Chuyện gì đã xảy ra? Một cuộc tấn công quản trị, không phải khai thác kỹ thuật

BonkDAO báo cáo rằng một thực thể không xác định đã rút khoảng 20 triệu USD token BONK từ kho quỹ Solana của dự án bằng cách thông qua một đề xuất quản trị ác ý trên nền tảng Realms — công cụ mà nhiều DAO Solana sử dụng để bỏ phiếu on-chain . Cuộc tấn công này là một kế hoạch thao túng quản trị / mua phiếu bầu, hoàn toàn không phải là một vụ hack ở cấp độ code .

Theo tuyên bố của chính BonkDAO, kẻ tấn công đã sử dụng các ví sàn giao dịch để tích lũy token BONK trước khi đưa ra đề xuất, nhằm thu thập đủ trọng lượng biểu quyết để thông qua hành vi chuyển tiền bất hợp pháp . Phân tích on-chain từ các nhà điều tra blockchain sau đó ước tính kẻ tấn công đã chi khoảng 4 triệu USD để có được đủ ảnh hưởng biểu quyết .

Kẻ tấn công đã phá hoại cơ chế bỏ phiếu như thế nào?

Vụ khai thác đã vũ khí hóa một tính năng thiết kế cơ bản của hệ thống bỏ phiếu có trọng số token: một token tương đương một phiếu bầu.

• Tích lũy phiếu bầu: Kẻ tấn công lặng lẽ xây dựng một vị thế BONK lớn trong vài ngày thông qua các ví sàn giao dịch, mà BonkDAO xác định là được sử dụng để "tích lũy ảnh hưởng biểu quyết" .
• Đệ trình và thông qua đề xuất: Khi đã nắm quyền biểu quyết đa số, chúng đã đệ trình một đề xuất độc hại cho phép chuyển tiền trong kho quỹ vào ví của mình. Theo các quy tắc quản trị của Realms, đề xuất này đã được thông qua một cách hợp lệ — hệ thống chỉ đơn giản là phản ánh sự đồng thuận của những người nắm giữ token .
• Không khai thác lỗi: Kẻ tấn công không cần tìm ra lỗ hổng trong bất kỳ hợp đồng thông minh nào. Chúng đã khai thác chính quy trình quản trị, biến cơ sở hạ tầng dân chủ của DAO thành một công cụ cướp bóc .

Cuộc tấn công này khác với các cuộc tấn công quản trị có hỗ trợ của flash loan (như vụ Beanstalk 182 triệu USD năm 2022) ở một điểm mấu chốt: kẻ tấn công BonkDAO đã tích lũy token thực sự theo thời gian, thay vì đi vay và trả lại trong một giao dịch duy nhất. Nhưng cả hai phương pháp đều phơi bày cùng một điểm yếu cốt lõi: bất kỳ ai có đủ token đều có thể thông qua bất kỳ đề xuất nào .

Các nỗ lực khắc phục đang được tiến hành

Tính đến ngày 7 tháng 7 năm 2026, BonkDAO đã công bố các biện pháp ứng phó sau:

• Báo cáo cơ quan thực thi pháp luật — DAO cho biết đã thông báo cho các cơ quan thực thi pháp luật và đang phối hợp điều tra .
• Phối hợp với sàn giao dịch — Dự án đang làm việc với các sàn giao dịch tiền điện tử để đóng băng hoặc theo dõi số tiền bị đánh cắp đã bắt đầu được chuyển đến các nền tảng giao dịch . Các sàn giao dịch Hàn Quốc là Upbit và Bithumb được cho là đã tạm thời đình chỉ nạp và rút BONK sau vụ việc .
• Sự tham gia của Solana Foundation — BonkDAO đang phối hợp với Solana Foundation trong các nỗ lực ứng phó .
• Theo dõi và truy vết — Nhóm đang theo dõi hoạt động của ví kẻ tấn công để xác định các mô hình di chuyển .

Chưa có thông báo nào về việc rollback on-chain, phát hành lại token hoặc bồi thường cho những người nắm giữ bị ảnh hưởng được công bố công khai ngay sau đó .

Tác động rộng hơn đối với bỏ phiếu có trọng số token và bảo mật DeFi

Vụ việc BonkDAO không phải là một sự kiện cá biệt. Đây là ví dụ mới nhất và nổi bật nhất về một lỗ hổng cấu trúc mà các nhà nghiên cứu bảo mật đã ghi nhận trong suốt năm 2026.

Bỏ phiếu có trọng số token là mong manh về mặt cấu trúc

Bất kỳ hệ thống quản trị nào mà quyền biểu quyết tỷ lệ thuận với số lượng token nắm giữ đều dễ bị "thao túng quản trị" (governance capture) — một kẻ tấn công có tiềm lực tài chính mạnh có thể mua hoặc mượn đủ token để thông qua các đề xuất độc hại . Như một bài báo trên arXiv từ tháng 2 năm 2026 đã chỉ ra, thiết kế này "tạo cơ hội cho tin tặc thao túng kết quả bỏ phiếu" và thực hiện các đề xuất rút tiền .

