DEEP DIVE: DAO

DAO（去中心化自治组织）详解：代码治理的理想与现实的裂缝

DAO（Decentralized Autonomous Organization，去中心化自治组织）的核心理念，是用**写在智能合约里、任何人都可以验证的规则**取代科层制的管理者与董事会：提案、投票、执行都记录在链上，理论上不再需要一个「说了算的人」。但这只是故事的一半。本文不会止步于介绍 Governor 合约与代币投票之类的技术机制，而是要追问一个更棘手的问题：当治理规则被代码化之后，「管理」这件事真的消失了吗？还是只是换了一副面孔？

DAO 是什么：定义与术语辨析

Vitalik Buterin 在 2014 年发表于以太坊官方博客的文章《DAOs, DACs, DAs and More: An Incomplete Terminology Guide》中，尝试为当时尚显混乱的一系列术语划出边界。他依据自治程度与是否拥有内部资本这两个维度做区分：完全由代码自动运作、不依赖任何人类干预的系统称为 DA（Decentralized Application，去中心化应用，即后来更常用的 DApps）；如果这个系统还持有并支配自己的内部资本（例如一笔资金或代币），则称为 DAC（Decentralized Autonomous Corporation，去中心化自治公司）；而 DAO 则介于两者之间：它依赖人类参与者的判断与投票来驱动决策，但决策的执行与记录高度自动化、去中心化。这套区分在今天看来或许有些粗糙，但它准确指出了一个后来反复被验证的事实：DAO 从定义之初就不是「完全自治、无需人类」的系统，而是「人类决策 + 代码执行」的混合体。

Hassan 与 De Filippi 在 2021 年发表于 Internet Policy Review 的论文中给出了一个被广泛引用的正式定义：DAO 是以智能合约编码的治理规则、记录在区块链上的成员互动历史，以及（通常）代表资本与投票权的原生代币这三者的结合体。这个定义的价值在于它把 DAO 拆解成了可以分别审视的组成部分（规则、历史、权力分配），而不是把它当作一个笼统的「去中心化组织」标签。

与传统公司相比，DAO 在结构上有几处根本性的不同。首先，DAO 默认不具有法人资格，这意味着它原则上无法像公司一样签订合同、拥有财产或在法庭上作为一方被起诉（第 5 节会详细讨论这一点带来的现实风险）。其次，DAO 没有董事会，决策权名义上分散在代币持有者手中，而不是集中于少数受托的董事。最后也是最本质的一点：公司的「章程」是一份需要由法院解释、也可能被法院裁定违反的文本，而 DAO 的「章程」在很大程度上就是字面意义上可执行的代码：一旦提案通过并触发合约逻辑，资金转移或参数变更会自动发生，不需要（也无法被）一个额外的执行者按自由裁量权来落实或拒绝。这正是「代码即法律」（code is law）理念的技术基础，也是第 3 节要重点检验的对象。

技术基础：链上治理究竟如何运作

提案→投票→时间锁→执行：Governor 模式

以 Compound 的 Governor Bravo 为代表的模式，已经成为以太坊生态中链上治理的事实标准骨架，其流程大致分为四步。第一步，任何持有代币数量达到最低门槛的地址都可以发起一项提案，门槛的存在是为了防止提案通道被无成本的垃圾提案淹没。第二步，提案进入一个固定长度的投票期，期间需要同时满足法定人数（quorum）（即参与投票的代币总量达到某个下限，用以确保决策不是由极少数人拍板）以及通过阈值，通常是简单多数或某个更高的比例。第三步，一旦提案通过投票，它并不会立刻执行，而是进入一个时间锁合约（timelock）排队等待，例如延迟 48 小时。第四步，延迟期满后，任何人都可以调用执行函数，把提案中编码的操作（例如转移金库资金、修改协议参数）真正落地。

这个时间锁的设计并非可有可无的细枝末节，而是被有意作为一道安全阀（同时也是一个否决窗口）来设计的：如果一项提案在通过后被发现存在恶意逻辑或严重漏洞，社区与金库持有方在这段延迟期内仍有机会做出反应，例如紧急撤出资金、公开警示，或者在极端情况下协调阻止执行。这一点值得记在心里，因为第 3 节要讨论的 The DAO 事件恰恰发生在一个完全没有这类延迟机制的系统里，二者的对比会揭示出治理设计中「速度」与「安全」之间的取舍。

