Tấn công quản trị BonkDAO rút 20 triệu USD khỏi kho bạc trên Solana

Một đề xuất quản trị mang tính phá hoại đã rút khoảng 20 triệu USD khỏi kho bạc của BonkDAO vào ngày thứ Ba, phơi bày mức độ mong manh của các mô hình bỏ phiếu theo trọng số token trên Solana. Theo các chi tiết từ báo cáo gốc, kẻ tấn công âm thầm tích lũy lượng BONK trị giá khoảng 4 triệu USD để tạo "khối phiếu" đủ sức chi phối kết quả. Thời điểm xảy ra sự việc cũng đặc biệt nhạy cảm: BONK vẫn nằm trong nhóm memecoin có vốn hóa lớn nhất trên Solana, còn DAO đang quản lý một kho bạc được thiết kế để tài trợ grant hệ sinh thái, khuyến khích thanh khoản và các chiến dịch marketing. Việc mất 20 triệu USD chỉ qua một đề xuất làm suy giảm giả định rằng các holder lớn luôn là lớp phòng vệ đáng tin cậy cho tài sản cộng đồng. Cách cuộc tấn công diễn ra Kẻ tấn công không khai thác lỗi hợp đồng thông minh. Cách làm đơn giản hơn: mua đủ token quản trị để áp đảo một cuộc bỏ phiếu. Sau khi gom khoảng 4 triệu USD BONK, đối tượng này nộp một đề xuất chuyển tiền từ kho bạc với hình thức trông như bình thường. Khi cuộc bỏ phiếu kết thúc, kho bạc đã chuyển khoảng 20 triệu USD bằng BONK sang các địa chỉ do kẻ tấn công kiểm soát. BonkDAO cho biết đã xác định được các tài khoản trên sàn được sử dụng để mua lượng token phục vụ bỏ phiếu trước khi đề xuất được đưa ra. Tổ chức này đang phối hợp với các sàn giao dịch, các cầu nối (bridge) và Solana Foundation nhằm đóng băng hoặc truy vết dòng tiền. Tốc độ phản ứng là yếu tố then chốt, bởi các bộ phận tuân thủ của sàn thường chỉ có một khoảng thời gian rất ngắn để đánh dấu các lệnh rút bất thường trước khi tài sản bị phân tán qua mixer hoặc chuyển sang các tuyến cross-chain. Lỗ hổng của mô hình quản trị theo trọng số token Các DAO dựa trên cơ chế token-voting thuần túy đã bị chỉ trích nhiều năm, còn mảng memecoin lại đặc biệt chậm trong việc áp dụng các lớp bảo vệ như timelock, ngưỡng quorum gắn với mức độ tham gia thực tế, hoặc quy trình rà soát đề xuất theo nhiều giai đoạn. Nhiều DAO memecoin ưu tiên tốc độ và tính sôi động cộng đồng hơn là an ninh kho bạc. Sự cố lần này đúng với cảnh báo lặp đi lặp lại từ giới nghiên cứu quản trị: một tác nhân đủ vốn có thể mua lượng token đủ để thông qua gần như mọi đề xuất trên những hệ có quyền lực quản trị "rẻ" và mức độ tập trung thấp. Dù kho bạc BonkDAO có quy mô lớn, thanh khoản token quản trị khiến việc mua 4 triệu USD BONK không quá khó để che giấu cho tới khi cuộc bỏ phiếu khép lại. Ở bức tranh rộng hơn, hoạt động DeFi và phát triển ứng dụng trên Solana vẫn duy trì sức bật. Như BlockchainReporter đề cập trong phần tổng hợp gần đây về các blockchain dẫn đầu theo mức độ hoạt động của nhà phát triển, Solana tiếp tục thu hút lực lượng builder mạnh, một xu hướng tách biệt với các biến động đầu cơ vốn chi phối kho bạc memecoin. Nỗ lực thu hồi và diễn biến tiếp theo Biến số quan trọng nhất hiện nay là liệu BonkDAO có thể thu hồi được phần nào lượng BONK đã bị rút hay không. Các sàn tập trung nếu đang nắm giữ tài khoản có liên quan có thể đóng băng số dư còn lại, nhưng nếu token đã rời nền tảng hoặc đã bị bán, xác suất thu hồi sẽ giảm mạnh. Việc Solana Foundation tham gia cho thấy vẫn còn hy vọng phong tỏa tài sản on-chain, dù một đối thủ thực sự quyết liệt nhiều khả năng đã tính trước kịch bản này. Điểm chưa rõ là BonkDAO sẽ điều chỉnh tham số quản trị ra sao. Cộng đồng có thể thúc đẩy tăng ngưỡng đề xuất và áp dụng thời gian trì hoãn bắt buộc, nhưng triển khai thay đổi lại cần một cuộc bỏ phiếu quản trị khác — đúng quy trình vừa bị lợi dụng. Một phương án ngắn hạn có thể là cơ chế "override" bằng multisig do một nhóm đóng góp viên đáng tin cậy kiểm soát; cách làm này làm tăng tính tập trung, nhưng có thể giúp mua thời gian để thảo luận và chốt biện pháp lâu dài. Với hành lang memecoin trên Solana nói chung, vụ việc là lời nhắc rằng quy mô kho bạc không thể thay thế cho an ninh kho bạc. Các DAO khác đang nắm giữ dự trữ token quy mô hàng chục triệu USD nhiều khả năng sẽ chịu áp lực phải giải trình vì sao thiết kế quản trị của họ không thể bị "bẻ" chỉ bằng một phần nhỏ giá trị kho bạc.