Złodziej legalnie ukradł 20 mln USD z BONK DAO. Nie złamał żadnej zasady

Napastnik kupił 1 procent całkowitej podaży BONK za 4,4 miliona dolarów na giełdach Binance i Bybit
Złożył wniosek BIP #76 z ukrytym poleceniem przelewu wbudowanym w treść propozycji
Protokół głosowania zadziałał zgodnie z kodem i przelał 20 milionów dolarów na konto napastnika
Głosowało 7 portfeli, 99,9 procent głosów padło na "tak"; BONK traci 7 procent w 24 godziny

Gdzieś przed świtem 7 lipca 2026 roku 20 milionów dolarów opuściło skarbiec BONK DAO. Transakcja przeszła bez zarzutu, kod zadziałał prawidłowo, a blockchain potwierdził każdy krok. Z technicznego punktu widzenia nie było żadnego problemu. Poza tym, że był to rabunek.

Jak kupić sobie prawo do okradnięcia skarbca

Mechanizm, którym posłużył się napastnik, jest znany pod nazwą governance attack. Nie wymaga żadnych luk w kodzie. Wymaga wyłącznie pieniędzy i cierpliwości.

Napastnik skupił na giełdach Binance i Bybit około 88 miliardów tokenów BONK, co stanowiło 1 procent całkowitej podaży. Koszt operacji: 4,4 miliona dolarów. W zamian za tę kwotę otrzymał proporcjonalne prawo głosu w zarządzie DAO protokołu.

Następnie złożył propozycję zarządczą o numerze BIP #76. Na pozór wyglądała niewinnie. Głębiej w treści ukrył polecenie wykonania kontraktu, które miało przelać środki ze skarbca na wskazany przez siebie adres. Nikt nie zgłosił sprzeciwu. Nikt prawie nie głosował.

Głosowało siedem portfeli. Wynik: 99,9 procent za

Na głosowanie odpowiedziało siedem portfeli. 99,9 procent oddanych głosów padło na "tak". Propozycja przeszła z wynikiem, który w normalnym głosowaniu parlamentarnym nazwano by jednomyślnością.

Kontrakt wykonał się automatycznie. Na adres napastnika trafiło 4,426 biliona tokenów BONK, co według kursu z chwili transakcji stanowiło równowartość 20 milionów dolarów.

Chainalysis potwierdziło: każda transakcja była technicznie zgodna z zasadami protokołu. Nic nie zostało naruszone. Głosowanie odbyło się uczciwie w takim sensie, w jakim uczciwe jest kupowanie wyniku głosowania.

Protokół zadziałał prawidłowo. I właśnie na tym polega problem

Ekipa BONK zgłosiła sprawę organom ścigania i poinformowała Solana Foundation. Giełdy Binance i Bybit deklarują współpracę przy próbie odzyskania i identyfikacji środków. Token BONK stracił 7 procent w ciągu 24 godzin od ataku.

Kalkulacja napastnika była jednak zimna i precyzyjna: 4,4 miliona dolarów wystarczyło, by zabrać 20 milionów. Stopa zwrotu przekroczyła 350 procent w kilka godzin. Trudno o lepiej zoptymalizowaną operację finansową.

Problem systemowy jest głębszy niż sam napad. Większość protokołów DAO opiera zarządzanie na tokenie głosowania, zakładając, że posiadacze tokenów mają interes w długoterminowym dobrostanie projektu. To założenie przestaje działać w chwili, gdy jeden podmiot może kupić chwilową większość głosów, natychmiast spieniężyć ten przywilej i wyjść z pozycji.

Co to oznacza dla posiadaczy tokenów z aktywnym DAO

Governance attack nie jest nowością w ekosystemie DeFi, ale historia BONK przyciąga uwagę ze względu na skalę i prostotę wykonania. Nie potrzeba było zhakowanego kontraktu, skradzionego klucza prywatnego ani miesięcy przygotowań. Wystarczyło konto na giełdzie, 4,4 miliona dolarów i propozycja złożona w odpowiednim momencie.

Jeśli posiadasz tokeny z aktywnym zarządem DAO, warto sprawdzić historię głosowań w projekcie: ilu uczestników brało udział w poprzednich głosowaniach i jaki procent podaży reprezentowali. Protokoły, w których aktywnie głosuje kilka procent posiadaczy, są szczególnie narażone na ten typ ataku. Niska frekwencja to nie tylko sygnał niskiego zaangażowania społeczności. To otwarte zaproszenie dla kogoś, kto potrafi rachować.

Indeks Strachu i Chciwości

Jak kupić sobie prawo do okradnięcia skarbca

Głosowało siedem portfeli. Wynik: 99,9 procent za

Protokół zadziałał prawidłowo. I właśnie na tym polega problem

Co to oznacza dla posiadaczy tokenów z aktywnym DAO

O autorze

Newsletter Bitcoin.pl