委托与「流动民主」

许多治理代币（例如 COMP）支持持有者在不转移代币本身所有权的前提下，把自己的投票权委托给另一个地址（delegate）。这一设计理念上接近政治学中的流动民主（liquid democracy）：既不是完全的直接民主（每个人必须亲自对每项提案投票），也不是完全的代议制民主（选出固定代表、任期内无法随时更换），而是介于两者之间：委托关系可以随时建立或撤销，理论上应当能让专业知识与参与意愿更好地匹配。但在实践中，正如第 4 节将展示的数据所表明的那样，委托权力往往会迅速集中到极少数活跃的受托代理人手中，使得「流动」的部分名存实亡。

链下信号 + 链上执行：Snapshot

由于每一次链上投票都需要消耗 Gas 费，许多 DAO 转而采用 Snapshot 这类无需 Gas 的链下投票工具：参与者用私钥对一条消息签名以表达投票意向，签名结果存储在 IPFS 上，任何人都可以验证，但这个过程本身不会触碰区块链状态，因此不产生交易费用，也不会自动执行任何操作。Snapshot 上的投票结果严格来说只是一种「信号（signaling）」，真正的资金转移或参数变更，通常要交由一个多签钱包的持有者根据 Snapshot 的投票结果手动执行。这种模式因为省钱、易用而被广泛采用，但也意味着「去中心化投票」与「实际执行」之间存在一道由多签持有者把守的关口，这是一种被广泛接受、却也在事实上重新引入中心化环节的折中方案。

超越一币一票：二次投票、二次方资助与信念投票

简单的「一枚代币一票」制度存在明显的财阀化倾向（第 4 节会展开讨论），因此社区尝试了多种替代设计。Buterin、Hitzig 与 Weyl 三人在 2019 年发表于 Management Science 的论文《A Flexible Design for Funding Public Goods》中提出了二次方资助（quadratic funding）机制：某个项目获得的配捐金额，随着「各笔个人捐款金额平方根之和」的平方而增长。这一设计的巧妙之处在于，它使得「许多人各出一点小钱」比「一个人出一大笔钱」在配捐中获得更高的杠杆，也就是让广泛的社区支持比集中的财富更有分量。这一机制在 Gitcoin Grants 中被实际投入使用，用于分配公共物品资助资金。

与之相关的是二次投票（quadratic voting）：投票者可以为同一项提案投出多票，但每多投一票，所需付出的成本呈平方增长（投 2 票需要花费相当于 4 票的成本，投 3 票需要 9 票的成本），目的是削弱「财富可以直接、线性地转化为决策权」这一效应。但这套机制有一个结构性弱点：如果没有可靠的身份验证机制来确保「一个真人对应一个投票权账户」，攻击者完全可以把资金拆分到大量傀儡账户中分别投票，从而绕开成本递增的约束，这正是针对 P2P·区块链的攻击中讨论的女巫攻击（Sybil attack）在治理场景下的翻版，也是DID所要解决的身份验证问题在此处显得尤为关键的原因。

1Hive 与 Commons Stack 社区推广的信念投票（conviction voting）则采用了另一种思路：一枚代币投给某项提案的「投票权重」并非固定，而是随着这些代币持续支持该提案的时间累积增长，支持的时间越长，权重越高；一旦撤回支持，权重便随之衰减。这种设计试图奖励长期、持续的偏好表达，而非一次性、可能被临时动员起来的多数意见。

最小可行 DAO 与「愤怒退出」安全阀：Moloch

MolochDAO 于 2019 年上线，其设计哲学与许多力求功能齐全的治理框架相反：刻意做减法，只保留资助拨款所必需的最小功能集，代码量小到便于审计。它引入的最具标志性的机制是 ragequit（愤怒退出）：任何对某项即将通过的提案持异议的成员，可以在该提案真正执行、资金实际转移之前，按照自己在金库中所占的份额比例，把属于自己的那部分资产取出、退出组织，从而不必承受自己反对的那项决策的后果。这套机制在概念上与经济学家 Albert O. Hirschman 提出的「退出与呼吁」（exit vs. voice）框架相呼应：当「呼吁」（投票表达异议）未能扭转多数决策时，「退出」提供了一条不必诉诸多数暴政的最后防线，让少数派不至于被多数意志完全绑架。

