⭐️ BonkDAO | Вынос казны на $20m ⭐️
📌 6 июля злоумышленник выкачал ≈$20M из казны BonkDAO за счет DAO голосования, на которое 6 дн. всем было пох. Смешной кейс, поэтому решил разобрать:
1️⃣ Злоумышленник купил и собрал на своем кошельке 1,0027% от общего Total Supply $BONK, что ≈$4m
2️⃣ Создает красивый DAO пропозал «BIP # 76 - Sowellian BonkDAO», обещающий новое управление и кучу хайпа, включая раздачу токенов. Но в конце он добавляет условие о переводе 4.4 трлн. на свой кошелек:
«Внедрить Sowellian-governance, поставить новый совет, отстроимся из пепла, монетизируем активы, остановим кровотечение цены токена, все YES voters получат новые токены»
«1. Add Metadata
2. Send 4.426.104.450.305 Bonk to 9bxWkNf3…JHvQ»
🔵️ Сам же голосует по пропозалу, а 1% от Total Supply - это как раз минимальный порог YES votes, который делает голосование состоявшимся.
3️⃣ Голосование шло полные ≈5 дней. Из 18 000+ держателей проголосовали всего 6 микро-кошельков - суммарно имевшие 0,0009% supply (причём 2 ЗА, 4 ПРОТИВ). Итоговая явка составляет 1,004%, где практически весь вес это сам атакующий.
4️⃣ Далее по контракту следует 1 день timelock, в который команда еще могла спохватиться и попытаться предпринять какие-то действия оффчейн, но никто ничего не замечал.
5️⃣ На 6-ой день вся казна BONK = 4.4 трлн BONK ≈ $20m уходит на адрес злоумышленника, откуда он переводит на свой второй адрес
EXa....eh42, где они лежат и сейчас.
🔍 В контракте BONK freeze authority = None, т.е. заморозить средства физически нельзя. У команды осталось только два рычага - blacklist на биржах при попытке депозита (попыток нет) или добровольный возврат
📊 Рынок
🔵️ BONK просел ≈10–15% (за сутки −9,9%). Улов хакера формально уменьшился до $17,5m
🔵️ Upbit приостановил торги, Kraken - депозиты/выводы.
🔵️ Команда работает с биржами, Solana Foundation и law enforcement.
🤓 Мораль: если казну защищает только надежда, что «кто-то заметит proposal на форуме» - она не защищена вообще.
