Децентрализованная организация BONK DAO, управляющая одноименным мемкоином в сети Solana, лишилась примерно 20 млн долларов после того, как злоумышленник получил достаточное количество голосов для принятия вредоносного предложения.

По данным аналитиков, атака готовилась несколько дней. Сначала неизвестный пользователь внес предложение о переводе средств из казны DAO на подконтрольный ему криптокошелек. Для его одобрения требовалось набрать минимальный кворум, установленный правилами управления проектом.

Чтобы обеспечить необходимое количество голосов, злоумышленник приобрел около 1% общего предложения токена BONK, потратив на это порядка 4,4 млн долларов. Часть токенов, как сообщается, была куплена на централизованных криптобиржах, а дополнительные средства могли быть привлечены через DeFi-платформы.

Голосование завершилось успешно: инициативу поддержали всего семь кошельков, тогда как более 18 тысяч участников DAO не приняли в нем участия. Общая явка составила лишь около 2,9%, однако этого оказалось достаточно для достижения необходимого порога.

После утверждения предложения смарт-контракт автоматически выполнил перевод примерно 4,43 трлн токенов BONK, стоимость которых оценивается почти в 20 млн долларов, на адрес злоумышленника.

Эксперты отмечают, что все действия были выполнены в рамках действующих правил протокола. Злоумышленник не взламывал смарт-контракты и не использовал технические уязвимости — он воспользовался особенностями модели ончейн-управления, при которой вес голоса напрямую зависит от количества принадлежащих пользователю токенов.

Инцидент вновь привлек внимание криптосообщества к рискам децентрализованного управления. Аналитики считают, что проекты с крупными казначействами должны пересматривать механизмы голосования, включая повышение требований к кворуму, внедрение дополнительных проверок и защиту от концентрации голосов в руках одного участника.