Утопическое обещание самоуправления сообществ в криптоэкосистеме только что получило суровый удар реальности. Децентрализованная автономная организация (DAO) за популярной #memecoin из #solana , #BONK , была лишена 20 миллионов долларов в ходе манёвра, который вновь открыл самый старый спор в блокчейн-технологиях: является ли кражей то, что позволяет код в рамках правил?
Оportunistický атакующий продемонстрировал, что хранилища DAO столь же безопасны, как и стоимость покупки их большинства голосов. Посредством тщательно рассчитанного выполнения, которое длилось неделю, атакующему удалось вывести средства, используя лишь легитимные механизмы протокола.
Начальные инвестиции: 4–5 июля злоумышленник потратил 4,4 миллиона долларов, чтобы приобрести (и взять в долг) ровно столько токенов BONK, сколько нужно было для достижения хрупкого кворума в 1%, требуемого управлением проекта.
Призрачное голосование: зловредное предложение, с иронией названное «BIP #76 - Sowellian BonkDAO», было одобрено при мизерном участии — 2,9% членов. Почти 7 голосов «за» (99,9% — в виде токенов самого атакующего) позволили пройти порог с минимальным запасом.
Автоматическое снятие: поскольку это было запрограммировано в смарт-контрактах, одобрение предложения мгновенно запустило автоматический перевод 4,426 триллиона BONK (21,2 миллиона долларов) на кошелёк злоумышленника.
Идеальный выход: после того как добыча была закреплена на мультиподписном кошельке, злоумышленник продал на рынке те токены, которые изначально купил для голосования, вернув 5,3 миллиона долларов и финансируя собственный «грабёж» за счёт дополнительной прибыли.
Последствия и споры
После того как стало известно о хищении, цена BONK обвалилась на -9% за 24 часа. BONK DAO охарактеризовал этот акт как вредоносную атаку и уже сотрудничает с биржами, мостами и Фондом Solana, чтобы отслеживать средства и постараться уменьшить ущерб.
Однако для аналитиков блокчейна и защитников кода эта история звучит куда неприятнее: взлома не было, как и вторжения в программное обеспечение. Каждый шаг — покупка, голосование и исполнение — был легитимной транзакцией в рамках правил, установленных самим сообществом BONK.
Великий урок
Это событие выявляет критическую уязвимость в децентрализованных финансах (DeFi): передавать многомиллионную казну на публичные голосования с настолько низкими требованиями к участию — всё равно что приглашение катастрофе. В диком западе криптовалют, если стоимость покупки голосования существенно ниже, чем приз в казне, то это не сбой системы; для атакующего это просто прибыльный бизнес.
