Cựu Giám đốc Công nghệ của Ripple cho rằng việc rút tiền từ kho bạc BONK DAO có thể là gian lận doanh nghiệp

TLDR

• BONK DAO đã mất khoảng 20 triệu USD thông qua một đề xuất quản trị giả mạo ác ý.
• Kẻ tấn công đã chi khoảng 4,4 triệu USD để giành quyền bỏ phiếu.
• Đề xuất BIP #76 đã chuyển 4,42 nghìn tỷ BONK vào ví của kẻ tấn công.
• Chỉ có bảy ví đã bỏ phiếu cho đề xuất của BONK DAO.
• David Schwartz nói rằng nguyên tắc “code is law” có thể không ngăn chặn được các cáo buộc gian lận.

Cựu Giám đốc Công nghệ (CTO) của Ripple, David Schwartz, cho biết vụ rút 20 triệu USD từ quỹ dự trữ của BONK DAO có thể bị coi là gian lận doanh nghiệp, mặc dù kẻ tấn công đã sử dụng hệ thống quản trị trên chuỗi của dự án để phê duyệt giao dịch chuyển tiền.

Vụ tấn công tập trung vào một đề xuất quản trị giả mạo ác ý, đã chuyển khoảng 4,42 nghìn tỷ token BONK từ quỹ dự trữ của DAO sang một ví do kẻ tấn công kiểm soát. Giao dịch chuyển tiền này diễn ra sau một cuộc bỏ phiếu có tỷ lệ tham gia thấp, trong đó kẻ tấn công đã sử dụng đa số phiếu bầu tạm thời để thông qua đề xuất.

BONK, một memecoin dựa trên Solana, đã giảm khoảng 7% sau sự cố. BONK DAO đã mô tả sự kiện này là một đề xuất quản trị giả mạo ác ý và cho biết họ đang làm việc với các sàn giao dịch, cầu nối và Quỹ Solana.

BONK DAO Mất 20 Triệu USD Thông Qua Bỏ Phiếu Quản Trị

Vụ tấn công bắt đầu khi một ví ẩn danh gửi đề xuất BIP #76, bao gồm hướng dẫn chuyển token BONK từ quỹ dự trữ sang ví của kẻ tấn công. Đề xuất cần số phiếu ủng hộ bằng 1% nguồn cung của BONK để được thông qua.

Theo phân tích trên chuỗi được trích dẫn trong các báo cáo, kẻ tấn công đã chi khoảng 4,4 triệu USD để mua BONK thông qua các sàn giao dịch bao gồm Binance và Bybit. Một số báo cáo cũng cho biết kẻ tấn công đã sử dụng các nền tảng cho vay DeFi để tăng quyền lực bỏ phiếu.

Chỉ có bảy ví đã bỏ phiếu cho đề xuất, trong khi hơn 18.000 thành viên không tham gia. Tỷ lệ tham gia chỉ khoảng 2,9%, cho phép ví của kẻ tấn công thông qua đề xuất với gần như tất cả phiếu ủng hộ.

Cuộc bỏ phiếu đã đạt ngưỡng quorum với biên độ hẹp, với 882,38 tỷ BONK ủng hộ so với ngưỡng yêu cầu là 879,95 tỷ. Sau khi đề xuất được thông qua, giao dịch chuyển tiền từ quỹ dự trữ đã được thực thi tự động.

Schwartz Nói Rằng Code Không Chấm Dứt Rủi Ro Pháp Lý

David Schwartz cho rằng sự cố này không nên bị bác bỏ như một việc sử dụng hợp pháp các quy tắc trên chuỗi. Ông lập luận rằng những người tham gia DAO vẫn có thể có nghĩa vụ khi quản lý các tài sản chung.

Schwartz đặc trưng vụ rút tiền là gian lận doanh nghiệp vì những người tham gia DAO có thể đóng vai trò là người được ủy thác khi kiểm soát các quỹ dự trữ chung. Quan điểm của ông là việc thực thi code hợp lệ không loại bỏ trách nhiệm pháp lý nếu tài sản chung bị lạm dụng một cách cố ý.

Ông cũng nói rằng các tòa án tiểu bang thường không chấp nhận biện hộ “code is law” khi tài sản bị chiếm đoạt. Lập trường này thách thức lập luận rằng kẻ tấn công chỉ đơn thuần tuân theo các quy tắc của hợp đồng thông minh.

Vấn đề vẫn còn phức tạp về mặt pháp lý vì mọi bước của giao dịch đều diễn ra thông qua quy trình quản trị của dự án. Tuy nhiên, BONK DAO và các công ty phân tích đã coi sự kiện này là một cuộc tấn công, và đã có báo cáo về sự tham gia của cơ quan thực thi pháp luật.

Kẻ Tấn Công Di Chuyển Funds Sau Khi Rút Tiền Từ Quỹ Dự Trữ

Sau khi đề xuất được thông qua, khoảng 20 triệu USD giá trị BONK đã được chuyển từ quỹ dự trữ của DAO sang ví do kẻ tấn công kiểm soát. Các báo cáo cho biết khoảng 188.000 USD sau đó đã được gửi đến một sàn giao dịch, có thể là hoạt động rút tiền mặt.

Số tiền còn lại đã được chuyển đến một ví đa chữ ký (multisig), theo Chainalysis. Ví đa chữ ký yêu cầu nhiều hơn một sự phê duyệt trước khi funds có thể di chuyển.

Kẻ tấn công cũng đã bán số BONK được sử dụng để giành quyền kiểm soát bỏ phiếu. Các báo cáo cho biết khoảng 5,3 triệu USD giá trị BONK đã mua đã được bán sau khi giao dịch chuyển tiền từ quỹ dự trữ.

Chuỗi hành động này khiến kẻ tấn công nắm quyền kiểm soát các token từ quỹ dự trữ bị rút, đồng thời loại bỏ phần lớn cổ phần bỏ phiếu được sử dụng để thông qua đề xuất. Vụ việc đã làm tăng sự giám sát đối với các DAO dựa vào bỏ phiếu bằng token mà không có các biện pháp kiểm tra an toàn mạnh mẽ hơn.

Vụ Tấn Công BONK Làm Dấy Lên Lo Ngại Về Quản Trị DAO

Sự cố BONK DAO đã mở lại cuộc tranh luận về quản trị dựa trên trọng số token. Quỹ dự trữ có thể trở nên dễ bị tổn thương khi một người mua token tạm thời có thể rẻ mạt sở hữu đủ quyền lực bỏ phiếu để thông qua một đề xuất gây hại.

Vụ tấn công cũng phơi bày những rủi ro liên quan đến tỷ lệ tham gia thấp. Một nhóm nhỏ các ví bỏ phiếu có thể kiểm soát các quyết định lớn nếu ngưỡng quorum thấp và các biện pháp bảo vệ yếu.

Các biện pháp bảo vệ phổ biến bao gồm khóa thời gian (time-locks), ngưỡng quorum cao hơn, quyền phủ quyết khẩn cấp, thời gian xem xét đề xuất và giới hạn đối với các giao dịch chuyển tiền từ quỹ dự trữ. Giao dịch chuyển tiền của BONK DAO đã được thực thi mà không có đủ độ trễ để ngăn chặn vụ rút tiền.

Bài viết Cựu CTO Ripple nói vụ rút tiền từ quỹ BONK DAO có thể là gian lận doanh nghiệp xuất hiện đầu tiên trên CoinCentral.