів: veto коштує <$0.50. Оптимізація газу (gas optimization) досягається за рахунок veto-голосування замість загального. Оптимістичний Governor на L2 обходиться в 100 разів дешевше стандартного голосування на Ethereum.

Порівняння: стандартний vs оптимістичний Governor

Порівняння газу на L1 та L2

Оптимістичний Governor на L2 — це зниження витрат у 100 разів і швидкість у днях.

Процес роботи

1. Аналітика — аудит поточного governance, визначення tier-ів (ліміти, вікна)
2. Проєктування — архітектура контрактів, ролі, параметри veto
3. Розробка — Solidity 0.8.x + Foundry, fuzz-тести
4. Аудит безпеки — формальна верифікація, перевірка партнерами OpenZeppelin
5. Моніторинг — OZ Defender Sentinels, Tenderly Alerts
6. Деплой та передача управління

Що входить у роботу

• OptimisticGovernor контракт (кастомізація OZ)
• VetoRegistry з інтеграцією TimelockController
• Monitoring: алерти на нові proposals
• Frontend: інтерфейс для veto голосування
• Документація (архітектура, параметри, recovery)
• Аудит та його усунення

Терміни та вартість

Базова реалізація — 3-4 тижні, з gasless voting та фронтендом — 6-8 тижнів. Аудит — 2-4 тижні. Вартість розраховується індивідуально після аналізу use case. Замовте розробку під ключ — від 3 тижнів до 2 місяців. Оцінимо ваш кейс безкоштовно. Ми маємо 8+ років досвіду у Web3 та сертифікати партнерів OpenZeppelin. Гарантуємо безпеку на рівні продакшену.

Зв'яжіться з нами, щоб отримати консультацію щодо вашого проєкту.

Для розуміння основ зверніться до статті про DAO на Wikipedia.

Розробка DAO: управління, яке працює

Ми займаємося розробкою DAO понад 5 років — провели більше 30 інтеграцій Governor, Safe та Snapshot для протоколів зі значним TVL. Проблема типова: протокол піднято, ліквідність є, токен розподілено. Наступний крок — передача управління спільноті. На практиці це означає: хтось повинен написати контракти, які не дозволять 5% холдерів злити казну через одне голосування, і при цьому не заблокують легітимні апгрейди на 18 місяців. Баланс нетривіальний.

Чому більшість DAO стають олігархією?

Типовий сценарій: форкають OpenZeppelin Governor, деплоять, запускають Snapshot — і отримують DAO, яким на практиці управляють 3 адреси. Проблема не в коді, а в токеноміці та параметрах.

Quorum занадто високий або занадто низький. Compound встановив quorum у 400 000 COMP. При низькій явці пропозали не проходять місяцями. При низькому quorum — один великий холдер закриває будь-яке питання. Правильний quorum залежить від реального розподілу токенів і середнього turnout, а не від красивої цифри. Ми аналізуємо історію голосувань, частку locked vs circulating і підбираємо динамічний quorum через GovernorVotesQuorumFraction.

Flash loan governance attack. Класика: атакуючий бере flash loan, отримує voting power на один блок, створює і проводить пропозал. Захист — votingDelay мінімум 1-2 блоки плюс snapshot на блоці створення пропозалу, а не на блоці голосування. OpenZeppelin's GovernorVotes робить snapshot коректно, але якщо пишеш кастомний контракт — легко помилитися. Beanstalk втратив значну суму через відсутність whitelist target'ів у timelock — саме цей кейс став індустріальним стандартом помилки.

Timelock без executor whitelist. Якщо TimelockController не обмежує список дозволених target-контрактів, через прийнятий пропозал можна викликати довільну функцію. Ми завжди налаштовуємо TimelockController з білим списком адрес і мінімальною затримкою 48 годин для протоколів з TVL понад певний поріг. Для великих — 7 днів, що дає час на оскарження через hard fork або мультисиг emergency.

Архітектура on-chain управління

Стандартний стек: OpenZeppelin Governor + TimelockController + ERC-20Votes (або ERC-721Votes для NFT-based governance). Ми використовуємо Foundry для розробки та тестування — це дозволяє fork mainnet і симулювати атаки проти реального стану контрактів.

ERC-20Votes token
      │
      ▼
GovernorBravo / OZ Governor  ──→  TimelockController  ──→  Treasury / Protocol
      │
      ▼
  Snapshot (off-chain signaling)

Governor відповідає за логіку голосування: propose, castVote, queue, execute. Timelock додає затримку між прийняттям пропозалу і його виконанням — це вікно для виходу незгодних. Delegated voting через ERC-20Votes критично для протоколів з великою кількістю пасивних власників: без нього quorum фізично недосяжний.

