BONK ja Summer.fi: kaks DeFi turvaintsidenti

Mis juhtus

6. juulil 2026 tuletasid kaks omavahel mitteseotud turvaintsidenti meelde, et detsentraliseeritud protokollide ja valitsemistokenite riskid püsivad sõltumata sellest, kui rangelt reguleeritakse tsentraliseeritud börside sektorit. Solana ökosüsteemi BonkDAO kaotas pahatahtliku valitsemishääletuse kaudu ligikaudu 20 miljoni dollari väärtuses BONK tokeneid, samal ajal kui DeFi tootlusprotokoll Summer.fi peatas oma Lazy Summer hoidlad pärast umbes 6 miljoni dollari väärtuses ärakasutamist.

Mõlemad juhtumid sisaldavad õppetundi ka Balti ja Põhjamaade kasutajatele: MiCA tugevdab tsentraliseeritud börside (CASP-ide) järelevalvet, kuid detsentraliseeritud protokollid ja nende valitsemismehhanismid jäävad suuresti sellest raamistikust välja ning tehnilised ja majanduslikud riskid on seal teistsugused.

BonkDAO valitsemisrünnak - kuidas see toimus

BONK on üks suurimaid Solana "meemimünte" ja selle kogukond haldab varakassat detsentraliseeritud autonoomse organisatsiooni BonkDAO kaudu. Rünnak ei kasutanud ära nutilepingu viga - selle asemel võttis ründaja üle hääletusmehhanismi enda.

Sündmuste käik:

• 30. juunil esitas anonüümne rahakott ettepaneku kanda varakassa vahendid tema kontrolli all olevasse rahakotti.
• Ettepaneku jõustumiseks oli vaja kvoorumit - "poolt" hääli võrdselt 1%-ga BONK-i pakkumisest.
• 4. ja 5. juulil ostis eraldi rahakott täpselt sellises koguses BONK-i (umbes 1% pakkumisest), kulutades Bybit ja Binance börsidel ligikaudu 4,4 miljonit dollarit.
• Selle hääleõigusega täitis ründaja üksi kvoorumi. Hääletus läks läbi 99,9% "poolt" häältega ning ründajaga seotud rahakotid kontrollisid ligikaudu 99,878% antud häältest.
• Selle tulemusena kanti varakassast ründaja rahakotti ligikaudu 4,426 triljonit BONK tokenit.

BONK-i hind langes umbes 8-10%. BonkDAO teatas, et teeb koostööd Solana Foundationi ja börsidega, et varastatud varasid jälgida ja külmutada.

Mis on valitsemisrünnak

Valitsemisrünnak on olukord, kus keegi saab DAO-s piisavalt hääleõigust, et võtta vastu otsus enda kasuks - näiteks suunata varakassa mujale või muuta protokolli parameetreid. Erinevalt koodihaavatavusest ei "häkita" siin tarkvara, vaid otsustussüsteemi.

BonkDAO juhtumi tegi võimalikuks madal valimisaktiivsus: kui enamik tokenite omanikke ei hääleta, siis suhteliselt väike, kuid kontsentreeritud hääletuspositsioon võib täita kvoorumi ja määrata tulemuse. See on struktuurne DAO-de probleem, mitte konkreetse tiimi süü, ja sarnased rünnakud on ajalooliselt tabanud ka teisi protokolle (nt Beanstalk 2022. aastal).

Summer.fi ärakasutamine - kuidas see toimus

Päeva teises intsidendis kannatas DeFi platvorm Summer.fi nutilepingu ärakasutamise all. Ründaja kasutas flash loan laenu - laenu, mis võetakse ja makstakse tagasi ühe ja sama tehingu piires.

Tehniline käik, nagu turvafirmad seda kirjeldasid:

• Ründaja võttis ligikaudu 65,4 miljoni dollari suuruse USDC flash loan laenu.
• Selle abil manipuleeris ta Lazy Summer hoidlate (ehitatud ERC-4626 standardile) raamatupidamisloogikat, "paisutades" kunstlikult hoidlas olevate varade väärtust.
• Tänu paisutatud seisule sai ründaja lunastada rohkem osakuid, kui tegelikult ette nähtud, jõudes lunastuseni umbes 70,9 miljoni dollari väärtuses ja saades kaasa ligikaudu 6 miljonit dollarit kasumit.

Intsidendile juhtis esimesena tähelepanu turvafirma Blockaid; PeckShield ja CertiK teatasid samuti kahtlasest tegevusest. Summer.fi kinnitas, et protokolli "valvurid" (guardians) peatasid mõjutatud hoidlad edasiste kahjude vältimiseks. Platvormi SUMR token langes rohkem kui 18%. DeFiLlama andmetel oli protokollil enne rünnakut umbes 22 miljonit dollarit lukustatud koguväärtust (TVL). Osa vahendeid jälitati, sealhulgas Tornado Cash miksimisteenuse kaudu.

Mis on Summer.fi ja mida see pakub

Summer.fi on DeFi orkestreerimis- ja automatiseerimiskiht, mis töötab baasprotokollide nagu Aave, Sky (endine Maker) ja Morpho peal. Idee: selle asemel, et kasutaja käsitsi tehinguid teostaks ja likvideerimisriski igas protokollis jälgiks, võimaldab Summer.fi automatiseerida positsioone ja strateegiaid ühes liideses.

