BonkDAO загуби $20 млн след BIP #76 и трансфер на 4.426 трлн. BONK
BonkDAO съобщи за злонамерена атака срещу управлението на проекта, при която гласова тежест, придобита преди вота, е използвана за източване на средства от трезора.
BonkDAO,“децентрализираната“ организация зад Solana мемкойна BONK, съобщи, че treasury портфейлът на проекта е бил източен чрез злонамерено governance предложение. По данни на официалния X акаунт на BONK, атаката е довела до източване на приблизително $20 млн. в BONK токени от BonkDAO treasury.
Случаят е свързан с BIP #76 – Sowellian BonkDAO, предложение в Solana Realms, което е преминало с огромно мнозинство и е изпълнило инструкция за прехвърляне на 4,426,104,450,305 BONK към адрес, контролиран от нападателя. Самият вот показва 882.38 млрд. BONK „Yes“ срещу 710.85 млн. BONK „No“, при кворум от 1%.
BonkDAO заяви, че по време на разследването са идентифицирани борсови портфейли, използвани за придобиване на BONK преди предложението. Проектът работи с борси, bridge доставчици, Solana Foundation и органите на реда за проследяване на средствата и установяване на отговорните лица.
BIP #76 премести 4.426 трлн. BONK чрез Realms
Предложението BIP #76 е било озаглавено „Sowellian BonkDAO“ и е описвало промени в управлението на DAO структурата. В предложението се посочва въвеждане на ново управление, назначаване на нови членове и съвет, както и мерки за „монетизиране на активите“ и „спиране на загубите“. Основният проблем не е в риториката на предложението, а във вградената инструкция за директен трансфер от портфейла с резервите на BonkDAO.
Ключовите данни от вота и приложените ончейн екрани са следните:
- Предложение: BIP #76 – Sowellian BonkDAO
- ID на предложението: 6wR1jdhhJ31bbdRNXva8MxqsgsNLKTxargcdAyZ7FcRj
- Realm: 84pGFuy1Y27ApK67ApethaPvexeDWA66zNV8gm38TVeQ
- Yes: 882.383 млрд. BONK
- No: 710.85 млн. BONK
- Кворум: 1%, изпълнен почти изцяло от големия yes-wallet
- Прехвърлена сума: 4,426,104,450,305 BONK
- Адрес получател: 9bxWkNf3BtJ6iehq9KbX9uCWMjem4TFiPZ19T2sYJHvQ
- Транзакция, с която е изпълнен трансферът: 5tPU1srcRcnmiB7KJi2WQ7cK4zuq5iKTMrSCLjq7hvGjuK4KUTmaHfwicixkJa5jZJmp3y98T7r2qecKV5mWw8P
Борсовите портфейли насочиха вниманието към придобиването на гласова тежест
Първоначалните ончейн разбори от общността не подкрепят версията за класически вот чрез флаш заем. По-вероятната картина е натрупване или придобиване на BONK през портфейли на централизирани борси преди ключовия вот.
Според приложената разбивка основният портфейл, гласувал „За“, започващ с CyEE и завършващ на ypQ, е получил около 884 млрд. BONK на 4–5 юли. Посочените потоци включват приблизително 530.4 млрд. BONK от горещ портфейл на Binance и около 351.9 млрд. BONK от горещ портфейл на Bybit, след което 882.285 млрд. BONK са били заключени в управлението на Realms и използвани за глас „За“.
Тази част трябва да се третира като ончейн анализ от общността, а не като официално заключение на BonkDAO. Официално потвърденото от проекта е, че са идентифицирани борсови портфейли, използвани за покупка на BONK преди предложението.
След инцидента Kraken временно спря депозитите и тегленията на BONK заради текущ проблем, засягащ токена. Борсата заяви, че BONK в акаунтите на клиентите остава безопасен и че депозитите и тегленията ще бъдат възобновени, когато това може да стане сигурно.
Upbit също е спряла депозитите и тегленията на BONK. Борсата е посочила мерки за защита на потребителите след обстоятелствата около инцидента със сигурността.
Атаката показва слабостта на ликвидното токен-гласуване
BIP #76 не изглежда като експлойт на базовия слой на Solana. По наличните данни механизмът е атака чрез управление, при която участник натрупва достатъчна гласова тежест чрез токени, прокарва предложение и използва правилата на DAO системата, за да изведе средства от портфейла на трезора.
Най-слабите точки в конфигурацията са видими още от данните около вота:
- праг за кворум от 1%;
- праг за създаване на предложение от 100 млн. BONK;
- време за задържане на инструкцията от 0 секунди;
- директна инструкция за трансфер от трезора през Realms;
- липса на ефективно времево заключване или мултиподписен контрол за голям трансфер.
Случаят с BonkDAO показва слабост, която често се прикрива зад езика на „децентрализираното управление“ при мем токени и нискокачествени алтернативни криптоактиви. Ако гласовата тежест може да бъде купена непосредствено преди вот, управлението не е устойчив консенсус, а механизъм, уязвим към капиталова атака.
При подобни DAO модели токенът не е само пазарен актив. Той се превръща в инструмент за контрол върху трезора. Създава се конфликт между спекулативната ликвидност на токена и сигурността на резервните активи. Колкото по-лесно се купува влияние, толкова по-слаб става аргументът, че системата е реално децентрализирана.
За пазара ефектът не се изчерпва с цената на BONK. Рискът засяга така или слабото доверие към мемекойните в екосистемата на Солана, към платформите за децентрализирано управление и към трезори, които държат значителна стойност без времево заключване, мултиподписен (multisig) контрол или по-строги правила за изпълнение.
Тук контрастът с Биткойн е съществен. Биткойн няма централен трезор, маркетингов съвет или ликвиден governance токен, чрез който един участник да купи контрол и да премести резервите с един вот. Промените в протокола изискват широк технически, икономически и социален консенсус между възли, разработчици, майнъри, компании и потребители.
Разликата е в модела на доверие. При Биткойн правилата са изключително трудни за промяна и не зависят от моментна токен-тежест. При много шиткойни и DAO структури управлението често изглежда децентрализирано само докато не се появи участник с достатъчно капитал, за да използва самите правила срещу проекта.
Източници:
1. Официален X профил на BONK!!! (@bonk_inu) — официална позиция на проекта.
2. Solana Realms – BIP #76 „Sowellian BonkDAO“ — ончейн страница на предложението.
3. Solscan – Balance Changes на адреса получател.
4. Solscan – транзакция за изпълнение на трансфера.
5. Kraken Status — официална статус страница на Kraken за временното ограничаване на депозитите и тегленията на BONK след инцидента.
6. Upbit Customer Center Notice — официално съобщение на Upbit за мерките около депозитите и тегленията на BONK след инцидента.