BonkDAO зазнав атаки на управління: як атакуючий зміг за допомогою 4,4 мільйона доларів використати скарбницю DAO на 20 мільйонів доларів?

6 липня 2026 року провідний мем-проект екосистеми Solana, BonkDAO, зазнав зловмисної атаки на управління. Зловмисник за допомогою шкідливої пропозиції управління перевів приблизно 20 мільйонів доларів у токенах BONK з казначейства DAO. На відміну від традиційних атак на вразливості смарт-контрактів, ця атака повністю використала механізм ланцюжкового управління DAO — зловмисник витратив близько 4,4 мільйона доларів на купівлю токенів BONK, щоб отримати достатню кількість голосів, а потім одноосібно провів пропозицію та виконав переказ коштів. Цей інцидент не лише спричинив значне падіння ціни BONK, але й викликав глибокі роздуми в індустрії щодо безпеки управління DAO.

Як зловмисник викрав 20 мільйонів доларів через голосування за управлінням?

Початок цієї атаки можна простежити до 30 червня. Анонімний гаманець подав пропозицію під назвою "BIP 76 - Sowellian BonkDAO" на платформі управління Realms екосистеми Solana. Пропозиція нібито мала на меті впровадити новий план управління, "відбудувати з руїн" та "реалізувати активи", але її справжньою метою було переведення приблизно 4,426 трильйона токенів BONK (вартістю близько 20 мільйонів доларів) з казначейства на гаманець, контрольований зловмисником.

Згідно з правилами управління BonkDAO, для прийняття пропозиції необхідно досягти кворуму у 1% від загальної пропозиції BONK, тобто близько 879,95 мільярда токенів BONK. У період з 4 по 5 липня зловмисник витратив близько 4,4 мільйона доларів на купівлю токенів BONK через кілька бірж, досягнувши саме цього порогу.

Голосування завершилося 6 липня. Дані показують, що лише 7 гаманців взяли участь у голосуванні, тоді як понад 18 000 членів BonkDAO не брали участі, що становить лише 2,9% явки. Адреса, контрольована зловмисником, мала 99,878% ваги голосів, і пропозиція була прийнята 99,9% голосів "за". Після прийняття пропозиції приблизно 20 мільйонів доларів у BONK автоматично перейшли з казначейства на гаманець зловмисника. Після завершення переказу коштів зловмисник також перейменував DAO на "Sowellian BonkDAO".

Чому токенне голосування стало Ахіллесовою п'ятою безпеки DAO?

Суть цієї атаки полягає в зловмисному використанні недоліків, властивих механізму зваженого голосування токенами. Зловмисник не знайшов жодних вразливостей смарт-контрактів і не зламав жодних криптографічних механізмів — він лише купив токени на відкритому ринку, подав пропозицію та проголосував "за". Кожен крок був "легальним" у мережі, але разом вони склали крадіжку.

Основна проблема полягає в дизайні управління "купив і голосуй". Якщо механізм управління дозволяє користувачам купувати токени в той же день і використовувати їх для голосування, зловмисник отримує можливість "блискавичної атаки". У більш екстремальних випадках, якщо протокол не підтримує механізми захисту від флеш-кредитів, зловмисник може навіть отримати величезну кількість токенів для голосування за допомогою позики. Протягом 2025-2026 років кілька протоколів на Solana та інших мережах зазнали подібних атак на маніпулювання управлінням, причому вразливості флеш-кредитів були особливо поширеними.

Інша ключова вразливість атаки на BonkDAO — низька явка виборців. Понад 18 000 членів не брали участі в голосуванні, що дозволило зловмиснику прийняти пропозицію, яка стосувалася активів казначейства на 20 мільйонів доларів, лише за допомогою 7 гаманців і 2,9% явки. Це виявило глибоке протиріччя: влада управління DAO теоретично належить усім власникам токенів, але на практиці voter apathy (апатія виборців) зосереджує владу управління в руках невеликої активної меншості.

Куди пішли кошти після атаки? Чому Upbit призупинив депозити та виведення?

Після атаки вкрадені токени BONK почали швидко переміщуватися на кілька криптовалютних бірж. Дані мережі показують, що приблизно через 9 годин після завершення атаки близько 188 000 доларів було відправлено на одну біржу, ймовірно, для реалізації; решта близько 19 мільйонів доларів були переведені на мультипідписний гаманець, що вимагає кількох схвалень для переказу коштів.