Platvormil on kaks peamist toodet:

• Lazy Summer Protocol - "seadista ja unusta" lähenemine passiivsele tootlusele. See pakub Lazy Vaults hoidlaid - kureeritud, hajutatud portfelle, mida tehisintellektil põhinevad "Keeperid" automaatselt protokollide vahel parima tootluse otsingul tasakaalustavad. Ettevõtte sõnul toimus 2025. aastal üle 75 000 automaatse tasakaalustamistegevuse.
• Summer.fi Pro - keerukam lähenemine kogenud kasutajatele, suurema käsitsi kontrolliga positsioonide, laenamise ja strateegiate üle.

Summer.fi positsioneerib end mittehoiustava (non-custodial) kihina - see ei võta kunagi kontrolli kasutaja vahendite üle. Lazy Summer Protocol on saadaval Ethereumi, Base'i ja Arbitrumi võrkudes. Selle intsidendi kontekstis märkisid mõned analüütikud, et tehisintellektil põhinev automatiseerimine lisab DeFi-s klassikalise nutilepingu riski peale uue riskikihi.

Mõju Balti ja Põhjamaade kasutajatele

Otsene finantsmõju piirkonna kasutajatele on tõenäoliselt piiratud - BONK ja SUMR ei ole Baltikumis ja Põhjamaades laialdaselt hoitavad varad ning kumbki protokoll ei ole kohalik teenusepakkuja. Sellegipoolest kannavad intsidendid laiemat tähendust:

• Regulatiivne piir. MiCA nõuab tsentraliseeritud krüptovarateenuse pakkujatele (CASP-idele) litsentsimist ja järelevalvet, kuid detsentraliseeritud protokollid ja DAO valitsemine jäävad suuresti sellest raamistikust välja. Litsentseeritud börs ei tähenda, et sellel kaubeldavad DeFi tokenid oleksid "turvalised".
• Erinevat tüüpi riskid. Tsentraliseeritud börside riskid (maksevõime, hoiustamine, sisekontrollid) erinevad DeFi riskidest (nutilepingu vead, valitsemisrünnakud, flash loan manipulatsioon).
• Uuri enne osalemist. Enne vahendite paigutamist DAO-sse või DeFi hoidlasse tasub mõista valitsemismudelit, kvoorumireegleid, auditite ajalugu ja seda, kes tegelikult hääleõigust kontrollib.

Riskid ja skeptiline vaade

Need kaks intsidenti toovad esile erinevad, kuid seotud riskid. Valitsemisrünnakud näitavad, et paberil detsentraliseeritus (tokenite hääletus) võib praktikas olla tsentraliseeritud, kui aktiivsus on madal ja hääleõigust saab turult osta. Flash loan ärakasutamised näitavad, et isegi mittehoiustavad, "hästi auditeeritud" protokollid võivad sisaldada peeneid raamatupidamisvigu, mida saab ära kasutada suure ja lühiajalise kapitaliga.

Samal ajal on oluline perspektiiv: kumbki intsident ei ole kogu krüptotööstuse jaoks süsteemne ning mitmed DeFi protokollid on ajalooliselt osa vahenditest tagasi saanud "white hat" kokkulepete ja jälitamise kaudu. Sellegipoolest nõuavad lubadused kõrgest tootlusest või "automatiseeritud" turvalisusest alati sõltumatut hindamist.

Mis järgneb

• BonkDAO - kas osa varastatud BONK-ist saab börside ja Solana Foundationi abiga külmutada või tagasi saada ning kas DAO vaatab üle oma kvoorumi- ja hääletusreeglid.
• Summer.fi - hoidlate taasavamine pärast auditeid, võimalik "white hat" kokkulepe ründajaga ja intsidendi täielik järelanalüüs (post-mortem).
• Tööstuse õppetund - suurem tähelepanu DAO valitsemise turvalisusele (kvoorum, ajaviivitused, multisig kontrollid) ja ERC-4626 hoidlate raamatupidamise auditeerimisele.

Seotud artiklid

• RealFi testvõrk: mis see on ja selle mõju ADA-le
• Ripple sai täieliku MiCA CASP litsentsi
• MiCA-litsentseeritud börsid Baltikumis ja Põhjamaades

Allikad

• CoinDesk - BONK faces $20 million treasury drain after attacker spends $4 million
• crypto.news - What is a governance attack? How BonkDAO lost $20M in a single vote
• The Record - Attackers vote themselves $20 million in BONK
• CoinDesk - DeFi protocol Summer.fi halts Lazy Summer vaults after $6 million exploit
• The Block - Summer Finance exploited for $6 million; analysts point to flash loan attack
• The Defiant - Lazy Summer Protocol Launches With an AI-Powered Yield Optimizer for DeFi

See on informatiivne ülevaade, mitte investeerimisnõuanne. Krüptovarad, DAO valitsemistokenid ja DeFi protokollid on kõrge riskiga. Tee enne otsuste tegemist oma uurimistöö.