BonkDAO cho biết một đề xuất quản trị độc hại trên Solana đã khiến khoảng 20 triệu USD BONK bị rút khỏi quỹ cộng đồng, kéo giá token giảm hơn 9%.
Vụ việc liên quan đến cơ chế bỏ phiếu theo trọng số token trên Realms và cho thấy rủi ro an ninh có thể phát sinh ngay trong quy trình quản trị on-chain, không chỉ ở hợp đồng thông minh hay sàn giao dịch.
- Khoảng 20 triệu USD BONK đã bị chuyển khỏi quỹ của BonkDAO sau một đề xuất quản trị được thông qua.
- Người thực hiện được cho là đã gom đủ BONK để chi phối phiếu bầu trên Realms.
- Upbit đã tạm dừng nạp và rút BONK, trong khi BonkDAO phối hợp với các bên liên quan để theo dõi tài sản bị đánh cắp.
BonkDAO bị khai thác qua đề xuất quản trị
BonkDAO đã xác nhận quỹ cộng đồng bị rút khoảng 20 triệu USD BONK sau một đề xuất quản trị độc hại. Đề xuất này tận dụng cơ chế bỏ phiếu theo trọng số token trên Realms của Solana để giành quyền phê duyệt chuyển quỹ.
Cách thức tấn công được mô tả là kẻ tấn công đã mua gom BONK qua các ví sàn trước khi nộp đề xuất, rồi dùng lượng token tập trung đó để khiến đề xuất được thông qua dễ dàng. Sau khi được phê duyệt, lệnh chuyển tài sản từ treasury đã được kích hoạt.
Người tấn công đã làm gì trước khi rút quỹ?
Người thực hiện được cho là đã chi khoảng 4 triệu USD để mua đủ BONK phục vụ cho vụ tấn công. Hiện chưa rõ số token này được tích lũy dần qua sàn hay vay qua flash loan.
Các vụ tấn công tương tự từng xuất hiện trên một số giao thức Solana và cross-chain khác, trong đó kẻ xấu đôi khi dùng flash loan để giành đa số phiếu chỉ trong một giao dịch. Tuy nhiên, chưa có xác nhận trường hợp của BONK đi theo cách nào.
Tác động lên giá BONK và phản ứng từ sàn giao dịch
Giá BONK đã giảm hơn 9% sau khi số token bị đánh cắp bắt đầu được chuyển hướng về các sàn giao dịch. Upbit sau đó thông báo tạm dừng nạp và rút BONK.
BonkDAO cho biết đã nhận diện các ví sàn được dùng để mua token trước khi đề xuất có hiệu lực. Dự án cũng đang phối hợp với các sàn khác, cầu nối và Solana Foundation để theo dõi dòng tiền và tìm cách phong tỏa số tài sản này.
Điểm cần theo dõi tiếp theo
Hiện chưa có mốc thời gian nào cho việc thu hồi số tiền bị thất thoát. Diễn biến tiếp theo phụ thuộc vào khả năng lần theo dòng tiền, phong tỏa tài sản trên các sàn và phản ứng của các bên liên quan trong hệ sinh thái Solana.
Tổng kết
Vụ việc của BonkDAO cho thấy rủi ro từ cơ chế quản trị token-weighted có thể gây thiệt hại trực tiếp cho treasury nếu bị khai thác đúng cách, đồng thời tạo áp lực lên thanh khoản và tâm lý thị trường của BONK.
