После «открытого ограбления» на 20 миллионов долларов Upbit полностью отказалась от BONK

Автор: Ма Хэ, Foresight News

7 августа крупнейшая южнокорейская криптобиржа Upbit официально объявила, что прекратит поддержку торговли BONK 7 сентября в 15:00 (по корейскому стандартному времени), затрагивая торговые пары BONK/KRW и BONK/USDT; услуга вывода средств будет сохранена до 7 октября. Upbit заявила, что после оценки BONK было обнаружено, что в распределенном реестре и других системах, используемых оператором для выпуска, передачи и хранения виртуальных активов, произошли инциденты безопасности, такие как хакерские атаки с неясной причиной или нерешенные проблемы, а также эмитент или оператор не своевременно раскрывали важную информацию о виртуальных активах через надлежащие электронные каналы связи. После комплексного рассмотрения было подтверждено наличие многочисленных недостатков, которые могут привести к убыткам для пользователей.

После объявления новости цена BONK упала с 0,0000028 доллара США до 0,0000025 доллара США, падение составило около 10%, в настоящее время ее рыночная капитализация составляет 222,26 миллиона долларов США.

Foresight News ранее специально сообщала об этом событии в статье «С помощью 4,4 миллиона изъяли 20 миллионов: BONK подверглась законному открытому грабежу», месяц назад BonkDAO недавно пережила шокирующую отрасль атаку на управление, около 20 миллионов долларов США активов казначейства были «законно» переведены.

Злоумышленники BONK обналичили в общей сложности около 13,58 миллиона долларов США

30 июня. Злоумышленник提交了提案 BIP #76 через платформу управления Realms экосистемы Solana, под названием «Sowellian BonkDAO». Предложение поверхностно упаковано как方案 оптимизации управления, но核心 инструкция была напрямую перевести около 4,426 триллиона токенов BONK из казначейства BonkDAO на адрес, контролируемый злоумышленником. В то время циркулирующее предложение BONK составляло около 88 триллионов токенов, порог голосования в 1% составлял около 880 миллиардов токенов. В период с 4 по 5 июля злоумышленник, покупая через биржи, такие как Binance, Bybit, и дополняя部分 займами DeFi, накопил около 882,285 миллиарда токенов BONK, стоимостью около 4,4 миллиона долларов США, что刚好 удовлетворило требование кворума.

6 июля предложение поступило на голосование. В整个过程 участвовали всего 7 адресов, адреса, контролируемые злоумышленником, внесли 99,878% голосов «за». После прохождения голосования смарт-контракт немедленно автоматически выполнил перевод, около 4,426 триллиона токенов BONK (по тогдашней цене около 20 миллионов долларов США) были переведены из казначейства в кошелек злоумышленника. В整个过程 не был запущен никакой таймлок (timelock), также не было дополнительных этапов мультиподписи или ручной проверки.

После получения средств злоумышленник действовал быстро. В течение примерно 9 часов после завершения перевода около 190 000 долларов США в BONK были переведены на OKX. Оставшиеся около 19 миллионов долларов США были переведены на newly created мультиподписной кошелек, который Chainalysis описала как теневое DAO «BONK 2.0», совместно контролируемое кошельком для злонамеренного голосования, кошельком для получения средств и третьим адресом, имеющим финансовую связь с адресом голосования.

В то же время злоумышленник начал распродавать ту часть BONK, которая использовалась для получения прав голоса. Примерно через 1 час после завершения голосования соответствующие адреса начали ликвидировать позиции объемом около 5,3 миллиона долларов США. В последующие недели мониторинг цепочки показал, что злоумышленник продолжал переводить средства на платформы, такие как Coinbase.

17 июля этот злоумышленник перевел 1,186 триллиона токенов BONK (стоимостью около 4,11 миллиона долларов США) на Binance.

19 июля, по мониторингу ончейн-аналитика Ю Цзинь, злоумышленник казначейства BONK снова перевел 400 миллиардов токенов BONK на Coinbase, стоимостью около 1,11 миллиона долларов США. В течение 12 дней с момента вывода соответствующих токенов из казначейства цена BONK упала с 0,0000047 доллара США до 0,0000027 доллара США, накопленное падение составило около 41%.

20 июля тот злоумышленник уже завершил ликвидацию позиций, 30 минут назад последние 400 миллиардов токенов BONK (1,17 миллиона долларов США) также были внесены на Coinbase.

Статистические данные показывают, что общий объем обналичивания этим злоумышленником составил около 13,58 миллиона долларов США.

