Зловмисник через управління BonkDAO вивів 4,4 трлн BONK і продав 800 млрд

Анонімний учасник здійснив одну з найзухваліших крадіжок коштів DAO цього року, не використовуючи жодних вразливостей смартконтрактів. Через механіку управління він вивів із казначейства BonkDAO близько 4,426 трлн токенів BONK. Частину здобичі вже реалізовано: 800 млрд BONK продано приблизно за $2 млн, ще близько 2,4 трлн токенів залишаються на гаманці зловмисника. Як спрацювала схема Зловмисник накопичив близько 882 млрд BONK, витративши орієнтовно $4,4 млн. Такого пакета вистачило, щоб перевищити кворум BonkDAO — мінімальний рівень участі, необхідний для ухвалення пропозиції. Після цього було подано та проведено шкідливу пропозицію, яка спрямувала кошти казначейства на контрольований ним гаманець. Усі дії відбулися через легітимні ончейн-транзакції. Жодних флеш-позик, реентрансі-атак чи експлуатації багів смартконтрактів не застосовували. Загальний обсяг виведених активів становив приблизно 4,426 трлн BONK, що на момент інциденту оцінювали в $20–21 млн. За інвестиції на рівні $4,4 млн це виглядає як надприбуткова операція. Розпродаж і реакція ринку Невдовзі після атаки ціна BONK обвалилася на 79% і торгувалася близько $0,00000383. Поки що зловмисник ліквідував 800 млрд BONK приблизно за $2 млн. Одноразовий продаж усіх 4,4 трлн токенів міг би ще сильніше вдарити по котируваннях і знизити цінність залишку, тому невиведені 2,4 трлн BONK створюють постійний навіс пропозиції: учасники ринку змушені закладати ризик нового продажу в будь-який момент. Чому це важливо не лише для BONK Історія з BonkDAO підсвічує давню проблему токен-зваженого управління в криптоіндустрії. Коли вага голосу пропорційна обсягу токенів, достатній капітал дозволяє тимчасово перехопити контроль над протоколом. Типові запобіжники — таймлоки на голосування та виконання рішень, мультипідписні механізми для доступу до казначейства, а також багаторівневі пороги для пропозицій, що зростають разом із сумою коштів, яку планують перемістити. Судячи з інциденту, в BonkDAO принаймні частина таких захистів була недостатньою. На що звернути увагу інвесторам Головний ризик для власників BONK — 2,4 трлн токенів, що лишаються на гаманці зловмисника. Ончейн-моніторинг може відстежувати цей гаманець, але коли продажі стають помітними, ринок часто вже отримує удар. Якщо вкладення $4,4 млн здатне відкрити доступ до $20 млн у казначействі, стимули для подібних атак виглядають надто привабливими. Інвесторам варто перевіряти параметри управління в будь-яких DAO-керованих токенах: вимоги до кворуму, таймлоки пропозицій, контролі доступу до казначейства, наявність мультисигу чи механізму вето як резервного запобіжника.