BONK DAO perdió alrededor de 20 millones de dólares de su tesorería a última hora del lunes después de que un atacante gastara unos 4,4 millones de dólares para comprar algo más del 1 % del suministro de BONK, alcanzar el quórum de gobernanza y aprobar una propuesta que transfirió los tokens de la tesorería a un monedero bajo su control. La propuesta, BIP #76 ("Sowellian BonkDAO"), se aprobó con una participación del 2,9 %, con siete monederos votando a favor frente a más de 18.000 votantes ausentes. De esos siete, un monedero controlado por el atacante emitió en la práctica el voto decisivo: superó el margen de quórum de 882.380 millones de BONK frente a un umbral de 879.950 millones, votó la totalidad de su posición a favor y desencadenó la transferencia automática onchain de 4,43 billones de BONK fuera de la tesorería.
Por qué importa
El ataque funcionó porque el umbral de quórum de BONK DAO es un porcentaje fijo del suministro total, no una fracción de los votantes participantes, y el mercado de propuestas ha estado lo suficientemente tranquilo como para que ese quórum resulte barato. Comprar los BONK necesarios costó unos 4,4 millones de dólares, lo que reportó aproximadamente cinco veces el valor de la tesorería que desbloqueó a continuación. Cada paso fue una transacción onchain válida: la compra de tokens en Bybit y Binance, la posición tomada prestada mediante préstamos DeFi, el voto de gobernanza y el cobro. El atacante incluso empezó a vender los 5,3 millones de dólares en BONK que había acumulado para el voto en menos de una hora tras el drenaje, recuperando ese importe mientras conservaba el botín de la tesorería. BONK DAO ha confirmado el incidente y está coordinando con exchanges, puentes y la Solana Foundation la gestión de las consecuencias.
Impacto en el mercado
El efecto inmediato recae sobre la gobernanza de las memecoins, no solo sobre BONK. Cualquier DAO con baja participación, quórum reducido y voto ponderado por tokens tiene ahora sobre aviso que el precio de su tesorería equivale al coste de comprar el quórum. Chainalysis ha rastreado el drenaje y aproximadamente 188.000 dólares se movieron a un exchange en menos de nueve horas; los 19 millones restantes permanecen en un multisig controlado por el atacante. El incidente ha reabierto un viejo debate del sector sobre si el drenaje por quórum de tokens es un robo o simplemente la explotación de reglas que todos aceptaron. Para los tenedores de BONK también es un recordatorio de que el precio del token y la tesorería de su DAO son apuestas distintas, y de que ahora conviene incorporar la capa de gobernanza al precio de la operación.
Preguntas frecuentes
-
¿Cómo logró el atacante vaciar la tesorería de BONK DAO?
Gastó unos 4,4 $M para comprar algo más del 1 % del suministro de BONK, que era el umbral de quórum para las propuestas de gobernanza. Después votó la totalidad de su posición a favor de la BIP #76, que transfirió automáticamente 4,43 billones de BONK desde la tesorería a su monedero.
-
¿Por qué se aprobó la propuesta maliciosa?
El quórum de BONK DAO exige votos a favor equivalentes al 1 % del suministro total, no al 1 % de los votantes participantes. Con una participación del 2,9 % y solo siete monederos votando, los 882.380 millones de BONK del atacante superaron por escaso margen el umbral de 879.950 millones.
-
¿Cuánto gastó el atacante frente a lo que se llevó?
Alrededor de 4,4 $M para comprar la posición del quórum, frente a unos 20 $M en tokens de la tesorería drenados. Además, empezó a vender los 5,3 $M en BONK que había comprado para el voto en menos de una hora tras el drenaje, recuperando también esa parte.
-
¿Es esto legalmente un robo si cada paso fue una transacción válida?
Ese es el debate abierto. BONK DAO, Chainalysis y las fuerzas de seguridad lo tratan como un ataque; algunos comentaristas onchain argumentan que es solo la explotación de unas reglas de gobernanza mal redactadas. No se han anunciado cargos.
-
¿Qué está haciendo BONK DAO ante el drenaje de 20 $M?
La DAO confirmó el ataque, identificó los monederos de exchange usados para comprar tokens antes de la votación y afirmó que se está coordinando con exchanges, puentes y la Solana Foundation para gestionar las consecuencias. Los tokens drenados están ahora en un multisig controlado por el atacante.
Lookonchain
WuBlockchain
TheBlock