CoW DAO Godkänner CIP-86 för Diskretionära Bidrag
CoW DAO har godkänt CIP-86 för att erbjuda diskretionära bidrag på upp till 100 % till offer för cow.fi-domänhijacken i april. Berörda användare ombeds att lämna in sina krav senast den 14 maj, med planerade utbetalningar den 31 maj.
Bakgrund till Incidenten
Beslutet följer en omröstning i gemenskapen om styrningsförslaget CIP-86, som inrättar ett program för diskretionära bidrag för att återbetala förluster på upp till 100 % för användare som blev phishingade under tiden då projektets domänregistrator var under angriparens kontroll. Enligt CIP-86-förslaget och DAOs efteranalys inträffade incidenten den 14 april 2026, när CoW Swaps .fi-domänregistrator, Gandi SAS, blev komprometterad i en social ingenjörsattack.
Angriparna utnyttjade registratorns kontroll över DNS-poster som användes av CoW Swaps AWS Route 53-servrar och tog kortvarigt över cow.fi-domänen i cirka 4,5 timmar. Under denna tid omdirigerades användare till en phishing-webbplats som efterliknade det verkliga gränssnittet. Användare som besökte den hijackade domänen fick en falsk handels-UI och lurades att signera skadliga transaktioner, vilket ledde till att tokens tömdes från deras plånböcker.
CoW DAOs Ställning och Kompensation
CoW DAO har upprepade gånger betonat att CoW Protocols smarta kontrakt och backend-infrastruktur aldrig blev brutna, och att sårbarheten var ”helt på domänregistratorsnivå snarare än i protokollkoden.” En incidentrapport från KuCoin uppskattade användarförluster till cirka 1,2 miljoner USD i USDC och andra tillgångar, en siffra som bekräftades av flera efterföljande analyser.
För att hantera dessa förluster godkände CoW DAOs gemenskap CIP-86, som inrättar ett engångsprogram för diskretionära bidrag finansierat från DAOs juridiska försvarsfond. Enligt planen kan berättigade offer få upp till 100 % kompensation för verifierade förluster, men DAO betonar att utbetalningar är frivilliga ”välvilliga” bidrag och inte utgör ett erkännande av juridiskt ansvar.
Krav och Ansökningsprocess
Förslaget ger också kärnteamet mandat att vidta rättsliga åtgärder mot tredje parter där det är nödvändigt, inklusive enheter involverade i registratorns leveranskedjeattack. CIP-86 fastställer strikta kriterier för hjälpbidrag. Sökande måste ha interagerat med det skadliga kontraktet under hijack-fönstret, visa en historia av att använda CoW Swap före attacken och tillhandahålla tillräcklig on-chain-bevisning för att koppla sina förluster till phishingincidenten snarare än orelaterade bedrägerier.
En sammanfattning som hostas av Binance noterar att krav kommer att behandlas som ”diskretionära bidrag” snarare än automatiska återbetalningar, med verifieringsprocessen som jämför inlämnade data med on-chain-poster innan någon utbetalning godkänns.
CoW DAO och dess ekosystemkanaler uppmanar nu berörda användare att lämna in krav före den 14 maj. För att kvalificera sig måste användare skicka ett e-postmeddelande med ämnesraden ”Diskretionärt bidragskrav för CoW.Fi domänhijackincident,” inklusive den drabbade plånboksadressen, en lista över tillgångar och belopp som tömts, relevanta transaktionshashar och sökandens namn.
När supportpersonalen matchar begäran med on-chain-data kommer användare att få ett uppföljande e-postmeddelande som beskriver eventuella ytterligare steg, vilket kan inkludera KYC-kontroller innan medel släpps. CIP-86-tidslinjen förväntar sig att alla giltiga krav kommer att lämnas in senast den 14 maj, granskas under de följande veckorna och återbetalas senast den 31 maj, beroende på DAO:s kassa och verifieringsresultat.
Slutsats
För CoW DAO har episoden blivit en fallstudie i hur DeFi-protokoll kan svara på off-chain leveranskedjeattacker: genom att behandla domänsäkerhet som kritisk infrastruktur, separera protokollintegritet från webblagerutnyttjanden och använda styrning för att auktorisera frivilliga, tidsbegränsade kompensationer utan att skriva om historien on-chain.
