CoW DAO aprueba reembolsos voluntarios a pesar de que no se violó el protocolo en el secuestro de dominio
CoW DAO aprobó una propuesta para reembolsar a los usuarios afectados por el secuestro del dominio cow.fi de abril de 2026, a pesar de que el protocolo en sí nunca sufrió un incumplimiento de contrato inteligente.
La propuesta de gobernanza autoriza un programa de subvenciones discrecionales para los usuarios que perdieron fondos durante el ataque de phishing, que surgió de una adquisición de dominio a nivel de registrador en lugar de un compromiso de la infraestructura del Protocolo CoW.
Según la autopsia del proyecto, los usuarios perdieron aproximadamente 1,2 millones de dólares durante el incidente después de que los atacantes redirigieran el dominio cow.fi a un sitio web de phishing que engañaba a los visitantes para que firmaran transacciones de billetera maliciosas.
La propuesta permite a las víctimas elegibles recibir hasta el 100% de reembolso por pérdidas verificadas utilizando fondos de la Reserva de Defensa Legal de CoW DAO.
La propuesta traza una línea entre el phishing y la negligencia del usuario
La medida aprobada incluye estrictos requisitos de elegibilidad para recibir compensación.
Los usuarios deberán acreditar que:
su billetera interactuó con el contrato de drenaje malicioso vinculado a la interfaz CoW falsa,
la billetera había usado CoW Swap antes del ataque,
y el reclamante completa un proceso de verificación KYC.
La DAO no compensará a los usuarios que ingresaron frases iniciales de su billetera en mensajes falsos durante el ataque.
Esa distinción refleja una posición de gobernanza más amplia dentro de la propuesta. CoW DAO trata las aprobaciones de transacciones maliciosas vinculadas a la interfaz suplantada de manera diferente a la divulgación directa de frases de recuperación.
Las reclamaciones deben enviarse antes del 14 de mayo a través de los canales de soporte de CoW antes de que comience el proceso de verificación.
Sin admisión de responsabilidad
Aunque la DAO aprobó los reembolsos, la propuesta establece repetidamente que los pagos siguen siendo voluntarios y no representan una admisión de responsabilidad o falta legal.
El documento describe las subvenciones como pagos “ex gratia”, lo que significa que CoW DAO las proporciona como un gesto de buena voluntad en lugar de una obligación legal.
Ese lenguaje puede resultar importante porque el incidente no implicó una falla de los contratos inteligentes, la infraestructura backend o los sistemas de liquidación del Protocolo CoW.
En cambio, los atacantes explotaron las debilidades en el proceso de transferencia del registrador de dominios .fi a través de una campaña de ingeniería social dirigida a la infraestructura de registro de dominios de Finlandia.
El sitio de phishing permaneció activo durante varias horas antes de que el equipo recuperara el control del dominio.
Fondos del Tesoro para cubrir reembolsos
Los reembolsos provendrán de la Reserva de Defensa Legal de CoW DAO, una asignación de tesorería diseñada originalmente para acciones legales y defensivas.
La propuesta describe el pago como una excepción única y establece explícitamente que no debería crear un precedente para incidentes futuros.
Una vez que concluyan los pagos de compensación, la tesorería de la DAO planea reponer la reserva hasta que vuelva a su nivel anterior de 5 millones de dólares.
Por qué es importante la decisión
La votación destaca un creciente debate en todo DeFi sobre la responsabilidad del protocolo durante los ataques a la infraestructura Web2.
En este caso, los contratos de CoW Protocol continuaron funcionando normalmente, pero los usuarios aún perdieron fondos porque los atacantes secuestraron el dominio del proyecto e implementaron una interfaz de phishing convincente.
Al aprobar la compensación de todos modos, CoW DAO indica que proteger la confianza del usuario a largo plazo puede superar las definiciones técnicas estrictas de responsabilidad del protocolo.
Resumen final
CoW DAO aprobó reembolsos voluntarios para las víctimas del ataque de phishing cow.fi de abril, que causó alrededor de 1,2 millones de dólares en pérdidas.
La DAO dice que los pagos no representan una admisión de responsabilidad porque el protocolo en sí nunca fue violado.