Kho bạc của BonkDAO bị tấn công bởi một đề xuất quản trị độc hại @bonk_inu
Một đề xuất được gọi là Sowellian BonkDAO, tương ứng với Bonk Improvement Proposal #76 , đã bị đóng gói thành một kế hoạch cải cách quản trị. Đề xuất này đưa ra việc thay đổi thành viên và ủy ban, tái thiết DAO, khai thông/thu hồi và phát huy tài sản, đồng thời cam kết sẽ cấp phần thưởng BONK cho các địa chỉ bỏ phiếu ủng hộ.
Sau khi đề xuất được thông qua, khoảng 44 nghìn tỷ (4.4×10^13) token BONK đã được chuyển ra khỏi kho bạc của BonkDAO. Theo giá lúc bấy giờ, tổng giá trị ước tính vào khoảng 19,3 triệu đến 20 triệu USD. Số tiền chảy vào một ví kết thúc bằng JHvQ. Theo theo dõi trên chuỗi, trước đó địa chỉ này từng nhận được hỗ trợ vốn từ các tài khoản Bybit; muộn hơn cùng ngày, số token này lại được chuyển sang một địa chỉ Solana khác kết thúc bằng eh42. Phần thưởng BONK ban đầu cam kết cho những người tham gia bỏ phiếu ủng hộ đến nay vẫn chưa thấy được phân phối thực tế.
Kẻ tấn công không hề bẻ khóa khóa riêng (private key) và cũng không lợi dụng các lỗ hổng hợp đồng đã được công bố. Con đường tấn công xảy ra ở tầng quản trị. Kẻ tấn công đã chuẩn bị trước bằng cách tích lũy lượng nắm giữ BONK và quyền biểu quyết thông qua nhiều ví từ nhiều sàn giao dịch, sau đó đưa một đề xuất có quyền thực thi rủi ro cao vào quy trình quản trị của BonkDAO. Sau khi sự việc xảy ra, BonkDAO xác nhận rằng đã xác định được các ví sàn dùng để mua BONK trước đó. Phân tích on-chain bên ngoài từng ước tính rằng để có được đủ quyền bỏ phiếu, kẻ tấn công có thể chỉ tốn khoảng 4 triệu USD bằng BONK, nhưng cuối cùng đã “rút cạn” gần 20 triệu USD tài sản trong kho bạc.
Tin tức lan truyền khiến BONK có lúc giảm gần 10%. Upbit ngay lập tức tạm dừng nạp/rút BONK, và Kraken cũng áp dụng các biện pháp tương tự. Mục tiêu cốt lõi là ngăn kẻ tấn công chuyển tiền bẩn sang các nền tảng tập trung, rồi đổi sang stablecoin hoặc tiền pháp định. BonkDAO đã thông báo cho cơ quan thực thi pháp luật và phối hợp với các sàn giao dịch, cầu chuyển chuỗi (cross-chain bridge) và Solana Foundation để truy vết dòng tiền, đồng thời nỗ lực yêu cầu phong tỏa và thu hồi.
Một đề xuất được gọi là Sowellian BonkDAO, tương ứng với Bonk Improvement Proposal #76 , đã bị đóng gói thành một kế hoạch cải cách quản trị. Đề xuất này đưa ra việc thay đổi thành viên và ủy ban, tái thiết DAO, khai thông/thu hồi và phát huy tài sản, đồng thời cam kết sẽ cấp phần thưởng BONK cho các địa chỉ bỏ phiếu ủng hộ.
Sau khi đề xuất được thông qua, khoảng 44 nghìn tỷ (4.4×10^13) token BONK đã được chuyển ra khỏi kho bạc của BonkDAO. Theo giá lúc bấy giờ, tổng giá trị ước tính vào khoảng 19,3 triệu đến 20 triệu USD. Số tiền chảy vào một ví kết thúc bằng JHvQ. Theo theo dõi trên chuỗi, trước đó địa chỉ này từng nhận được hỗ trợ vốn từ các tài khoản Bybit; muộn hơn cùng ngày, số token này lại được chuyển sang một địa chỉ Solana khác kết thúc bằng eh42. Phần thưởng BONK ban đầu cam kết cho những người tham gia bỏ phiếu ủng hộ đến nay vẫn chưa thấy được phân phối thực tế.
Kẻ tấn công không hề bẻ khóa khóa riêng (private key) và cũng không lợi dụng các lỗ hổng hợp đồng đã được công bố. Con đường tấn công xảy ra ở tầng quản trị. Kẻ tấn công đã chuẩn bị trước bằng cách tích lũy lượng nắm giữ BONK và quyền biểu quyết thông qua nhiều ví từ nhiều sàn giao dịch, sau đó đưa một đề xuất có quyền thực thi rủi ro cao vào quy trình quản trị của BonkDAO. Sau khi sự việc xảy ra, BonkDAO xác nhận rằng đã xác định được các ví sàn dùng để mua BONK trước đó. Phân tích on-chain bên ngoài từng ước tính rằng để có được đủ quyền bỏ phiếu, kẻ tấn công có thể chỉ tốn khoảng 4 triệu USD bằng BONK, nhưng cuối cùng đã “rút cạn” gần 20 triệu USD tài sản trong kho bạc.
Tin tức lan truyền khiến BONK có lúc giảm gần 10%. Upbit ngay lập tức tạm dừng nạp/rút BONK, và Kraken cũng áp dụng các biện pháp tương tự. Mục tiêu cốt lõi là ngăn kẻ tấn công chuyển tiền bẩn sang các nền tảng tập trung, rồi đổi sang stablecoin hoặc tiền pháp định. BonkDAO đã thông báo cho cơ quan thực thi pháp luật và phối hợp với các sàn giao dịch, cầu chuyển chuỗi (cross-chain bridge) và Solana Foundation để truy vết dòng tiền, đồng thời nỗ lực yêu cầu phong tỏa và thu hồi.
