BONK DAO verliest $20 miljoen door zwakke stemregels

Aanvaller kocht tijdelijk genoeg stemrecht

BONK is een memecoin op de Solana–blockchain. Het project wordt bestuurd door een DAO (Decentralized Autonomous Organization). Dat is een organisatie waarin tokenhouders gezamenlijk stemmen over belangrijke beslissingen. Zodra een voorstel voldoende stemmen krijgt, voert het onderliggende smart contract de beslissing automatisch uit.

Precies dat mechanisme werd misbruikt.

Op 30 juni verscheen een voorstel om een groot deel van de BONK-schatkist over te maken naar een specifiek walletadres. Om het voorstel goed te keuren moest minimaal 1% van alle BONK-tokens deelnemen aan de stemming.

In de dagen daarna kocht een anonieme partij precies genoeg BONK om die drempel te halen. Volgens blockchainanalisten gebeurden de aankopen via Binance en Bybit. Daarnaast zou de aanvaller extra kapitaal hebben geleend via DeFi-platformen om voldoende tokens te verzamelen.

Zeven wallets bepaalden de toekomst van BONK DAO

Hoewel BONK DAO meer dan 18.000 leden telt, brachten uiteindelijk slechts zeven wallets een stem uit. De opkomst bleef steken op 2,9%, maar dat bleek voldoende om het voorstel goed te keuren.

De aanvaller stemde met vrijwel alle aangekochte tokens vóór het voorstel en haalde daarmee net genoeg stemmen binnen om de vereiste grens te overschrijden. Kort daarna voerde het smart contract de opdracht automatisch uit en verhuisde ongeveer 4,43 biljoen BONK, met een waarde van rond de 20 miljoen dollar, naar de wallet van de aanvaller.

Enkele uren later stuurde de aanvaller een klein deel van de buit naar een cryptobeurs. Het grootste deel kwam terecht in een multisig-wallet. Zo’n wallet vereist meerdere digitale handtekeningen voordat geld kan worden verplaatst en wordt vaak gebruikt om grote bedragen extra te beveiligen.

Opvallend is dat de aanvaller daarna juist de BONK-tokens verkocht die waren gekocht om de stemming te winnen. Daarmee verdiende hij zijn investering deels terug, terwijl de buit uit de schatkist behouden bleef.

BONK DAO onderneemt direct actie

Het team achter BONK DAO bevestigde de aanval kort daarna. Volgens het project ging het om een kwaadwillend bestuursvoorstel dat volledig volgens de bestaande regels kon worden uitgevoerd.

BONK DAO zegt inmiddels samen te werken met cryptobeurzen, brugprotocollen en de Solana Foundation om de geldstromen in kaart te brengen en de schade zoveel mogelijk te beperken. Ook zijn de wallets geïdentificeerd waarmee de BONK-tokens voorafgaand aan de stemming werden gekocht.

De markt reageerde direct op het nieuws. De koers van BONK verloor ongeveer 7% in de eerste 24 uur na de aanval.

Waarom deze aanval belangrijk is

Deze gebeurtenis raakt niet alleen BONK. Ook andere DAO’s gebruiken vergelijkbare stemsystemen. De aanval laat zien dat een project kwetsbaar wordt wanneer iemand tijdelijk voldoende tokens kan kopen om een stemming naar zijn hand te zetten.

Op papier volgde de aanvaller alle regels van het protocol. Toch spreken BONK DAO en blockchainonderzoekers van een aanval, omdat het stemsysteem bewust werd gebruikt om de schatkist leeg te halen. Dat zorgt opnieuw voor discussie over hoe DAO’s hun bestuur beter kunnen beveiligen tegen dit soort situaties.

Voor crypto-investeerders is dit een belangrijke les. Niet alleen de technologie achter een project telt mee, maar ook de manier waarop besluiten worden genomen en hoeveel invloed grote tokenhouders kunnen uitoefenen.

Conclusie

De aanval op BONK DAO laat zien dat decentralisatie niet automatisch betekent dat een project veilig is. Wanneer stemrecht eenvoudig kan worden gekocht, ontstaat het risico dat kwaadwillenden de controle tijdelijk overnemen en grote bedragen buitmaken. Voor veel DAO’s zal deze gebeurtenis waarschijnlijk aanleiding zijn om hun stemregels en beveiliging opnieuw onder de loep te nemen.

Veelgestelde vragen

Wat is een DAO?

Een DAO, oftewel een Decentralized Autonomous Organization, is een organisatie die wordt bestuurd door tokenhouders. Zij stemmen over voorstellen, waarna goedgekeurde besluiten automatisch door smart contracts worden uitgevoerd.

Waarom kon de aanvaller de BONK DAO leegmaken?

De aanvaller kocht tijdelijk genoeg BONK-tokens om de vereiste meerderheid voor een voorstel te behalen. Nadat de stemming was goedgekeurd, stuurde het smart contract de schatkist automatisch naar de opgegeven wallet.

Is dit een hack?

Niet in de traditionele betekenis. De aanvaller brak geen systemen open, maar maakte gebruik van de bestaande stemregels van BONK DAO. Daardoor ontstond discussie over de vraag of dit een hack of een misbruik van het bestuursmodel is.