BonkDAO: ok. 20 mln USD skradzione po zakupie kworum

Z ze skarbca BonkDAO zniknęło około 4,43 biliona tokenów BONK, co odpowiada około 20 mln USD. Kradzież nastąpiła po przyjęciu propozycji głosowanej w systemie DAO, a środki trafiły na adres wskazany w wniosku.

Propozycja BIP #76, opublikowana 30 czerwca na platformie głosowań Realms, zawierała instrukcję wykonania przelewu 4,43 bln BONK, czyli około 5 proc. całkowitej podaży tokena. Regulamin BonkDAO wymagał do przyjęcia wniosku poparcia odpowiadającego 1 proc. podaży, w praktyce blisko 880 mld BONK.

Dane on-chain wskazują, że 4 i 5 lipca sprawca zakupił pakiet tokenów zbliżony do wymaganego kworum. Zakupy były realizowane m.in. na giełdach Bybit i Binance, za które zapłacono około 4,4 mln USD; część pozycji miała być uzupełniona pożyczkami z protokołów DeFi.

Głosowanie zakończyło się 6 lipca. Wzięło w nim udział siedem portfeli, choć organizacja ma ponad 18 tys. członków. Za transferem głosowało 99,9 proc. uczestników, a próg kworum został przekroczony o około 2,5 mld tokenów.

Regulamin nie przewidywał opóźnienia wykonania uchwały ani dodatkowego podpisu multisig, dlatego po zamknięciu głosowania skarbiec automatycznie zrealizował przelew. Mniej niż godzinę później napastnik zaczął sprzedawać część tokenów; dane on-chain pokazują, że ich sprzedaż przyniosła około 5,3 mln USD.

BonkDAO potwierdziło zdarzenie i zawiadomiło organy ścigania. Organizacja współpracuje z giełdami, operatorami mostów i Solana Foundation w celu identyfikacji kont użytych do finansowania zakupów oraz w próbach odzyskania środków.

W odpowiedzi na incydent niektóre giełdy, w tym Upbit, Bithumb i Kraken, wstrzymały wpłaty i wypłaty tokena BONK. Kurs BONK spadł w dniu zdarzenia o kilka do kilkunastu procent, a wolumen obrotu był wyższy niż w poprzednich sesjach.

W branży trwa dyskusja o kwalifikacji prawnej czynu. David Schwartz, były dyrektor techniczny Ripple, wskazał, że zgodność działań ze smart kontraktem nie przesądza o ich legalności i że takie działania mogą być traktowane jako oszustwo. Prawnicy przywołują precedens Mango Markets, gdzie osoba wykorzystująca mechanikę protokołu została oskarżona o oszustwo federalne. Inny znany przypadek to atak na Beanstalk w 2022 r., gdy protokół stracił 182 mln USD po użyciu flash loanów.

BonkDAO informuje o dalszych krokach koordynacyjnych z partnerami technicznymi i organami ścigania.