BONK DAO только что потерял $20M — без единого взлома смарт-контракта.

Это была не эксплойт. Это была манипуляция управлением.
Вот как именно атакер провернул это:
➤ Накопил ~$4M в $BONK , чтобы получить значительную силу голоса.
➤ Подал злонамеренное предложение по управлению с просьбой перевести 4,4 триллиона BONK (~$20 млн) на кошелек, который они контролировали.
➤ Предложение оставалось в значительной степени незамеченным в течение 7-дневного периода голосования.
➤ Непосредственно перед закрытием голосования атакер использовал свою силу голоса, чтобы принять предложение.
➤ Поскольку DAO автоматически выполняла одобренные предложения, казна перевела токены без взлома какого-либо смарт-контракта.
➤ Затем атакер продал токены, превратив предполагаемые инвестиции в $4M в примерно $20 млн.
Ключевой вывод:
Это был не взлом протокола, это была атака на управление.
Когда токены управления становятся концентрированными, атакеры могут фактически «купить» контроль над DAO и законно вывести средства казны через голосование на блокчейне, если отсутствуют надлежащие меры защиты.
Сильное управление требует большего, чем просто безопасные смарт-контракты. Оно также нуждается в защите, такой как пороги кворума, мониторинг голосов, задержки выполнения (таймлоки) и механизмы экстренного вето.
BONK DAO заявила, что уведомила правоохранительные органы и активно работает над возвратом украденных средств.