Thông tin của HCCVenture Group chỉ nhằm mục đích cung cấp thông tin tham khảo và không được xem là lời khuyên đầu tư. Chúng tôi không chịu trách nhiệm đối với bất kỳ rủi ro hay tổn thất nào phát sinh từ các quyết định đầu tư dựa trên nội dung tại đây.
Kẻ tấn công đã rút cạn 20 triệu đô la từ quỹ của BonkDAO chỉ với tỷ lệ cử tri 2,9%
BonkDAO, tổ chức quản trị phi tập trung đứng sau BONK Solana đã mất khoảng 20 triệu USD au khi một kẻ tấn công chỉ chi 4,4 triệu USD để mua hơn 1% tổng nguồn cung đang lưu hành.
TIN TỨC
7/8/20267 phút đọc
Sáu Ngày Tích Lũy Quyền Bỏ Phiếu Âm Thầm
Chuỗi tấn công bắt đầu vào ngày 30 tháng 6 khi một ví ẩn danh đệ trình đề xuất chuyển toàn bộ tài sản kho bạc sang ví mà nó kiểm soát. Để đề xuất được thông qua, nó cần số phiếu tương đương 1% tổng nguồn cung BONK ngưỡng tối thiểu để đề xuất có hiệu lực. Vào ngày 4 và 5 tháng 7, một ví khác đã mua chính xác số lượng đó, chi khoảng 4,4 triệu đô la để mua BONK trên Bybit và Binance, và theo một số nguồn tin, còn vay thêm tiền thông qua các nền tảng cho vay DeFi.
Đề xuất được công khai trong sáu ngày mà không bị phản đối hay phủ quyết, một khoảng thời gian đủ dài để cộng đồng phản hồi nếu có các hệ thống giám sát đề xuất hiệu quả. Văn bản đề xuất được viết bằng ngôn ngữ ít kỹ thuật và ít hướng đến quản trị hơn so với một Đề xuất Cải tiến BONK điển hình, gần giống với một bản tuyên ngôn hơn là một thay đổi chính sách, hứa hẹn sẽ "xây dựng lại từ đống tro tàn, kiếm tiền từ tài sản, ngăn chặn sự thua lỗ" và bao gồm một dòng thông báo cho người đọc rằng "tất cả những người bỏ phiếu ủng hộ đều đủ điều kiện nhận token." Ẩn sâu bên dưới đó là một chỉ thị duy nhất đáng lẽ phải được xem xét kỹ lưỡng ngay lập tức: chuyển 4,43 nghìn tỷ BONK vào ví của kẻ tấn công.
Đến ngày 6 tháng 7, kẻ tấn công đã nắm giữ đủ số token. Tổng số phiếu bầu ủng hộ là 882,38 tỷ BONK so với ngưỡng cần thiết là 879,95 tỷ, vượt qua ngưỡng này một cách vừa đủ, chính xác bằng số lượng token mà kẻ tấn công đã mất nhiều ngày để tích lũy. Vào lúc 4:00 sáng giờ miền Đông, hơn 4,4 nghìn tỷ BONK đã tự động được chuyển ra khỏi kho bạc.
Thất bại trong quản trị, không phải lỗ hổng mã nguồn
Đây không phải là một cuộc tấn công khai thác lỗ hổng hợp đồng thông minh theo nghĩa truyền thống. Kẻ tấn công hoạt động hoàn toàn trong khuôn khổ các quy tắc đã được thiết lập. BonkDAO và các công ty phân tích blockchain mô tả sự cố này là một "cuộc tấn công", và sự can thiệp của cơ quan thực thi pháp luật phản ánh đánh giá đó. Tuy nhiên, chính cơ chế này mới là bài học thực sự: kho bạc có thể bị rút cạn bởi bất kỳ ai tập hợp được đa số phiếu bầu tạm thời, và chi phí để mua đa số đó ở đây thấp hơn đáng kể so với phần thưởng.
Ba lỗi thiết kế quản trị cốt lõi đã hội tụ tạo ra điều kiện lý tưởng cho cuộc tấn công. Không có cơ chế khóa thời gian nào giữa việc một đề xuất được thông qua và việc thực thi tự động trên chuỗi. Một sự chậm trễ bắt buộc từ 48 đến 72 giờ sẽ cho phép cộng đồng xác định sự bất thường và phản hồi trước khi tiền được chuyển.
Ngưỡng đa số phiếu bầu quá thấp so với giá trị kho bạc. Ngưỡng 1% tổng nguồn cung chỉ cần 4,4 triệu đô la để đạt được so với kho bạc nắm giữ 20 triệu đô la, tạo ra tỷ lệ chi phí/phần thưởng hấp dẫn khoảng 1:5. Với tỷ lệ tham gia bỏ phiếu thực tế chỉ đạt 2,9% (bảy ví điện tử từ 18.000 thành viên), ngưỡng số phiếu tối thiểu này chưa bao giờ phản ánh sự đồng thuận thực sự của cộng đồng.