Các DAO dựa trên Realms có thể cần các biện pháp bảo vệ mạnh mẽ hơn

Vụ khai thác đã làm dấy lên lo ngại về tính đầy đủ của các biện pháp bảo vệ trên nền tảng Realms, đặc biệt là về timelocks (thời gian trễ giữa khi đề xuất được thông qua và khi được thực thi) và các biện pháp kiểm soát thực thi có thể cho phép cộng đồng phủ quyết các đề xuất đáng ngờ trước khi tiền rời khỏi kho quỹ . Không giống như Governor Bravo của Compound, vốn có thời gian chờ hai ngày trước khi các token mới mua được phép biểu quyết, Realms dường như thiếu biện pháp bảo vệ này .

Các cuộc tấn công quản trị đang trở thành vector tấn công hiệu quả nhất trong DeFi năm 2026

Các nhà phân tích bảo mật đã lưu ý rằng các vụ khai thác quản trị kết hợp mua phiếu bầu, kỹ thuật xã hội và chiếm quyền đề xuất đang ngày càng trở nên thường xuyên và tinh vi hơn, thường đòi hỏi ít kỹ năng kỹ thuật hơn so với khai thác hợp đồng thông minh trong khi mang lại lợi nhuận lớn .

Nhiều trường hợp tương tự trong năm 2026

Chỉ vài tuần trước vụ việc BonkDAO, TOP Token đã hứng chịu một vụ khai thác quản trị trị giá 1,58 triệu USD khi kẻ tấn công giành được quyền biểu quyết đa số với một lượng token rất nhỏ do cấu hình sai của Aragon DAO . Vụ BonkDAO diễn ra theo cùng một kịch bản nhưng với quy mô lớn hơn nhiều.

Sự cần thiết của biểu quyết có trọng số thời gian và timelocks

Các biện pháp giảm thiểu được đề xuất bao gồm số dư biểu quyết có trọng số thời gian (yêu cầu token phải được nắm giữ trong một khoảng thời gian tối thiểu trước khi có quyền biểu quyết), timelocks bắt buộc đối với các đề xuất di chuyển kho quỹ, cơ chế phủ quyết đa chữ ký hoặc ở lớp xã hội, và các kế hoạch bỏ phiếu quadratic hoặc concave. Tuy nhiên, nghiên cứu được công bố vào năm 2026 cũng cho thấy rằng ngay cả các kế hoạch bỏ phiếu concave cũng có thể bị đảo ngược thành quyền biểu quyết tuyến tính dưới các chiến lược tối ưu của kẻ tấn công thông qua tấn công Sybil .

Chuyện gì đã xảy ra? Một cuộc tấn công quản trị, không phải khai thác kỹ thuật

BonkDAO báo cáo rằng một thực thể không xác định đã rút khoảng 20 triệu USD token BONK từ kho quỹ Solana của dự án bằng cách thông qua một đề xuất quản trị ác ý trên nền tảng Realms — công cụ mà nhiều DAO Solana sử dụng để bỏ phiếu on-chain . Cuộc tấn công này là một kế hoạch thao túng quản trị / mua phiếu bầu, hoàn toàn không phải là một vụ hack ở cấp độ code .

Theo tuyên bố của chính BonkDAO, kẻ tấn công đã sử dụng các ví sàn giao dịch để tích lũy token BONK trước khi đưa ra đề xuất, nhằm thu thập đủ trọng lượng biểu quyết để thông qua hành vi chuyển tiền bất hợp pháp . Phân tích on-chain từ các nhà điều tra blockchain sau đó ước tính kẻ tấn công đã chi khoảng 4 triệu USD để có được đủ ảnh hưởng biểu quyết .

Kẻ tấn công đã phá hoại cơ chế bỏ phiếu như thế nào?

Vụ khai thác đã vũ khí hóa một tính năng thiết kế cơ bản của hệ thống bỏ phiếu có trọng số token: một token tương đương một phiếu bầu.

• Tích lũy phiếu bầu: Kẻ tấn công lặng lẽ xây dựng một vị thế BONK lớn trong vài ngày thông qua các ví sàn giao dịch, mà BonkDAO xác định là được sử dụng để "tích lũy ảnh hưởng biểu quyết" .
• Đệ trình và thông qua đề xuất: Khi đã nắm quyền biểu quyết đa số, chúng đã đệ trình một đề xuất độc hại cho phép chuyển tiền trong kho quỹ vào ví của mình. Theo các quy tắc quản trị của Realms, đề xuất này đã được thông qua một cách hợp lệ — hệ thống chỉ đơn giản là phản ánh sự đồng thuận của những người nắm giữ token .
• Không khai thác lỗi: Kẻ tấn công không cần tìm ra lỗ hổng trong bất kỳ hợp đồng thông minh nào. Chúng đã khai thác chính quy trình quản trị, biến cơ sở hạ tầng dân chủ của DAO thành một công cụ cướp bóc .

