Ví DAO của BONK bị tấn công quản trị, thiệt hại 20 triệu USD

Ví DAO của BONK bị rút cạn 20 triệu USD

Kho bạc của Bonk DAO — tổ chức quản trị phi tập trung đứng sau meme coin $BONK nổi tiếng trên Solana — đã bị khai thác trong một cuộc tấn công quản trị được giới quan sát mô tả là 'độc hại' (malicious governance attack), khiến khoảng 20 triệu USD giá trị token bị rút ra khỏi ví.

Diễn biến vụ tấn công

Theo thông tin ban đầu, kẻ tấn công đã lợi dụng cơ chế biểu quyết của Bonk DAO để thông qua một đề xuất quản trị (governance proposal) cho phép chuyển một lượng lớn $BONK từ ví kho bạc sang địa chỉ ngoài. Đây là hình thức tấn công nhắm thẳng vào lỗ hổng trong quy trình quản trị on-chain, thay vì khai thác lỗ hổng kỹ thuật trong smart contract.

Cuộc tấn công này thuộc dạng governance exploit — một vector tấn công ngày càng phổ biến trong không gian DeFi và DAO, nơi kẻ xấu tích lũy đủ quyền biểu quyết hoặc khai thác các kẽ hở trong quy trình biểu quyết để thao túng kết quả theo hướng có lợi cho bản thân.

BONK và hệ sinh thái Solana

$BONK là một trong những meme coin lớn nhất và lâu đời nhất trên $SOL, được ra mắt vào cuối năm 2022 như một biểu tượng phục hồi của cộng đồng Solana sau sự sụp đổ của FTX. Token này từng giao dịch với vốn hóa thị trường hàng tỷ USD và có lượng người nắm giữ đông đảo trong hệ sinh thái.

Sự kiện lần này không chỉ gây thiệt hại tài chính trực tiếp mà còn ảnh hưởng nghiêm trọng đến niềm tin của cộng đồng vào mô hình quản trị phi tập trung của dự án.

Rủi ro quản trị DAO — bài học không mới

Các cuộc tấn công nhắm vào cơ chế quản trị DAO không phải lần đầu xảy ra trong không gian crypto. Trước đó, nhiều giao thức DeFi lớn như Compound, Beanstalk hay Mango Markets đều từng là nạn nhân của các hình thức thao túng quản trị tương tự, gây thiệt hại từ hàng triệu đến hàng chục triệu USD.

Các chuyên gia bảo mật thường chỉ ra rằng mô hình một token - một phiếu bầu (1-token-1-vote) tiềm ẩn rủi ro cao nếu không có cơ chế kiểm tra, thời gian khóa (timelock) đủ dài, hoặc ngưỡng đại diện tối thiểu hợp lý.

Phản ứng của cộng đồng

Cộng đồng Bonk và giới quan sát trên mạng xã hội đang theo dõi sát sao diễn biến, trong khi đội ngũ phát triển chưa có tuyên bố chính thức chi tiết về hướng xử lý. Nhiều thành viên cộng đồng kêu gọi rà soát lại toàn bộ quy trình quản trị và tăng cường các biện pháp bảo vệ kho bạc.

Vụ việc một lần nữa nhấn mạnh tầm quan trọng của kiểm toán bảo mật quản trị (governance security audit) — một lĩnh vực vẫn còn bị xem nhẹ so với kiểm toán smart contract truyền thống trong hầu hết các dự án Web3 hiện nay.