Надходження вкрадених коштів на біржі безпосередньо викликало реакцію на ринку. Південнокорейська біржа Upbit після інциденту оголосила про тимчасове призупинення послуг депозиту та виведення BONK, щоб обмежити потенційний потік вкрадених активів через її платформу. Цей крок є досить поширеним у випадках великих атак на токени — зловмисники зазвичай намагаються конвертувати вкрадені активи в більш ліквідні криптовалюти або перемістити їх через централізовані платформи, перш ніж відстеження стане ефективним.

BonkDAO повідомив, що звернувся до правоохоронних органів і співпрацює з біржами, містовими мостами, Фондом Solana та відповідними правоохоронними органами для відстеження вкрадених коштів і вивчення можливостей їх повернення. Однак, коли токени переміщуються на кілька платформ, обмінюються на інші активи або проходять через мікшери, складність повернення значно зростає.

Чому ціна BONK впала більш ніж на 9% після розкриття атаки?

Ринок швидко та безпосередньо відреагував на крадіжку з казначейства. Згідно з даними Gate, станом на 7 липня 2026 року BONK впав більш ніж на 9% після розкриття атаки. Дані The Block показують, що після того, як вкрадені BONK почали надходити на біржі, це створило прямий тиск на ціну токена.

Падіння ціни відображає два рівні ринкових побоювань. Перший рівень — це прямі втрати з казначейства — 20 мільйонів доларів становлять значну частку активів казначейства BonkDAO, і виснаження казначейства безпосередньо вплинуло на стійкість майбутніх ініціатив спільноти та заходів із спалювання токенів. Другий рівень — це потенційний тиск продажів — ринок побоюється, що зловмисник може спробувати продати вкрадені токени на централізованих біржах, що призведе до подальшого удару по ліквідності та ціні BONK у разі масштабного скидання.

Варто зазначити, що BONK, як один із найвідоміших мем-токенів на Solana, вийшов за рамки типової торгівлі мем-токенами і був включений до деяких біржових продуктів. Цей ринковий статус посилив руйнівну дію атаки на управління — крадіжка з казначейства викликала не лише коливання цін, але й кризу довіри до внутрішнього управління проектом та контролю ризиків.

Від BonkDAO до галузевої норми: еволюція атак на управління DAO

Атака на BonkDAO не є поодиноким випадком, а останньою в хвилі атак на управління DAO протягом 2025-2026 років. Ці атаки демонструють чітку тенденцію: зловмисники переходять від використання традиційних вразливостей смарт-контрактів до маніпулювання "в межах правил" механізмами управління.

По-перше, зростає асиметрія між витратами та прибутком від атаки. У цій атаці зловмисник витратив лише близько 4,4 мільйона доларів на купівлю токенів, щоб отримати доступ до активів казначейства вартістю близько 20 мільйонів доларів, що дало майже 5-кратний важіль. Ця асиметрія робить атаки на управління дуже привабливим вектором.

По-друге, методи атак зміщуються від технічних вразливостей до вразливостей системи. На відміну від традиційних хакерських атак DeFi, які покладаються на технічні засоби, такі як повторні атаки або маніпулювання оракулами, атаки на управління використовують самі правила. Це ускладнює класифікацію та запобігання таким атакам — це не "вразливість коду", а "вразливість системи".

По-третє, атаки прискорюють "індустріалізацію". 7 липня 2026 року, приблизно в той же час, коли відбулася атака на BonkDAO, компанія з блокчейн-безпеки Blockaid також виявила активну атаку на протокол DeFi-доходу Summer.fi, з якої було виведено близько 6 мільйонів доларів. Атаки на управління та вразливості безпеки вражають всю децентралізовану фінансову екосистему з більшою частотою та масштабом.

Які ключові лінії оборони потрібні для безпеки казначейства DAO?

Атака на BonkDAQ виявила численні прогалини в розробці безпеки управління DAO. Галузь вважає, що наступні механізми безпеки мають стати стандартною конфігурацією для управління казначейством DAO.

