DAO мем-токена BONK на Solana подверглась атаке через собственную систему управления: злоумышленник провёл вредоносное предложение и автоматически вывел около $20 млн в токенах BONK (примерно 4,4 трлн монет) из казны проекта. Ключ — не взлом кода, а покупка голосов: потратив порядка $4 млн на скупку чуть более 1% предложения BONK на биржах 4–5 июля, атакующий набрал нужный кворум и стал фактически единственным решающим голосом.

Схема сработала на слабости дизайна. Предложение под номером #76 висело шесть дней, но проголосовали лишь семь кошельков, а связанные с атакующим адреса контролировали около 99,9% голосов — этого хватило, чтобы «протащить» перевод казны на свой кошелёк, — как отмечается в разборе инцидента. Кворум взяли впритык. BonkDAO подтвердила атаку, вычислила биржевые кошельки и работает с площадками, мостами, Solana Foundation и правоохранителями; цена BONK упала на 7–10%.

Инцидент оживил старый спор: кража это или честное использование правил. Поскольку каждый шаг был технически валидной транзакцией, часть ончейн-наблюдателей считает, что атакующий просто воспользовался дырой в управлении, а не «взломал» систему; сооснователь SlowMist Ю Сянь и вовсе назвал это «не хаком». BonkDAO и аналитики трактуют произошедшее как атаку — отсюда и обращение в полицию. Но урок один: казна, которую можно опустошить, собрав временное большинство голосов, защищена ровно настолько, насколько дорого это большинство купить.

Мой вывод. На мой взгляд, суть не в BONK и даже не в мем-секторе, а в самой модели токен-взвешенного голосования: когда решение о казне отдано публичному голосованию, которое любой может «докупить», безопасность превращается в арифметику — цена голосов против размера приза. Здесь приз ($20 млн) впятеро превысил затраты ($4 млн). Лечится это скучно, но надёжно: таймлоки на исполнение, высокий кворум, мультиподпись и задержки — то, чего у BonkDAO не оказалось.

Материал носит информационный характер и не является инвестиционной рекомендацией — DYOR. Больше о рисках сетей и защите протоколов — в разделе про безопасность.