30 июня 2023 года произошла одна из самых изощрённых атак на децентрализованное управление в истории криптовалют. Злоумышленник, используя уязвимость в механизме голосования DAO, сумел вывести из казны проекта BONK токены на сумму $21,2 млн. При этом его собственные затраты на подготовку операции составили всего $4,4 млн, а чистая прибыль — $16,8 млн.
Как была построена атака
За два дня до атаки хакер приобрёл 882 млрд токенов BONK на биржах Bybit и Binance, потратив $4,4 млн. Этого объёма оказалось достаточно, чтобы превысить необходимый для одобрения предложения кворум в 879 млрд BONK. Затем злоумышленник подал в DAO предложение о переводе 4,426 трлн BONK ($21,2 млн) на подконтрольный ему кошелёк 9bxW…JHvQ и проголосовал «за» всем своим объёмом.
Поскольку система управления проектом привязана к количеству токенов на кошельке, предложение было автоматически одобрено. Средства мгновенно переместились на адрес атакующего.
Текущее состояние украденных средств
На момент анализа часть активов уже сменила адрес. Из 4,426 трлн BONK:
- 40 млрд BONK ($188 тыс.) были переведены на биржу OKX;
- 4,386 трлн BONK ($19,3 млн) остаются на кошельке EXaJnm…eh42.
Похоже, хакер не спешит выводить оставшиеся средства. Возможно, он выжидает более благоприятной рыночной конъюнктуры или готовит следующий шаг.
Корень проблемы — в управлении, а не в коде
Участники криптосообщества справедливо отметили, что на этот раз проблема кроется не в уязвимости смарт-контрактов, а в архитектуре управления проектом. Сам код оставался надёжным, но механизм голосования, где каждый токен даёт право голоса, позволил злоумышленнику сконцентрировать достаточную силу для манипуляции.
Этот инцидент — серьёзный сигнал для всех проектов, использующих DAO. Управление на основе токенов без дополнительных механизмов защиты (например, временных задержек или многоуровневого одобрения) остаётся одной из самых слабых точек в экосистеме DeFi.
Мнение эксперта: Данная атака демонстрирует фундаментальную проблему многих DAO — концентрацию власти в руках крупных держателей токенов. Пока проекты не внедрят более сложные системы управления, такие как делегированное голосование или квадратичное голосование, подобные инциденты будут повторяться. BONK повезло, что ущерб ограничился $16,8 млн — могло быть гораздо хуже.