4,4 milhões arrebatam 20 milhões, o atacante pode ser um "dos nossos"? A governança DeFi tornou-se uma piada.

Já viu o assalto mais "legal" que existe?

Na madrugada de 6 de julho, o BonkDAO do ecossistema Solana foi esvaziado.

Não foi um ataque de hacker, nem uma vulnerabilidade de contrato.

Foi uma votação.

O atacante gastou 4,4 milhões de dólares para comprar tokens BONK e submeteu uma proposta de governança chamada "BIP #76 - Sowellian BonkDAO".

Na superfície, dizia "reconstruir das cinzas, monetizar posições, estancar a hemorragia", prometendo recompensas em BONK a todos que votassem a favor.

Na realidade, a proposta tinha apenas uma instrução válida:

Transferir os 4,4 triliões de BONK do tesouro diretamente para a carteira do atacante.

— Todo o processo, tecnicamente, era totalmente legal.

A proposta foi aprovada.

O tesouro ficou vazio.

O atacante fugiu.

E os resultados da investigação mais recente mudaram completamente a natureza do incidente.

A agência de segurança on-chain Specter rastreou os fundos e descobriu:

O endereço do atacante tinha vestígios de movimentações de fundos com os endereços do fundador da Realms e do Crypto Notte.

O que é a Realms?

É a plataforma de governança usada para a votação do BonkDAO.

A investigação também descobriu que um endereço relacionado ao atacante foi o primeiro a votar numa proposta de teste criada pelo fundador da Realms em janeiro de 2023, e recebeu 1 DEANS transferido da Realms.

Mais absurdo ainda — o BonkDAO tem mais de 18.000 membros registados.

Apenas 7 carteiras votaram.

O atacante usou os votos a favor de 7 carteiras para levar 20 milhões de dólares.

18.000 pessoas em silêncio, 7 pessoas decidiram tudo.

O ex-CTO da Ripple, David Schwartz, classificou diretamente: isto é fraude corporativa. Os tribunais estaduais não aceitarão a defesa de "código é lei".

O código é legal, mas a ação é fraudulenta.

O que isto nos diz?

Primeiro, a "governança descentralizada" está a tornar-se uma piada.

Um limiar de votação de 1%, 4,4 milhões de dólares bastam para o comprar.

Segundo, a vulnerabilidade mais perigosa não é o código, são as pessoas.

Se o atacante estiver realmente ligado internamente à plataforma de governança —

então isto não é um ataque externo.

É um traidor com a chave, a entrar pela porta da frente e a levar o cofre.

Terceiro, parem de dizer "código é lei".

O código pode executar perfeitamente uma transferência maliciosa.

Mas o código não lhe dirá — quem é essa pessoa por detrás da transferência. #GUSD年化升至3.8% #美终止对伊朗石油制裁豁免 $BTC $SOL $BONK