Высокая сложность, возврат средств все еще безрезультатен

Официальные представители Bonk быстро выступили с заявлением после инцидента, подтвердив, что «BonkDAO столкнулась со злонамеренным предложением по управлению, в результате чего около 20 миллионов долларов США в BONK были выведены из казначейства». Команда заявила, что идентифицировала адреса кошельков бирж, используемые злоумышленником для заблаговременного накопления позиций, и уведомила правоохранительные органы, одновременно поддерживая связь с биржами, мостами между цепочками и фондом Solana, пытаясь вернуть средства и锁定 ответственную сторону.

13 июля BonkDAO опубликовала последующее обновление: соответствующие кошельки были помечены и находятся под постоянным мониторингом, команда изучает все возможные пути возврата средств; подчеркнула, что сам токен BONK и личные активы пользователей не пострадали, контракт токена безопасен; планируется опубликовать официальный постмортем-анализ в будущем, проект также призвал сообщество обратить внимание на улучшение механизмов управления.

23 июля официальные лица进一步 заявили, подтвердив, что работа по возврату средств все еще продолжается.

На данный момент в открытых каналах не было обнаружено официальных объявлений об успешном возврате крупных средств в казначейство, также не появилось официального подтверждения успешной заморозки или возврата крупных средств.

7 июля некоторые биржи почти одновременно включили BONK в список объектов торговли, требующих внимания, месяц спустя Upbit постановила, что проблема не устранена, и首先 официально решила прекратить поддержку торговли. После того как Южная Корея в июле 2024 года внедрила «Закон о защите инвесторов виртуальных активов», DAXA (Ассоциация бирж цифровых активов Кореи) имеет строгие юридические обязательства в отношении проектов,涉及重大治理漏洞与安全隐患. Upbit исключила BONK из-за соблюдения нормативных требований избежания рисков и обязательного юридического审查.

В настоящее время другие биржи временно не предприняли действий.

Следует отметить, что поскольку перевод был полностью автоматически выполнен в соответствии с правилами ончейн-управления, сложность возврата средств значительно выше, чем в традиционных случаях хакерских атак.

Злоумышленник, купив достаточное количество прав голоса (около 1% предложения),提交了 предложение, голосование прошло, затем смарт-контракт автоматически выполнил перевод. Весь процесс полностью соответствовал правилам управления BonkDAO на Realms на тот момент. Не было утечки приватных ключей, не было уязвимостей контракта, не было вызовов с превышением полномочий. Отношение большинства юрисдикций к чистым атакам на управление остается консервативным, суды скорее склонны рассматривать «код есть закон + голосование прошло» как эффективное внутреннее решение, а не как кражу в традиционном смысле, что значительно ослабляет силу уголовного преследования и гражданской заморозки.

Судя по ончейн-данным, злоумышленник также завершил частичную распродажу и перевод активов, что еще больше сократило объем активов, доступных для заморозки. Кроме того, личность злоумышленника не раскрыта, высокая стоимость трансграничного исполнения, длительное время и другие факторы делают вероятность возврата большей части убытков низкой.

Проблемы управления требуют срочного решения

Основная controversia этого события заключается в следующем: когда порог голосования слишком низок, уровень участия крайне низок (участвовали только около 2,9% членов), и отсутствует механизм блокировки времени и перехвата аномальных предложений, злоумышленник использовал 4,4 миллиона долларов США для撬动 20 миллионов долларов США активов, соотношение投入产出 крайне высоко, и весь процесс соответствует нормам.

Любое DAO, владеющее крупным казначейством, если уровень участия в голосовании长期 крайне низок, а кворум установлен очень низко, равносильно выставлению контроля над казначейством на открытый рынок. Тот, кто сможет в короткое время集中 купить токены минимального порога, тот может забрать казначейство. Это не теоретический риск, а уже проверенный реализуемый путь.

Если бы для казначейства была установлена задержка исполнения в 3-7 дней или даже дольше, у сообщества и проекта было бы время обнаружить аномалии, инициировать экстренное голосование для veto, или вмешаться через мультиподпись. В реальности многие зрелые DAO (особенно с крупным казначейством) принудительно добавляют таймлок к предложениям,涉及 казначейства.

Когда активность сообщества长期 низка, простое reliance на взвешивание токенов фактически означает решение управления «деньгами», а не «людьми». Для проектов с крупным размером казначейства проект должен рассмотреть введение более высокого кворума и двойного порога (необходимо достичь определенного比例的 прав голоса, а также определенного количества независимых адресов), кроме того, можно добавить дополнительные механизмы утверждения для крупных предложений, такие как комитет мультиподписи.

Безопасность управления никогда не может быть полностью решена исправлением постфактум, она должна рассматриваться на этапе проектирования в соответствии с «наихудшим сценарием».