Масштабная атака на децентрализованную организацию BONK потрясла криптосообщество. Злоумышленник использовал уязвимость в механизме управления DAO, чтобы вывести из казны проекта токены на сумму $21,2 млн. При этом его собственные затраты на реализацию схемы составили всего $4,4 млн, что позволило получить чистую прибыль в размере $16,8 млн.
Как была проведена атака
30 июня хакер подал в DAO предложение о переводе 4,426 трлн токенов BONK (эквивалент $21,2 млн) на подконтрольный ему кошелек. Однако ключевой элемент атаки заключался в подготовке: за два дня до этого злоумышленник приобрел 882 млрд BONK на биржах Bybit и Binance, потратив $4,4 млн.
Этого объема токенов оказалось достаточно, чтобы превысить необходимый для одобрения предложения кворум — 879 млрд BONK. Проголосовав «за» всем своим пакетом, хакер обеспечил прохождение инициативы, после чего средства были автоматически переведены на его кошелек.
Текущее состояние похищенных активов
На данный момент часть украденных средств уже перемещена. Согласно данным аналитики, 40 млрд BONK ($188 тыс.) были отправлены на биржу OKX. Оставшиеся 4,386 трлн BONK ($19,3 млн) пока остаются на кошельке EXaJnm…eh42. Похоже, хакер не спешит выводить основную массу средств, что может указывать на ожидание более благоприятных рыночных условий или попытку избежать отслеживания.
Корень проблемы — в управлении, а не в коде
Участники криптосообщества справедливо отмечают, что в данном случае уязвимость кроется не в смарт-контрактах BONK, а в самой архитектуре управления DAO. Система, где голоса привязаны к количеству токенов, позволяет крупному держателю — или тому, кто может временно сконцентрировать значительный объем монет — фактически единолично принимать решения. Это классический пример атаки на управление (governance attack), который подчеркивает фундаментальную слабость многих современных DAO.
Мнение эксперта: Инцидент с BONK — еще одно напоминание о том, что децентрализация управления не гарантирует безопасность. Пока DAO используют простые механизмы голосования «один токен — один голос», они будут уязвимы для подобных манипуляций. Проектам необходимо внедрять более сложные системы, такие как делегированное голосование, временные блокировки или квадратичное голосование, чтобы предотвратить концентрацию власти в одних руках. Рынок должен извлечь урок из этой атаки, которая обошлась казне BONK в $16,8 млн.