BONK DAO mất 20 triệu USD vì tấn công quản trị, token đang đổ vào sàn

BONK DAO xác nhận vụ tấn công quản trị trị giá 20 triệu USD

BONK DAO đã chính thức xác nhận sự cố bảo mật nghiêm trọng: kẻ tấn công đã lợi dụng cơ chế quản trị phi tập trung để rút khoảng 20 triệu USD tiền BONK từ ngân quỹ của dự án. Đây là một trong những vụ tấn công quản trị DAO lớn nhất ghi nhận trên hệ sinh thái Solana.

Theo tuyên bố chính thức từ đội ngũ BONK, kẻ tấn công đã soạn thảo và thông qua thành công một đề xuất quản trị độc hại trên nền tảng Realms của Solana, qua đó ủy quyền chuyển toàn bộ số tài sản nói trên sang các ví thuộc quyền kiểm soát của chúng. Dự án cho biết đã xác định được các ví sàn giao dịch mà kẻ tấn công sử dụng để tích lũy quyền biểu quyết trước khi thực thi đề xuất.

Cách thức tấn công

Phân tích on-chain sơ bộ từ các nhà điều tra blockchain cho thấy kẻ tấn công đã chi khoảng 4 triệu USD để mua BONK nhằm đạt đủ ngưỡng quyền biểu quyết cần thiết. Sau khi đề xuất được phê duyệt hợp lệ thông qua hệ thống quản trị dựa trên trọng số token, toàn bộ 20 triệu USD từ ngân quỹ DAO đã bị chuyển đi.

Đáng chú ý, đây không phải là một vụ khai thác lỗ hổng hợp đồng thông minh thông thường. Thay vào đó, kẻ tấn công đã lợi dụng chính cơ chế quản trị hợp pháp — nơi số phiếu biểu quyết tỷ lệ thuận với lượng token nắm giữ — để thông qua một giao dịch rút ngân quỹ mang tính phá hoại. Đây được gọi là governance attack (tấn công quản trị).

Các báo cáo cũng ghi nhận một phần số BONK bị đánh cắp đã bắt đầu xuất hiện trên các sàn giao dịch tiền mã hóa, làm dấy lên lo ngại kẻ tấn công đang cố gắng thanh lý tài sản.

Phản ứng của dự án và hướng xử lý

BONK DAO cho biết đang tích cực phối hợp với các sàn giao dịch, Solana Foundation, các giao thức cầu nối (bridge) và cơ quan thực thi pháp luật để theo dõi dòng chảy tài sản và tìm phương án thu hồi. Cuộc điều tra vẫn đang tiếp diễn.

Vụ việc được dự báo sẽ làm nóng lại cuộc tranh luận trong ngành về bảo mật quản trị DAO, đặc biệt xung quanh các biện pháp bảo vệ như:

• Timelock (khóa thời gian): buộc đề xuất phải chờ một khoảng thời gian trước khi thực thi
• Multisignature approval (phê duyệt đa chữ ký): yêu cầu nhiều bên xác nhận trước khi thực hiện giao dịch lớn
• Treasury execution delay (trì hoãn thực thi ngân quỹ): ngăn chặn một đề xuất đơn lẻ có thể rút cạn quỹ giao thức ngay lập tức

Cộng đồng và giới quan sát thị trường hiện đang chờ đợi thông tin cập nhật về khả năng thu hồi tài sản, hành động từ phía các sàn giao dịch, cũng như liệu BONK có tiến hành cải cách cơ chế quản trị để tăng cường bảo vệ ngân quỹ hay không.