历史转折点：The DAO 黑客事件与「代码即法律」之争

2016 年，一个名为 The DAO 的项目通过代币众筹募集了约合 1.5 亿美元的 ETH，在当时是规模空前的众筹纪录，其定位是一个完全由代码自治、为以太坊生态项目分配投资资金的去中心化风险基金。然而，其智能合约中存在一个重入（reentrancy）漏洞：合约在更新内部余额记录之前，先允许了一次递归的外部调用，攻击者利用这个时序漏洞反复触发提款函数，在余额被正确扣减之前一遍遍地抽走资金，最终导致约 360 万枚 ETH（当时价值约 6000 万美元）从金库中流出。Atzei、Bartoletti 与 Cimoli 三人在 2017 年的系统化综述（POST/SoK）中，把这类重入攻击归纳为以太坊智能合约中最具代表性、也最需要在审计中重点排查的漏洞模式之一，The DAO 事件正是这一模式最早、也是代价最沉重的实例。

以太坊社区的应对方式在当时极具争议：核心开发者与多数矿工推动了一次硬分叉，把被盗的资金「原路撤回」到一个可供原持有者赎回的合约中，效果上等于用社会协调的方式撤销了这笔在技术上完全有效、由代码正确执行的交易。这次分叉催生了两条链：接受分叉、撤销盗窃的一方成为今天的 Ethereum（ETH），而坚持「链上发生的一切都不可篡改，哪怕是被恶意利用的结果」这一原则、拒绝分叉的一方则延续为 Ethereum Classic（ETC）。研究者 Quinn DuPont 在 2017 年发表的一篇民族志研究中，深入分析了 The DAO 事件所暴露出的张力：「代码即法律」这一理念，在代码本身被证明存在漏洞、且漏洞被利用之后，其自洽性便迅速瓦解，社区最终诉诸的不是代码逻辑，而是链下的、高度政治化的人类协商与共识动员。

这一事件为本文的批判性论点提供了最早、也最尖锐的一个例证：一个在设计之初被宣传为「完全自治、由代码统治、无需人类裁量」的系统，在真正遭遇危机时，最终依赖的仍然是链下的人类与社会共识（核心开发者的号召力、矿池运营者的协调、交易所的配合）来化解问题。这并不是说 DAO 的技术理念失败了，而是说它动摇了一个更根本的前提：「一旦治理规则被彻底代码化，管理者与治理过程本身便不再必要」这一假设，从一开始就过于乐观。

The DAO 事件同时也是智能合约安全性讨论中绕不开的经典案例，它促使整个行业此后普遍采用「检查-生效-交互」（checks-effects-interactions）模式与重入锁作为标准防御手段。

治理的现实：批判性考察

投票率低迷与权力集中

Fritsch、Müller 与 Wattenhofer 在 2022 年的实证研究（arXiv:2204.01176）中，对包括 Uniswap、Compound、ENS 在内的多个主要 DAO 的链上治理数据做了系统分析，结果相当一致：投票权高度集中在极少数地址或受托代理人手中，而实际参与投票的代币比例，相对于流通总量而言，往往只有个位数百分比。换句话说，「去中心化」这一标签所暗示的「决策权广泛分散」，与实证测得的决策集中度之间存在明显落差：多数代币持有者事实上从未行使过自己的投票权，真正的决策力量集中在一小撮活跃参与者身上。

对「币权投票」的批判

Vitalik Buterin 本人在 2021 年发表的文章《Moving Beyond Coin Voting Governance》中，对以代币持有量作为投票权重这一最主流的设计做出了相当尖锐的自我批判，指出了三个结构性问题。第一是财阀统治（plutocracy）：一币一票的规则把经济财富直接、线性地转化为政治权力，持币量最大的参与者天然拥有最大的话语权，这与许多 DAO 在宣传中标榜的「社区治理」形成了张力。第二是投票冷漠：对于持币量较小的参与者而言，单张选票几乎不可能左右最终结果，这种理性无知（rational ignorance）促使他们干脆放弃参与投票，这正好解释了上一小节所观察到的低参与率现象。第三是贿选与投票市场：由于投票权本身可以脱离其他所有权利被临时租借或买卖（例如通过借入代币在快照时刻凑够投票权重，投票结束后归还），治理权力实际上可以在公开市场上被明码标价地交易，而不需要真正持有代币所代表的长期利益。

Curve Wars 是对上述贿选批判最具体、最生动的实证案例。Curve Finance 采用 veCRV（vote-escrowed CRV）模型：用户锁仓 CRV 代币的时间越长，获得的投票权重越高，以此鼓励长期持有而非短期投机。这套设计催生了 Convex Finance 这样的「元治理」协议：Convex 聚合大量用户存入的 CRV 并代为长期锁仓，再把由此获得的巨额投票权集中调配，从而在 Curve 的治理中拥有远超单一用户的影响力。而 Convex 手中集中的投票权，又进一步催生了 Votium 这样的贿选市场：各个稳定币协议方为了让自家资产池获得更高的流动性挖矿激励，直接向 Convex/veCRV 投票者支付报酬，引导他们把票投向对自己有利的资金池。这一整条链条完整地印证了 Buterin 所警示的贿选问题：投票权被明码标价、公开交易，与投票者对协议长期健康的真实关切逐渐脱钩。

