Egy ismeretlen szereplő mintegy 20 millió dollár értékű BONK tokent vont ki a mémcoinhoz kapcsolódó BonkDAO kincstárából, miután elegendő tokent szerzett ahhoz, hogy gyakorlatilag egyedül döntsön egy iezzel kapcsolatos szavazáson.
Az esetet nem egy okosszerződés-hiba vagy ellopott privát kulcs tette lehetővé. Az elkövető a DAO saját szabályait használta fel, vagyis BONK tokeneket vásárolt a szabad piacról, melyekkel megszerezte a szükséges szavazati súlyt, megszavazta a kincstári átutalást, a rendszer pedig automatikusan végrehajtotta a döntést.
Mi az a BONK?
A BONK egy 2022 karácsonyán elindított, kutyás témájú mémcoin, ami a Solana blokkláncán működik. A projekt a Solana ökoszisztéma közösségi tokenjeként határozta meg magát, és a készlet több mint felét ingyenesen osztotta szét a hálózat felhasználói között.
Bár a BONK eredetileg mémcoinként indult, idővel több Solana-alapú alkalmazásba és szolgáltatásba is beépítették, például közösségi jutalmazási rendszerek formájában. A projekthez kapcsolódó BonkDAO egy decentralizált szervezet, ami a hosszabb távú működés biztosításához felhalmozott közösségi vagyon egy részének felhasználásáról és az ökoszisztémát érintő javaslatokról szavazhat.
Hét tárca vett részt a szavazáson
A BIP-76 néven benyújtott működési javaslat június 30-án jelent meg a Solana ökoszisztémában működő Realms irányítási platformon. A dokumentum egy új irányítási modell bevezetéséről szólt és ehhez 4,43 billió token átutalását kérte egy megadott tárcacímre.
A szavazásban mindössze hét tárca vett részt. Közülük egyetlen cím körülbelül 882,38 milliárd BONK szavazati súllyal rendelkezett, miközben a szavazás érvényességéhez szükséges küszöb 879,95 milliárd token volt. A tárca tehát éppen csak átlépte a határozatképességi küszöböt, de végül mégis a leadott szavazatok súlyának 99,9 százalékával rendelkezett, így lényegében senki sem ellenezte a javaslatot.
Több millió dollárért vásárolta meg a döntő szavazati súlyt
A blokkláncon látható pénzmozgásokat utólagosan elemző szakértők szerint a szavazáshoz használt tárca a voksolást megelőző napokban kezdett nagy mennyiségű BONK-ot gyűjteni.
A Lookonchain számításai szerint a trükk körülbelül 4,4 millió dollárba kerülhetett, mert ennyit költött az illető a 882 milliárd BONK megszerzésére, amit a Binance és a Bybit kriptotőzsdéken vásárolt meg. A Chainalysis szerint ennél nagyobb, mintegy 8 millió dolláros teljes pozícióról lehetett szó, mert a tőzsdei vásárlásokat DeFi-platformokról felvett kölcsönökkel finanszírozhatták.
BONK DAO’s $20 million loss saw the attacker put millions of dollars on the line. Our investigation maps out the financial coordination behind today’s governance attack, from the days-long BONK spree that preceded it to the liquidation rush that followed. 🧵 pic.twitter.com/yvjRxxV0zZ
— Chainalysis (@chainalysis) July 7, 2026
A különböző becslések eltérése abból adódhat, hogy az elemzők nem ugyanazokat a tárcákat és finanszírozási forrásokat számították bele a teljes pozícióba. Abban azonban egybehangzóak a beszámolók, hogy a támadó jóval kevesebbet költött a szavazati jog megszerzésére, mint amennyit később a kincstárból átutalt magának.
A döntő szavazatot a voksolási időszak utolsó napján, nem sokkal annak lezárása előtt adták le. A javaslat elfogadása után a 4,43 billió BONK automatikusan elhagyta a BonkDAO kincstárát, az átutalt tokenek értéke pedig meghaladta a 20 millió dollárt.
Nem egy hagyományos technikai feltörés történt
A legtöbb kriptós támadás során az elkövetők valamilyen programhibát vagy ellopott hozzáférési adatokat használnak ki. A BonkDAO esetében viszont nincs arra utaló jel, hogy az irányítási rendszer vagy az okosszerződés technikailag meghibásodott volna.
A támadó olyan tranzakciókat hajtott végre, amelyeket a hálózat szabályainak megfelelően kezdeményezett és amit az érvényesnek fogadott el. Tokent vásárolt, javaslatot nyújtott be, szavazott, majd az elfogadott döntés alapján megkapta a kincstárból kiutalt eszközöket.
