BONK DAO wurde am späten Montag um 20 Millionen US-Dollar ausgeraubt — der Höhepunkt eines einwöchigen Plans, bei dem ein opportunistischer Angreifer etwa 4,4 Millionen US-Dollar dafür ausgegeben hat, die Bonk-Tokens des Projekts aufzukaufen, um eine Abstimmung durchzudrücken. Jeder einzelne Schritt war eine legitime Transaktion — etwa der Kauf, die Abstimmung, die Auszahlung — und gemeinsam führten sie so einen Diebstahl durch.
BONK ist ein Solana-basiertes Memecoin und BONK DAO ist die dezentrale autonome Organisation, die ihn verwaltet — ein Modell, in dem Inhaber von Token über Vorschläge abstimmen, anstatt dass ein Unternehmen Entscheidungen trifft. Wer genug Token hält, kann eine Änderung vorschlagen und, wenn eine Abstimmung angenommen wird, diese automatisch onchain ausführen lassen.
Dieses Design war die konkrete Waffe, die in diesem Angriff eingesetzt wurde. Die BONK-Preise sind laut Daten in den vergangenen 24 Stunden um 7 % gefallen – als Nachwirkung des Angriffs.
Die Abfolge begann am 30. Juni, als ein anonymer Wallet einen Vorschlag einreichte, die Bestände der Schatzkammer auf ein Wallet zu übertragen, das es kontrollierte, wie Chainalysis berichtet. Um durchzugehen, brauchte der Vorschlag Ja-Stimmen in Höhe von 1 % des BONK-Angebots, das Quorum bzw. die Mindestbeteiligung, die erforderlich ist, damit er wirksam wird.
In der Zeit vom 4. bis 5. Juli erwarb ein separates Wallet genau diese Menge: Es gab etwa 4,4 Millionen US-Dollar aus, um BONK an den Börsen Bybit und Binance zu kaufen, und laut einem Konto lieh es sich darüber hinaus mehr über DeFi-Kreditplattformen, wie Lookonchain angibt.
Der Vorschlag mit dem Titel „BIP #76 - Sowellian BonkDAO“ wurde mit nur sieben abstimmenden Wallets angenommen – im Gegensatz zu mehr als 18.000 Mitgliedern, die nicht mitmachten: eine Beteiligung von 2,9 %.
Es verfehlte das Quorum nur mit dem knappstmöglichen Vorsprung: 882,38 Milliarden BONK stimmten dafür, gegen eine Schwelle von 879,95 Milliarden. Das entsprach fast genau der Summe, die der Angreifer in den Tagen zuvor zusammengetragen hatte.
Das Ergebnis von 99,9 % „Ja“ war effektiv ein einzelner Wähler, der mit sich selbst übereinstimmte. Sein ausgearbeiteter Vorschlag liest sich weniger wie ein Governance-Antrag und mehr wie ein Prahlstück: Er verspricht, „aus der Asche wieder aufzubauen, Beteiligungen zu monetarisieren, das Ausbluten zu stoppen“, und enthält eine Zeile, in der festgehalten wird, dass „alle JA-Wähler berechtigt sind, Token zu erhalten.“
Darunter befand sich die einzige Anweisung, die eigentlich die Aufmerksamkeit hätte wecken müssen – eine Übertragung von 4,43 Billionen BONK an das Wallet des Angreifers.