新旧交织的委托代理问题

传统公司治理经过上百年的判例与立法积累，已经制度化了一整套相对成熟的制衡机制：董事对公司负有受托责任（fiduciary duty），其决策要接受董事会内部与外部审计的问责，股东在认为管理层违背职责时还可以提起股东代表诉讼。相比之下，DAO 在代币持有者、受托的投票代理人与项目核心团队之间，大多缺乏具有同等约束力的义务与追责机制：没有法律意义上的受托责任，也没有成熟的诉讼救济渠道（第 5 节会说明这在某些情况下反而带来了更大的风险，而非更小）。与此同时，DAO 又引入了传统公司治理中不那么典型的新型利益错位：一方面，代币价格本身构成了一种短期投机激励，可能与协议的长期健康发展目标相冲突（例如社区可能倾向于支持能立刻拉升代币价格的提案，而非有利于长期可持续性但短期内不利好价格的提案）；另一方面，创始团队与早期风险投资方即便在宣传上标榜「已经去中心化」，往往仍凭借其在代币分配之初就占据的集中持仓，在事实上保留着远超普通参与者的影响力。可以说，去除科层制管理者这一步骤，并没有让委托代理问题（principal-agent problem）消失，而是把它替换成了另一种、在问责机制上往往更为薄弱的版本。

奥斯特罗姆的公地治理原则带来的启示

经济学家 Elinor Ostrom 在其 1990 年的经典著作《Governing the Commons》中，通过对全球大量真实存在的公共资源（如渔场、灌溉系统、森林）自治案例的比较研究，归纳出了可持续自治制度普遍具备的8 项设计原则：(1) 清晰界定的边界（谁属于这个共同体、资源范围有多大）；(2) 占用与供给规则要与当地实际条件相契合；(3) 受规则影响的人应有机会参与规则的集体选择过程；(4) 有效的监督机制；(5) 分级的制裁措施（违规行为按严重程度递进处罚，而非一步到位的极端惩罚）；(6) 成本低廉、便于使用的纠纷解决机制；(7) 组织自我治理的权利得到外部权威的最低限度承认；(8) 对于大型公共资源系统，治理应当以嵌套的多层级组织方式展开。

Rozas、Tenorio-Fornés、Díaz-Molina 与 Hassan 于 2021 年发表的论文中，明确地把奥斯特罗姆这套框架映射到 DAO 与区块链公地治理之上做了逐条评估，其结论颇具启发性、也保持了应有的审慎：在「清晰的规则」与「有效的监督」这两条原则上，DAO 凭借区块链天然具备的透明性与不可篡改的记录，往往能够较好地满足：每一笔提案、每一次投票、每一笔资金流动理论上都公开可查。但在分级制裁与便于使用的纠纷解决机制这两条原则上，DAO 普遍存在结构性短板：多数 DAO 缺乏介于「什么都不做」与「彻底罚没资产/终止会员资格」之间的中间层次处罚手段，也缺乏成本低廉、不必诉诸链下法律系统的争端解决渠道。奥斯特罗姆的框架之所以有价值，恰恰在于它既不像技术乐观主义者那样盲目吹捧「链上治理天然优越」，也不像怀疑论者那样一概否定 DAO 的治理可能性，而是提供了一套具体、可逐条核验的标准，用来评估某个具体 DAO 的治理质量究竟成熟到了什么程度。

法律地位：「非法人社团」问题与法律外壳

2022 年，美国商品期货交易委员会（CFTC）诉 Ooki DAO 一案在加利福尼亚州北区联邦地区法院审理，成为 DAO 法律地位问题上的一个里程碑式判例。CFTC 主张，Ooki DAO 作为一个未注册为任何法律实体的去中心化组织，可以被视为美国法律意义上的非法人社团（unincorporated association），法院采纳了这一论点。这一裁决的现实后果相当深远：既然 Ooki DAO 被认定为一个非法人社团，那么曾经对该组织的治理提案投票的代币持有者，理论上就可能要为这个组织的违规行为（本案中是未经许可提供杠杆交易服务）承担个人责任。这一判例传递出一个关键信息，「没有设立法律实体外壳」绝不等同于「没有法律风险」，事情很可能恰恰相反：没有法人外壳提供的责任隔离，参与治理投票的普通代币持有者反而可能暴露在无限连带责任的风险之下。

