Масштабна атака на децентралізовану організацію BONK сколихнула криптоспільноту. Зловмисник використав вразливість у механізмі управління DAO, щоб вивести з казни проєкту токени на суму $21,2 млн. При цьому його власні витрати на реалізацію схеми склали лише $4,4 млн, що дозволило отримати чистий прибуток у розмірі $16,8 млн.
Як було проведено атаку
30 червня хакер подав до DAO пропозицію про переказ 4,426 трлн токенів BONK (еквівалент $21,2 млн) на підконтрольний йому гаманець. Однак ключовий елемент атаки полягав у підготовці: за два дні до цього зловмисник придбав 882 млрд BONK на біржах Bybit та Binance, витративши $4,4 млн.
Цього обсягу токенів виявилося достатньо, щоб перевищити необхідний для схвалення пропозиції кворум — 879 млрд BONK. Проголосувавши «за» всім своїм пакетом, хакер забезпечив проходження ініціативи, після чого кошти були автоматично переведені на його гаманець.
Поточний стан викрадених активів
На даний момент частина вкрадених коштів вже переміщена. Згідно з даними аналітики, 40 млрд BONK ($188 тис.) були відправлені на біржу OKX. Решта 4,386 трлн BONK ($19,3 млн) поки залишаються на гаманці EXaJnm…eh42. Схоже, хакер не поспішає виводити основну масу коштів, що може вказувати на очікування більш сприятливих ринкових умов або спробу уникнути відстеження.
Корінь проблеми — в управлінні, а не в коді
Учасники криптоспільноти справедливо зазначають, що в даному випадку вразливість криється не в смарт-контрактах BONK, а в самій архітектурі управління DAO. Система, де голоси прив'язані до кількості токенів, дозволяє великому власнику — або тому, хто може тимчасово сконцентрувати значний обсяг монет — фактично одноосібно приймати рішення. Це класичний приклад атаки на управління (governance attack), який підкреслює фундаментальну слабкість багатьох сучасних DAO.
Думка експерта: Інцидент з BONK — ще одне нагадування про те, що децентралізація управління не гарантує безпеку. Поки DAO використовують прості механізми голосування «один токен — один голос», вони будуть вразливі для подібних маніпуляцій. Проєктам необхідно впроваджувати складніші системи, такі як делеговане голосування, тимчасові блокування або квадратичне голосування, щоб запобігти концентрації влади в одних руках. Ринок має винести урок із цієї атаки, яка обійшлася казні BONK у $16,8 млн.