Як зловмисник купив голосування в BONK DAO та вивів $20 мільйонів

Децентралізована організація мем-коіна BONK у мережі Solana втратила близько $20 мільйонів через голосування, яке зовні виглядало як звичайна пропозиція учасників. Смарт-контракт ніхто не зламував. Зловмисник просто купив достатньо токенів, щоб самостійно провести потрібне рішення і без жодного стороннього втручання вивести кошти собі.

Що саме сталося?

Історія почалася 30 червня, коли анонімний гаманець подав пропозицію під назвою "BIP #76 - Sowellian BonkDAO". Формально вона обіцяла "відродити проєкт із попелу" і зупинити падіння капіталізації токена. У тексті ховався один пункт, який справді мав значення: переказ 4,43 трильйона BONK на гаманець автора пропозиції. BONK DAO управляє спільною казною проєкту, з якої фінансують розробку, маркетинг і викуп токенів, тож саме ця казна й стала мішенню для атаки.

4 і 5 липня окремий гаманець почав скуповувати BONK на біржах Binance та Bybit, витративши на це близько $4,4 мільйона. Частину суми, за даними аналітичної компанії Lookonchain, він отримав через позики в DeFi-протоколах. Мета полягала в тому, щоб зібрати рівно стільки токенів, скільки потрібно для проходження кворуму, і жодного токена понад цю суму.

Як працює голосування, яким скористався зловмисник?

Кілька років тому ончейн-управління подавали як майбутнє децентралізованих спільнот. Власники токенів голосують за пропозиції, а не рада директорів приймає рішення кулуарно. BONK DAO влаштована саме так. Будь-який власник достатньої кількості токенів може подати пропозицію, і якщо голосування набирає потрібний кворум, рішення виконується автоматично, без жодного втручання людини.

Кворум становив лише 1% від загальної пропозиції токенів BONK. Голосування пройшло 6 липня. У ньому взяли участь лише сім гаманців із понад 18 тисяч учасників DAO. Поріг подолали з мінімальним запасом, буквально на кілька мільярдів токенів більше за необхідний мінімум.

Низький кворум це звичне явище для великих DAO. Коли тисячі власників токенів розкидані по біржах і гаманцях, зібрати активну більшість майже неможливо, тож проєкти навмисно знижують поріг, аби рішення взагалі могли ухвалюватися. Саме цей компроміс і використав зловмисник. Поріг був низьким не через недбалість розробників, а через звичайну практику галузі.

Текст пропозиції читався радше як рекламний допис, ніж як юридичний документ управління фондом. Автор обіцяв додаткові токени всім, хто проголосує "за". Приманка спрацювала. До основного пакета зловмисника додалися голоси кількох дрібних власників BONK, які й не підозрювали, що підтримують переказ казни на чужий гаманець.

• Приманка для голосів: обіцянка бонусних токенів залучила дрібних власників BONK підтримати пропозицію
• Голосування набрало 99,9% підтримки, бо фактично один гравець погодився сам із собою
• Кожен окремий крок (купівля, голосування, виплата) був звичайною ончейн-транзакцією
• Саме легальність кожного кроку ускладнює юридичну кваліфікацію того, що сталося

Куди зникли викрадені токени?

Одразу після голосування близько $20 мільйонів BONK перейшли з казни на гаманець зловмисника. За даними аналітичної компанії Chainalysis, приблизно через дев'ять годин $188 000 з цієї суми відправили на біржу, ймовірно для обміну на інші активи. Основну частину, близько $19 мільйонів, перевели на мультипідписний гаманець, розпорядитися яким можна лише за схваленням кількох ключів одразу. Такий крок звично вповільнює будь-яку спробу заморозити кошти, адже для переказу з мультипідпису потрібна згода кількох окремих ключів одночасно, а не дія однієї особи.

Ще до цього, менш ніж за годину після виведення коштів, зловмисник почав продавати саме ті BONK, які купував для атаки. Він реалізував токенів приблизно на $5,3 мільйона. Пакет, зібраний для перемоги в голосуванні, він продав, а от казну DAO залишив собі, розрахувавши операцію майже без втрат для власного капіталу.

Крадіжка чи недосконалі правила?

BONK DAO підтвердила інцидент і назвала його шкідливою пропозицією управління. Команда повідомила, що вже визначила біржові гаманці, якими користувався зловмисник для купівлі токенів, і співпрацює з біржами, мостами та фондом Solana щодо подальших дій.

У спільноті одразу виникла дискусія. Чи можна назвати крадіжкою те, що складалося виключно з легальних транзакцій? Частина ончейн-спостерігачів наполягає, що зловмисник просто скористався слабкістю правил голосування, а не зламав щось силою. BONK DAO та аналітичні компанії трактують подію як атаку, і саме тому до розслідування залучили правоохоронні органи.

Ціна BONK впала приблизно на 7% протягом доби після атаки. Сама мережа Solana, у якій випущений токен, суттєвих коливань не показала. Інвестори явно відділяють проблему одного проєкту від стану всієї платформи. За оцінкою компанії CertiK, кількість зламів у крипто за першу половину року скоротилася на 47%, але атаки саме на управління DAO лишаються рідкісним типом ризику, який стандартний аудит коду просто не помічає.

Урок для інших DAO-проєктів

Головний висновок історії простий. Казна, якою розпоряджається голосування токенів, захищена рівно настільки, наскільки дорого коштує тимчасово скупити більшість голосів. У випадку BONK ця вартість виявилася вп'ятеро меншою за суму, яку вдалося вивести.

Для інших DAO-проєктів це привід переглянути параметри кворуму та швидкість виконання рішень. Атака стала можливою через поєднання низької явки та миттєвого автоматичного виконання переказу. Без затримки чи додаткової перевірки такі рішення важко зупинити навіть за кілька годин до їхнього виконання, а десятки інших проєктів з подібною моделлю управління ризикують опинитися в тій самій ситуації.

Частина DAO вже запровадила захист від подібних сценаріїв: затримку між ухваленням рішення та його виконанням, ліміти на суму одного переказу з казни, а також окремий орган з правом вето на підозрілі пропозиції. Жоден із цих механізмів не був у BONK DAO на момент атаки. Питання лише в тому, скільки ще проєктів з мільйонними казнами покладаються на голе голосування без додаткових запобіжників.