BonkDAO verliest naar schatting $20 miljoen nadat aanvaller voor $4 miljoen stemrecht koopt en kwaadaardig governancevoorstel doorvoert
Een aanvaller gaf ongeveer $4 miljoen uit om stemrecht te verwerven, loodste een kwaadaardig governancevoorstel door en haalde naar schatting $20 miljoen uit de treasury van BonkDAO — zonder dat daar een code-exploit voor nodig was.
BonkDAO heeft bevestigd dat ongeveer $20 miljoen aan BONK-tokens uit de treasury is weggesluisd nadat een aanvaller circa $4 miljoen had uitgegeven om genoeg stemrecht te vergaren voor het doordrukken van een kwaadaardig governancevoorstel. Geen smart-contractbug vereist. Alleen kapitaal, en een governanceproces dat dun genoeg was om één stem een directe route naar het geld te laten worden.
De aanval was gericht op de decentrale autonome organisatie van de SOL$102,77▼2,86%-gebaseerde memecoin, zoals bevestigd door BonkDAO en gemeld door CryptoNews. De aanvaller zocht niet naar een kwetsbaarheid in de code. Hij kocht governancetokens, stemde een voorstel door dat de treasury-leegroof machtigde, en vertrok met het geld voordat de community kon reageren.
Het bedrag van $4 miljoen voor de verwerving van stemrecht door de aanvaller komt uit een CryptoBriefing-zijbalk, verwerkt in een verhaal over Galaxy Digital en CoreWeave — geen op zichzelf staand BonkDAO-rapport. Volgens berichtgeving van Binance Square financierde de aanvaller het voorstel via een gecentraliseerde exchange, al is de specifieke CEX niet genoemd.
De mechaniek is wat dit de moeite waard maakt om nader te bekijken. CryptoSlate omschrijft de kernoorzaak als DAO-controles die “te dun” waren — op tokens gewogen stemmen konden een toegangsweg naar de treasury worden zonder voldoende time-locks, multi-signature-vereisten of menselijke controlepunten om een kwaadaardig voorstel vóór uitvoering tegen te houden. Er is geen code gebroken. Het governance-ontwerp zelf was de kwetsbaarheid.
Dit is een bekend aanvalsvector, en die blijft binnen de sector hardnekkig onderbelicht. Een aanvaller verwerft governancetokens — op de open markt of via een CEX — bouwt voldoende stemgewicht op, drukt een voorstel door dat in zijn eigen voordeel werkt, en haalt de treasury leeg voordat iemand kan ingrijpen. BonkDAO is een schoolvoorbeeld van die aanpak. Het kostte de aanvaller $4 miljoen om met $20 miljoen weg te lopen.
De officiële bevestiging van BonkDAO is hier van belang. Dit is geen gerucht dat rondgaat op X of een onbevestigde claim op social media. De leegroof is erkend door de organisatie zelf, wat het bedrag van $20 miljoen op stevige grond plaatst, ook al blijven de identiteit van de aanvaller, de exacte tekst van het voorstel en de specifieke CEX die werd gebruikt om de operatie te financieren onbekend.
Het bredere kader dat CryptoSlate schetst, is dat dit een “ernstige breuklijn in de beveiliging van memecoin-treasuries” vormt — geen eenmalig falen van BonkDAO, maar een structurele zwakte waarmee elke op tokens gewogen DAO met vergelijkbare governancemechaniek te maken kan krijgen. Memecoin-DAO’s lanceren doorgaans met minimaal institutioneel toezicht en leunen zwaar op stemmen op basis van tokengewicht. Die combinatie vormt een risico. Als een paar miljoen dollar aan tokenaankopen een treasury van $20 miljoen kan ontsluiten, is de economische prikkel om dezelfde truc elders te herhalen allesbehalve subtiel.
Marktcontext
De timing valt samen met een ongemakkelijke marktachtergrond. Solana, de chain waarop BONK draait, noteert momenteel op $80,53, een daling van 1,9% over de afgelopen 24 uur maar een stijging van 9,88% op weekbasis, met een marktkapitalisatie van $46,84 miljard bij een 24-uursvolume van $2,17 miljard. De totale cryptomarktkapitalisatie staat op $2.269,06 miljard met een 24-uursvolume van $74,93 miljard. De Fear & Greed Index staat op 20/100 — Extreme Fear — een sentimentomgeving die negatieve koppen versterkt en protocollen afstraft die als kwetsbaar worden gezien.
Een governance-leegroof van $20 miljoen zal de koers van SOL op zichzelf niet bewegen. Maar het voedt een lopend narratief over falende DAO-governance dat de sector al sinds begin 2024 achtervolgt, toen een reeks vergelijkbare aanvallen op kleinere protocollen aantoonde dat op tokens gewogen stemmen alleen zo veilig is als het controleproces dat eromheen is gebouwd.
Geen code om te patchen
Deze aanval verschilt op één cruciaal punt van een gewone smart-contract-exploit: er is geen code om te patchen. De kwetsbaarheid zit in het governance-ontwerp — de regels over wie een voorstel mag indienen, hoe lang een voorstel blijft liggen vóór uitvoering, en of een multi-sig of menselijk controlepunt staat tussen een geslaagde stemming en een overdracht uit de treasury. Dit oplossen betekent die regels veranderen. Er is geen hotfix.
BonkDAO heeft geen tijdlijn voor herstel of post-mortem gepubliceerd. Wat wel vaststaat, is de rekensom: ongeveer $4 miljoen erin, ongeveer $20 miljoen eruit, en een governancemodel dat ontoereikend bleek om het tegen te houden.
De vraag die nu voor elke andere memecoin-DAO ligt, is of dit wordt opgevat als waarschuwing of als achtergrondruis. Het volgende protocol met dunne controles en een op tokens gewogen stemsysteem is het voor de hand liggende volgende doelwit. De aanval op BonkDAO heeft net bewezen dat de rekensom klopt.
Nadia Rahman
Nadia Rahman is marktenredacteur bij CoinScoop. Ze volgt bitcoin, macroliquiditeit en de spot-ETF-markt, en schreef eerder over rente en valuta voor een internationaal persbureau.