Không có cơ chế phủ quyết đa chữ ký khẩn cấp nào cho phép hội đồng hoặc các bên liên quan lớn ngăn chặn một đề xuất bất thường trước khi thực hiện.
Diễn biến tài sản và phản ứng của các sàn giao dịch
Sau khi đề xuất được thông qua, 4,43 nghìn tỷ BONK đầu tiên được chuyển đến một ví có đuôi "JHvQ", được Solscan xác định là được nạp thông qua tài khoản Bybit. Sau đó, vào lúc 3:30 chiều cùng ngày, số token này tiếp tục được chuyển đến một địa chỉ Solana thứ hai có đuôi "eh42". PeckShield đã ghi nhận khoảng 148.000 đô la BONK bị đánh cắp sau đó được chuyển đến OKX.
Các sàn giao dịch đã phản hồi nhanh chóng. Upbit ở Hàn Quốc và Kraken ở Hoa Kỳ đều tạm ngừng gửi và rút BONK ngay lập tức sau sự cố, với lý do Upbit đưa ra là "các biện pháp bảo vệ người dùng sau sự cố an ninh". Bithumb cũng đã tạm dừng giao dịch BONK trên toàn thị trường Hàn Quốc.
Đánh giá và kết luận
Sự cố BonkDAO đặt ra một câu hỏi cơ bản về tính an toàn của bất kỳ DAO nào duy trì một kho bạc lớn trong khi dựa vào các hệ thống quản trị đơn giản dựa trên trọng số token. Với ngưỡng quorum thấp, không có khóa thời gian và không có kiểm tra khẩn cấp đa chữ ký để phát hiện các đề xuất bất thường trước khi thực thi, một kẻ tấn công có vốn lớn có thể chuyển đổi 4 triệu đô la tiền mua token thành quyền kiểm soát kho bạc trị giá 20 triệu đô la.
Những cải tiến về quản trị mà sự cố này nêu bật bao gồm: khóa thời gian bắt buộc đối với tất cả các đề xuất chuyển tiền kho bạc; ngưỡng quorum cao hơn đối với các đề xuất ảnh hưởng đến kho bạc so với các đề xuất chính sách; cơ chế phủ quyết khẩn cấp cho hội đồng hoặc các bên liên quan giám sát; ảnh chụp nhanh quyền biểu quyết được thực hiện trước khi đệ trình đề xuất để ngăn chặn sự tích lũy vào phút cuối; và yêu cầu xem xét của ủy ban kỹ thuật độc lập đối với các đề xuất liên quan đến việc chuyển tiền kho bạc lớn.
Tuyên bố miễn trừ trách nhiệm: Thông tin được trình bày trong bài viết này là nhận định cá nhân của tác giả trong lĩnh vực tiền mã hóa. Đây hoàn toàn không phải là lời khuyên tài chính hay đầu tư. Mọi quyết định đầu tư đều nên dựa trên sự cân nhắc kỹ lưỡng danh mục cá nhân và mức độ chấp nhận rủi ro của bạn. Quan điểm trong bài viết không đại diện cho lập trường chính thức của nền tảng. Chúng tôi khuyến nghị người đọc tự nghiên cứu và tham khảo ý kiến chuyên gia trước khi đưa ra bất kỳ quyết định đầu tư nào.
Tổng hợp và phân tích bởi HCCVenture
Theo dõi tổ chức HCCVenture tại đây : https://link3.to/holdcoincventure
HOLD Coin CVenture
Kết nối với chúng tôi
©2023 HCCVenture Group
Thông tin liên hệ
Gmail : sp_contact@hccventure.com
Khám phá HCCVenture group
Nội dung phổ cập
Nhận định chiến lược
Miễn trừ trách nhiệm: Thông tin trên website này chỉ nhằm mục đích cung cấp thông tin tham khảo và không được xem là lời khuyên đầu tư. Chúng tôi không chịu trách nhiệm đối với bất kỳ rủi ro hay tổn thất nào phát sinh từ các quyết định đầu tư dựa trên nội dung tại đây.
CÁC NỘI DUNG PHÂN TÍCH VÀ TIN TỨC ĐỀU ĐƯỢC TỔNG HỢP VÀ CUNG CẤP BỞI CÁC CHUYÊN GIA TRONG LĨNH VỰC TÀI CHÍNH SỐ VÀ BLOCKCHAIN THUỘC TỔ CHỨC HCCVENTURE, BAO GỒM QUYỀN SỞ HỮU NỘI DUNG.
CHỊU TRÁCH NHIỆM QUẢN LÝ TOÀN BỘ NỘI DUNG VÀ PHÂN TÍCH : NHÀ SÁNG LẬP HCCVENTURE - TRUONG MINH HUY
Đọc cảnh báo về lừa đảo và email lừa đảo — BÁO CÁO SỰ CỐ VỚI TRANG WEB CỦA CHÚNG TÔI.
