BONK DAO perde 20 milhões de dólares após ataque à governação

O ataque passou pela governação Realms da Solana, e não por um smart contract. A BONK está a trabalhar com exchanges, a Solana Foundation e as autoridades policiais para seguir os tokens roubados.

Pontos principais

• A BONK DAO confirma que os atacantes desviaram cerca de 20 milhões de dólares em BONK da tesouraria através de uma proposta de governação maliciosa.
• O atacante comprou primeiro cerca de 4 milhões de dólares em BONK para reunir poder de voto suficiente e fez com que a proposta fosse aprovada através da plataforma Realms da Solana.
• A BONK está a trabalhar com exchanges, a Solana Foundation e as autoridades policiais para seguir os tokens movimentados e, possivelmente, recuperá-los.

A BONK DAO confirmou que os atacantes desviaram cerca de 20 milhões de dólares (€17,5 milhões) em BONK da tesouraria através de uma proposta de governação maliciosa. Segundo o projeto, os tokens roubados já foram parcialmente transferidos para exchanges, enquanto a equipa trabalha com exchanges, a Solana Foundation e as autoridades policiais para seguir os ativos e, possivelmente, recuperá-los.

Como o ataque funcionou

A análise inicial on-chain indica que o atacante comprou cerca de 4 milhões de dólares (€3,5 milhões) em BONK para reunir poder de voto suficiente para a proposta. Depois disso, a proposta acabou por ser aprovada através do sistema de governação da BONK DAO na plataforma Realms da Solana, o que permitiu transferir uma estimativa de 20 milhões de dólares (€17,5 milhões) da tesouraria para carteiras sob o controlo do atacante.

O incidente parece, assim, não resultar de um exploit clássico de smart contract exploit, mas sim de um ataque à governação. Nestes casos, a votação ponderada pelo token é usada para fazer com que uma transação que, em teoria, é legítima tenha um desfecho prejudicial para a DAO.

Porque é que isto é relevante

Para os investidores em criptomoedas, este caso mostra que os riscos das DAO não são apenas técnicos, mas também podem estar na própria tomada de decisão. Incidentes anteriores, como o ataque à DAO em 2016 e o ataque à Beanstalk DAO em 2022, já tinham deixado claro que o poder de voto concentrado e a execução rápida podem aumentar as vulnerabilidades.

Por isso, o debate sobre timelocks, requisitos de quórum e carteiras multisignature volta a ganhar destaque. Estas medidas podem acrescentar uma camada extra de atraso e aprovação, tornando menos provável que uma proposta maliciosa passe despercebida pelo processo.

Próximos passos para a BONK

A BONK afirma que a investigação continua em curso e que já foram iniciados esforços de recuperação. O foco está agora em seguir os tokens movimentados, coordenar com as partes envolvidas e avaliar se são necessárias alterações à governação para proteger melhor a tesouraria contra uma repetição.