Aucun exploit de code. Aucune clé privée compromise. Aucun lien de phishing. Et pourtant, BonkDAO affirme que les attaquants ont retiré environ 20 millions de dollars en BONK de la trésorerie $ Solana du projet via une proposition de gouvernance malveillante.
L'attaquant n'a pas enfreint les règles, il les a achetées.
Qu'est-il arrivé à BONK DAO ?
$BONK est un memecoin basé sur Solana et BONK DAO est le conseil communautaire qui le gère. Les détenteurs de jetons votent sur les propositions, et si un vote est réussi, il est automatiquement exécuté en chaîne. Cette conception même est devenue une arme.
La séquence a commencé le 30 juin, lorsqu'un portefeuille anonyme a soumis une proposition visant à transférer les avoirs du Trésor vers un portefeuille qu'il contrôle. La proposition était intitulée « BIP #76 – Sowellian BonkDAO » et ressemblait plus à un argumentaire qu'à un braquage : elle promettait « d'introduire une gouvernance sowellienne, d'installer de nouveaux membres et un conseil, de reconstruire de ses cendres, de monétiser les avoirs et d'arrêter l'hémorragie » – et promettait que tous les électeurs du « oui » recevraient des jetons BONK.
Cachée sous le langage marketing se trouvait la seule ligne qui comptait : une instruction de transférer environ 4,4 billions de BONK directement dans le portefeuille de l'attaquant.
Comment l’attaquant pourrait-il faire adopter une fausse proposition ?
C'est la partie qui devrait garder chaque DAO éveillé la nuit. La proposition nécessitait des votes « oui » équivalant à 1 % de l'offre de BONK pour atteindre le quorum. Alors l’attaquant est allé l’acheter. Les 4 et 5 juillet, un portefeuille distinct a acquis ce montant exact, dépensant environ 4,4 millions de dollars pour acheter BONK sur les bourses Bybit et Binance.
À la fin du vote, les chiffres étaient d’une précision presque chirurgicale. La proposition a été adoptée avec seulement sept votes de portefeuille – contre plus de 18 000 membres qui n'ont pas voté, soit un taux de participation de 2,9 %. Le quorum a été atteint avec une marge minime : 882,38 milliards de BONK contre un seuil de 879,95 milliards – presque exactement la mise que l'attaquant avait passé des jours à racheter.
Le résultat ? Le vote « oui » à 99,9 % était essentiellement le fait d'un seul électeur qui s'approuvait. Le DAO a ensuite fait exactement ce pour quoi il avait été conçu : il a exécuté le transfert automatiquement et environ 20 millions de dollars en BONK ont été transférés du trésor vers le portefeuille de l'attaquant.
Bonk DAO Attack : Où est passé l’argent ?
Les jetons volés n'ont pas duré longtemps. Plus de 4,4 billions de BONK – d'une valeur d'environ 19,3 millions de dollars au moment du transfert – ont quitté le Trésor à destination d'une adresse se terminant par « JHvQ », qui, selon Solscan, était financée via un compte Bybit. À 15 h 30 HE le même jour, les jetons ont été à nouveau déplacés, cette fois vers une autre adresse Solana se terminant par « eh42 ».
Les récompenses promises aux électeurs ne sont jamais arrivées. Les jetons n'ont jamais été distribués. Au lieu de cela, ils ont été déplacés vers une deuxième adresse quelques heures plus tard, un modèle plus adapté à un attaquant cherchant à brouiller la piste qu'à quelqu'un qui tient une promesse à la communauté. La société de sécurité PeckShield a rapporté plus tard qu'environ 148 000 $ de BONK avaient déjà été transférés vers OKX.
Bonk DAO a-t-il été piraté ?
Techniquement non – et c’est exactement ce qui est si inconfortable. L’attaquant n’a pas exploité une faille dans un contrat intelligent. Le problème central était la conception de la gouvernance, et non le code. Chaque étape était une transaction en chaîne valide et autorisée.
Sans délai, quorum minimum ou contrôle multisig qui aurait pu intercepter une proposition suspecte avant son exécution, un attaquant bien financé a pu transformer un achat de jetons de 4 millions de dollars en contrôle d'une trésorerie de 20 millions de dollars. Un délai aurait forcé un délai entre le consentement et l’exécution, donnant à la communauté une fenêtre d’opportunité pour remarquer la sortie. Un remplacement multisig aurait pu le geler en cas d'urgence. BONK DAO n’avait ni l’un ni l’autre.
Cela a relancé un vieux débat. Parce que chaque mouvement était une transaction valide, certains observateurs de la chaîne ont fait valoir que l'attaquant exploitait simplement une conception de gouvernance faible plutôt que de s'introduire par effraction. La leçon reste la même dans les deux cas : un trésor qui peut être vidé par quiconque achète une majorité temporaire de voix n'est aussi sûr que le coût d'achat de cette majorité – et ici, il était bien inférieur au prix en argent.
Que fait BONK DAO à ce sujet ?
BonkDAO a informé les forces de l'ordre et travaille avec la Fondation Solana, des échanges centralisés et des ponts de réseau pour récupérer les fonds. Selon ses propres déclarations, le DAO a identifié les portefeuilles d'échange utilisés pour acheter des jetons avant le vote – et l'implication des autorités montre clairement que le DAO traite le tout comme une attaque et non comme une échappatoire astucieuse.
Cependant, la récupération est un chemin semé d’embûches. Les attaques contre la gouvernance sont notoirement difficiles à inverser, précisément parce qu’elles opèrent via les mécanismes légitimes du protocole.
Comment le prix du BONK a-t-il réagi ?
Compte tenu de son ampleur, la réaction du marché a été étonnamment modérée. Le prix du BONK a baissé d’environ 7 % au cours des 24 heures suivant la publication de l’attaque. Les bourses ont réagi rapidement : la bourse sud-coréenne Upbit et la bourse américaine Kraken ont suspendu les dépôts et les retraits du jeton BONK – Upbit a fait référence à des « mesures de protection des utilisateurs suite aux circonstances d'un incident de sécurité ».