为应对这一风险，一些司法管辖区尝试为 DAO 提供专门的法律外壳选项。怀俄明州在 2021 年通过了 DAO LLC 补充法案（编入州法典 W.S. 17-31），允许 DAO 注册为一种有限责任公司的变体，从而为参与者提供有限责任保护；马绍尔群岛也通过了类似的 DAO 专项立法。这类立法的现实效果是让 DAO 获得法人资格、责任隔离与可诉性，但这恰恰是一种耐人寻味的反讽：为了规避「没有法律外壳」所带来的无限责任风险，DAO 不得不主动拥抱它在理念上原本试图超越的那些东西（特定的司法管辖权、需要指定的注册代理人、以及传统意义上的法律实体身份）。「代码即法律」在此处不得不向「代码之外仍然需要法律」低头。Santana 与 Albareda 在 2022 年发表于 Technological Forecasting and Social Change 的论文中，系统梳理了 DAO 在全球普及过程中所面临的监管不确定性与法律挑战，指出这种「治理理念上追求去中心化、法律现实中却不得不寻求中心化外壳」的张力，很可能会长期伴随 DAO 这一组织形式的发展。

案例对比

DAO 名称	治理机制	金库/领域	值得关注的事件	启示
MolochDAO	极简设计、ragequit（愤怒退出）	面向以太坊生态项目的小额资助拨款	2019 年上线，代码刻意保持极简以便于审计	证明「退出」这一安全阀可以替代复杂的制衡机制，但也把治理范围限定在了很小的场景内
Compound	Governor Bravo 模式（提案-投票-时间锁-执行）	借贷协议的参数治理与生态基金	成为整个行业事实上的标准治理模板，被广泛分叉复用	流程规范化提升了可预期性，但代币投票的低参与率与权力集中问题依然存在
MakerDAO	代币投票 + 现实世界资产（RWA）抵押品治理	稳定币 DAI 的抵押品组合与货币政策	因治理范围与复杂度不断膨胀，在「Endgame」计划中重组为多个各自独立的 subDAO	揭示了单一 DAO 治理规模与决策质量之间的张力，「拆分」被作为应对复杂性的手段
Curve / Convex	veCRV 锁仓投票 + Convex 元治理 + Votium 贿选市场	Curve 稳定币兑换池的流动性激励分配	「Curve Wars」：各协议方为争夺投票权公开支付报酬	直接印证了 Buterin 对贿选与投票市场问题的批判，展示了治理权力如何被明码标价交易
ConstitutionDAO	为单一目标临时组建的快速募资协调	竞拍一份实体历史文件（美国宪法初版拍卖）	2021 年募资迅速但竞拍失败，随后的退款与 Gas 费处理暴露出诸多摩擦	说明临时性 DAO 擅长快速协调募资，但在处理现实世界物流、法律清算等「善后」事务时准备明显不足

常见误解与注意事项

「DAO 运行完全没有人类参与」是一种误解：日常绝大部分的讨论、协调与共识形成工作，实际上仍发生在 Discord、论坛这类完全链下的场所，链上投票往往只是把已经在链下达成的共识正式确认下来。DuPont 对 The DAO 的民族志研究还发现，即便是标榜「完全自治」的 The DAO 本身，也依赖一个人工审核团队（curators）来预先筛选哪些提案有资格进入投票环节，「无需人类」从一开始就不是字面意义上的事实。
「链上投票=最大程度的去中心化」是一种误解：前文引用的 Fritsch 等人的实证数据显示投票权高度集中，Curve Wars 中的贿选市场动态也表明，链上记录的透明性并不能自动保证决策权力的分散：透明和去中心化是两回事，前者不必然推导出后者。
「代码即法律意味着法律体系无关紧要」是一种误解：Ooki DAO 判例清楚地表明，一旦 DAO 的活动在现实世界中造成了实际损害或违反了监管规定，监管机构与法院完全有能力、也确实会主张管辖权，代码在链上自动执行并不能让参与者豁免于链下的法律责任。
「消除科层制管理就消除了委托代理问题」是一种误解：DAO 并没有让委托代理问题消失，而是把「管理层可能损害股东利益」这一旧问题，替换成了一组新的、有时问责性更弱的利益错位：代币价格驱动的短期投机压力、风险投资方凭借集中持仓保有的超额影响力，以及在普遍低投票率下少数活跃地址对治理结果的实质性操控。