Атака на управління BonkDAO на Solana вивела з казначейства близько $20 млн

У вівторок BonkDAO втратила приблизно $20 млн зі свого казначейства через одну шкідливу пропозицію в системі управління. Інцидент оголив вразливість моделей голосування, де вага голосу визначається кількістю токенів, зокрема в екосистемі Solana. За даними первинного повідомлення, зловмисник непомітно сформував контрольний пакет для голосування, скупивши BONK орієнтовно на $4 млн — цього вистачило, щоб провести потрібне рішення. Втрати припали на невдалий момент: BONK залишається одним із найбільших мемкоїнів Solana за ринковою капіталізацією, а казначейство DAO призначене для грантів екосистемі, стимулів ліквідності та маркетингових кампаній. Виведення $20 млн однією пропозицією ставить під сумнів тезу, що великі холдери автоматично захищають кошти спільноти. Як відбулася атака Злам смартконтрактів не був потрібен. Схема виявилася простішою: купити достатньо токенів управління, аби домінувати в голосуванні. Після накопичення позиції на близько $4 млн у BONK зловмисник подав на вигляд стандартну пропозицію про переказ із казначейства. Після закриття голосування приблизно $20 млн у BONK було переведено на адреси під контролем атакувальника. BonkDAO заявила, що ідентифікувала біржові акаунти, через які купувалися токени для формування голосів до подання пропозиції. Далі команда координує дії з біржами, мостами та Solana Foundation, щоб заморозити активи або відстежити їхній рух. Час тут критичний: у комплаєнс-команд централізованих бірж часто є лише коротке вікно, щоб відмітити підозрілі виведення, доки активи не пройшли через міксери або кросчейн-маршрути. Слабкість токен-зваженого управління DAO, що спираються на "чисте" токенове голосування, критикують роками, а сектор мемкоїнів особливо повільно впроваджує запобіжники на кшталт таймлоків, кворумів, прив'язаних до активної участі, або багатофазного розгляду пропозицій. Багато мемкоїн-DAO оптимізують процес під швидкість і залучення спільноти, а не під захист казначейства. Інцидент відповідає сценарію, про який неодноразово попереджали дослідники governance: капіталомісткий гравець може скупити достатньо токенів і протягнути майже будь-яке рішення в мережах, де управлінська влада коштує відносно дешево, а концентрація низька. Попри значний розмір казначейства BonkDAO, ліквідність токена управління не зробила купівлю на $4 млн особливо помітною до завершення голосування. Водночас ширша активність DeFi та розробників у Solana залишається високою. Як зазначав BlockchainReporter у нещодавньому огляді топ-блокчейнів за активністю розробників, Solana й далі приваблює "білдерів" — тренд, що існує окремо від спекулятивних хвиль, які рухають казначействами мемкоїнів. Спроби відновлення та наступні кроки Ключове питання — чи вдасться повернути хоча б частину виведених BONK. Централізовані біржі, які контролюють акаунти, пов'язані з атакою, можуть заморозити залишки, але якщо токени вже виведені з платформи або продані, шанси різко падають. Участь Solana Foundation дає певну надію на замороження ончейн-активів, хоча рішучий опонент зазвичай закладає такі ризики заздалегідь. Невизначеність зберігається й щодо того, як BonkDAO змінюватиме параметри управління. Спільнота, ймовірно, вимагатиме вищих порогів для подання пропозицій і обов'язкових періодів затримки, але для цього потрібне нове голосування — саме той механізм, який щойно було скомпрометовано. Короткостроковим варіантом може стати тимчасове "multisig"-вето під контролем обмеженого кола довірених учасників: це централізує рішення, зате дає час на обговорення сталих змін. Для ширшого "коридору" мемкоїнів Solana атака стала нагадуванням: розмір казначейства не замінює його захист. Інші DAO з восьмизначними резервами токенів тепер зіткнуться з тиском пояснити, чому їхні моделі управління не можна обіграти, витративши лише частку вартості власного казначейства.