Snapshot + on-chain: гібридна модель

Повністю on-chain голосування коштують газу. Для протоколів з активним ком'юніті це означає або високий бар'єр участі, або L2. Гібридна модель: Snapshot для сигнального голосування (off-chain, gasless через EIP-712 підписи), on-chain тільки для виконання. Ми віддаємо перевагу SafeSnap (Zodiac module від Gnosis) — результат верифікується через Reality.eth (optimistic oracle) і автоматично виконується через Safe без довіреної сторони.

Multi-sig: Gnosis Safe як операційний шар

Більшість DAO використовують Gnosis Safe для скарбниці. Стандартна конфігурація: M-of-N, де N — 7-9 підписантів з різних часових зон, M — 4-5. Менше — небезпечно. Більше — операційне пекло при термінових транзакціях. Safe підтримує модулі: Zodiac, Delay, Roles. Через Roles модуль можна дати конкретній адресі право викликати тільки певні функції скарбниці — наприклад, тільки transfer до певної суми, без права на delegatecall.

Важливо: Safe мультисиг і Governor — різні рівні. Governor управляє протоколом (апгрейди, параметри). Safe управляє скарбницею (виплати, гранти). Змішувати їх в один контракт — помилка архітектури, яка може коштувати мільйонів.

Як захистити DAO від flash loan атаки?

Ми використовуємо кілька рівнів захисту. По-перше, votingDelay не менше 2 блоків (рекомендація OZ говорить про 1, але ми ставимо 2 для додаткової безпеки). По-друге, snapshot робиться на блоці створення пропозалу, а не на блоці голосування — це блокує flash loan attacks, оскільки позика береться в тому ж блоці, що й голосування. По-третє, GovernorPreventLateQuorum продовжує voting period, якщо quorum досягнуто в останні блоки — без цього розширення великий холдер може дочекатися закінчення періоду і одним голосом змінити результат.

Governor Extensions: що потрібно майже завжди

On-chain vs Off-chain голосування: коли що вибирати

Вибір залежить від бюджету ком'юніті та вимог до безпеки. Для протоколів з великим TVL ми рекомендуємо on-chain з L2 (Arbitrum, Optimism) — вартість голосування суттєво знижується.

Процес розробки та аудит параметрів

Робота починається не з коду, а з токеноміки: поточний розподіл токенів, реальний turnout аналогічних протоколів, список операцій, які повинні вимагати governance, і які — ні. Ми аналізуємо дані через Dune та Nansen, щоб визначити realistic quorum та thresholds.

Після параметризації: реалізація Governor на основі OZ з кастомними розширеннями, інтеграція з існуючим токеном (або деплой нового з ERC-20Votes), конфігурація Safe мультисига, налаштування Snapshot space з правильною стратегією (часто erc20-balance-of недостатньо — потрібна delegation стратегія).

Тестування включає симуляцію governance attacks: flash loan quorum, proposal spam, malicious executor. Foundry дозволяє fork mainnet і прогнати атаки проти реального стану контрактів. Деплой Governor без аудиту параметрів — стандартна помилка. Аудитори дивляться код. Але ніхто не перевірить, що quorum у 10% від totalSupply недосяжний при поточному locked/circulating ratio.

Ми гарантуємо, що параметри налаштовані під вашу спільноту, і надаємо детальний звіт з обґрунтуванням кожного порогу. Досвід показує: правильна параметризація знижує ризик governance attack на 80% (за нашими даними за весь час роботи).

Що входить в роботу

• Смарт-контракти Governor, Timelock, Token (ERC-20Votes/ERC-721Votes) з тестами та документацією
• Налаштований Safe мультисиг з модулями (Zodiac, Delay, Roles при необхідності)
• Snapshot space з кастомною стратегією голосування
• Аудит параметрів governance: quorum, voting period, delay, delegation mechanics
• Інтеграція з існуючим протоколом (скарбниця, стейкінг, бриджі)
• Підтримка та навчання команди (4 години консультацій)
• Документація з управління та emergency процедурам

Терміни

Базова DAO-система (Governor + Timelock + Safe + Snapshot) — від 3 до 6 тижнів. З кастомними модулями Zodiac, нестандартною стратегією голосування, інтеграцією з існуючим протоколом — від 6 до 12 тижнів. Аудит займає окремо 2-4 тижні.

Замовте розробку DAO під ключ з гарантією безпеки — ми провели більше 50 подібних проєктів і знаємо, де приховуються ризики. Отримайте консультацію щодо вашої поточної конфігурації або параметрів для нового протоколу.