Один кошелёк купил контроль над DAO Arkadiko за $51 тыс. и вывел $1,09 млн

Расследование Bitquery восстановило схему атаки на протокол кредитования Arkadiko в сети Stacks. 17 октября в 20:35 UTC атакующий кошелёк подал предложение №12 под названием «AIP 32 — Update Vaults Operations for Reward Distribution» и в тот же день купил 193 091 DIKO — ровно столько, чтобы преодолеть порог в 0,25% для подачи инициативы на голосование. Формально на голосование по предложению отводилось пять дней, но почти никто эти пять дней его не замечал.

22 октября в 15:03 UTC кошелёк купил на внутренней бирже Arkadiko ещё 3,39 млн DIKO за 145 918 STX, а через три минуты проголосовал всем объёмом. В 16:04 UTC голосование закрылось: 4 573 197 DIKO за, ни одного голоса против. Это 6,7% от обращающегося запаса токенов — больше необходимого кворума в 5% (около 3,4 млн DIKO). До этого все 54 предложения подавал только кошелёк команды проекта, поэтому держатели токенов не привыкли проверять чужие инициативы.

Голосование обошлось атакующему в 158 139 STX, или около $51 тыс., а после продажи оставшихся DIKO чистые расходы составили примерно $47 тыс. Bitquery выяснила, что 77% средств для скупки токенов пришли с другой атаки — двумя днями ранее тот же кошелёк захватил управление биржей StackSwap и опустошил 49 пулов за минуту.

Предложение №12 ссылалось на несуществующий фикс с GitHub, а на деле заменяло контракт управления хранилищами на версию, написанную самим атакующим. Её функции позволяли выводить любые токены и печатать стейблкоин USDA без проверки вызывающего. В 16:06 UTC из хранилища вывели весь sBTC, в 16:09 — весь stSTX и напечатали 1 млрд USDA. Всего из Arkadiko вывели активов на $1,09 млн, включая 2 065 481 stSTX и 1,6522 sBTC. Печать 1,5 млрд USDA обрушила курс стейблкоина до $0,13. TVL протокола упал примерно на 90% — до $141 600 против пика в $24,6 млн в марте 2024 года.