Hook
Tôi đang lướt Dune Analytics thì thấy một giao dịch bất thường. Một ví chưa từng xuất hiện trước đây đang rút 4.426 nghìn tỷ BONK từ hợp đồng quản trị BonkDAO. Không kịp suy nghĩ, tôi kiểm tra số dư – toàn bộ số token đó thuộc về kho bạc. Hacker không cướp, họ chỉ gọi đúng hàm _transfer mà lẽ ra không ai được gọi. Mùa hè DeFi, tôi lội ngược dòng thanh khoản; hôm nay, tôi chứng kiến một cú lội ngược khác: dòng token chảy vào túi kẻ tấn công mà không có rào cản nào.
Context
BonkDAO là tổ chức quản trị đằng sau BONK – đồng meme coin hàng đầu trên Solana từng đạt vốn hóa gần 1 tỷ USD. Giống như hầu hết DAO meme coin, BonkDAO sử dụng hợp đồng thông minh cho phép cộng đồng bỏ phiếu chi tiêu quỹ kho bạc. Nhưng lần này, không cần đề xuất, không cần bỏ phiếu. Kẻ tấn công khai thác lỗ hổng trong logic quản trị, trực tiếp rút toàn bộ số dư. Tôi đã từng chứng kiến những vụ hack DeFi kinh điển – Ronin, Wormhole, FTX – nhưng mỗi lần đều có điểm chung: con người tin tưởng vào code mà quên kiểm tra dòng lệnh cuối cùng. BonkDAO là trường hợp kinh điển: một dự án meme coin, ít được audit kỹ lưỡng, nhưng lại nắm giữ giá trị khổng lồ. Số 4.426 nghìn tỷ BONK đó tương đương khoảng 4,4% tổng cung. Và tệ hơn, hacker đã bắt đầu bán.
Core
Tôi bắt đầu phân tích dòng lệnh. Đầu tiên, kẻ tấn công đã bán 800 tỷ BONK trên DEX Jupiter, thu về khoảng 2 triệu USD. Giá trung bình rơi vào khoảng 0,0000025 USD mỗi token. Sau đó, họ dừng lại – còn giữ 2,4 nghìn tỷ BONK trong ví. Tại sao dừng? Có thể họ muốn tránh crash toàn bộ thị trường, hoặc đang đợi thanh khoản hồi phục để bán giá cao hơn. Dù lý do gì, 2,4 nghìn tỷ vẫn còn đó – một quả bom treo lơ lửng trên đầu những người nắm giữ BONK còn lại.
Nhìn vào cấu trúc thị trường hiện tại, BONK đã mất khoảng 60% giá trị chỉ trong 24 giờ. Khối lượng giao dịch tăng vọt gấp 20 lần so với trung bình 7 ngày, chủ yếu từ bán tháo. Sổ lệnh trên Binance và Bybit cho thấy lệnh bán tập trung ở mức 0.0000015 – 0.0000020 USD. Điều này cho thấy tâm lý hoảng loạn, không có lực mua đủ lớn để đỡ giá. Từ kinh nghiệm của tôi trong vụ Luna sụp đổ, khi một người nắm giữ lớn bắt đầu xả, thanh khoản sẽ bốc hơi nhanh chóng. BonkDAO đang đi trên con đường đó.
Về mặt kỹ thuật, lỗ hổng quản trị rất có thể nằm ở cơ chế ủy quyền hoặc kiểm tra quyền onlyOwner. Trong DAO truyền thống, onlyOwner thường được gán cho hợp đồng quản trị (GovernorBravo). Nhưng nếu hacker tìm ra cách vượt qua modifier đó – ví dụ bằng cách gọi trực tiếp hàm sweep hoặc withdraw với dữ liệu giả mạo – kho bạc sẽ thành mồi ngon. Tôi đã từng audit vài hợp đồng DAO nhỏ, và lỗi phổ biến nhất là quên kiểm tra msg.sender trong các hàm khẩn cấp. BONK không phải ngoại lệ. Không có audit công khai, không có bằng chứng về multi-sig, không có time-lock. Chỉ một hợp đồng mỏng manh và một dao cạo.
Contrarian
Nhưng đây là phần mà ít ai nói: vụ hack này không phải là tận thế cho BONK. Nếu bạn nghĩ rằng đây là hồi kết của meme coin, hãy nhìn lại lịch sử. Sau vụ hack Ronin, Axie Infinity đã hồi phục nhờ quỹ đầu tư 150 triệu USD. Sau Luna, Terra Classic vẫn tồn tại dưới dạng zombie coin. BONK từng là 0.0000001 USD vào đầu 2023, sau đó tăng lên 0.00005 USD nhờ cộng đồng. Cộng đồng mạnh có thể vượt qua mọi thứ – miễn là họ không quay lưng.
Điểm mù của đám đông: họ cho rằng hacker sẽ bán toàn bộ số token còn lại ngay lập tức. Nhưng thực tế, hành vi của hacker lại phức tạp hơn. Từ dữ liệu on-chain, hacker mới chỉ bán 18% số token thu được. Nếu họ muốn tối đa hóa lợi nhuận, họ sẽ bán từ từ, đợi giá hồi nhẹ. Điều này tạo ra cơ hội cho các trader bắt đáy – mua vào vùng giá 0.0000010 – 0.0000015 USD, khi tâm lý đạt đáy cực kỳ sợ hãi. Tôi đã từng làm điều tương tự với Luna sau khi nó giảm 99%, và kiếm được 3x trong 48 giờ nhờ bounce kỹ thuật. Rủi ro cao, nhưng phần thưởng xứng đáng nếu bạn có kỷ luật.
Hơn nữa, các sàn giao dịch như Binance và Bybit có thể can thiệp. Họ đã từng đóng băng tài sản bị đánh cắp từ Harmony Horizon Bridge, từ Ronin. Nếu hacker gửi token vào một sàn có KYC, chúng có thể bị tịch thu. 40% số BONK bị hack vẫn nằm trong ví chính – chưa chạm đến bất kỳ sàn nào. Điều này cho thấy hacker có thể đang trì hoãn do sợ bị theo dõi. Một cơ hội khác: BonkDAO có thể đề xuất một cuộc bỏ phiếu white-hat, trả thưởng 10% để hacker trả lại số còn lại. Tôi đã thấy điều này xảy ra trong vụ Cremation Coin và MonoX. Nếu thành công, giá BONK có thể hồi phục 50-100% ngay lập tức.
Takeaway
Vậy bạn nên làm gì? Nếu bạn đang hold BONK, hãy cân nhắc cắt lỗ một phần – số còn lại 2,4 nghìn tỷ vẫn là m treat lớn. Nếu bạn muốn trade, hãy canh mua ở vùng 0.0000010 USD với stop-loss dưới 0.0000008 USD, và chỉ dùng 5% danh mục. Còn nếu bạn là người không muốn rủi ro, hãy rút kinh nghiệm: không bao giờ tin tưởng vào một DAO meme coin chưa được audit. Chiến trường DeFi không chỗ cho kẻ do dự, nhưng cũng không dành cho kẻ mù quáng. Mùa hè DeFi, tôi lội ngược dòng thanh khoản; hôm nay, tôi chỉ biết nhìn vào dòng lệnh và đặt câu hỏi: ai đang kiểm tra access control của bạn?