Тимчасовий замок є однією з найосновніших ліній оборони. Тимчасовий замок встановлює затримку між прийняттям пропозиції та її фактичним виконанням, даючи спільноті, розробникам і дослідникам час виявити та заблокувати будь-які аномальні дії. У BonkDAO був відсутній ефективний механізм затримки виконання, що дозволило майже миттєво перевести кошти після прийняття пропозиції.

Мультипідпис є ще одним ключовим бар'єром. Використання мультипідписного гаманця для контролю коштів казначейства, що вимагає спільного схвалення кількох довірених підписантів для виконання великих переказів, може ефективно запобігти виснаженню казначейства через одну зловмисну пропозицію.

Механізм екстреного гальмування забезпечує останню лінію оборони. Мультипідпис опікунів, обраних через управління, може скасувати зловмисні або помилкові пропозиції протягом вікна тимчасового замку. Такий механізм уже реалізований у зрілих проектах, таких як ENS DAO.

Крім того, механізм знімка прав голосу може запобігти атакам "купив і голосуй" — визначаючи право голосу на момент подання пропозиції, а не на момент голосування, зловмисник не може тимчасово купити токени для отримання права голосу протягом вікна голосування. Підвищення порогу кворуму також може ефективно запобігти маніпулюванню управлінням при низькій явці.

Висновок: урок управління вартістю 20 мільйонів доларів

Крадіжка 20 мільйонів доларів із BonkDAO є одним із найпоказовіших інцидентів безпеки управління DAO у 2026 році. Вона майже "підручниковим" способом продемонструвала фатальну вразливість механізму зваженого голосування токенами без відповідних заходів безпеки — зловмиснику не потрібно зламувати код, достатньо зрозуміти правила та використати їх.

Галузеві уроки цього інциденту є багатошаровими. Для проектів DAO дизайн механізму управління не може зупинятися на рівні концепції "децентралізації", а повинен включати такі заходи безпеки, як тимчасовий замок, мультипідпис, екстрене гальмування та знімок прав голосу, як обов'язкові стандарти управління казначейством. Для власників токенів участь в управлінні є не опцією, а обов'язком — низька явка сама по собі є найбільшою вразливістю безпеки. Для галузі атаки на управління DAO переходять від випадкових інцидентів до системного ризику, що вимагає створення більш досконалих стандартів безпеки управління та рамок аудиту.

Чи вдасться повернути вкрадені кошти, залишається невизначеним. Але безсумнівно, що ціна в 20 мільйонів доларів змушує всю галузь переглянути основи безпеки управління DAO.

FAQ

Q: Скільки саме витратив зловмисник на атаку BonkDAO?

Зловмисник витратив близько 4,4 мільйона доларів на купівлю токенів BONK, щоб досягти 1% кворуму голосування. Завдяки цим токенам зловмисник отримав 99,878% ваги голосів.

Q: Чи використовувала ця атака вразливості смарт-контрактів?

Ні. Ця атака повністю використала механізм ланцюжкового управління DAO, а не вразливості коду смарт-контрактів. Зловмисник легально купив токени, подав пропозицію та проголосував, виконавши переказ коштів у рамках правил.

Q: Куди наразі спрямовані вкрадені кошти?

Вкрадені токени BONK на суму близько 20 мільйонів доларів після атаки почали надходити на кілька криптовалютних бірж. Близько 188 000 доларів було відправлено на одну біржу, ймовірно, для реалізації; решта близько 19 мільйонів доларів були переведені на мультипідписний гаманець.

Q: Чому Upbit призупинив депозити та виведення BONK?

Південнокорейська біржа Upbit після виявлення надходження вкрадених BONK на біржі оголосила про тимчасове призупинення послуг депозиту та виведення BONK, щоб обмежити потенційний потік вкрадених активів через її платформу.

Q: Як проекти DAO можуть запобігти подібним атакам на управління?

Галузь загалом рекомендує проектам DAO впроваджувати такі заходи безпеки, як тимчасовий замок (затримка виконання пропозицій), мультипідпис (схвалення великих транзакцій кількома особами), механізм екстреного гальмування (право скасування зловмисних пропозицій) та знімок прав голосу (запобігання тимчасовій купівлі голосів).

Q: Яка поточна ціна BONK?

Згідно з даними Gate, станом на 7 липня 2026 року BONK впав більш ніж на 9% після розкриття атаки і наразі торгується близько 0,00000426 долара.