Az esetet a DAO ennek ellenére támadásnak minősítette. Közlésük szerint már azonosították a tokenvásárláshoz használt tőzsdei tárcákat, és kriptotőzsdékkel, blokklánchidakkal, a Solana Foundationnel, valamint hatóságokkal együttműködve dolgoznak az eszközök követésén.
BonkDAO was the target of a malicious governance proposal resulting in an estimated $20M worth of BONK tokens being drained from the BonkDAO treasury.
During the investigation, BonkDAO identified the exchange wallets used to purchase BONK ahead of the proposal. BonkDAO is…
— BONK!!! (@bonk_inu) July 6, 2026
A Chainalysis szerint az átutalt BONK nagy része nem került azonnal tőzsdére. Körülbelül 19 millió dollárnyi token egy több aláírást igénylő, úgynevezett multisig tárcába került, és BONK 2.0 DAO néven jelent meg, de ez az eddig közzétett információk alapján nem egy hivatalos BONK közösséghez kapcsolódó struktúra.
Mintegy 188 000 dollárnyi BONK-ot azonban egy nagyobb kriptotőzsdére utaltak át, és ezzel párhuzamosan értékesíteni kezdték a szavazáshoz korábban megvásárolt tokeneket is.
A BONK árfolyama a javaslat benyújtása óta eltelt időszakban
A szavazati súly felépítéséhez használt pozíció tehát átmeneti volt. Az illető nem hosszú távú befolyást próbált szerezni a projekt felett, csak elegendő tokent gyűjtött össze egyetlen javaslat elfogadásához, majd megkezdte a pozíció leépítését.
A távol maradó szavazók is hozzájárultak a történtekhez
A javaslat közel egy hétig teljesen nyilvánosan elérhető volt, és tartalmazta a 20 millió dolláros tokenátutalás részleteit is. Ennek ellenére csak 6 tárca szavazott nemmel a szavazáson, és az ő szavazati arányuk is csak mindössze 0,1 százalékot ért el.
Amint a példa mutatja, az alacsony részvétel egy decentralizált szervezetben nem pusztán közösségi érdektelenséget jelent, hanem biztonsági kockázattá is válhat, ha egyetlen szereplő is képes elérni a szükséges szavazati küszöböt, és érvényesíteni tudja az akaratát.
A tokenalapú irányítás általában abból indul ki, hogy a nagyobb tulajdonrésszel rendelkező szereplőknek nagyobb érdekük fűződik a rendszer hosszú távú, stabil működéséhez. Ez a feltételezés azonban gyengül, ha a tokenek gyorsan és szabadon megvásárolhatók egy tőzsdéről, akár úgy is, hogy DeFi-platformokon felvett kölcsönökből finanszírozzák azok megszerzését.
Ebben az esetben a szavazati jog mellé nem tartozik hosszú távú elköteleződés, hanem egy megvásárolható erőforrássá válik, aminek az ára alacsonyabb lehet a vele megszerezhető előnyöknél.
A DAO szabályosan működött
Az eset jogi és technikai megítélése tehát nem egyértelmű. Egyes kommentek szerint a támadó egyszerűen élt a szabályok adta lehetőségekkel. Mások szerint attól, hogy technikailag minden érvényes volt, a történtek még csalásnak vagy vagyon elleni bűncselekménynek minősülhetnek.
A blokklánc nem képes eldönteni, hogy egy érvényes szavazat mögött tisztességes szándék áll-e, csak azt ellenőrzi, hogy teljesültek-e az előre rögzített feltételek. A BonkDAO esetében a feltételek teljesültek, a döntés ugyanakkor egyetlen, rövid időre felépített tokenpozíció kezébe adta a több tízmillió dolláros közösségi vagyon feletti ellenőrzést.
Az eset ismét előtérbe helyezheti azokat a védelmi megoldásokat, amelyekkel a DAO-k csökkenthetik az irányítási támadások kockázatát. Ilyen lehet például a szavazás lezárása és a végrehajtás közötti kötelező várakozási idő, a nagy értékű kincstári átutalásoknál előírható magasabb részvételi küszöb, vagy akár az is, hogy az újonnan vásárolt tokenek még ne biztosítsanak azonnal teljes szavazati jogot. Ezek a megoldások csökkenthetik egy rendszer decentralizáltságát, de lassíthatják vagy megakadályozhatják, hogy egyetlen szereplő néhány nap alatt átvegye az irányítást egy szervezet, vagy annak kincstára felett.