Cuộc tấn công này khác với các cuộc tấn công quản trị có hỗ trợ của flash loan (như vụ Beanstalk 182 triệu USD năm 2022) ở một điểm mấu chốt: kẻ tấn công BonkDAO đã tích lũy token thực sự theo thời gian, thay vì đi vay và trả lại trong một giao dịch duy nhất. Nhưng cả hai phương pháp đều phơi bày cùng một điểm yếu cốt lõi: bất kỳ ai có đủ token đều có thể thông qua bất kỳ đề xuất nào .

Các nỗ lực khắc phục đang được tiến hành

Tính đến ngày 7 tháng 7 năm 2026, BonkDAO đã công bố các biện pháp ứng phó sau:

• Báo cáo cơ quan thực thi pháp luật — DAO cho biết đã thông báo cho các cơ quan thực thi pháp luật và đang phối hợp điều tra .
• Phối hợp với sàn giao dịch — Dự án đang làm việc với các sàn giao dịch tiền điện tử để đóng băng hoặc theo dõi số tiền bị đánh cắp đã bắt đầu được chuyển đến các nền tảng giao dịch . Các sàn giao dịch Hàn Quốc là Upbit và Bithumb được cho là đã tạm thời đình chỉ nạp và rút BONK sau vụ việc .
• Sự tham gia của Solana Foundation — BonkDAO đang phối hợp với Solana Foundation trong các nỗ lực ứng phó .
• Theo dõi và truy vết — Nhóm đang theo dõi hoạt động của ví kẻ tấn công để xác định các mô hình di chuyển .

Chưa có thông báo nào về việc rollback on-chain, phát hành lại token hoặc bồi thường cho những người nắm giữ bị ảnh hưởng được công bố công khai ngay sau đó .

Tác động rộng hơn đối với bỏ phiếu có trọng số token và bảo mật DeFi

Vụ việc BonkDAO không phải là một sự kiện cá biệt. Đây là ví dụ mới nhất và nổi bật nhất về một lỗ hổng cấu trúc mà các nhà nghiên cứu bảo mật đã ghi nhận trong suốt năm 2026.

Bỏ phiếu có trọng số token là mong manh về mặt cấu trúc

Bất kỳ hệ thống quản trị nào mà quyền biểu quyết tỷ lệ thuận với số lượng token nắm giữ đều dễ bị "thao túng quản trị" (governance capture) — một kẻ tấn công có tiềm lực tài chính mạnh có thể mua hoặc mượn đủ token để thông qua các đề xuất độc hại . Như một bài báo trên arXiv từ tháng 2 năm 2026 đã chỉ ra, thiết kế này "tạo cơ hội cho tin tặc thao túng kết quả bỏ phiếu" và thực hiện các đề xuất rút tiền .

Các DAO dựa trên Realms có thể cần các biện pháp bảo vệ mạnh mẽ hơn

Vụ khai thác đã làm dấy lên lo ngại về tính đầy đủ của các biện pháp bảo vệ trên nền tảng Realms, đặc biệt là về timelocks (thời gian trễ giữa khi đề xuất được thông qua và khi được thực thi) và các biện pháp kiểm soát thực thi có thể cho phép cộng đồng phủ quyết các đề xuất đáng ngờ trước khi tiền rời khỏi kho quỹ . Không giống như Governor Bravo của Compound, vốn có thời gian chờ hai ngày trước khi các token mới mua được phép biểu quyết, Realms dường như thiếu biện pháp bảo vệ này .

Các cuộc tấn công quản trị đang trở thành vector tấn công hiệu quả nhất trong DeFi năm 2026

Các nhà phân tích bảo mật đã lưu ý rằng các vụ khai thác quản trị kết hợp mua phiếu bầu, kỹ thuật xã hội và chiếm quyền đề xuất đang ngày càng trở nên thường xuyên và tinh vi hơn, thường đòi hỏi ít kỹ năng kỹ thuật hơn so với khai thác hợp đồng thông minh trong khi mang lại lợi nhuận lớn .

Nhiều trường hợp tương tự trong năm 2026

Chỉ vài tuần trước vụ việc BonkDAO, TOP Token đã hứng chịu một vụ khai thác quản trị trị giá 1,58 triệu USD khi kẻ tấn công giành được quyền biểu quyết đa số với một lượng token rất nhỏ do cấu hình sai của Aragon DAO . Vụ BonkDAO diễn ra theo cùng một kịch bản nhưng với quy mô lớn hơn nhiều.

Sự cần thiết của biểu quyết có trọng số thời gian và timelocks

Các biện pháp giảm thiểu được đề xuất bao gồm số dư biểu quyết có trọng số thời gian (yêu cầu token phải được nắm giữ trong một khoảng thời gian tối thiểu trước khi có quyền biểu quyết), timelocks bắt buộc đối với các đề xuất di chuyển kho quỹ, cơ chế phủ quyết đa chữ ký hoặc ở lớp xã hội, và các kế hoạch bỏ phiếu quadratic hoặc concave. Tuy nhiên, nghiên cứu được công bố vào năm 2026 cũng cho thấy rằng ngay cả các kế hoạch bỏ phiếu concave cũng có thể bị đảo ngược thành quyền biểu quyết tuyến tính dưới các chiến lược tối ưu của kẻ tấn công thông qua tấn công Sybil .