BONK DAO щойно втратив $20M - без жодного зламаного смарт-контракту.

Це не був експлойт. Це було маніпулювання управлінням.
Ось як саме атакуючий це здійснив:
➤ Накопичив ~$4M вартості $BONK , щоб отримати значну силу голосу.
➤ Подав шкідливу пропозицію управління з проханням переказати 4,4 трильйона BONK (~$20M) на гаманець, який вони контролювали.
➤ Пропозиція залишалася переважно непоміченою протягом 7-денного періоду голосування.
➤ Безпосередньо перед закриттям голосування атакуючий використав свою силу голосу, щоб прийняти пропозицію.
➤ Оскільки DAO виконувала схвалені пропозиції автоматично, казна перевела токени без порушення жодного смарт-контракту.
➤ Потім атакуючий продав токени, перетворивши приблизні $4M інвестиції на близько $20M.
Ключовий висновок:
Це не був злом протоколу, це була атака на управління.
Коли токени управління концентруються, атакуючі можуть фактично «купити» контроль над DAO і законно вивести кошти казни через голосування в ланцюжку, якщо відсутні належні запобіжники.
Сильне управління потребує більше, ніж просто безпечних смарт-контрактів. Воно також вимагає захисту, такого як кворумні пороги, моніторинг голосувань, затримки виконання (таймлоки) та механізми екстреного вето.
BONK DAO заявила, що повідомила правоохоронні органи та активно працює над поверненням вкрадених коштів.