Предупреждение о безопасности: домен bonk.fun был взломан, пожалуйста, не посещайте его.

Это типичный случай захвата домена и атаки на цепочку поставок, который выявляет критическую уязвимость централизованных точек в децентрализованной экосистеме.

С технической точки зрения, злоумышленники не атаковали напрямую смарт-контракты платформы, а выбрали более легкую цель: контроль над учетными записями членов команды, что позволило им захватить доменные имена (DNS) или учетные записи провайдеров хостинга. Этот путь атаки имеет низкую стоимость и трудно предотвратим, поскольку он зависит от социальной инженерии или эксплуатации уязвимостей в личных учетных записях, а не от сложных уязвимостей в блокчейне. После посещения взломанного домена пользователи перенаправляются на фишинговый сайт, который выглядит идентично оригинальному, но подключенный к нему смарт-контракт был заменен на вредоносную версию. При авторизации транзакции средства напрямую крадутся, а не выполняются ожидаемые операции.

С точки зрения проекта, bonk.fun – это не незначительный игрок. Это платформа запуска (Launchpad), тесно связанная с известной мем-монетой BONK в экосистеме Solana, и она постепенно набирает популярность в ожесточенной конкуренции с Pump.fun, даже недавно завершив приобретение и интеграцию ключевого доменного имени bonk.fun. Этот статус делает его привлекательной целью для хакеров, поскольку он имеет большую пользовательскую базу и объем финансовых потоков. Эта атака не только приведет к прямым экономическим потерям, но и нанесет серьезный удар по доверию и репутации, которые проект долго и упорно создавал.

Этот инцидент служит предупреждением для всех участников и пользователей: в приложениях на основе блокчейна, фронтенд и система доменных имен являются огромной и часто игнорируемой точкой риска. Даже если сам смарт-контракт является непоколебимым, точка доступа (веб-сайт) может стать чрезвычайно уязвимой из-за централизованных служб хостинга. Пользователям следует всегда проявлять бдительность и не доверять ссылкам, распространяемым через неофициальные каналы, и тщательно проверять адрес смарт-контракта перед авторизацией любой транзакции. Проектным командам необходимо использовать строгую многофакторную аутентификацию и управление аппаратными ключами для защиты своих основных цифровых активов (доменные имена, аккаунты в Twitter, права доступа к серверам) и активно продвигать использование децентрализованных фронтендов (например, IPFS/Arweave) для снижения рисков, связанных с такими единичными точками отказа.